Was ist ein DDoS-Angriff?

Bei einem Distributed-Denial-of-Service-Angriff (DDoS) wird ein Ziel – ein Server, eine Anwendung oder ein Netzwerk – gleichzeitig mit Datenverkehr aus vielen verteilten Quellen überflutet, wodurch Bandbreite, Verbindungen oder Rechenressourcen so stark beansprucht werden, dass legitimer Datenverkehr nicht mehr durchkommt. Bei den Quellen handelt es sich in der Regel um kompromittierte Geräte, die unter der Kontrolle des Angreifers stehen, wodurch sich die Datenflut weitaus schwerer abwehren lässt als ein Angriff aus einer einzigen Quelle.

Die wichtigsten Erkenntnisse

• Bei einem DDoS-Angriff wird ein Ziel aus vielen verteilten Quellen mit Daten überflutet, um den Dienst lahmzulegen.
• Die Angriffe reichen von volumetrischen Flood-Angriffen bis hin zum Missbrauch von Anfragen auf Anwendungsebene.
• Versa Der DoS-Schutz nutzt aggregierte und klassifizierte Profile, um Flood-Angriffe zu blockieren.
• Der DDoS-Schwellenwert-Alarm meldet Angriffe an Analytics, SNMP und Syslog.
• Das Dashboard zur Bedrohungserkennung von Concerto verfolgt DDoS-Angriffe in Echtzeit.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DDoS & Versa · Häufig gestellte Fragen

Warum sind DDoS-Angriffe von Bedeutung?

DDoS-Angriffe gehören zu den häufigsten und störendsten Angriffen auf mit dem Internet verbundene Infrastrukturen. Angreifer müssen die Abwehrmechanismen eines Ziels nicht durchbrechen – sie müssen lediglich mehr Datenverkehr senden, als das Ziel oder die davor liegenden Verbindungen und Firewalls bewältigen können. Zu den Techniken gehören Port-Scans, TCP- und ICMP-Floods, Host-Sweeps sowie Fluten kleiner Pakete, die auf eine oder mehrere Quellen verteilt sind. Dies macht eine Filterung allein anhand der Quelladresse unwirksam, sobald ein Angriff verteilt ist.

Für Unternehmen bedeutet dies einen Verlust an Verfügbarkeit: Ein erfolgreicher DDoS-Angriff legt einen öffentlich zugänglichen Dienst, die Internetverbindung einer Niederlassung oder ein gesamtes Rechenzentrum für die Dauer des Angriffs lahm, wobei die Auswirkungen auf Umsatz, Support und Reputation mit der Ausfallzeit zunehmen. Da SD-WAN-Niederlassungen häufig über einen direkten Internetzugang (DIA) verfügen, sind sowohl das LAN als auch die Internetverbindung einer ungeschützten Niederlassung Angriffen ausgesetzt, die von außerhalb des WAN stammen. Das automatische Erkennen und Abweisen von Angriffsverkehr, bevor dieser die Verbindung überlastet oder die Sitzungstabellen erschöpft, sorgt dafür, dass der tatsächliche Datenverkehr einer Niederlassung – Sprache, Anwendungen, Cloud-Zugang – während eines Angriffs nutzbar bleibt und nicht nur den Angriff übersteht.

Was ist ein DDoS-Angriff?

Ein Denial-of-Service-Angriff (DoS) überlastet ein Ziel aus einer einzigen Quelle; ein verteilter Denial-of-Service-Angriff (DDoS) tut dasselbe aus vielen Quellen gleichzeitig – oft aus Tausenden von kompromittierten Hosts (einem Botnetz), die auf ein einziges Opfer gerichtet sind. Gerade diese Verteilung macht es so schwer, DDoS-Angriffe zu stoppen: Das Blockieren einer einzigen Quelladresse nützt nichts, wenn die nächsten tausend weiterhin Daten senden.

Angriffsverkehr kann verschiedene Formen annehmen. Volumetrische Floods (TCP, UDP, ICMP) überlasten die verfügbare Bandbreite durch das reine Paketvolumen. Port-Scans und Host-Sweeps suchen nach offenen Diensten und erreichbaren Adressen, oft als Aufklärungsmaßnahme im Vorfeld eines größeren Angriffs. Floods aus vielen kleinen Paketen zielen eher auf den Verarbeitungsaufwand pro Paket bei Firewalls, Routern und Sitzungstabellen ab als auf die reine Bandbreite und erschöpfen so die Rechen- und Verbindungsverfolgungsressourcen, selbst wenn die Bandbreite selbst nicht der Engpass ist. In jedem Fall ist das Ziel dasselbe: eine endliche Ressource – Verbindungskapazität, CPU, Sitzungsslots – schneller zu verbrauchen, als das Ziel sie verarbeiten kann, sodass legitime Anfragen zusammen mit dem Angriffsverkehr verworfen werden.

