Was ist DoS?

Ein Denial-of-Service-Angriff (DoS) ist ein Angriff, bei dem versucht wird, Netzwerkdienste zu stören und legitimen Benutzern den Zugriff zu verwehren, indem das Ziel mit unnötigem Datenverkehr aus einer oder mehreren Quellen überlastet wird, wodurch dessen Hardware- und Software-Ressourcen so weit erschöpft werden, dass es nicht mehr reagieren kann.

Die wichtigsten Erkenntnisse

• Bei einem DoS-Angriff wird ein Ziel mit Datenverkehr überflutet, bis dessen Ressourcen erschöpft sind.
• Die Angriffe zielen auf die Bandbreite, den Verbindungsstatus oder die Anwendungsverarbeitung ab.
• Bei DDoS-Angriffen wird dieselbe Datenflut gleichzeitig aus vielen verteilten Quellen ausgelöst.
• Versa DoS-Richtlinien filtern den Datenverkehr nach Zone, Adresse, Protokoll und Zeit.
• In Profilen werden Schwellenwerte für die Anzahl der Pakete pro Sekunde festgelegt sowie Maßnahmen wie das Verwerfen von Paketen, das Auslösen von Warnmeldungen oder die Begrenzung der Übertragungsrate.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · DoS & Versa · Häufig gestellte Fragen

Warum ist DoS wichtig?

Ein einziger erfolgreicher DoS-Angriff kann eine kundenorientierte Anwendung, ein VPN-Gateway oder eine gesamte Zweigstelle so lange offline nehmen, wie die Datenflut anhält, und jede Minute Ausfallzeit führt direkt zu Umsatzverlusten, entgangenen Transaktionen und Support-Tickets. Da das Ziel eher die Überlastung als der Datendiebstahl ist, erfordert ein DoS-Angriff weder das Umgehen einer Firewall noch das Stehlen von Anmeldedaten – es reicht aus, mehr Datenverkehr, Sitzungen oder fehlerhafte Pakete zu senden, als das Ziel verarbeiten kann. Dadurch ist jeder mit dem Internet verbundene Dienst gefährdet, unabhängig davon, wie gut seine Zugriffskontrollen konfiguriert sind.

Die Bedrohung ist zudem kostengünstiger und einfacher durchzuführen geworden. Mit mietbaren Botnetzen und Reflexionstechniken kann ein Angreifer Datenverkehrsmengen erzeugen, die das Volumen einer einzelnen Quelle bei weitem übersteigen, während Flood-Angriffe auf Anwendungsebene einen Server bereits mit einer vergleichsweise geringen Anzahl gut konstruierter Anfragen überlasten können. Für Netzwerk- und Sicherheitsteams ist der DoS-Schutz eine grundlegende Kontrollmaßnahme und kein optionales Zusatzmodul: Er muss inline eingesetzt werden, Angriffsverkehr von legitimen Spitzenauslastungen unterscheiden und automatisch reagieren, da eine von Menschen gesteuerte Reaktion zu langsam ist, sobald eine Flut bereits im Gange ist.

Was ist DoS?

Jede DoS-Technik zielt auf dasselbe Ergebnis ab – die Erschöpfung einer Ressource, die das Ziel benötigt, um legitime Nutzer weiterhin bedienen zu können –, erreicht dieses jedoch auf unterschiedliche Weise. Einige Flood-Angriffe zielen auf die reine Bandbreite ab und überlasten eine Verbindung so stark, dass nichts anderes mehr durchkommt. Andere zielen auf die Sitzungstabelle oder die CPU eines Geräts ab: Sie eröffnen eine große Anzahl von TCP-Sitzungen, ohne diese jemals abzuschließen, scannen Ports, durchforsten die Hosts eines Subnetzes oder senden fehlerhafte oder übergroße Pakete, die darauf ausgelegt sind, mehr Rechenleistung zu verbrauchen, als sie sollten. Ein Gerät mit begrenzten Ressourcen – eine kleine Zweigstellen-Firewall, ein IoT-Gateway – kann durch Datenverkehrsmengen offline geschaltet werden, die ein Gerät in einem Rechenzentrum unbemerkt absorbieren würde. Deshalb muss der Schutz auf das Maß abgestimmt werden, das das jeweilige Gerät oder die jeweilige Verbindung tatsächlich bewältigen kann.

