Was ist DDoS-Schutz auf dem Anwendungs-Layer?

Anwendungs-Layer- DDoS-Schutz ist eine Reihe von Sicherheitsmaßnahmen, die darauf ausgelegt sind, DDoS-Angriffe (Distributed Denial of Service) auf Websites, APIs und andere App-Services auf Layer 7 des OSI-Modells zu erkennen und abzuwehren.

Im Gegensatz zu Angriffen, die in erster Linie darauf abzielen, die Netzwerkbandbreite zu überfordern, zielen DDoS-Angriffe auf dem Anwendungs-Layer auf die Funktionen ab, die eine Anwendung benötigt, um legitime Nutzer zu bedienen. Angreifer können Log-in-Seiten, Suchfunktionen, APIs, Bezahlvorgänge oder andere ressourcenintensive Endpunkte mit Anfragen überfluten, die normalem Traffic ähneln können.

Ein effektiver Schutz erfordert daher mehr als nur das bloße Absorbieren großer Bandbreitenmengen. Unternehmen müssen legitime Nutzer von bösartigem Traffic unterscheiden, anormales Verhalten erkennen, missbräuchliche Anfragen kontrollieren und verhindern, dass Angriffe Anwendungs- und Origin-Ressourcen erschöpfen.

Wie funktioniert ein DDoS-Angriff auf dem Anwendungs-Layer?

Ein DDoS-Angriff auf dem Anwendungs-Layer ist ein verteilter Angriff, der versucht, eine Anwendung durch die Überlastung ihrer Ressourcen auf Anwendungsebene nicht verfügbar zu machen. Anstatt nur massive Mengen an reinem Netzwerk-Traffic zu senden, können Angreifer Anfragen generieren, die erfordern, dass die Ziel-Anwendung sinnvolle Arbeit verrichtet. Beispiele hierfür sind das wiederholte Anfordern von Webseiten, das Abfragen von APIs, das Initiieren von Suchvorgängen, versuchte Log-ins oder das Auslösen rechenintensiver Operationen.

Eine relativ kleine Anfrage kann manchmal deutlich mehr Arbeit im Hintergrund verursachen. Sie kann Anwendungslogik, Datenbank-Querys, API Calls oder andere Backend-Prozesse auslösen. Diese Asymmetrie kann Angriffe auf den Anwendungs-Layer besonders schwerwiegend machen.

Angreifer generieren typischerweise Anfragen von vielen verteilten Clients, zu denen auch kompromittierte Geräte gehören können, die ein Botnetz bilden. Der Traffic wird auf Anwendungsendpunkte gerichtet, mit dem Ziel, begrenzte Ressourcen zu verbrauchen, wie:

• App-Server-Kapazität

• Datenbankverbindungen

• CPU und Arbeitsspeicher

• API-Kapazität

• Verbindungspools

• Backend-Bandbreite

• Drittanbieterservices

• Origin-Infrastruktur

Ein einfaches Beispiel ist eine HTTP-Flood. Dabei sendet ein Angreifer große Mengen an HTTP-Anfragen an eine Website oder API, bis legitime Anfragen nicht mehr effizient verarbeitet werden können. Ausgefeiltere Angriffe zielen möglicherweise ganz bewusst auf teure Endpunkte ab. So könnte ein Angreifer beispielsweise wiederholt einen Suchvorgang auslösen, der mehrere Datenbank-Querys erfordert, anstatt eine schlanke statische Datei anzufordern.

Wie unterscheiden sich DDoS-Angriffe auf den Anwendungs-Layer von Angriffen auf den Netzwerk-Layer?

Der Hauptunterschied besteht darin, was der Angreifer zu erschöpfen versucht. Netzwerk- und Transport-Layer-Angriffe zielen in der Regel auf Infrastrukturen wie Bandbreite, Protokolle oder Verbindungskapazität ab. Angriffe auf dem Anwendungs-Layer zielen auf die Anwendung selbst und die Ressourcen ab, die zur Verarbeitung legitim erscheinender Anfragen erforderlich sind.

Organisationen können mit beiden Arten gleichzeitig konfrontiert sein, daher sollte eine umfassende DDoS-Strategie Angriffe über mehrere Layer hinweg berücksichtigen.

Warum ist DDoS-Schutz auf dem Anwendungs-Layer notwendig?

