DDoS-Angriffe
(Weitergeleitet von Denial-of-Service- (DoS) und Distributed-Denial-of-Service-Angriffe (DDoS))
DDoS-Angriffe
DoS und DDoS
- DoS (Denial of Service): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung.
- DDoS (Distributed Denial of Service): derselbe Angriff, aber von vielen Quellen gleichzeitig, oft aus einem Botnetz.
- Der Unterschied ist entscheidend für die Abwehr: Einen einzelnen Angreifer sperrt man mit einer Regel. Bei DDoS kommen die Anfragen von Tausenden Adressen, das Sperren einzelner Quellen hilft nicht.
Animation
- Animation: Vom Bot zum DDoS – Infektion, C&C über 443, Botnetz, DDoS im Zusammenhang.
Wie überlastet wird
Angriffe setzen auf verschiedenen Ebenen an:
| Ebene | Prinzip | Beispiel |
|---|---|---|
| Volumen | die Leitung mit Masse an Paketen füllen | UDP-Flood, ICMP-Flood, Verstärkung über fremde Server |
| Protokoll | Ressourcen des Servers binden, nicht die Leitung | SYN-Flood: viele halboffene Verbindungen |
| Anwendung | scheinbar echte Anfragen, die teuer zu beantworten sind | viele Aufrufe einer Suchfunktion oder Login-Seite |
- SYN-Flood als Beispiel
- Der Angreifer öffnet viele TCP-Verbindungen (SYN) und ignoriert die Antwort (SYN-ACK) des Servers.
- Der Server hält jede halboffene Verbindung eine Weile vor. Sind seine Plätze belegt, nimmt er keine echten Anfragen mehr an.
Praxis: einen Flood auslösen
Nur im eigenen Lab gegen die eigene Maschine. Werkzeug: hping3 auf Kali.
- TCP-SYN-Flood von zufälligen Absenderadressen
hping3 -S --flood --rand-source -p 80 10.0.10.1
Weitere Varianten durch Austausch des Flags: --udp (UDP-Flood), -1 (ICMP-Flood), -F (FIN-Flood). --flood sendet so schnell wie möglich, --rand-source fälscht die Absenderadresse, damit es wie verteilt aussieht.
Theorie → Praxis: erkennen und abwehren
| Prinzip | Praxis im Lab |
|---|---|
| Flood im Verkehr sehen und alarmieren | OPNsense Suricata |
| halboffene Verbindungen abfangen | SYN-Schutz und Verbindungslimits in der OPNsense |
| Masse zählen und auswerten | SIEM |
- Smurf-artige Verstärkung verhindert man, indem Router keine gerichteten Broadcasts weiterleiten.
- Gegen echte Volumen-Angriffe aus dem Internet hilft am Ende nur Kapazität und Filterung beim Provider, nicht die eigene Firewall allein.
Merksatz
DoS = Überlastung von einer Quelle | DDoS = von vielen, Sperren einzelner Adressen bringt nichts | drei Ebenen: Volumen, Protokoll, Anwendung | gegen echte Volumen-Angriffe hilft nur der Provider
Siehe auch
- Botnetze, Schadsoftware/Malware
- DOS mit hping3 (weitere Flood-Varianten zum Nachschlagen)