DDoS-Angriffe erfolgreich abwehren

Distributed-Denial-of-Service-Attacken (DDoS) gibt es schon lange. Dabei werden Rechner mit Anfragen oder Datenpaketen in solch großen Mengen beschossen, dass sie das nicht mehr bewältigen und ausfallen. Die Täter sind meist kriminelle Banden oder Geheimdienste, die Opfer Unternehmen oder Regierungsinstitutionen. Sie müssen sich gegen ein wechselndes Arsenal übler Tricks aus mehreren Angriffsvektoren zur Wehr setzen. Die Angreifer führen immer heimtückischere Waffen ins Feld und nutzen dafür die fortschreitende Vernetzung der IT-Infrastrukturen aus.

Einer Studie von Kaspersky zufolge entstehen Großunternehmen durch einen DDoS-Angriff im Durchschnitt Wiederherstellungskosten in Höhe von 417.000 Dollar.

Einige Hacker-Gruppen wie DD4BC (DDoS for Bitcoins) verlangen neuerdings auch von deutschen Unternehmen unter Androhung massiver DDoS-Attacken Lösegeld für die „Freischaltung“ von deren eigenen Websites. GovCert, die Schweizer Regierungseinheit zur Bekämpfung von Cyber-Warfare, warnte 2015 mehrfach vor DD4BC wie auch vor der Hacker-Gruppe Armada Collective, die mit denselben Methoden arbeitet: Nach einer zeitlich beschränkten DDoS-Attacke, die die IT-Systeme des betroffenen Unternehmens für etwa 30 Minuten lahmlegt, verlangen die Angreifer Schutzgeld. Kommt man der Forderung nicht nach, setzen die Hacker die Attacke fort und nehmen die Webseiten für unbestimmte Zeit vom Netz.

Möglich wird das durch sogenannte Multivektor-Angriffe. Multivektor-Angriffe adressieren abwechselnd und systematisch verschiedene mögliche Schwachstellen in der Infrastruktur des Opfers. Sobald das Opfer eine Angriffswelle neutralisiert hat, wechseln die Täter ihre Taktik und die aufgebaute Verteidigung greift nicht mehr.

Nicht nur als Waffe krimineller Erpesser, sondern auch als politisches Druckmittel wird DDoS immer häufiger eingesetzt. Zwei Beispiele für diesen Trend:

Zum einen behauptet die ukrainische Hacker-Gruppe Cyber­Berkut, sie habe im Januar vergangenen Jahres die deutschen Regierungsseiten Bundestag.de und Bundeskanzlerin.de mit einer massiven DDoS-Attacke vom Netz geholt, um ihren Unmut gegen die deutsche Außenpolitik kundzutun.

Zum anderen sahen sich erst kürzlich GreatFire, ein Dienst zur Aufklärung über die chinesische Internetzensur, und GitHub, ein Service, der den quelloffenen GreatFire-Code hostet, einem DDoS-Angriff ausgesetzt. Das FBI glaubt, dass diese Angriffe mit Hilfe der neuesten Cyberwaffe der chinesischen Regierung über zwei dortige Telekommunikations-Großunternehmen und die Suchmaschine Baidu erfolgten.

Gestützt wird diese Vermutung durch die Beobachtung, dass weltweit der meiste DDoS-Botnetz-Traffic von Servern in China ausgeht, wie das Sicherheitsunternehmen Imperva herausgefunden hat, das sich auf die Abwehr von DDoS-Attacken spezialisiert hat.

Der Studie zufolge führt China mit 37,53 Prozent die Rangliste der DDoS-Ursprungsländer an, gefolgt von Südkorea mit 9,44 Prozent und den USA mit 9,11 Prozent. Deutschland rangiert hier erfreulicherweise nur unter ferner liefen.

In den Top 10 der angegriffenen Staaten belegt Deutschland dagegen Platz neun.

Der Server-Standort, von dem eine DDoS-Attacke ausgeht, hat allerdings nur eine begrenzte Aussagekraft. Der wahre Urheber eines Angriffs kann in einem ganz anderen Land sitzen.

Der Umgang mit DDoS-Attacken wird dadurch erschwert, dass es ganz unterschiedliche Ausprägungen davon gibt. Manche setzen beim Domain Name System (DNS) an, das die Internetadressen und den Umgang mit ihnen definiert. DNS-Server fungieren als eine Art Adressbuch für Internetadressen. Andere DDoS-Varianten zielen auf Schwachstellen in bestimmten Server-Systemen oder nutzen die zunehmende Auslagerung von IT-Infrastrukturen in die Cloud aus.