Angriffe auf dem Anwendungs-Layer stellen eine besondere Herausforderung dar, da bösartige Anfragen legitim aussehen können. Eine Anfrage an „/search“, „/login“ oder „/api/products“ ist beispielsweise nicht zwangsläufig bösartig. Um festzustellen, ob Tausende solcher Anfragen echte Kundenaktivitäten oder einen koordinierten Angriff darstellen, ist Kontext erforderlich.

Aus folgenden Gründen sind eine dedizierte Lösung und Strategie für den DDoS-Schutz auf dem Anwendungs-Layer so wichtig: 

App-Angriffe können grundlegende Netzwerk-Abwehrmaßnahmen umgehen

Eine herkömmliche Netzwerk-Firewall sieht möglicherweise gültige HTTPS-Verbindungen anstelle von offensichtlich fehlerhaftem Netzwerk-Traffic. App-orientierte Kontrollen sind erforderlich, um zu verstehen, was diese Verbindungen tun.

Kleine Anfragen können erhebliche Backend-Ressourcen verbrauchen

Angreifer können gezielt Endpunkte anvisieren, deren Verarbeitung aufwendig ist. Eine Anfrage kann Datenbankabfragen, Authentifizierungsvorgänge, API Calls oder rechenintensive Anwendungslogik auslösen.

Botnetze verteilen Angriffs-Traffic

Botnetze können Anfragen über eine große Anzahl von IP-Adressen und Geräten verteilen. Dies kann einfaches IP-Blocking und Schwellenwerte pro IP-Adresse weniger effektiv machen.

Angriffe können den Umsatz und das Kundenerlebnis beeinträchtigen

Wenn Kunden nicht auf eine Checkout-Seite, eine API, einen Streaming-Service, eine SaaS-Anwendung oder einen anderen kritischen Service zugreifen können, können Verfügbarkeitsprobleme schnell zu geschäftlichen Problemen werden.

Angriffstraffic kann die Infrastrukturkosten erhöhen

Selbst wenn ein Angriff keinen Ausfall verursacht, kann die Verarbeitung bösartiger Anfragen Cloud-Computing- und Datenbankressourcen, Bandbreite und API-Kapazitäten von Drittanbietern verbrauchen. Schutz auf dem Anwendungs-Layer zielt darauf ab, diese Anfragen zu stoppen oder zu kontrollieren, bevor sie teure Backend-Ressourcen verbrauchen.

Was sind häufige Arten von DDoS-Angriffen auf dem Anwendungs-Layer?

HTTP-Floods

HTTP-Floods generieren große Mengen an HTTP-GET-, POST- oder anderen Anfragen an eine Website oder Anwendung. Ausgefeiltere Versionen können URLs, Header, Cookies, Anfragemuster und Client-Merkmale variieren, damit der Traffic schwerer von legitimen Aktivitäten zu unterscheiden ist.

API-Floods

Angreifer können API-Endpoints direkt mit großen Mengen an Anfragen ins Visier nehmen. Dies kann besonders schädlich sein, wenn API-Operationen Datenbank-Querys, Berechnungen oder Aufrufe nachgelagerter Services auslösen.

Log-in- und Authentifizierungs-Floods

Authentifizierungsendpunkte können aufwendig sein, da sie Datenbankoperationen, Passwort-Hashing, Aufrufe von Identitätsanbietern, Betrugsprüfungen oder andere Verarbeitungen beinhalten können. Angreifer können diese Funktionen wiederholt aufrufen, um Ressourcen zu verbrauchen.

Ressourcenerschöpfungsangriffe

Anstatt einfach nur das Anfragevolumen zu maximieren, können Angreifer Anwendungsfunktionen identifizieren, die ein unverhältnismäßig hohes Maß an Verarbeitung erfordern. Suche, Reporting, Datenexport, komplexe Filterung, Dateiverarbeitung oder andere aufwendige Operationen können zu Zielen werden.

Low-and-Slow-Angriffe

Nicht jeder DDoS-Angriff auf dem Anwendungs-Layer basiert auf extrem hohen Anfrageraten. Einige Angriffe verbrauchen Anwendungs- oder Serverressourcen bewusst langsam, was es potenziell schwieriger macht, sie anhand einfacher Schwellenwerte für das Traffic-Volumen zu identifizieren.

Was sind die Best Practices für den DDoS-Schutz auf dem Anwendungs-Layer?

Effektiver Schutz ist mehrschichtig. Unternehmen sollten Anwendungsarchitektur, Traffic-Kontrollen, Monitoring und spezialisierte Sicherheitstechnologien kombinieren.

