Bei einem verteilten Denial-of-Service-Angriff wird eine große Anzahl von Rechnern mobilisiert, um ein Ziel zu überlasten. Das Ziel besteht nicht darin, in Ihr System einzudringen, sondern es unzugänglich zu machen. Es gibt zwei Arten von Angriffen, die sich voneinander unterscheiden und daher auch unterschiedlich abgewehrt werden müssen.

Volumetrische Angriffe (L3/L4)

Dies sind die am weitesten verbreiteten Angriffe. Sie überfluten Ihre Netzwerkverbindung mit Paketen, bis diese überlastet ist, häufig durch Verstärkung: Der Angreifer nutzt falsch konfigurierte Dienste von Drittanbietern aus, um das gesendete Datenvolumen zu vervielfachen. Bei dieser Art von Angriff kommt es ausschließlich auf die Aufnahmekapazität des Netzwerks an: Wenn die Filterkapazität geringer ist als das Angriffsvolumen, kommt nichts durch.

Angriffe auf Anwendungsebene (L7)

Sie sind subtiler und schwerer zu erkennen; sie senden eine geringe Anzahl von Anfragen, die legitimen Datenverkehr imitieren, deren Verarbeitung jedoch kostspielig ist. Die Netzwerkverbindung ist nicht überlastet, vielmehr wird der Server überlastet. Die Gegenmaßnahme beruht hier eher auf einer Verhaltensanalyse als auf der reinen Kapazität.

Einen Angriff erkennen und ihn nicht mit einer Störung verwechseln

Nicht jede Verlangsamung ist ein Angriff, und eine falsche Diagnose kostet wertvolle Zeit. Anhand einiger Anzeichen lässt sich schnell Klarheit schaffen.

  • Der Dienst ist nicht erreichbar, obwohl die Auslastung des Prozessors und der Speicherbelegung des Servers im normalen Bereich liegen: Das Problem liegt im Netzwerk.
  • Massive und gleichzeitige Verbindungsabbrüche, die in keinem Zusammenhang mit einer Bereitstellung oder einem Update stehen.
  • Eingehender Traffic, der keinen Bezug zu Ihrer üblichen Zielgruppe hat und häufig aus ungewöhnlichen Quellen stammt.
  • Umgekehrt deutet ein allmählicher Anstieg bei ausgelastetem Prozessor eher auf eine Unterdimensionierung oder einen zu ressourcenintensiven Code hin.

Was eine Kapazität von 200 Tbit/s tatsächlich bedeutet

Diese Zahl bezeichnet die Gesamtkapazität des Abwehrnetzwerks, nicht die Bandbreite Ihres Servers. Es handelt sich um einen Indikator für die Sicherheitsreserve: Je stärker die verfügbare Kapazität das Volumen der beobachteten Angriffe übersteigt, desto selektiver kann die Filterung vorgehen, ohne den legitimen Datenverkehr zu beeinträchtigen. Eine Lösung mit einem hervorragenden Algorithmus, aber unzureichender Kapazität bricht bei einem volumetrischen Angriff zusammen, ganz einfach, weil die Leitung bereits vor der Analyse überlastet ist.

Die klassischen Fallstricke bei Anti-DDoS-Angeboten

Nicht alle angekündigten Schutzmaßnahmen sind gleichwertig, und der Unterschied zeigt sich in der Regel im ungünstigsten Moment.

  • Der optionale Schutz : Da hierfür zusätzliche Kosten anfallen, wird sie oft erst nach dem ersten Angriff – also erst nach dem entstandenen Schaden – aktiviert.
  • Das Schwarze Loch : Ihre IP-Adresse wird lediglich gesperrt, um das Netzwerk des Hosting-Anbieters zu schützen. Technisch gesehen hört der Angriff damit auf, doch Ihr Dienst ist offline, was letztlich dem vom Angreifer angestrebten Ergebnis entspricht.
  • Die geräuscharmen Decken : eine angegebene Kapazität, die nur für bestimmte Verkehrsarten gilt oder bei deren Überschreitung die Entlastung nicht mehr erfolgt.
  • Die zusätzliche Latenz : Ein falsch dimensionierter Schutz, der die Benutzererfahrung dauerhaft beeinträchtigt, um einem gelegentlichen Angriff vorzubeugen.

Was ist während eines Anfalls zu tun?

Die häufigste Reaktion – nämlich in aller Eile die IP-Adresse zu ändern – ist selten die richtige: Der Angreifer verfolgt die neue Adresse in der Regel innerhalb weniger Minuten, und Sie verlieren Betriebszeit. Überprüfen Sie zunächst die Auslastung Ihres Servers, um sicherzustellen, dass es sich tatsächlich um einen Netzwerkangriff handelt, sichern Sie die verfügbaren Protokolle und wenden Sie sich anschließend an den Support. Dank einer permanenten Abwehr werden die meisten Probleme bereits im Vorfeld gelöst, ohne dass ein Eingreifen Ihrerseits erforderlich ist.

Wenn Sie einen Spielserver betreiben, ist unser Reverse-Proxy mit Anti-DDoS-Schutz für FiveM fügt eine spezielle Schutzebene für Gaming-Server hinzu, auch wenn Sie bei einem anderen Anbieter gehostet werden. Bei den übrigen Diensten ist der Schutz in allen unseren VPS und dedizierte Server.