Distributed-Denial-of-Service-Angriff (DDoS)

Funktionsweise von DDoS-Angriffen

Ein DDoS-Angriff beginnt mit einem Botnetz. Ein Botnetz ist ein Netzwerk von Computern, die mit bösartiger Software infiziert wurden, die für DDoS-Angriffe und andere finstere Zwecke entwickelt wurde. Nutzer können durch Nutzung bekannter Exploits in Software und Betriebssystemen dazu verleitet werden, die infizierte Software über Phishing-E-Mails, infizierte Webseiten und sogar soziale Netzwerke herunterzuladen.

Sobald diese Computer infiziert sind, kann das Botnet-"Wrangler" alle diese Computer ohne Wissen des Benutzers aus der Ferne von einer Anwendung aus steuern. Sobald das Botnet groß genug ist, kann das Netzwerk verwendet werden, um einen Angriff gegen jedes Ziel zu starten.

Sobald ein Botnet bereit ist, kann der Angreifer einen Startbefehl senden, der dazu führt, dass jeder Computer im Botnet eine Flut von Anfragen an das beabsichtigte Ziel sendet. Wenn der Angriff die Abwehrmaßnahmen überwindet, kann er die meisten Systeme schnell überlasten und zu Dienstausfällen und möglicherweise zum Absturz von Servern führen.

Viele Angreifer, die Botnets erstellt haben, bieten ihre Dienste zu einem Preis auf Online- und Darknet-Marktplätzen an, so dass potenziell jeder die Möglichkeit hat, einen DDoS-Angriff zu starten.

Arten von DDoS-Angriffen

DDoS-Angriffe gibt es in vielen Formen, je nachdem, was ein Angreifer zu tun versucht. Drei Hauptkategorien sind volumenbasierte Angriffe, Protokollangriffe und Angriffe auf Anwendungsebene.

Volume-basierter Angriff

This type of attack attempts to use all the available bandwidth between the target and the internet. One way this is done is through amplification, which involves flooding a DNS server with a spoofed IP address (the IP address of the target), which triggers much larger DNS responses to the target. SNMP and NTP protocols are also used in volume-based attacks. Eventually, the responses the target is receiving will clog the network and block incoming traffic.

Protokoll-Angriff

Protokollangriffe stören einen Dienst, indem sie die Ressourcen von Netzwerkgeräten wie Lastverteilungen und Firewalls erschöpfen. Diese Angriffe richten sich gegen die Netzwerk- und Datenlinkschichten des Protokollstacks. Eine Art von Protokollangriff wird als SYN-Flood bezeichnet. Diese Art von Angriff nutzt den TCP-Handshake, um ein Netzwerk zu überfluten. Das Botnetz sendet dem Ziel eine riesige Menge an TCP-Initialverbindungsanfragen-SYN-Paketen mit gefälschten IP-Adressen. Die Ressourcen der Zielmaschine werden erschöpft, während sie auf den letzten Schritt all dieser Anfragen wartet, die niemals stattfinden werden.

Angriff auf Anwendungsebene

Diese Art von DDoS-Angriff zielt auf Anwendungen ab, die in Ihrem Netzwerk ausgeführt werden, insbesondere auf Webanwendungen, die auf HTTP-Anfragen reagieren. HTTP-Anforderungen sind für einen Client einfach, können jedoch viele Ressourcen vom Server erfordern, um die Antwort zu generieren. Eine Anforderung kann die Ausführung von Code, mehrere Bildanforderungen und Datenbankabfragen umfassen. Ein Botnet, das einen Angriff auf Anwendungsebene verwendet, kann einen Server zum Absturz bringen, indem es einfach von jedem seiner Knoten gleichzeitig auf dieselbe Webseite zugreift.

Symptome eines DDoS-Angriffs

Ein Symptom für einen DDoS-Angriff ist eine Website oder ein Dienst, der offensichtlich und plötzlich langsam geworden ist oder nicht mehr reagiert, aber nicht jede langsame Website wird angegriffen. Datenverkehrsspitzen und legitime Serverprobleme können die gleiche Art von Nichtreaktion verursachen.

