Was ist Schutz vor Denial-of-Service (DoS)?

Was ist Schutz vor Denial-of-Service (DoS)?

DoS-Schutz ist die Summe der Maßnahmen, die einen Dienst erreichbar halten, während jemand versucht, dessen Bandbreite, Verbindungen oder Rechenleistung zu erschöpfen. Er kombiniert Filter am Netzwerkrand, Ratenlimits, Caching, gehärtete Servereinstellungen und einen Notfallplan. Das Ziel ist nicht, den Versuch zu verhindern, was unmöglich ist, sondern echte Nutzer währenddessen weiter zu bedienen.

Wie ein DoS-Angriff funktioniert

Ein Denial-of-Service-Angriff überflutet ein Ziel mit Traffic oder Anfragen, sodass legitime Nutzer nicht mehr durchkommen. Die US-Behörde CISA beschreibt ihn als Zustand, in dem legitime Nutzer nicht auf Informationssysteme, Geräte oder andere Netzwerkressourcen zugreifen können. Kommt der Angriff aus einer Quelle, spricht man von DoS; greifen viele Rechner gemeinsam an, oft ein Botnetz aus gekaperten Geräten, ist es ein verteilter Denial-of-Service-Angriff (DDoS). Die verteilte Form ist stärker und schwerer zu ihrer Quelle zurückzuverfolgen.

Drei Stellen, an denen ein Angriff ansetzt

• Bandbreite. Volumetrische Fluten, etwa eine UDP-Flut, füllen die Netzwerkleitung, sodass nichts anderes durchkommt.
• Verbindungszustand. Eine SYN-Flut öffnet halbfertige TCP-Verbindungen, bis der Server für echte keinen Platz mehr hat. RFC 4987 listet die Gegenmaßnahmen auf, darunter SYN-Cookies, und was jede kostet.
• Anwendungslast. Anfragen, die normal aussehen, aber teuer sind, etwa Suche oder Login, können CPU oder Datenbank mit wenig Bandbreite erschöpfen. Siehe DDoS-Angriffe auf Anwendungsebene.

Wie DoS-Schutz geschichtet aufgebaut ist

• Edge-Netzwerk oder Scrubbing-Dienst. Ein CDN oder DoS-Schutzdienst erkennt ungewöhnlichen Traffic und filtert ihn, bevor er Ihren Origin erreicht. Das ist die erste Empfehlung der CISA.
• Firewall und Ratenlimits. Verwerfen Sie Traffic, den Sie nie erwarten, und begrenzen Sie Anfragen pro Client, bei teuren Endpunkten strenger. Leiten Sie die Werte aus gemessener Nutzung ab, denn viele Nutzer können sich eine IP-Adresse teilen.
• Caching. Jede Antwort, die der Edge ausliefert, ist Arbeit, die der Origin nicht leisten muss.
• Kleinere Angriffsfläche. Halten Sie die Origin-Adresse privat, schließen Sie ungenutzte Ports und patchen Sie Systeme.
• Reservekapazität und Alarme. Autoscaling verschafft Zeit, skaliert aber auch Ihre Rechnung. Kombinieren Sie es mit Alarmen und Kostenobergrenzen.
• Ein Notfallplan. Legen Sie fest, wer einen Angriff bestätigt, wer Anbieter oder Provider anruft und wer die Kunden informiert. Die CISA warnt außerdem, dass ein Angriff als Ablenkung dienen kann, während im Netzwerk etwas anderes passiert.

Den ganzen Leitfaden finden Sie unter DDoS-Angriffe stoppen.

Beispiel: ein Login-Endpunkt unter Druck

Die Login-Seite eines SaaS-Produkts läuft in Timeouts. Die Bandbreite ist normal, aber die Datenbank ist voll ausgelastet, und die Logs zeigen tausende Login-Versuche pro Minute von vielen Adressen. Die Lösung ist mehrschichtig: ein Ratenlimit auf dem Login-Pfad, eine Prüfung für Clients, die es überschreiten, gecachte statische Seiten, die fast nichts kosten, und ein Alarm auf die Anfragerate pro Pfad, damit der nächste Schub in Minuten auffällt und nicht erst durch Kundenbeschwerden.