Um einen laufenden Angriff zu erkennen, muss der Live-Datenverkehr mit den erwarteten Referenzwerten verglichen werden – pro Protokoll und oft auch pro Quell- oder Zieladresse –, sodass ein Datenansturm, der für einen kleinen Server wie eine Flut aussieht, für einen großen Server nicht unbedingt so aussehen muss. Sobald ein Raten-Schwellenwert überschritten wird, erfolgt die Reaktion in der Regel automatisch: eine Warnmeldung, eine Ratenbegrenzung des betreffenden Datenflusses oder das direkte Verwerfen von Paketen – denn bis eine Person benachrichtigt wird, könnte die angegriffene Ressource bereits erschöpft sein.

Arten von DoS-Angriffen

DoS-Angriffe werden üblicherweise danach gruppiert, auf welche Schicht des Protokollstacks sie abzielen. Volumetrische Angriffe – Datenfluten und Reflexions-/Verstärkungstechniken, die Protokolle wie DNS oder NTP missbrauchen, um den Datenverkehr des Angreifers zu vervielfachen – überlasten die verfügbare Bandbreite, sodass keine Kapazität mehr für legitime Verbindungen verbleibt. Protokollangriffe nutzen die Art und Weise aus, wie Protokolle der Netzwerk- und Transportschicht Zustände zuweisen; eine TCP-SYN-Flut öffnet eine große Anzahl halboffener Verbindungen, um die Verbindungstabelle eines Ziels zu erschöpfen, ohne einen einzigen Handshake abzuschließen. Angriffe auf der Anwendungsebene senden ein vergleichsweise geringes Volumen an legitim erscheinenden Anfragen – eine HTTP-GET-Flut oder eine absichtlich verlangsamte Anfrage –, deren Versand kostengünstig ist, deren Verarbeitung für die Anwendung jedoch aufwendig ist, wodurch sie schwerer von einem echten Datenverkehrsanstieg zu unterscheiden sind.

Jeder dieser Angriffe kann von einer einzigen Quelle (einem DoS-Angriff) oder von vielen verteilten Quellen gleichzeitig ausgehen, typischerweise von einem Botnetz – einem Distributed-Denial-of-Service-Angriff (DDoS). Die Verteilung ist mittlerweile die Norm: Sie vervielfacht das verfügbare Angriffsvolumen und macht eine blockierung nach Quelle weitaus weniger effektiv, da es keine einzelne Adresse gibt, die gefiltert werden könnte.

DoS & Versa

Versa integriert den DoS-Schutz direkt in VOS als Paar aus Richtlinie und Profil. Ein DoS-Schutzprofil legt protokollspezifische Schwellenwerte fest – für ICMP, ICMPv6, TCP, UDP, SCTP und anderen IP-Datenverkehr – in Form einer Alarmrate, einer aktiven (Antwort-)Rate und einer maximalen Rate, jeweils in Paketen pro Sekunde, sowie die Maßnahme, die ergriffen wird, sobald die aktive Rate überschritten wird: „Random Early Drops“ oder TCP-SYN-Cookies. Profile gibt es in zwei Formen: Ein aggregiertes Profil wendet einen gemeinsamen Schwellenwert auf den gesamten passenden Datenverkehr an und eignet sich für subnetzweite Flood-Angriffe von vielen Quell-IPs; ein klassifiziertes Profil verfolgt Schwellenwerte pro Quell-IP, pro Ziel-IP oder beides und eignet sich für Angriffe, die auf einen bestimmten Endpunkt abzielen. Eine DoS-Richtlinie gleicht eingehenden Datenverkehr anhand von Quell- und Zielzone, Adresse, IP-Header-Feldern, TCP/UDP-Dienst und Tageszeit ab und wendet dann auf alle Übereinstimmungen die profilgesteuerten Abwehrmaßnahmen „Zulassen“, „Ablehnen“ oder „Schützen“ an.

