DDoS-Angriffe: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
K Thomas.will verschob die Seite Denial-of-Service- (DoS) und Distributed-Denial-of-Service-Angriffe (DDoS) nach DDoS-Angriffe |
Kompakt: DoS/DDoS, drei Ebenen, SYN-Flood, eine hping3-Uebung, Theorie->Praxis (Suricata/SYN-Schutz/SIEM) |
||
| Zeile 1: | Zeile 1: | ||
= | = DDoS-Angriffe = | ||
= | == DoS und DDoS == | ||
*[[DOS mit hping3]] | *'''DoS''' (''Denial of Service''): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung. | ||
*'''DDoS''' (''Distributed Denial of Service''): derselbe Angriff, aber von '''vielen Quellen''' gleichzeitig, oft aus einem [[Botnetze|Botnetz]]. | |||
*Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht. | |||
== Wie überlastet wird == | |||
Angriffe setzen auf verschiedenen Ebenen an: | |||
{| class="wikitable" | |||
! Ebene !! Prinzip !! Beispiel | |||
|- | |||
| Volumen || die Leitung mit Masse an Paketen füllen || UDP-Flood, ICMP-Flood, Verstärkung über fremde Server | |||
|- | |||
| Protokoll || Ressourcen des Servers binden, nicht die Leitung || SYN-Flood: viele halboffene Verbindungen | |||
|- | |||
| Anwendung || scheinbar echte Anfragen, die teuer zu beantworten sind || viele Aufrufe einer Suchfunktion oder Login-Seite | |||
|} | |||
;SYN-Flood als Beispiel | |||
*Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers. | |||
*Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an. | |||
== Praxis: einen Flood auslösen == | |||
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: <code>hping3</code> auf Kali. | |||
;TCP-SYN-Flood von zufälligen Absenderadressen | |||
*<code>hping3 -S --flood --rand-source -p 80 10.0.10.1</code> | |||
Weitere Varianten durch Austausch des Flags: <code>--udp</code> (UDP-Flood), <code>-1</code> (ICMP-Flood), <code>-F</code> (FIN-Flood). <code>--flood</code> sendet so schnell wie möglich, <code>--rand-source</code> fälscht die Absenderadresse, damit es wie verteilt aussieht. | |||
== Theorie → Praxis: erkennen und abwehren == | |||
{| class="wikitable" | |||
! Prinzip !! Praxis im Lab | |||
|- | |||
| Flood im Verkehr sehen und alarmieren || [[OPNsense Suricata]] | |||
|- | |||
| halboffene Verbindungen abfangen || SYN-Schutz und Verbindungslimits in der [[OPNsense Grundkonfiguration|OPNsense]] | |||
|- | |||
| Masse zählen und auswerten || [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)|SIEM]] | |||
|} | |||
*Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten. | |||
*Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein. | |||
== Merksatz == | |||
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider | |||
== Siehe auch == | |||
*[[Botnetze]], [[Schadsoftware/Malware]] | |||
*[[DOS mit hping3]] (weitere Flood-Varianten zum Nachschlagen) | |||
[[Kategorie:Cybersecurity]] | |||
Version vom 21. Oktober 2026, 16:44 Uhr
DDoS-Angriffe
DoS und DDoS
- DoS (Denial of Service): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung.
- DDoS (Distributed Denial of Service): derselbe Angriff, aber von vielen Quellen gleichzeitig, oft aus einem Botnetz.
- Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht.
Wie überlastet wird
Angriffe setzen auf verschiedenen Ebenen an:
| Ebene | Prinzip | Beispiel |
|---|---|---|
| Volumen | die Leitung mit Masse an Paketen füllen | UDP-Flood, ICMP-Flood, Verstärkung über fremde Server |
| Protokoll | Ressourcen des Servers binden, nicht die Leitung | SYN-Flood: viele halboffene Verbindungen |
| Anwendung | scheinbar echte Anfragen, die teuer zu beantworten sind | viele Aufrufe einer Suchfunktion oder Login-Seite |
- SYN-Flood als Beispiel
- Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers.
- Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an.
Praxis: einen Flood auslösen
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: hping3 auf Kali.
- TCP-SYN-Flood von zufälligen Absenderadressen
hping3 -S --flood --rand-source -p 80 10.0.10.1
Weitere Varianten durch Austausch des Flags: --udp (UDP-Flood), -1 (ICMP-Flood), -F (FIN-Flood). --flood sendet so schnell wie möglich, --rand-source fälscht die Absenderadresse, damit es wie verteilt aussieht.
Theorie → Praxis: erkennen und abwehren
| Prinzip | Praxis im Lab |
|---|---|
| Flood im Verkehr sehen und alarmieren | OPNsense Suricata |
| halboffene Verbindungen abfangen | SYN-Schutz und Verbindungslimits in der OPNsense |
| Masse zählen und auswerten | SIEM |
- Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten.
- Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein.
Merksatz
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider
Siehe auch
- Botnetze, Schadsoftware/Malware
- DOS mit hping3 (weitere Flood-Varianten zum Nachschlagen)