Die verschiedenen Arten von DDoS-Angriffen

Da das Volumen, die Komplexität und die Häufigkeit von DDoS-Angriffen zunehmen, ist es entscheidend zu wissen, wie Sie sie erkennen, abschwächen und – noch besser – verhindern. Ein guter Ausgangspunkt ist es, die verschiedenen Arten von DDoS-Angriffen zu verstehen. 

Was versteht man unter einem DDoS-Angriff? 

Ein DDoS-Angriff (Distributed Denial of Service) ist ein bösartiger Angriff, der darauf abzielt, ein Zielsystem (Netzwerk, Server, Service) mit einer Flut von Traffic zu überfordern. Diese Art von Angriff kann dazu führen, dass das Ziel (ein Service oder Server) für legitime Nutzer nicht mehr verfügbar ist. Die Flut von unrechtmäßigem Traffic aus verschiedenen Quellen zielt darauf ab, das Zielsystem effektiv außer Gefecht zu setzen.

Welche Folgen haben DDoS-Angriffe? 

Die Folgen von DDoS-Angriffen gehen weit über einen vorübergehenden Ausfall hinaus. Hier erfahren Sie, wie sich diese Angriffe auf Ihr Unternehmen auswirken können. Sie können Folgendes bewirken:

Führen zu finanziellen Verlusten: Jede Minute Ausfallzeit bedeutet entgangene Einnahmen von Kunden, die auf Ihrer Website keine Produkte kaufen oder Services in Anspruch nehmen können. Länger andauernde oder wiederholte Angriffe führen zu erheblichen Kosten, die Ihr Geschäftsergebnis beeinträchtigen.

Behindern den normalen Geschäftsbetrieb: Betriebsbedingte Verzögerungen, stornierte Aufträge und stagnierende Projekte schaden der Produktivität und Zufriedenheit. Wenn bestimmte Services während eines Angriffs nicht verfügbar sind, wird es schwierig, Ihr Unternehmen zu führen.

Schädigen den Ruf: Kunden erwarten heute von Unternehmen konsistente und zuverlässige digitale Erlebnisse. Ein DDoS-Angriff, der zu Ausfallzeiten der Website führt, wirft in den Augen dieser Kunden ein schlechtes Licht auf Ihre Marke. Dies kann dazu führen, dass sie das Vertrauen in Ihr Unternehmen verlieren und zur Konkurrenz wechseln. 

Erhöhen Sicherheitsrisiken: Wenn Angriffe Ihre bestehenden Sicherheitsmaßnahmen überwältigen, werden Schwachstellen aufgedeckt, die Hacker noch weiter ausnutzen können. Dadurch erhöht sich das Risiko von Datendiebstahl oder Netzwerkinfiltration auch nach Ende des DDoS-Angriffs. Vertrauliche Kundendaten können aufgrund von Sicherheitslücken, die durch Angriffe aufgedeckt wurden, gestohlen werden, was den Schaden noch vergrößert.

Verursachen betriebliche Ablenkungen. Massive Traffic-Anstiege binden Team-Kapazitäten und Bandbreitenressourcen. Böse Akteure können sich so ‘einschleichen’, während die Verteidiger abgelenkt sind. 

Welche verschiedenen Arten von DDoS-Angriffen gibt es? 

Sie können DDoS-Angriffe basierend auf dem gezielten OSI-Layer (Open Systems Interconnection) gruppieren.  Am häufigsten erfolgen Angriffe auf dem Netzwerk-Layer (OSI-Layer 3), dem Transport-Layer (OSI-Layer 4) und dem Anwendungs-Layer (OSI-Layer 7). 

DDoS-Angriffe auf Layer 3 und 4

Bei Layer 3 und 4 handelt es sich um den Infrastruktur-Layer. Gängige DDoS-Angriffsvektoren auf diesen Layern sind SYN-Floods, UDP-Floods und ICMP-Angriffe (Internet Control Message Protocol). 

