Ihre E-Commerce-Website ist gerade ausgefallen und das Netzwerk kommt zum Erliegen. Ihr Unternehmen steht kurz vor einem DDoS-Angriff, der letztlich Millionen durch entgangene Umsätze und Produktivität kosten wird.
Es sei denn, Sie haben Maßnahmen ergriffen, um das Risiko eines DDoS-Angriffs zu verringern, und einen Plan erstellt, den Sie sofort umsetzen können, sobald die ersten Anzeichen eines Angriffs auftreten.
Was für einen Plan? Lesen Sie weiter: Hier sind unsere zehn wichtigsten Tipps und Best Practices, um Ihr Netzwerk vor DDoS-Angriffen zu schützen, damit Ihnen diese Millionen erhalten bleiben.
Was ist ein DDoS-Angriff?
Ein DDoS- oder Distributed-Denial-of-Service-Angriff ist eine sehr einfache Form des Cyberangriffs, doch seine Auswirkungen können verheerend sein. Im Wesentlichen wird dabei dafür gesorgt, dass eine große Menge an Datenverkehr aus zahlreichen Quellen auf Ihre Computersysteme gelenkt wird und legitimer Datenverkehr – etwa von Kunden, die einen Kauf tätigen möchten – Sie nicht mehr erreicht.
Nach den aktuellsten verfügbaren Daten haben DDoS-Angriffe weiterhin ein enormes Ausmaß erreicht. Im Jahr 2022 berichtete Cloudflare, einen DDoS-Angriff mit 2,5 Tbps abgewehrt zu haben, der von einer Mirai-Botnet-Variante gestartet wurde und auf den Minecraft-Server Wynncraft abzielte. Gemessen an der Bitrate war dies der größte von Cloudflare beobachtete Angriff und übertraf den bisherigen Rekord von Amazons 2,3-Tbps-Angriff aus dem Jahr 2020.
Im selben Jahr berichtete auch Google Cloud, einen massiven Layer-7-DDoS-Angriff blockiert zu haben, der mit 46 Millionen Anfragen pro Sekunde seinen Höchstwert erreichte. Damit war er der bislang größte gemeldete Layer-7-DDoS-Angriff – mindestens 76 % größer als der zuvor gemeldete Rekord.
Die Tatsache, dass der Angriff verteilt erfolgt, also von vielen verschiedenen Quellen ausgeht – etwa von Zombie-Computern, die Teil eines Botnetzes sind –, macht es für Cybersicherheitssysteme sehr schwierig, ihn zurückzuverfolgen und zu stoppen. Da manche Angriffe Verstärkungstechniken einsetzen, kann der Angreifer Ihre Systeme mit einer sehr viel größeren Datenmenge attackieren, als der vergleichsweise geringe ursprüngliche Datenverkehr vermuten lässt.
Was bedeutet die Abwehr von DDoS-Angriffen?
Die Abwehr von DDoS-Angriffen bezeichnet den Prozess, ein Netzwerk oder einen Server vor einem DDoS-Angriff zu schützen. Dazu gehören die Erkennung des Angriffs, die Unterscheidung vom normalen Datenverkehr und eine Reaktion, die seine Auswirkungen möglichst gering hält. Zu den Strategien zur DDoS-Abwehr können verschiedene Techniken gehören, etwa Ratenbegrenzung, IP-Blockierung und die Umleitung des Datenverkehrs.
Arten von DDoS-Angriffen
Auf höchster Ebene gibt es drei Formen von DDoS-Angriffen:
- Volumetrische Angriffe: Sie nutzen die schiere Menge des Datenverkehrs, der auf Ihr Netzwerk trifft, um es zum Erliegen zu bringen.
- Protokollangriffe: Sie verwenden bösartige Verbindungsanfragen und ähnliche Techniken, die sämtliche Ressourcen Ihrer Firewalls, Load-Balancer und Server aufbrauchen.
