DDoS-Angriffe

Sicherlich hast du schon einmal davon gehört, dass eine Webseite oder ein IT-System durch einen Hackerangriff lahmgelegt wurde. Eine Möglichkeit, wie dieser Angriff durchgeführt werden kann, ist durch einen DDoS-Angriff.

Aber was genau sind DDoS-Angriffe und wie funktionieren sie? Welche Methoden gibt es, um sich vor diesen Angriffen zu schützen?

simpleclub gibt dir einen Überblick über das Konzept und die Auswirkungen von DDoS-Angriffen.

DDoS-Angriffe einfach erklärt

Ein DDoS-Angriff (Distributed Denial of Service) ist eine Art von Cyberangriff, bei dem eine große Anzahl von Anfragen an ein bestimmtes Zielsystem gesendet werden. Das Ziel besteht darin, die Verfügbarkeit und die Leistung des Systems zu beeinträchtigen.

Dies geschieht durch die Nutzung von mehreren Computern, die synchronisiert werden, um übermäßig viele Anfragen an das Zielsystem zu senden, und es somit zu überlasten. Wenn die Anfragen nur von einer einzelnen Quelle stammen, dann sprich man nur von einem DoS-Angriff (Denial of Service).

Ein Beispiel für einen DDoS-Angriff könnte sein, dass ein Angreifer versucht, die Verfügbarkeit einer Online-Handelsplattform zu beeinträchtigen. Hierfür sendet er eine extrem hohe Anzahl von Anfragen an den Webserver der Plattform und überlastet ihn.

\rarr$\rarr$ Dadurch kann die Plattform für die Nutzer nicht mehr erreichbar sein und somit können keine Transaktionen durchgeführt werden.

DDoS-Angriff Definition

DDoS-Angriffe Erklärung

Botnetze

Botnetze spielen eine wichtige Rolle bei DDoS-Angriffen (Distributed Denial of Service). Ein Botnetz besteht aus einer Vielzahl von infizierten Computern, die von einem Angreifer gesteuert werden können, um verschiedene Aktivitäten auszuführen. Eine dieser Aktivitäten ist das Generieren von einer großen Anzahl von Anfragen an ein bestimmtes Zielsystem, um die Verfügbarkeit und Leistung des Systems zu beeinträchtigen.

Botnetze werden in der Regel durch Backdoor-Programme erstellt, die auf die Computersysteme eingeschleust werden. Diese Programme ermöglichen es Angreifern, die Kontrolle über die infizierten Systeme zu übernehmen, und sie zur Teilnahme an Angriffen zu verwenden. Sobald ein Computer infiziert ist, kann er dazu verwendet werden, weitere Systeme im Netzwerk zu infizieren, wodurch das Botnetz wächst, und die Angriffsstärke zunimmt.

Je mehr infizierte Geräte ein Botnetz umfasst, desto höher ist die Wahrscheinlichkeit, dass es in der Lage ist, auch gut geschützte Systeme anzugreifen. Ein großes Botnetz ermöglicht es Angreifern, eine sehr hohe Anzahl von Anfragen zu generieren, die zu einer Flut von Anfragen an das Ziel führt und es schwierig macht, die Angriffe abzuwehren. Dies macht DDoS-Angriffe, die mit Botnetzen durchgeführt werden, besonders gefährlich und schwer zu verhindern.

Arten von DDoS-Angriffen

Angreifer nutzen für DDoS-Angriffe oft verschiedene Techniken, um ihre Ziele zu erreichen. Die drei am häufigsten verwendeten Angriffstypen sind v**olumenbasierte Angriffe, Protokollangriffe** und Anwendungsangriffe.

Volumenbasierte Angriffe

Volumenbasierte Angriffe, auch bekannt als Flooding-Angriffe, sind eine Art von DDoS-Angriff, bei denen eine große Menge an Datenverkehr von einer Vielzahl von Quellen, oft durch Botnetze, auf das Zielnetzwerk gesendet wird, um die Ressourcen des Netzwerks zu überlasten, und den normalen Betrieb des Netzwerks zu beeinträchtigen.

Volumenbasierte Angriffe sind die häufigste Art von DDoS-Angriffen und können durch verschiedene Techniken ausgeführt werden, wie zum Beispiel:

• UDP-Floods
• ICMP-Floods

Protokollangriffe

Protokollangriffe sind eine spezielle Methode von DDoS-Angriffen, bei denen die Angreifer Schwachstellen in den Protokollen der Netzwerke (meistens Schicht 3 und 4 im OSI-Modell) ausnutzen, um die Leistung des Zielnetzwerks zu beeinträchtigen. Dies wird durch das Senden von unvollständigen oder falschen Anfragen erreicht, die die Server und Firewalls überlasten und zu einer übermäßigen Anzahl von offenen Verbindungen führen. Beispiele für diese Art von Angriffen sind:

• SYN-Floods
• Ping of Death
• Smurf Attacken.

Anwendungsangriffe

Anwendungsangriffe, auch als Application-layer-Angriffe bekannt, richten sich gegen die Anwendungsschicht (Schicht 7 im OSI-Modell) von Netzwerken oder Anwendungen. Diese Angriffe können auf verschiedene Weise durchgeführt werden, z. B. durch das Ausnutzen von Schwachstellen in Webanwendungen, durch das Übersenden von manipulierten Anfragen an Anwendungen oder durch das Erzeugen von Fehlern in Anwendungen oder Netzwerken.