Layer 3 ist der Netzwerk-Layer, der für die Entscheidung verantwortlich ist, welchen physischen Weg die Daten durch das Netzwerk nehmen sollen. Layer 4 sorgt für die Datenübertragung zwischen den Hosts und gewährleistet die Datenintegrität und Vollständigkeit der Übertragung, die durch das Transport Control Protocol (TCP) durchgeführt wird. 

Angriffe, die auf diese beiden Layer abzielen, erzeugen ein massives Traffic-Volumen und zielen darauf ab, die verfügbare Netzwerkkapazität oder eine Gruppe von Hosts zu überlasten. Die gute Nachricht ist, dass diese Arten von Angriffen eindeutige Signaturen haben und daher leichter zu erkennen und zu bekämpfen sind.

Um die Unterschiede bei den Angriffen auf diesen Ebenen besser zu verstehen, können Sie die folgende Tabelle verwenden: 

Was ist der Unterschied zwischen DDoS-Angriffen auf Layer 3 und 4?

Obwohl Angriffe sowohl auf Ebene 3 als auch auf Ebene 4 des OSI-Modells volumetrische DDoS-Angriffe sind, haben sie leicht unterschiedliche Strategien. Layer-3-Angriffe zielen darauf ab, die gesamte Bandbreite und Routing-Kapazität in einem System/Netzwerk zu überfordern. Angriffe auf Layer 4 erschöpfen die Serverressourcen, indem sie Transportprotokolle wie TCP oder UDP ausnutzen. 

DDoS-Angriffe auf Layer 7

Ein DDoS-Angriff auf dem Anwendungs-Layer ist ein böswilliger Versuch, Webanwendungen zu überlasten, indem Layer 7 des OSI-Modells ausgenutzt wird. Er zielt auf spezifische Schwachstellen von Apps ab, um die Verfügbarkeit des Services zu beeinträchtigen.

Im Gegensatz zu Angriffen auf den Netzwerk-Layer, die die Infrastruktur überfluten, überfordern Störungen auf dem Anwendungs-Layer bestimmte Anwendungsprozesse und verbrauchen erhebliche Rechenleistung. Indem sie den legitimen Traffic von Nutzern und deren Verhaltensmuster nachahmen, können diese Angriffe maximale Wirkung erzielen, während sie nur sehr wenig Bandbreite seitens der Angreifer erfordern. Diese Angriffe erfordern die meiste Rechenleistung aller DDoS-Angriffe, da es sich um vollständig formulierte Anfragen handelt. Dieser Ansatz ist am teuersten, kann aber am schwierigsten zu erkennen sein, weil er den legitimen Traffic nachahmt.

Worin besteht der Unterschied zwischen volumetrischen, Protokoll- und Anwendungs-Layer-Angriffen?

Eine weitere Möglichkeit, DDoS-Angriffe zu kategorisieren, besteht darin, sie nach ihren übergeordneten Merkmalen oder Methoden zu unterscheiden, anstatt nach dem Layer des OSI-Modells, auf dem sie stattfinden. Zu den drei häufigsten Typen gehören volumetrische Angriffe, Protokollangriffe und Angriffe auf den Anwendungs-Layer: 

1. Volumetrische Angriffe

Diese Methode versucht, die Bandbreitenressourcen eines Netzwerks zu verbrauchen, um eine Störung zu verursachen. Angreifer erzeugen große Mengen an Junk-Traffic, um die Verbindungen zu überfluten und die Bandbreitenkapazität zu erschöpfen. Übliche Beispiele für diesen Ansatz sind UDP-Floods, bei denen die Zielsysteme mit UDP-Paketen bombardiert werden, und ICMP-Floods, bei denen dasselbe mit ICMP-Ping-Anfragen geschieht. 