Die folgenden Abschnitte beschreiben die maßgeblichen Formen von DDoS. Es wird jeweils gezeigt, wie die Attacke funktioniert und wie die Abwehrmöglichkeiten aussehen.

Zu den DDoS-Varianten, die beim DNS-System ansetzen, zählt die DNS-Flood-Attacke. Dabei senden Angreifer DNS-Pakete über das UDP-Protokoll an DNS-Server, um sie mit Anfragen zu überfluten und ihre Rechenzeit-Ressourcen aufzubrauchen (UDP-DDoS). So etwas lässt sich relativ einfach umsetzen, kann eine enorme Hebelwirkung entfalten und erlaubt es den Angreifern, ihre Identität hinter Dritten zu verstecken.

Zudem verlassen sich fast alle Domain-Besitzer auf das technische Minimum von zwei DNS-Servern. Deshalb sind bei dem geringsten DDoS-Befall gleich alle Dienste außer Betrieb.

Eine andere Variante der DDoS-Attacke schickt Datenmüll an Geräte, die mit dem Internet verbunden sind, wie Router, Server oder PCs. Durch das Zustellen großer Datenmengen an den UDP-Port 53 (seltener UDP-Port 80) werden diese Geräte lahmgelegt.

Abwehr: Man kann einem solchen Angriff entgehen, indem man die UDP-Ports 53 oder 80 schließt. Falls jedoch ein DNS-Server betrieben wird, ist diese Sperre meist nicht erwünscht.

Bei Smurf-Attacken pingt der Angreifer ICMP-Anfragen (Internet Control Message Protocol) mit einer gefälschten Ursprungs-IP, die auf das Opfer verweist, an Dritte (ICMP-DDoS). Die Angreifer nehmen sich dabei einen Router vor, der für die Weiterleitung solcher Anfragen an andere Geräte verantwortlich ist. Indem die Täter an die zugehörige Broadcast-Adresse (X.X.X.255) senden, können sie auf einen Schlag alle Geräte in dem Netzwerk hinter dem Router er­reichen.

Weil ein Handshake-Verfahren zum Verbindungsaufbau nicht vorgesehen ist, können Empfänger legitime von nicht legitimen Anfragen nicht unterscheiden. Indem die Geräte auf die ICMP-Anfrage vorschriftsmäßig antworten, bombardieren sie mit ihren IP-Paketen den vermeintlichen Absender – das eigene Netzwerk.

Abwehr: Um eine solche Attacke gezielt zu unterbinden, reicht es bereits, die Weiterleitung der ICMP-Anfragen durch die betroffenen Router zu verhindern.

Ein ACK-Reflection-Angriff zieht seinen Vorteil aus dem sogenannten TCP-Dreiwege-Handschlag beim Aufbau einer TCP-Verbindung: Ein TCP-Client initiiert den Verbindungsaufbau durch das Abschicken eines SYN-Pakets mit der Ursprungs- und der Ziel-IP (TCP-DDoS/SYN-DDoS).

Wenn dieses Paket an einem offenen Port ankommt, dann antwortet der Server mit dem SYN/ACK-Paket, um den Verbindungsaufbau zu akzeptieren. Er reserviert Arbeitsspeicher, schreibt in die Logs und wartet auf die abschließende ACK-Antwort des Kommunikationspartners, der den Empfang der Nachricht bestätigen soll.

Bei einer ACK-Reflection-Attacke ist die Ursprungs-IP in der SYN-Anfrage allerdings gefälscht, sodass der Server seine Antwort an den falschen Empfänger sendet. Wenn der Empfänger-Server die unerwünschten ACK-Pakete nicht verwerfen kann, dann kann er vom Angreifer in die Knie gezwungen werden.

Abwehr: Als die effektivste Maßnahme empfiehlt sich ein SYN-Proxy, zum Beispiel conntrack von Netfilter mit dem SYNPROXY-Modul. Im Idealfall sollte der SYN-Proxy über die Fähigkeit verfügen, IP-Adressen vertrauenswürdiger Kommunkationspartner für eine beschränkte Zeit im Cache aufzubewahren, um die Abarbeitung legitimer Anfragen zu beschleunigen („Active Verification“).

