Verteidigungslinie gegen DDoS-Attacken

Regierungen, Behörden, Online-Shop-Anbieter, Banken und viele andere Unternehmen waren bereits Opfer von DDoS-Angriffen. Viele mussten einen hohen Preis zahlen, etwa mit dem Absturz ihrer Website oder der Unterbrechung des Rechenzentrumbetriebs; manche sogar Lösegeld, weil sie von den Angreifern erpresst wurden, wie NTT Com Security schreibt. Mit einer Besserung sei nicht zu rechnen, denn Umfang und Art der DDoS-Attacken würden zunehmen.

Drei Arten von Attacken, drei Schutzstufen

Insgesamt unterscheidet NTT Com Security zwischen drei grundlegenden Arten von DDoS-Attacken. Dazu gehören erstens die klassischen High-Volume-Attacken, die die Internetleitungen der Opfer überschwemmen; zweitens die zunehmenden Angriffe auf Infrastrukturkomponenten, etwa die Überlastung von Firewalls oder Servern; und drittens Applikations-fokussierte Angriffe, die innerhalb einer verschlüsselten Verbindung stattfinden können und die Verbindung zu Applikationsservern trennen.

Entsprechend dieser Attacken sind auch die Abwehrarten unterschiedlich. Das Sicherheitsunternehmen empfiehlt einen dreistufigen Schutz:

1. Abwehr gegen High-Volume-Angriffe: Der Schutz ist in diesem Fall nur über Provider, die eine umfangreiche Bandbreite zur Verfügung stellen können, oder Scrubbing-Center möglich. CDNs (Content Delivery Networks) reichen angesichts des hohen DDoS-Angriffsvolumens oft nicht mehr aus; Scrubbing-Center, die auch NTT anbietet, stellen eine zusätzliche Schutzebene dar und werden den Systemen von Unternehmen vorgeschaltet. Sie sind eine Art Reinigungszentrum, das auf extremes Datenvolumen eingerichtet ist, den Traffic analysiert und die unterschiedlichen Arten von Angriffen herausfiltert.

2. Abwehr gegen Infrastruktur-Angriffe: Diese Art von Angriffen ist prinzipiell auch mit Scrubbing-Centern abzufangen. Wenn die Anzahl der Verbindungen, ab der ein Scrubbing-Center aktiv wird, aber unterschritten wird, ist der Einsatz von DDoS-aware Firewalls besser geeignet. Sie können deutlich mehr Verbindungen als klassische Firewalls verarbeiten und fangen damit die entsprechenden Attacken ab.

3. Abwehr gegen Applikations-fokussierte Angriffe: Das Werkzeug der Wahl heisst in diesem Fall WAF, also Web Application Firewall. Gegenüber klassischen Firewalls untersuchen WAFs die Anwendungs-spezifische Kommunikation und sind damit in der Lage, Angriffe zu erkennen, die auf die Applikation abzielen.

Schrittweises Vorgehen

Setzt sich ein Unternehmen mit der Abwehr von möglichen DDoS-Angriffen auseinander, sollte es in mehreren Schritten vorgehen:

1. Bestandsanalyse: Die erste Massnahme besteht darin zu prüfen, ob bereits Systeme existieren, die zum Schutz eingesetzt werden können, und wie sie am besten ergänzt werden sollten, um die bestmögliche DDoS-Abwehr zu gewährleisten. WAFs zum Beispiel sind in Unternehmen nicht sehr oft vertreten, sehr selten ist der Schutz durch Scrubbing-Center.

2. Monitoring: Unternehmen wissen oft nicht, dass sie angegriffen werden. Die Firewall loggt zwar alle Verbindungen mit, aber die hohe Anzahl der Einträge macht ein Monitoring an dieser Stelle zumindest manuell kaum möglich. Besser geeignet sind Performance-Monitoring-Tools, in der Regel werden sie aber zu selten abgefragt, um sich ein Bild über den tatsächlichen Zustand der Infrastruktur machen zu können. Regelmässig werden auch umfangreiche DDoS-Attacken gefahren, um vom eigentlichen Einbruch mit wenigen Paketen, etwa auf einen Server, abzulenken. Um solche Angriffe zu erkennen, wird ein gut ausgebautes SIEM-System benötigt.

3. Response-Prozess: Was ist zu tun, wenn ein Angriff erfolgt? Die jeweiligen Massnahmen muss ein Unternehmen vorbereiten, um schnell und adäquat reagieren zu können. Schon beim ersten Antesten von DDoS-Angreifern sollte ein Unternehmen in der Lage sein, in den Notmodus überzugehen und beispielsweise einen Scrubbing-Dienst sofort aktiv zu schalten.

Fokus verlagert sich

„Üblicherweise verbindet man DDoS mit Webserver-Attacken, aber Webserver-Betreiber sind mittlerweile sehr gut dagegen gerüstet“, erklärt Tom Hager von NTT Com Security. „Deutlich folgenschwerer sind aber Angriffe auf die Corporate-Infrastruktur, die zukünftig voraussichtlich vermehrt auftreten werden, weil Unternehmen dort deutlich schlechter geschützt sind. Bricht die Logistik oder das Bestellwesen zusammen und gibt es keine Kommunikation oder Partneranbindung mehr, kann der Stillstand des Unternehmens erfolgen. Eine entsprechende Vorbereitung ist also unabdingbar.“