DDoS-Angriffe: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
Kompakt: DoS/DDoS, drei Ebenen, SYN-Flood, eine hping3-Uebung, Theorie->Praxis (Suricata/SYN-Schutz/SIEM) |
Animation Vom Bot zum DDoS verlinkt |
||
| Zeile 5: | Zeile 5: | ||
*'''DDoS''' (''Distributed Denial of Service''): derselbe Angriff, aber von '''vielen Quellen''' gleichzeitig, oft aus einem [[Botnetze|Botnetz]]. | *'''DDoS''' (''Distributed Denial of Service''): derselbe Angriff, aber von '''vielen Quellen''' gleichzeitig, oft aus einem [[Botnetze|Botnetz]]. | ||
*Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht. | *Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht. | ||
=== Animation === | |||
*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – Infektion, C&C über 443, Botnetz, DDoS im Zusammenhang. | |||
== Wie überlastet wird == | == Wie überlastet wird == | ||
Aktuelle Version vom 21. Oktober 2026, 16:51 Uhr
DDoS-Angriffe
DoS und DDoS
- DoS (Denial of Service): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung.
- DDoS (Distributed Denial of Service): derselbe Angriff, aber von vielen Quellen gleichzeitig, oft aus einem Botnetz.
- Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht.
Animation
- Animation: Vom Bot zum DDoS – Infektion, C&C über 443, Botnetz, DDoS im Zusammenhang.
Wie überlastet wird
Angriffe setzen auf verschiedenen Ebenen an:
| Ebene | Prinzip | Beispiel |
|---|---|---|
| Volumen | die Leitung mit Masse an Paketen füllen | UDP-Flood, ICMP-Flood, Verstärkung über fremde Server |
| Protokoll | Ressourcen des Servers binden, nicht die Leitung | SYN-Flood: viele halboffene Verbindungen |
| Anwendung | scheinbar echte Anfragen, die teuer zu beantworten sind | viele Aufrufe einer Suchfunktion oder Login-Seite |
- SYN-Flood als Beispiel
- Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers.
- Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an.
Praxis: einen Flood auslösen
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: hping3 auf Kali.
- TCP-SYN-Flood von zufälligen Absenderadressen
hping3 -S --flood --rand-source -p 80 10.0.10.1
Weitere Varianten durch Austausch des Flags: --udp (UDP-Flood), -1 (ICMP-Flood), -F (FIN-Flood). --flood sendet so schnell wie möglich, --rand-source fälscht die Absenderadresse, damit es wie verteilt aussieht.
Theorie → Praxis: erkennen und abwehren
| Prinzip | Praxis im Lab |
|---|---|
| Flood im Verkehr sehen und alarmieren | OPNsense Suricata |
| halboffene Verbindungen abfangen | SYN-Schutz und Verbindungslimits in der OPNsense |
| Masse zählen und auswerten | SIEM |
- Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten.
- Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein.
Merksatz
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider
Siehe auch
- Botnetze, Schadsoftware/Malware
- DOS mit hping3 (weitere Flood-Varianten zum Nachschlagen)