DDoS-Angriffe: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
Keine Bearbeitungszusammenfassung |
Animation Vom Bot zum DDoS verlinkt |
||
| (6 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
= | = DDoS-Angriffe = | ||
= | == DoS und DDoS == | ||
*[[hping3]] | *'''DoS''' (''Denial of Service''): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung. | ||
*'''DDoS''' (''Distributed Denial of Service''): derselbe Angriff, aber von '''vielen Quellen''' gleichzeitig, oft aus einem [[Botnetze|Botnetz]]. | |||
*Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht. | |||
=== Animation === | |||
*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – Infektion, C&C über 443, Botnetz, DDoS im Zusammenhang. | |||
== Wie überlastet wird == | |||
Angriffe setzen auf verschiedenen Ebenen an: | |||
{| class="wikitable" | |||
! Ebene !! Prinzip !! Beispiel | |||
|- | |||
| Volumen || die Leitung mit Masse an Paketen füllen || UDP-Flood, ICMP-Flood, Verstärkung über fremde Server | |||
|- | |||
| Protokoll || Ressourcen des Servers binden, nicht die Leitung || SYN-Flood: viele halboffene Verbindungen | |||
|- | |||
| Anwendung || scheinbar echte Anfragen, die teuer zu beantworten sind || viele Aufrufe einer Suchfunktion oder Login-Seite | |||
|} | |||
;SYN-Flood als Beispiel | |||
*Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers. | |||
*Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an. | |||
== Praxis: einen Flood auslösen == | |||
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: <code>hping3</code> auf Kali. | |||
;TCP-SYN-Flood von zufälligen Absenderadressen | |||
*<code>hping3 -S --flood --rand-source -p 80 10.0.10.1</code> | |||
Weitere Varianten durch Austausch des Flags: <code>--udp</code> (UDP-Flood), <code>-1</code> (ICMP-Flood), <code>-F</code> (FIN-Flood). <code>--flood</code> sendet so schnell wie möglich, <code>--rand-source</code> fälscht die Absenderadresse, damit es wie verteilt aussieht. | |||
== Theorie → Praxis: erkennen und abwehren == | |||
{| class="wikitable" | |||
! Prinzip !! Praxis im Lab | |||
|- | |||
| Flood im Verkehr sehen und alarmieren || [[OPNsense Suricata]] | |||
|- | |||
| halboffene Verbindungen abfangen || SYN-Schutz und Verbindungslimits in der [[OPNsense Grundkonfiguration|OPNsense]] | |||
|- | |||
| Masse zählen und auswerten || [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)|SIEM]] | |||
|} | |||
*Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten. | |||
*Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein. | |||
== Merksatz == | |||
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider | |||
== Siehe auch == | |||
*[[Botnetze]], [[Schadsoftware/Malware]] | |||
*[[DOS mit hping3]] (weitere Flood-Varianten zum Nachschlagen) | |||
[[Kategorie:Cybersecurity]] | |||
Aktuelle Version vom 21. Oktober 2026, 16:51 Uhr
DDoS-Angriffe
DoS und DDoS
- DoS (Denial of Service): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung.
- DDoS (Distributed Denial of Service): derselbe Angriff, aber von vielen Quellen gleichzeitig, oft aus einem Botnetz.
- Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht.
Animation
- Animation: Vom Bot zum DDoS – Infektion, C&C über 443, Botnetz, DDoS im Zusammenhang.
Wie überlastet wird
Angriffe setzen auf verschiedenen Ebenen an:
| Ebene | Prinzip | Beispiel |
|---|---|---|
| Volumen | die Leitung mit Masse an Paketen füllen | UDP-Flood, ICMP-Flood, Verstärkung über fremde Server |
| Protokoll | Ressourcen des Servers binden, nicht die Leitung | SYN-Flood: viele halboffene Verbindungen |
| Anwendung | scheinbar echte Anfragen, die teuer zu beantworten sind | viele Aufrufe einer Suchfunktion oder Login-Seite |
- SYN-Flood als Beispiel
- Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers.
- Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an.
Praxis: einen Flood auslösen
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: hping3 auf Kali.
- TCP-SYN-Flood von zufälligen Absenderadressen
hping3 -S --flood --rand-source -p 80 10.0.10.1
Weitere Varianten durch Austausch des Flags: --udp (UDP-Flood), -1 (ICMP-Flood), -F (FIN-Flood). --flood sendet so schnell wie möglich, --rand-source fälscht die Absenderadresse, damit es wie verteilt aussieht.
Theorie → Praxis: erkennen und abwehren
| Prinzip | Praxis im Lab |
|---|---|
| Flood im Verkehr sehen und alarmieren | OPNsense Suricata |
| halboffene Verbindungen abfangen | SYN-Schutz und Verbindungslimits in der OPNsense |
| Masse zählen und auswerten | SIEM |
- Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten.
- Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein.
Merksatz
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider
Siehe auch
- Botnetze, Schadsoftware/Malware
- DOS mit hping3 (weitere Flood-Varianten zum Nachschlagen)