Um festzustellen, ob Sie einem DDoS-Angriff ausgesetzt sind, müssen Sie mit Traffic-Analysetools weiter untersuchen, um festzustellen, welche Art von Traffic Sie erhalten, woher er kommt und wohin er geht. Einige Anzeichen für einen DDoS-Angriff sind:

• Ungewöhnliche Mengen an Datenverkehr, die von einer einzelnen IP-Adresse oder einem Adressbereich stammen
• Gelegentliche Traffic-Spitzen, die zu ungewöhnlichen Tageszeiten, für eine begrenzte Zeit oder nach einem bestimmten Muster auftreten
• Eine plötzliche Flut von Traffic auf eine einzelne Webseite oder einen einzelnen Dienst
• Eine Flut von Datenverkehr von Benutzern, die über ein ähnliches Profil verfügen, z. B. Geolocation, Browserversion oder Gerätetyp

Verhindern von DDoS-Angriffen

Ein Netzwerk vor einem DDoS-Angriff zu schützen, ist keine besonders einfache Aufgabe. Es ist nicht wie Malware oder Viren, die man von infizierten Systemen entfernen kann. DDoS-Angriffe kommen von außerhalb des Netzwerks und können wie normaler Datenverkehr wirken, bis man sich die Details genauer ansieht. Es ist wichtig, schnell zu handeln, sobald ein DDoS-Angriff erkannt wird, da solche Angriffe eine Website oder einen Dienst innerhalb von Minuten lahmlegen können.

Sichern Sie Ihren Router

Ihr Router ist das Gateway in und aus Ihrem Netzwerk. Wenn die Bots in einem Botnet es nicht durch den Router schaffen, können sie keine Dienste auf dem Router beeinflussen. Es ist Ihre erste Verteidigungslinie und sollte so konfiguriert werden, dass der Datenverkehr nach Priorität gefiltert und alle bedrohlichen Daten oder Datenverkehr blockiert werden.

Sichere IoT-Geräte

Viele Menschen, die ihre Laptops und Telefone sichern, denken nicht zweimal darüber nach, das Standardpasswort auf ihren IoT-Geräten zu belassen. Viele IoT-Geräte laufen mit vollständigen Linux-Betriebssystemen, die mit Malware angegriffen werden können und wurden, die sie zu einem Bot in einem Botnet macht. Aus diesem Grund sind sie ein beliebtes Ziel. Wenn Sie Ihre IoT-Geräte mit einem sicheren Passwort sichern, verhindern Sie, dass sie zu einem weiteren Bot in einem Botnet werden.

Verwenden von maschinellem Lernen

Die Erkennung eines DDoS-Angriffs umfasst eine Analyse des Datenverkehrs. Es ist möglich, dies manuell zu tun, aber die Technologie des maschinellen Lernens kann bösartigen Datenverkehr schnell erkennen. Der Datenverkehr kann in Echtzeit auf bekannte DDoS-Muster und Anomalien analysiert werden, und jeder verdächtige Datenverkehr kann blockiert werden, bevor er die Möglichkeit hat, einen Dienst oder eine Website zu verlangsamen.

Fazit

Ein Distributed-Denial-of-Service- oder DDoS-Angriff ist ein Versuch, den Zugriff auf eine Website oder einen Dienst zu blockieren, indem er mit Anfragen überflutet wird, um das System zu überlasten. Angreifer erreichen dies, indem sie eine Armee von Computern mit Malware infizieren, mit der sie jede beliebige Website oder jeden beliebigen Dienst ins Visier nehmen können. Die Fehlerbehebung und Verhinderung von DDoS-Angriffen ist nicht einfach und erfordert die Analyse des Datenverkehrs auf Anomalien, aber mit den richtigen Tools können DDoS-Angriffe marginalisiert oder verhindert werden.