Was ist Distributed Denial of Service (DDoS)?

Was ist ein Distributed-Denial-of-Service-Angriff (DDoS)?

Ein Distributed-Denial-of-Service-Angriff (DDoS) versucht, eine Website, einen Server oder ein Netzwerk unerreichbar zu machen, indem er sie von vielen Rechnern gleichzeitig mit Datenverkehr überflutet. Laut CISA sind die Quellen meist ein Botnetz, eine Gruppe gekaperter, ans Internet angeschlossener Geräte, deren Besitzer oft nicht wissen, dass sie infiziert sind. Weil der Verkehr von vielen Stellen kommt, stoppt das Sperren einer einzelnen Adresse den Angriff nicht, und er ist schwerer zurückzuverfolgen als ein einfacher Denial-of-Service-Angriff (DoS) aus einer Quelle.

So funktioniert ein DDoS-Angriff

Der Angreifer steuert ein Botnetz und weist jedes Gerät an, Anfragen an dasselbe Ziel zu senden. Dem Ziel gehen Bandbreite, Verbindungsplätze oder Rechenleistung aus, es wird langsam, und legitime Nutzer sehen Fehler oder Zeitüberschreitungen. Botnetze lassen sich auch mieten, sodass für einen Angriff kein technisches Können nötig ist. Das ist einer der Gründe, warum solche Angriffe häufig bleiben.

Die wichtigsten DDoS-Arten

Angriffe werden meist danach gruppiert, welche Ebene sie überlasten. Jede Art hat einen eigenen Eintrag:

• Volumetrische Angriffe füllen die Netzwerkleitung selbst. Beispiele: UDP-Flood, DNS-Amplification und Memcached-Reflexion, bei denen eine kleine gefälschte Anfrage einen Server dazu bringt, dem Opfer eine viel größere Antwort zu schicken.
• Protokollangriffe erschöpfen den Verbindungszustand in Servern und Netzwerkgeräten, etwa ein SYN-Flood, der Verbindungsanfragen unvollendet lässt.
• Angriffe auf der Anwendungsebene sehen wie normale Anfragen aus, zielen aber auf aufwendige Arbeit: DDoS auf Anwendungsebene allgemein und der HTTP-Flood im Besonderen.
• Angriffe auf DNS zielen auf die Namensauflösung, sodass Nutzer Ihre Website gar nicht erst finden: siehe DNS-DDoS.
• Erpressung verbindet einen Angriff oder die Drohung damit mit einer Geldforderung: siehe Ransom-DDoS.

Anzeichen eines Angriffs

CISA nennt ungewöhnlich langsame Netzwerkleistung, eine bestimmte nicht erreichbare Website oder dass keine Websites erreichbar sind. Diese Symptome können auch von Wartung oder gewöhnlichen Störungen kommen, deshalb bestätigt man einen Angriff über die Überwachung des Datenverkehrs: Achten Sie auf einen plötzlichen Anstieg der Anfragen, konzentriert auf eine URL oder aus wenigen Netzen, ohne passenden geschäftlichen Grund wie eine Kampagne.

Abwehr

CISA empfiehlt einen DoS-Schutzdienst, der schädlichen Verkehr filtert, einen Notfallplan für Kommunikation, Abwehr und Wiederherstellung, eine Firewall zur Einschränkung des Verkehrs, sichere Einstellungen und Überwachung mit Alarmen bei ungewöhnlicher Last. Die praktischen Schritte stehen in DDoS-Angriffe stoppen, DoS-Schutz und der Übersicht zu DDoS-Angriffen.

Wo Lasttests und Monitoring ins Bild passen

Ein Lasttest ist keine DDoS-Abwehr, und LoadFocus simuliert keine DDoS-Angriffe. Er zeigt Ihnen die Kapazitätsgrenze bei normalem Verkehr: wo die Antwortzeiten steigen und Fehler beginnen, also wie viel Reserve Sie vor jedem Ansturm haben, feindlich oder nicht. Mit einem Cloud-Lasttest finden Sie sie, und unter Spike-Tests geht es um plötzliche Lastspitzen. Testen Sie nur Systeme, die Ihnen gehören oder für die Sie ausdrücklich eine Erlaubnis haben. Richten Sie niemals Verkehr auf den Dienst eines anderen.

Häufige Fragen: DDoS-Angriffe

Was ist der Unterschied zwischen DoS und DDoS?

Ein DoS-Angriff kommt aus einer Quelle. Ein DDoS-Angriff kommt aus vielen Quellen gleichzeitig, meist einem Botnetz, ist also größer, und das Sperren einer Adresse stoppt ihn nicht.

Warum nutzen Angreifer ein Botnetz?

Ein Botnetz vervielfacht die Verkehrsmenge und verschleiert die wahre Quelle, weil die Anfragen von Tausenden unauffälligen Geräten kommen.

Kann ein DDoS-Angriff meine Daten stehlen?

Das Ziel eines DDoS-Angriffs ist, einen Dienst unerreichbar zu machen, nicht Daten zu entwenden. Er kann aber als Ablenkung dienen, während etwas anderes geschieht, prüfen Sie daher bei einem Vorfall Ihre Protokolle.

Darf ich meine Website gegen einen DDoS-Angriff testen?

Erzeugen Sie keinen Angriffsverkehr selbst. Nutzen Sie einen Schutzanbieter mit autorisierten, kontrollierten Übungen und gewöhnliche Lasttests mit Erlaubnis, um Ihre Kapazität zu kennen.