2. Protokoll-Angriffe

Bei Protokoll-Angriffen wird versucht, Schwachstellen in bestimmten Netzwerkprotokollen auszunutzen, anstatt sich auf die bloße Menge des Traffics zu verlassen. Ein Beispiel ist eine SYN-Flood, bei der Angreifer mehrere SYN-Anfragen senden, um Verbindungen zu öffnen, aber den Handshake-Prozess nie abschließen. Dies führt dazu, dass sich halboffene Verbindungen anhäufen und die verfügbaren Ressourcen aufbrauchen. Ein weiteres Beispiel ist der Ping-of-Death-Angriff, bei dem fragmentierte oder übergroße ICMP-Pakete gesendet werden, um Systeme zum Absturz zu bringen.

3. Angriffe auf den Anwendungs-Layer

Auf dem Anwendungs-Layer zielen die Angriffe auf bestimmte Services und Softwareschwachstellen ab. Beispiele hierfür sind HTTP-Floods und Slowloris-Angriffe. HTTP-Flood-Angriffe bombardieren bestimmte Ports oder URLs mit überwältigenden Anfragen. Slowloris-Angriffe binden Ressourcen, indem sie viele Verbindungen öffnen und sie so lange wie möglich offen halten, aber nur wenige Daten senden.

Was können Sie tun, um sich/Ihre Organisation vor DDoS-Angriffen zu schützen? 

1. Holen Sie sich eine gute DDoS-Lösung! 

2. Traffic-Muster verstehen: Die erste Verteidigungslinie besteht in der Erstellung eines Traffic-Profils. Dieses Profil gibt an, wie „erwünschter“ Traffic aussieht, und legt die Erwartungen für das Traffic-Volumen in Ihrem Netzwerk fest. Dank der Überwachung Ihres Traffics mithilfe dieses Profils lassen sich Regeln konfigurieren, die nur so viel Traffic zulassen, wie Ihre Infrastruktur bewältigen kann, ohne Ihre Endnutzer zu beeinträchtigen. 

3.  Verwenden Sie Rate Limiting: Rate Limiting liefert eine gute Grundlage, und Sie können anschließend erweiterte Erkennungsmethoden einsetzen, um ausschließlich Traffic zuzulassen, der anhand einer Analyse weiterer Variablen validiert wurde. Schon eine kleine Sicherheitslücke kann Ihrem Netzwerk und Ihren Servern irreparablen Schaden zufügen und Ihre Mitarbeiter durch die fünf emotionalen Phasen eines DDoS-Angriffs schicken. Sorgen Sie also am besten gleich von Anfang an vor.

4. Exposition minimieren: Eine der einfachsten Möglichkeiten, DDoS-Angriffe abzuwehren, besteht darin, die Angriffsfläche zu verkleinern. So werden die Möglichkeiten der Angreifer eingeschränkt und Sie können gleichzeitig Abwehr- und Schutzmechanismen entwickeln. Sie sollten sicherstellen, dass Sie Ihre Anwendungen und Hosts nicht für Ports, Protokolle und andere Anwendungen freigeben, mit denen keine Kommunikation zu erwarten ist. In den meisten Fällen können Sie dies erreichen, indem Sie Ihre Infrastrukturressourcen hinter einem als Proxy fungierenden Content Delivery Network (CDN) platzieren, das den direkten Internet-Traffic zu bestimmten Teilen Ihrer Infrastruktur einschränkt. Außerdem können Sie eine Firewall oder Zugriffskontrolllisten (ACLS) verwenden, um den Traffic zu bestimmten Anwendungen zu steuern. 

5. Nutzen Sie eine anwendungsbasierte Firewall: Wenn Ihre Anwendung mit dem Internet verbunden ist, werden Sie täglich mehrfach angegriffen. Im Durchschnitt wird eine Anwendung mit Internetverbindung alle 39 Sekunden angegriffen. Als bewährte Praxis empfiehlt sich der Einsatz einer Web Application Firewall (WAF) zum Schutz vor Angriffen. WAFs können entscheidende Transparenz bieten, die ein Rate Limiting ermöglicht: Dabei wird die Anzahl der Anfragen begrenzt, die ein Nutzer oder Client innerhalb eines bestimmten Zeitraums stellen kann. Dies hilft, Missbrauch (wie beispielsweise einen DDoS-Angriff) im Keim zu ersticken. 