Diese Angriffe sind oft schwerer zu erkennen, da sie oft als legitimer Traffic erscheinen und daher von Sicherheitsmaßnahmen nicht erkannt werden. Beispiele für Anwendungsangriffe sind:

• HTTP-Floods
• Slowloris

Messung der Stärke von DDoS-Angriffen

Es gibt mehrere Möglichkeiten, die Stärke von DDoS-Angriffen zu messen. Einige der häufigsten Methoden sind:

Gegenmaßnahmen

Einige der wichtigsten Gegenmaßnahmen, um sich vor DDoS-Angriffe zu schützen, sind:

\triangleright$\triangleright$ Netzwerk-Segmentierung

Durch die Segmentierung des Netzwerks in kleinere Abschnitte, wie z.B. durch die Verwendung von VLANs (Virtual Local Area Networks) und ACLs (Access Control Lists), kann man die Auswirkungen eines Angriffs einschränken, da nur ein Teil des Netzwerks betroffen sein wird. Dies ermöglicht es auch, Angriffe schneller zu erkennen und gezielter zu reagieren.

\triangleright$\triangleright$ Überlappende Verteidigung

Indem man mehrere Schutzmechanismen wie Firewalls, Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) einsetzt, kann man die Auswirkungen eines Angriffs minimieren und Angriffe frühzeitig erkennen. Beispielsweise kann eine Firewall unerwünschten Traffic blockieren, während ein IDS Angriffe erkennt und meldet.

\triangleright$\triangleright$ Traffic-Shaping

Traffic-Shaping: Diese Technik ermöglicht es, den Traffic-Fluss zu regulieren und verdächtige Traffic-Muster zu erkennen. Dies kann durch die Verwendung von Technologien wie Deep Packet Inspection (DPI) und Rate Limiting erreicht werden. Dies ermöglicht es, Angriffe frühzeitig zu erkennen, und gezielter zu reagieren.

\triangleright$\triangleright$ DDoS-Absorption

Indem man DDoS-Absorptionsdienste wie Cloud-basierte DDoS-Schutzdienste einsetzt, kann man die Auswirkungen eines Angriffs absorbieren und so das Zielnetzwerk vor Überlastung schützen. Diese Dienste arbeiten, indem sie den Traffic vor dem Zielnetzwerk filtern und nur legitimen Traffic weiterleiten. Diese Dienste können auch Angriffe erkennen und blockieren, bevor sie das Zielnetzwerk erreichen.

Beispiele DDoS-Angriffe

Volumenbasierter Angriff: UDP-Flood

Der UDP-Flood-Angriff nutzt die Verbindungslosigkeit des User Datagram Protocols (UDP) aus, um einen Ziel-Server mit massiven Mengen an UDP-Datenpaketen zu überfluten. Wenn ein UDP-Paket auf einem Server empfangen wird, überprüft das Betriebssystem den angegebenen Port auf aktive Anwendungen, die auf Anfragen an dem Port achten.

\rightarrow$\rightarrow$ Falls keine Anwendung gefunden wird, muss der Server den Absender mittels Internet Control Message Protocol (ICMP) informieren, dass das Paket nicht zugestellt werden konnte. Dies beansprucht viele Serverressourcen und kann bei einem UDP-Flood zur Überlastung des Ziel-Servers führen.

Protokollangriff: SYN-Flood

Ein SYN-Flood-Angriff nutzt das Transmission Control Protocol (TCP), ein verbindungsorientiertes Protokoll zur zuverlässigen Übertragung von Daten im Internet. Hierbei werden große Mengen an Verbindungsanfragen (SYN-Pakete) an das Ziel-System gesendet, die dazu führen, dass das Ziel-System überlastet wird und nicht mehr in der Lage ist, gültige Anfragen zu bearbeiten.

Folgende Abbildung zeigt wie der Angreifer die letzte ACK-Nachricht unterschlägt, was dazu führt, dass viele halboffene Verbindungen auf dem Server aufrechterhalten werden. Durch diese halboffenen Verbindungen wird der Server so sehr ausgelastet, dass die Anfrage eines normalen Benutzers (in diesem Fall Kyra) nicht bearbeitet werden kann.

Anwendungsangriff: HTTP-Flood

HTTP Floods sind eine Art von DDoS-Angriffen, bei denen die Angreifer viele HTTP-Anfragen an einen Server senden, um ihn zu überlasten und den Zugang zu einer Website oder Anwendung zu verhindern.

Diese Angriffe richten sich gegen die Anwendungsschicht (Schicht 7) im OSI-Modell und nutzen häufig HTTP POST und GET Anfragen. Sie können dazu führen, dass ein Server überlastet wird und nicht mehr in der Lage ist, gültige Anfragen zu bearbeiten.

DDoS-Angriffe Zusammenfassung

Fassen wir nochmal das Wichtigste zusammen:

• Ein DDoS-Angriff (Distributed Denial of Service) ist ein Cyberangriff, bei dem extrem viele Anfragen an ein bestimmtes IT-System gesendet werden, um die Verfügbarkeit und Leistung des Systems zu beeinträchtigen.

• Es gibt hauptsächlich drei Arten von DDoS-Angriffen: Volumenbasierte Angriffe, Protokollangriffe und Anwendungsangriffe.

• Es gibt mehrere Möglichkeiten, die Stärke von DDoS-Angriffen zu messen, wie z. B. die Bandbreitenmessung, die Paketrate oder die Anzahl der Verbindungen.

• Einige Gegenmaßnahmen, um sich vor DDoS-Angriffen zu schützen sind: Netzwerk-Segmentierung, überlappende Verteidigung, Traffic-Shaping und DDoS-Absorbtion.

• Beispiele für DDoS-Angriffe sind: UDP-Flood, SYN-Flood und HTTP-Flood.