Arten von DDoS-Angriffen

DDoS-Angriffe lassen sich im Allgemeinen in drei Kategorien einteilen, die häufig in einer einzigen Kampagne kombiniert werden. Volumetrische Angriffe – UDP-Floods, ICMP-Floods und Reflexions-/Verstärkungsangriffe, bei denen die Adresse des Opfers gefälscht wird, um überdimensionierte Antworten von Servern Dritter auszulösen – zielen darauf ab, die gesamte verfügbare Bandbreite einer Verbindung oder eines Leitungsabschnitts zu beanspruchen. Protokollangriffe (State-Exhaustion) – SYN-Floods, Floods mit fehlerhaften Paketen und Port-Scans – zielen weniger auf die Bandbreite als vielmehr auf die Kapazität zur Verbindungsverfolgung und -verarbeitung von Firewalls, Load Balancern und Sitzungstabellen ab, sodass auch eine Verbindung mit reichlich Reservekapazität ausfallen kann. Angriffe auf der Anwendungsebene senden Anfragen, die wie legitimer Datenverkehr aussehen – HTTP-Floods, wiederholte DNS- oder TLS-Handshake-Anfragen – in einer Rate, die darauf ausgelegt ist, eine bestimmte Anwendung oder einen bestimmten Dienst zu überlasten, wodurch sie ohne eingehendere Überprüfung schwerer von einem echten Datenverkehrsanstieg zu unterscheiden sind. Ein wirksamer DDoS-Schutz muss alle drei Ebenen abdecken, da ein Angreifer, der auf einer Ebene blockiert wird, häufig auf eine andere ausweicht.

DDoS & Versa

Versa Secure SD-WANDer DoS-Schutz ist Teil des Funktionsumfangs der Stateful Firewall (NGFW) und erfordert das entsprechende Abonnement. Der Schutz besteht aus zwei Komponenten: einem DoS-Profil, das Schwellenwerte für Flood-Angriffe definiert, und einer DoS-Richtlinienregel, die Datenverkehr anhand von Zone, Quelle, Ziel, IP-Header oder TCP/UDP-Dienst abgleicht und das Profil mit einer „Protect“-Aktion anwendet. Es gibt zwei Arten von Profilen: „Aggregate“, das Schwellenwerte über den gesamten passenden Datenverkehr hinweg überwacht und sich für Angriffe eignet, die über einen breiten Bereich von Quelladressen verteilt sind, sowie „Classified“, das Schwellenwerte pro Quell- und Ziel-IP-Paar verfolgt und sich für Angriffe eignet, die auf einen bestimmten Endpunkt abzielen oder auf wenige Quellen beschränkt sind. Eine typische Bereitstellung schützt das LAN einer Niederlassung oder eine DIA-Verbindung (Direct Internet Access) vor Flood-Angriffen aus dem Internet.

Wenn ein Gerät einen Angriff blockiert, wird die Sitzung mit dem Drop-Modul „ddos“ gekennzeichnet und ist auf der Registerkarte „Monitor“, über die CLI sowie in der „Versa -Analytics“ unter „Logs > Threat Detection > DDoS“ und „Dashboard > Security > Threats > DDoS“ sichtbar. Die Sicherheits-Dashboards von Concerto bieten unter „Internet Protection > Threat Detection > DDoS“ dieselbe mandantenbezogene Übersicht. Unabhängig davon wird der Gerätealarm „ddos-threshold“ bei den Schweregraden „Major“ oder „Critical“ ausgelöst – er wird automatisch zurückgesetzt, sobald der Datenverkehr wieder unter den Schwellenwert fällt – und standardmäßig an Analytics, SNMP und Syslog gesendet.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DoS und DDoS?

Ein DoS-Angriff geht von einer einzigen Quelle aus, sodass er durch das Blockieren dieser Quelle gestoppt werden kann. Ein DDoS-Angriff überflutet das Ziel gleichzeitig aus vielen Quellen – häufig aus einem Botnetz aus kompromittierten Geräten –, sodass eine einzelne Sperrung nicht ausreicht; zur Abwehr sind stattdessen schwellenwert- und verhaltensbasierte Erkennungsmechanismen erforderlich.

Was ist der Unterschied zwischen aggregierten und klassifizierten DoS-Profilen?

Ein „Aggregate“-Profil überwacht Schwellenwerte für den gesamten Datenverkehr, der einer DoS-Richtlinie entspricht, und eignet sich für Angriffe, die sich über viele Quell-IP-Adressen verteilen und auf ein Subnetz abzielen. Ein „Classified“-Profil verfolgt Schwellenwerte pro Quell- und Ziel-IP-Paar und eignet sich für Angriffe, die auf einen Endpunkt oder wenige Quellen abzielen.

Wie erkennt „ Versa “ einen aktiven DDoS-Angriff?

Blockierte Angriffssitzungen werden mit dem Drop-Modul „ddos“ gekennzeichnet und sind auf der Registerkarte „Monitor“ sowie über die CLI nahezu in Echtzeit einsehbar. „ Versa “ Analytics protokolliert die Details unter „Logs > Threat Detection > DDoS“, und sowohl Analytics als auch die Registerkarte „Threat Detection > DDoS“ in Concerto stellen die häufigsten Angriffe grafisch dar.

Löst sich ein DDoS-Alarm von selbst auf?

Ja. Der Alarm des ddos-threshold-Geräts wird automatisch zurückgesetzt: Er wird ausgelöst, wenn der aggregierte oder klassifizierte Datenverkehr den konfigurierten Schwellenwert überschreitet, und wird von selbst zurückgesetzt, sobald der Datenverkehr wieder unter diesen Schwellenwert fällt – im Gegensatz zu Ereignisalarmen wie beispielsweise bei einer Konfigurationsänderung ist keine manuelle Bestätigung erforderlich.

Lassen sich DDoS-Angriffe vollständig verhindern?

Nicht ganz – verteilter, gefälschter oder reflektierter Datenverkehr lässt sich nicht immer blockieren, bevor er den Netzwerkrand erreicht. Das realistische Ziel ist die Abwehr: schwellenwertbasierte Profile und protokollorientierte Filterung, die Angriffsverkehr schnell genug erkennen und zurückweisen, um den legitimen Datenverkehr aufrechtzuerhalten.

Mehr zum Thema DDoS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über DDoS informieren, sollten Sie sich als Nächstes diese Artikel ansehen.