- Angriffe auf Anwendungsebene: Sie nutzen Techniken wie das Öffnen einer großen Zahl von Verbindungen und das Initiieren von Anfragen, die den gesamten verfügbaren Speicherplatz oder Arbeitsspeicher Ihrer Webserver aufbrauchen.
Ein DNS-Amplification-Angriff ist eine Form des volumetrischen Angriffs. Dabei werden DNS-Server mit einer gefälschten Quell-IP-Adresse abgefragt – Ihrer IP-Adresse. Da die Antwort der DNS-Server deutlich mehr Daten enthält als die ursprüngliche Anfrage, wird der Angriff „verstärkt“ und dieser verstärkte Datenverkehr an Ihr Netzwerk gesendet, um es zu überlasten.
Ein SYN-Flooding-Angriff ist eine sehr einfache Form des Protokollangriffs. Dabei werden SYN-Anfragen an Ihren Webserver gesendet. Nach dem Versand seiner SYN-ACK-Antwort wird der Drei-Wege-Handshake jedoch nie mit einem ACK abgeschlossen. Dadurch steigt die Zahl der halboffenen Verbindungen auf dem Server rapide an, bis er überlastet ist und (wahrscheinlich) abstürzt. Laut Comparitech sind SYN-Flooding-Angriffe die häufigste Form von DDoS-Angriffen.
Es gibt zahlreiche weitere Arten von DDoS-Angriffen, darunter Ping of Death, Smurf Attack, Slowloris und Fraggle Attack. Jede davon verfolgt auf einem anderen Weg dasselbe Ziel: Ihre Systeme zum Erliegen zu bringen, sodass legitimer Datenverkehr nicht mehr mit Ihrem Netzwerk interagieren kann.
Best Practices zur DDoS-Abwehr
Hier sind zehn Best Practices, die Sie bei der Entwicklung Ihrer Strategie zur DDoS-Abwehr umsetzen sollten.
1. Erstellen Sie einen Plan
Eine der wichtigsten Maßnahmen zur Abwehr eines DDoS-Angriffs ist ein Reaktionsplan oder Runbook, das Sie konsultieren können, sobald der Angriff erkannt wurde. Es sollte die Kontaktdaten Ihres Internetdienstanbieters, Hosting-Providers oder DDoS-Abwehrdienstes enthalten, damit Sie Ihre Bandbreite oder andere Ressourcen schnell erhöhen, Ihren Datenverkehr umleiten und weitere Reaktionsmaßnahmen ergreifen können.
Eine der effektivsten Methoden, mit einem großen DDoS-Angriff umzugehen, besteht darin, Ihren Datenverkehr (mithilfe von DNS- oder sogar BGP-Änderungen) an einen der großen cloudbasierten DDoS-Abwehrdienste umzuleiten – etwa an die von Akamai, Cloudflare und AWS betriebenen Dienste. Diese können enorme Mengen an DDoS-Datenverkehr „bereinigen“, indem sie bösartigen Datenverkehr verwerfen und legitimen Datenverkehr zu Ihrem Netzwerk durchlassen.
2. Verstehen Sie Ihren Datenverkehr
Nach der Einrichtung Ihres Notfallplans besteht der erste Schritt bei der DDoS-Abwehr darin, Ihre normalen Datenverkehrsmuster zu verstehen. Dazu gehören das Volumen sowie die Quellen und Ziele Ihres Datenverkehrs. Wenn Sie wissen, was normal ist, können Sie leichter erkennen, wann ein DDoS-Angriff stattfindet.
3. Entwerfen Sie eine robuste Architektur
Stellen Sie sicher, dass Ihre IT-Infrastruktur keinen Single Point of Failure aufweist, den DDoS-Angriffe ausnutzen können. In der Praxis bedeutet das, für geografische Vielfalt und eine Vielfalt von Dienstanbietern zu sorgen: Server in verschiedenen Rechenzentren und geografischen Regionen zu platzieren und sicherzustellen, dass diese Rechenzentren an unterschiedliche Netzwerke angebunden sind und über verschiedene Pfade verfügen.