6. Skalierung durch Design: Auch wenn es sich dabei isoliert betrachtet nicht um die beste Lösung handelt, bietet die Erhöhung der Bandbreiten-(Transit-)Kapazität oder der Server-(Rechen-)Kapazität eine Möglichkeit, um Angriffe abzufangen und zu verhindern. Achten Sie bei der Entwicklung Ihrer Anwendungen darauf, dass Sie über eine redundante Internetanbindung verfügen, um Traffic-Anstiege bewältigen zu können. Eine gängige Praxis ist das Loadbalancing. Dabei wird der eingehende Traffic kontinuierlich überwacht und auf die verfügbaren Ressourcen verteilt, um eine Überlastung einzelner Ressourcen zu vermeiden. Außerdem können Sie Ihre Webanwendungen mit Blick auf ein CDN erstellen, das einen zusätzlichen Netzwerkinfrastruktur-Layer für die Bereitstellung von Inhalten bietet – oft sogar näher an Ihren Endnutzern. Die meisten DDoS-Angriffe sind volumetrisch und verbrauchen riesige Mengen an Ressourcen. Sie sollten also in der Lage sein, Ihre Anwendungen hinsichtlich der benötigten Rechenleistung schnell nach oben oder nach unten zu skalieren. Durch den dezentralen Aufbau eines CDN werden die Angriffe so weit verteilt, dass sie sich leicht abfangen lassen. Außerdem bieten CDNs zusätzliche Möglichkeiten, um selbst anspruchsvollste Angriffe zu vereiteln. Die Entwicklung eines Angriffsprofils ermöglicht es CDNs, bösartigen Traffic herauszufiltern oder zu drosseln. Schließlich kann der Cache bei Verwendung eines CDN einen Großteil der Auswirkungen bestimmter Angriffe abfangen, da er die Inhalte bereitstellt, ohne dass diese zum Ursprungsserver zurückgelangen müssen – ein zusätzlicher Sicherheits-Layer.  

Welche verschiedenen Arten von DDoS-Abwehrlösungen gibt es?

Die Fähigkeit, 1) DDoS-Angriffe frühzeitig zu erkennen, 2) zu wissen, wie man sie verhindert, und 3) Lösungen zu ihrer Abschwächung bereitzuhalten, sollte Bestandteil jedes guten Sicherheitsprogramms sein. Die folgende Tabelle bietet einen vollständigen Überblick über die Angriff-Typen, die wichtigsten Merkmale und deren Vorbeugung.

Ihre Vorteile mit Fastly 

Der DDoS-Schutz von Fastly lässt sich schnell bereitstellen und schützt Anwendungen aller Art sofort vor schwerwiegenden verteilten Angriffen. Durch Ausnutzung der enormen Bandbreite und adaptiven Methoden unseres Netzwerks sorgt er dafür, dass Sie automatisch performant und verfügbar bleiben, ohne dass eine Konfiguration erforderlich ist. Der DDoS-Schutz von Fastly ist optimal für Teams geeignet, die ihre Ausfallsicherheit verbessern, Konsistenz bei ihren Cloud-Ausgaben schaffen oder zu einem Lösungsanbieter wechseln möchten, der eher wie ein Partner als nur wie ein Anbieter agiert.

Der DDoS-Schutz von Fastly funktioniert mit modernen Workflows für die Softwareauslieferung, anstatt diese zu behindern, und schützt Ihre Apps und APIs automatisch vor Ausfällen. Unabhängig von Ihrer Architektur können Sie den DDoS-Schutz von Fastly bereitstellen, um schnellen, skalierbaren Schutz ohne vorheriges Tuning – oder überhaupt erforderliches Tuning – zu erhalten, selbst wenn Sie Änderungen auf Abruf bereitstellen. Dies erleichtert die funktionsübergreifende Zusammenarbeit zwischen Teams, da Sicherheit die Fähigkeit von DevOps, Code reibungslos in die Produktivumgebung zu bringen, nicht beeinträchtigt.