1. Baselines für normalen Traffic festlegen

Das Verständnis normaler Anfragevolumina und Verhaltensweisen erleichtert es, ungewöhnliche Aktivitäten zu erkennen. Überwachen Sie den Traffic nach Endpunkt, Geografie, Antwortstatus, User Agent, Client-Merkmalen und weiteren relevanten Dimensionen.

2. Den Origin-Server schützen

Angreifer sollten nicht in der Lage sein, Sicherheitskontrollen auf der Edge zu umgehen und den Origin direkt anzugreifen. Beschränken Sie den Zugriff auf den Origin, wo dies möglich ist, damit legitimer App-Traffic die Backend-Infrastruktur über genehmigte Auslieferungs- und Sicherheits-Layer erreicht.

3. Geeignete Inhalte cachen

Caching kann den Arbeitsaufwand von App-Origins reduzieren. Wenn ein CDN eine Anfrage aus dem Cache bedienen kann, muss die Anfrage nicht dieselbe Backend-Verarbeitung auslösen. Eine Steigerung der Cache-Effizienz kann daher sowohl die Performance als auch die Netzwerkstabilität verbessern.

4. Intelligentes Rate Limiting verwenden

Rate Limiting kann verhindern, dass einzelne Clients oder Gruppen von Clients übermäßig viele Anfragen stellen. Vermeiden Sie es, einen einheitlichen Schwellenwert auf jeden Endpunkt anzuwenden. Eine Startseite, eine Log-in-API, ein Such-Endpunkt und das Herunterladen großer Dateien können sehr unterschiedliche normale Traffic-Muster aufweisen.

5. Kostspielige Endpunkte schützen

Ermitteln Sie, welche Anfragen die meisten Backend-Ressourcen verbrauchen. Suche, Authentifizierung, Berichtserstellung, API-Querys und andere aufwendige Operationen erfordern möglicherweise strengere Kontrollen als kostengünstige gecachte Ressourcen.

6. Bot-Management verwenden

Botnetze sind häufig für Angriffe auf verteilte Anwendungen verantwortlich. Bot-Managementsysteme können Verhaltens- und Client-Signale nutzen, um automatisierten Traffic von legitimen Nutzern zu unterscheiden und entsprechende Antworten anzuwenden.

7. Eine Webanwendungs-Firewall einsetzen

Eine WAF kann bösartige Anwendungsanfragen erkennen und blockieren und ergänzt damit den DDoS-Schutz. Dies ist besonders wertvoll, wenn Angriffe Anfrage-Flooding mit Versuchen kombinieren, Schwachstellen von Anwendungen zu instrumentalisieren.

8. App-Netzwerkstabilität aufbauen

Die Architektur der Anwendung ist nach wie vor wichtig. Timeouts, Circuit Breaker, Queueing, Ressourcenlimits, Caching, Datenbankschutzmaßnahmen und Graceful Degradation können die Auswirkungen reduzieren, wenn ungewöhnlicher Traffic Backend-Systeme erreicht.

9. In Echtzeit überwachen

Angriffe auf den Anwendungs-Layer können sich schnell weiterentwickeln. Echtzeit-Transparenz in Sicherheit und Traffic hilft Teams, gezielt angegriffene Endpunkte zu identifizieren, das Verhalten von Abwehrmaßnahmen zu verstehen und den Schutz während einer Störung anzupassen.

Welche Arten von DDoS-Schutz auf dem Anwendungs-Layer sind verfügbar?

Keine einzelne Kontrolle deckt jeden Layer-7-Angriff ab. Häufige Schutztechnologien sind:

CDN und Edge-Caching

CDNs können cachefähige Anfragen bedienen, ohne den Origin einzubeziehen, und so die Ressourcen reduzieren, die Angreifern zur Erschöpfung zur Verfügung stehen. Edge-Netzwerke können auch einen Ort bieten, um bösartigen Traffic zu identifizieren und abzuwehren, bevor er die Anwendungsinfrastruktur erreicht.

Web Application Firewalls

Eine WAF untersucht HTTP-Anfragen und wendet Sicherheitsregeln auf Grundlage von Informationen auf dem Anwendungs-Layer an. WAFs werden in erster Linie mit dem Schutz von Anwendungen vor Schwachstellen und schädlichen Payloads in Verbindung gebracht, können jedoch auch zu einer mehrschichtigen DDoS-Abwehr beitragen.