Neuerdings zielen DDoS-Attacken zunehmend auf ganz konkrete, gut dokumentierte Schwächen bestimmter Server-Dienste. Man spricht von DDoS auf Applikationsebene (Ebene 7 des OSI-Modells), wie sie etwa im Fall der sogenannten Slow-Read-Attacke auf den Webserver Apache statt­findet.

Apache öffnet für jede einzelne Verbindung einen neuen Thread und behält ihn für die Dauer der Kommunikation bei. Angreifer nutzen dieses Verhalten aus, indem sie Apache mit sorgsam dosierten Datenpaketen extrem langsam und aus vielen Quellen gleichzeitig beliefern. So lassen sich die Kapazitäten von Apache am einfachsten ausschöpfen.

Abwehr: Das Apache-Modul mod_evasive schafft Abhilfe. Außerdem sind die Module mod_reqtimeout zur Beschränkung der zulässigen Wartezeit auf den Eingang fehlender Datenpakete, mod_qos zur Priorisierung eingehender Anfragen und mod_security zum Abblocken von Code-Injection-Attacken zur Verteidigung empfehlenswert.

Die wachsende Verbreitung von DDoS-Attacken trifft besonders stark diejenigen Unternehmen, die über eine skalierbare Infrastruktur in der Cloud verfügen, ihre Infrastruktur aber unzureichend schützen.

Noch vor einigen Jahren war es üblich, bei DDoS-Angriffen einen Teil der Last in die Cloud auszulagern und so aus der elastischen Skalierbarkeit der IT-Infrastruktur einen Nutzen zu ziehen. Inzwischen sind die Angriffe aber so raffiniert, dass gerade der größte Vorteil der Cloud, die Skalierbarkeit, dem Geschädigten zum Verhängnis werden kann.

Weil zum Beispiel ein cloudbasiertes Content Delivery Network (CDN) skalierbar ist, kann es eigentlich Attacken mit einem hohen Datenvolumen aufnehmen und das Ausschöpfen der Ressourcen so wesentlich erschweren.  Wenn die Angreifer aber stets andere, nicht vorhandene Daten anfragen, können sie das CDN dazu veranlassen, eine immer weiter wachsende Last auf das eigene Rechenzentrum des Opfers loszulassen. 

Diese Last wird von den vorhandenen Sicherheitssystemen nicht unterbunden, weil die bösartigen Anfragen vom CDN kommen und sich deshalb mit einer vertrauenswürdigen IP-Adresse ausweisen. Das Resultat ist eine DDoS-Attacke des eigenen CDNs auf das eigene Rechenzentrum.

Nicht legitime Anfragen lassen sich in diesem Fall nämlich weder anhand der IP-Adresse blocken noch anhand des Datenvolumens identifizieren. Die Lastverteilung eingehender Angriffe auf verschiedene Knoten des CDNs sorgt dafür, dass sie, weil sie sich mit der IP-Adresse des CDNs tarnen, „unter dem Radar“ fliegen, mit legitimen Datenströmen gemischt werden (Multiplexing-Verfahren) und erst dann hochkonzentriert die Zielsysteme bombardieren. Anders als vermutet bietet die Cloud nicht nur keinen Schutz vor DDoS, sondern der Angreifer nutzt die Infrastruktur des Opfers aus, um die IP-basierte Verteidigung auf dem Ziel-Server aufzuheben und so größeren Schaden anzurichten.

Abwehr: Um solche HTTP-DDoS-Angriffe abzuwehren, lassen Sie die HTTP-Header inspizieren. Der X-Forwarded-For-Header (XFF) gibt Aufschluss über den tatsächlichen Ursprung der Anfrage – und ermöglicht das Abblocken der Attacken.

IT-Profis konnten sich bisher auf zwei Phasen einer DDoS-Konfrontation fokussieren: präventive Maßnahmen und nachträgliche Verbesserungen. Die eigentliche DDoS-Attacke ließ sich mehr oder weniger „aussitzen“.

Bei massiven DDoS-Attacken in der Cloud ist das nicht mehr möglich. DDoS-Angriffe in der Cloud dauern typischerweise zwischen mehreren Tagen und mehreren Wochen und finden abwechselnd über mehrere Vektoren statt. Die Zweiphasen-Verteidigung ist daher nutzlos geworden. Das IT-Fachpersonal kommt deshalb nicht mehr umhin, eine DDoS-Attacke aktiv zu kontern.