Häufige Fehler

• Nur den Origin schützen. Ein Server oder eine Leitung lässt sich sättigen, deshalb muss der Edge zuerst kommen.
• Keine Traffic-Basislinie. Ohne normale Anfrageraten erkennen Sie einen Angriff nicht von einer Aktion oder einem viralen Beitrag. RFC 4732 weist darauf hin, dass Flash Crowds Angriffen gleichen können.
• Limits, die echte Nutzer aussperren. Zu aggressive Sperren oder Sperrlisten können den Ausfall selbst verursachen.
• Hilfe erst mitten im Angriff organisieren. Einen Anbieter während eines Vorfalls anzubinden dauert. Halten Sie Verträge, DNS-Zugang und Kontakte bereit.
• Es als reines Netzwerkproblem sehen. Anfragen, die wie normale Nutzer aussehen, passieren Filter auf Netzwerkebene ungehindert.

DoS-Schutz, Lasttests und Monitoring

LoadFocus ist kein DoS-Schutz- oder Sicherheitsprodukt und simuliert keine Angriffe. Es zeigt aber, wie viel legitimen Traffic Ihr eigenes System verkraftet, bevor es langsamer wird oder ausfällt. Lasttests senden HTTP-Anfragen von Cloud-Regionen an Ihre eigene Website oder API. So sehen Sie, wo die Latenz steigt, ob Ihre Ratenlimits wie vorgesehen mit 429 antworten und ob das Autoscaling rechtzeitig reagiert. Beginnen Sie mit Load Testing vs. Stress Testing und Ursachen von API-Rate-Limiting (beide auf Englisch).

Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine schriftliche Erlaubnis haben, und informieren Sie Ihr CDN oder Ihren Cloud-Anbieter vor jedem Lauf mit hohem Volumen. Danach ist API-Monitoring mit Alarmen auf Fehler und Antwortzeit oft das erste Signal von außen, dass etwas nicht stimmt; kostenlose Checks laufen alle 5 Minuten.

Häufige Fragen zum DoS-Schutz

Was ist der Unterschied zwischen DoS- und DDoS-Schutz?

Die Abwehr überschneidet sich. Ein DoS aus einer Quelle lässt sich oft mit einer Firewall-Regel oder einem Ratenlimit stoppen, ein DDoS kommt aus tausenden Quellen und braucht ein Edge-Netzwerk oder einen Scrubbing-Dienst mit mehr Kapazität als der Angriff.

Kann ich DoS-Angriffe vollständig verhindern?

Nein. Laut CISA lässt sich nicht vollständig vermeiden, zum Ziel zu werden. Sie verringern die Auswirkungen und erholen sich schneller.

Woran erkenne ich einen DoS-Angriff?

Typische Anzeichen sind eine langsame oder nicht erreichbare Website, ein Anstieg bei Anfragen oder Fehlern und Traffic aus ungewöhnlichen Quellen. Das kann auch an einem technischen Fehler oder einem legitimen Ansturm liegen. Prüfen Sie daher die Traffic-Logs und fragen Sie Ihr Netzwerkteam oder Ihren Provider.

Schützt ein CDN vor DoS-Angriffen?

Es fängt viel volumetrischen Traffic und Anfragen nach gecachten Inhalten am Edge ab. Fluten auf Anwendungsebene brauchen zusätzlich Firewall-Regeln und auf Ihren Traffic abgestimmte Ratenlimits.

Kann ein Lasttest DoS-Schutz ersetzen?

Nein. Ein Lasttest zeigt, wie sich Ihr eigenes System unter hohem legitimem Traffic verhält. Er stoppt keine Angriffe und ersetzt keinen Schutz am Edge.