Rate Limiting

Rate Limiting steuert, wie häufig Anfragen gestellt werden können. Regeln können auf bestimmte URLs, APIs, Clients oder andere Anfragemerkmale angewendet werden, um sensible oder ressourcenintensive Funktionen zu schützen.

Bot-Management

Bot-Management versucht, legitime Menschen und genehmigte Automatisierung von bösartigen Bots zu unterscheiden. Da viele DDoS-Angriffe auf dem Anwendungs-Layer von Botnetzen ausgehen, kann Bot-Erkennung besonders wertvoll sein, wenn Angriffsanfragen ansonsten gültig erscheinen.

Verhaltens- und Anomalieerkennung

Verhaltensbasierter Schutz sucht nach Abweichungen vom erwarteten App-Traffic, anstatt sich ausschließlich auf bekannte Angriffssignaturen zu verlassen. Dies kann dabei helfen, bisher ungesehene Angriffe und Traffic-Muster zu identifizieren, die erst bei einer gemeinsamen Betrachtung verdächtig werden.

Client-Herausforderungen

Gegebenenfalls können verdächtige Clients dazu aufgefordert werden, Browser- oder Rechen-Herausforderungen zu lösen, bevor ihnen der Zugriff auf geschützte Ressourcen gewährt wird. Herausforderungen sollten mit Bedacht eingesetzt werden, da unnötige Reibung legitime Nutzer und die Barrierefreiheit beeinträchtigen kann.

Netzwerk-DDoS-Schutz

Schutzmechanismen auf dem Anwendungs-Layer sollten den Schutz auf dem Netzwerk-Layer nicht ersetzen. Angreifer können Layer-7-Techniken mit volumetrischen Angriffen oder Protokollangriffen kombinieren. Daher sollten Unternehmen Schutzmaßnahmen auf den Ebenen 3, 4 und 7 in Betracht ziehen.

Wie können Organisationen einen DDoS-Angriff auf dem Anwendungs-Layer erkennen?

Organisationen sollten bekannte Warnzeichen für DDoS-Angriffe im Auge behalten. Dazu gehören: 

• Plötzliche Anstiege von HTTP- oder API-Anfragen

• Unerwarteter Traffic zu bestimmten Endpunkten

• Höhere Anwendungslatenz

• Erhöhte 4xx- oder 5xx-Fehler

• Datenbank- oder Backend-Sättigung

• Ungewöhnlicher geografischer Traffic

• Große Anzahl neuer Clients oder IP-Adressen

• Anormale Anfragemuster

• Sinkende Cache-Hitraten

• Plötzliche Zunahmen beim Origin-Traffic

• Erhöhte Infrastrukturauslastung ohne entsprechenden Anstieg der legitimen Geschäftsaktivitäten

Entscheidend ist der Kontext. Ein plötzlicher Traffic-Anstieg könnte ein Angriff sein, aber auch eine erfolgreiche Produkteinführung oder ein Eilmeldungsereignis. Sicherheitskontrollen müssen gute Traffic-Spitzen so genau wie möglich von bösartigen unterscheiden.

Was bietet Fastly für den DDoS-Schutz auf dem Anwendungs-Layer an?

Fastly bietet mehrere sich ergänzende Technologien zum Schutz von Anwendungen vor DDoS- und anderen Layer-7-Bedrohungen.

Fastly DDoS Protection

Der DDoS-Schutz von Fastly wurde entwickelt, um Angriffe auf der Edge zu erkennen und abzuwehren, bevor bösartiger Traffic die Anwendungsinfrastruktur überfordern kann. Die DDoS-Funktionen von Fastly arbeiten über das gesamte globale Edge-Netzwerk hinweg und ermöglichen es, Angriffs-Traffic fernab von geschützten Origins zu verarbeiten.

Bei Bedrohungen auf dem Anwendungs-Layer ist dieser Ansatz besonders wertvoll, da die Abwehr erfolgen kann, bevor bösartige Anfragen App-Server, Datenbanken und andere Backend-Ressourcen verbrauchen.

Fastly Next-Gen WAF

Die Fastly Next-Gen WAF bietet App- und API-Schutz vor bösartigen Anfragen. Sie ergänzt den DDoS-Schutz durch die Erkennung von Angriffen auf Anwendungen wie SQL Injection, Cross-Site-Scripting, Command Injection und anderem bösartigen Traffic.