Das mag unnötig komplex oder kostspielig erscheinen. Ein zusätzlicher Vorteil dieses Ansatzes besteht jedoch darin, dass er auch für Geschäftskontinuität und Notfallwiederherstellung als Best Practice gilt.
4. Sorgen Sie für Redundanz
Redundanz ist ein zentraler Bestandteil jeder Strategie zur DDoS-Abwehr. Dazu gehören mehrere Server, Rechenzentren und Internetdienstanbieter, damit bei einem Ausfall durch einen DDoS-Angriff andere weiterhin betrieben werden können.
5. Nutzen Sie Ratenbegrenzung
Eine Ratenbegrenzung kann dazu beitragen, eine Überlastung Ihrer Server während eines DDoS-Angriffs zu verhindern. Indem Sie die Zahl der Anfragen begrenzen, die ein Server innerhalb eines bestimmten Zeitraums von einer einzelnen IP-Adresse akzeptiert, können Sie Ihre Server vor einer Überlastung schützen.
6. Stellen Sie ausreichend Bandbreite bereit
DDoS-Angriffe können enorme Datenmengen erreichen, daher ist eine großzügige Bandbreite sinnvoll. Der Cloudflare-Bericht und der zuvor erwähnte Layer-7-DDoS-Angriff auf Google Cloud unterstreichen jedoch, dass es unpraktikabel ist, sämtliche DDoS-Angriffe allein mit Bandbreite abwehren zu wollen.
Eine großzügige Anbindung Ihres Netzwerks an Bandbreite ist dennoch eine gute Cybersicherheitsmaßnahme, denn sie kann Ihnen zwischen der Erkennung eines DDoS-Angriffs und dem Zeitpunkt, an dem Ihre Systeme nicht mehr verfügbar wären, zusätzliche Zeit verschaffen. Diese Zeit können Sie nutzen, um den Angriff abzuwehren.
Ausreichend Bandbreite – dauerhaft oder als Burst-Kapazität – zur Verfügung zu haben, ist eine gute Idee, um Verkehrsspitzen oder Phasen mit sehr hoher Nachfrage nach Ihren Diensten bewältigen zu können.
7. Nutzen Sie alle anderen verfügbaren technischen Maßnahmen
Stellen Sie sicher, dass Ihre Netzwerkhardware so konfiguriert ist, dass sie alle enthaltenen Funktionen zum Schutz vor DDoS-Angriffen nutzt. Viele im Handel erhältliche Netzwerk-Firewalls, Web Application Firewalls und Load-Balancer können beispielsweise vor Protokollangriffen und Angriffen auf Anwendungsebene (etwa Slowloris) schützen. Die meisten verfügen außerdem über Einstellungen, mit denen TCP-Verbindungen ab einem bestimmten Schwellenwert geschlossen werden können. Das kann ein wirksamer Schutz vor SYN-Flooding-Angriffen sein.
Wenn Sie angegriffen werden, können Sie abhängig von der Art des Angriffs zahlreiche Gegenmaßnahmen ergreifen, um Zeit zu gewinnen. Dazu gehören die Ratenbegrenzung auf Ihrem Router, damit Ihr Webserver nicht überlastet wird, das Hinzufügen von Filtern, die Pakete bekannter Angriffsquellen von Ihrer Firewall verwerfen lassen, das aggressivere Beenden halboffener Verbindungen sowie niedrigere Schwellenwerte zum Verwerfen von SYN-, ICMP- und UDP-Floods.