Die Konfiguration erfolgt unter „Services > Next-Gen Firewall (oder Stateful Firewall) > DoS“ in „ Versa Director“ sowie unter „Security > Denial of Service (DoS)-Richtlinie“ für Cloud-Firewall-Bereitstellungen, die über Concerto verwaltet werden. Hierfür ist eine Lizenz für sichere Anwendungsoptimierung oder erweiterte Sicherheit erforderlich. Der erkannte Datenverkehr und Schwellenwertüberschreitungen werden in „ Versa Analytics“ protokolliert, wo ein spezielles DoS-Dashboard einen detaillierten Einblick in die größten Bedrohungen bietet. Die vollständige Konfigurationsanleitung finden Sie unter „DoS-Schutz konfigurieren“, „DoS-Schutz (NGFW) konfigurieren“ und „Sicherheit konfigurieren “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen DoS und DDoS?

Ein DoS-Angriff geht von einer einzigen Quelle aus; ein Distributed-Denial-of-Service-Angriff (DDoS) überflutet ein Ziel gleichzeitig aus vielen Quellen, in der Regel aus einem Botnetz. DDoS-Angriffe lassen sich schwerer abwehren, da es keine einzelne Adresse gibt, die gefiltert werden könnte, und sie erzeugen ein weitaus größeres Angriffsvolumen als ein einzelner Rechner.

Was ist der Unterschied zwischen einem DoS-Angriff und einer Datenpanne?

Ein DoS-Angriff zielt auf die Verfügbarkeit ab – er legt einen Dienst lahm – und nicht auf die Vertraulichkeit oder Integrität der Daten, die bei einer Sicherheitsverletzung gefährdet sind. Beides schließt sich jedoch nicht gegenseitig aus: Manche Angreifer nutzen eine DoS-Flut als Ablenkungsmanöver, während an anderer Stelle ein separater Einbruch stattfindet.

Kann eine Firewall einen DoS-Angriff allein abwehren?

Eine Standard-Firewall filtert nach Regeln – Port, Adresse, Anwendung –, begrenzt jedoch selbst keine Datenfluten; bei hohem Datenverkehr kann ihre Sitzungstabelle bereits erschöpft sein, bevor die Regeln überhaupt zur Anwendung kommen. Speziell entwickelte DoS-Profile ergänzen die Ratenbegrenzungen und Klassifizierungen, die einer Firewall allein fehlen.

Was ist eine SYN-Flood?

Ein SYN-Flood ist ein DoS-Angriff auf Protokollebene, bei dem eine große Anzahl von TCP-Verbindungen geöffnet wird, ohne dass der Handshake jemals abgeschlossen wird. Dadurch wird die Verbindungstabelle des Ziels mit halboffenen Sitzungen überfüllt, bis es keine legitimen Verbindungen mehr annehmen kann. SYN-Cookies sind die Standardmaßnahme zur Abwehr solcher Angriffe.

Beeinträchtigt der DoS-Schutz den legitimen Datenverkehr?

Ein gut abgestimmter DoS-Schutz sollte dies nicht tun, da die Profile Schwellenwerte festlegen, die über den normalen Datenverkehrsmustern liegen, und erst dann greifen, wenn eine bestimmte Rate überschritten wird. Da dies ressourcenintensiv ist, empfiehlt es sich, den Schutz selektiv zu aktivieren – nämlich auf kritischen Systemen und in den Subnetzen, die ihn tatsächlich benötigen, und nicht standardmäßig überall.

Mehr zum Thema DoS

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit DoS beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.