Die Next-Gen WAF von Fastly nutzt die SmartParse-Technologie, um Anfragen zu analysieren und böswillige Absichten zu erkennen. Gleichzeitig zielt sie darauf ab, die False Positives zu reduzieren, die üblicherweise mit herkömmlichen, regelintensiven WAF-Deployments einhergehen.

Fastly Bot Management

Fastly Bot Management kann dabei helfen, automatisierten Traffic zu identifizieren und zu kontrollieren, der auf Websites und Anwendungen abzielt. Dies ist bei DDoS-Angriffen auf Layer 7 wichtig, da Angreifer häufig Botnetze verwenden, um bösartige Anfragen auf viele Clients zu verteilen.

Bot-Management-Funktionen können Unternehmen dabei helfen, automatisierten Traffic von legitimen Nutzern zu unterscheiden und basierend auf der Art dieses Traffics Kontrollen anzuwenden.

Rate Limiting

Fastly bietet Rate-Limiting-Funktionen, mit denen Unternehmen sensible Endpunkte schützen und übermäßig hohe Anfrageraten kontrollieren können. Anstatt jede Anwendungsfunktion identisch zu behandeln, können Teams Richtlinien für die Ressourcen entwerfen, die sie schützen müssen.

CDN-Caching und Origin Shield

Das CDN von Fastly kann ebenfalls zur App-Netzwerkstabilität beitragen. Das Caching geeigneter Antworten auf der Edge reduziert die Anzahl der Anfragen, die den Origin einer Anwendung erreichen müssen. Origin Shield bietet einen zusätzlichen Caching-Layer, der doppelte Anfragen, welche die Backend-Infrastruktur erreichen, weiter reduzieren kann.

Diese Funktionen sind kein Ersatz für eine DDoS-Abwehr, können aber die Origin-Exposition verringern und die Fähigkeit einer Anwendung verbessern, Traffic-Spitzen standzuhalten.

Echtzeittransparenz

Fastly bietet Funktionen für Echtzeit-Logging und Observability, die Sicherheits- und Betriebsteams dabei helfen können, den Traffic und das App-Verhalten während einer Störung zu verstehen.

Schnelle Transparenz ist bei Layer-7-Angriffen besonders wertvoll, da Teams möglicherweise ermitteln müssen, welche Endpunkte ins Visier genommen werden und wie sich bösartige Anfragen von legitimem Traffic unterscheiden.

Wie kann Fastly dabei helfen, Anwendungen vor Layer-7-DDoS-Angriffen zu schützen?

DDoS-Schutz auf dem Anwendungs-Layer funktioniert am besten, wenn sich mehrere Kontrollen gegenseitig verstärken. Fastly vereint DDoS-Schutz, Next-Gen WAF, Bot-Management, Rate Limiting, CDN-Caching, Origin Shield und Echtzeittransparenz auf seiner Edge-Cloud-Plattform.

Dieser mehrschichtige Ansatz kann Unternehmen bei Folgendem helfen:

• Bösartigen Traffic auf der Edge zu erkennen und abzuwehren

• Angriffs-Traffic, der die Origin-Infrastruktur erreicht, zu reduzieren

• Websites und APIs vor Bedrohungen auf dem Anwendungs-Layer zu schützen

• Bösartige automatisierte Clients zu identifizieren und kontrollieren

• Rate Limiting auf sensible oder kostenintensive Endpoints anzuwenden

• Legitime Traffic-Spitzen effektiver abzufangen

• Origin-Anfragen durch Caching zu reduzieren

• Transparenz bei Sicherheitsstörungen aufrechtzuerhalten

Vor allem sollten Organisationen DDoS-Schutz auf dem Anwendungs-Layer nicht einfach als eine Frage des Abfangens des größtmöglichen Traffic-Volumens betrachten. Layer-7-Angriffe zielen auf das Verhalten und die Ressourcen von Anwendungen ab. Ein effektiver Schutz muss daher den App-Traffic gut genug verstehen, um bösartige Aktivitäten zu erkennen und gleichzeitig legitime Nutzer weiterhin zu bedienen.

Die Kombination aus Edge-basierter DDoS-Abwehr mit anwendungsspezifischer Sicherheit, Bot-Management, Caching und Echtzeittransparenz kann einen besseren Schutz vor Angriffen bieten, die darauf abzielen, moderne Webanwendungen und APIs unerreichbar zu machen.