Sie sollten außerdem die Bereitstellung einer Cybersicherheits-Appliance zum Schutz vor DDoS-Angriffen in Betracht ziehen, die Ihrer Hauptfirewall vorgeschaltet ist und versucht, einige DDoS-Angriffe zu erkennen und zu blockieren, bevor sie sich auf Ihren Betrieb auswirken. Selbst wenn eine solche Appliance einen erfolgreichen Angriff nicht verhindern kann, erkennt sie möglicherweise einige typische Anzeichen für einen sich entwickelnden Angriff, sodass Sie frühzeitig Gegenmaßnahmen ergreifen können.
8. Nutzen Sie DDoS-Schutzdienste
Es gibt zahlreiche DDoS-Schutzdienste, die dabei helfen können, die Auswirkungen eines DDoS-Angriffs zu verringern. Diese Dienste können DDoS-Angriffe erkennen und darauf reagieren, oft noch bevor sie Ihr Netzwerk beeinträchtigen. Mehr über diese Dienste erfahren Sie weiter unten.
9. Lernen Sie, einen Angriff zu erkennen
Je früher Sie einen DDoS-Angriff erkennen, desto besser. Typische Warnzeichen sind eine Verlangsamung des Netzwerks, zeitweise Probleme mit Website und Intranet sowie eine schlechte Netzwerkleistung.
Auf Grundlage von Best Practice Nr. 2 oben sollten Sie Ihre regulären Datenverkehrsmuster gut kennen. Außerdem sollten Sie über geschäftliche Aktivitäten informiert sein, die das Profil des eingehenden Datenverkehrs verändern könnten.
Denn viele DDoS-Angriffe beginnen mit starken Verkehrsspitzen. Sie müssen daher zwischen einem plötzlichen Anstieg legitimer Besucher – etwa aufgrund einer Werbeaktion oder anderer geschäftlicher Aktivitäten – und dem Beginn eines DDoS-Angriffs unterscheiden können.
10. Testen Sie Ihre Strategie zur DDoS-Abwehr regelmäßig
Regelmäßige Tests Ihrer Strategie zur DDoS-Abwehr sind unerlässlich. Sie können dabei helfen, Schwachstellen in Ihrer Strategie zu erkennen und notwendige Anpassungen vorzunehmen. So können Sie dabei vorgehen:
Simulieren Sie DDoS-Angriffe
Eine der effektivsten Methoden, Ihre Strategie zur DDoS-Abwehr zu testen, besteht darin, einen DDoS-Angriff auf Ihrem eigenen Netzwerk zu simulieren. Dazu können verschiedene Tools und Techniken eingesetzt werden, die große Datenverkehrsmengen in Ihr Netzwerk leiten und so die Bedingungen eines echten DDoS-Angriffs nachahmen. Dadurch können Sie bewerten, wie Ihr Netzwerk unter diesen Bedingungen reagieren würde, und potenzielle Schwachstellen erkennen.
Überprüfen und aktualisieren Sie Ihren Plan
Nach einem simulierten Angriff ist es entscheidend, die Ergebnisse zu überprüfen und Ihre Strategie zur DDoS-Abwehr entsprechend zu aktualisieren. Dazu kann gehören, die Einstellungen für die Ratenbegrenzung anzupassen, Ihre IP-Blocklisten zu aktualisieren oder neue Strategien zur Umleitung des Datenverkehrs umzusetzen. Außerdem ist dies ein guter Zeitpunkt, um sicherzustellen, dass Ihr Team mit dem Plan vertraut ist und weiß, was im Falle eines tatsächlichen Angriffs zu tun ist.
Beziehen Sie Ihren DDoS-Abwehrdienstleister ein
Wenn Sie einen DDoS-Abwehrdienst nutzen, sollten Sie ihn in Ihren Testprozess einbeziehen. Aufgrund seiner Fachkenntnisse und Erfahrung mit DDoS-Angriffen kann er wertvolle Erkenntnisse und Empfehlungen liefern. Möglicherweise kann er auch bei der Simulation von DDoS-Angriffen helfen und so eine realistischere Testumgebung schaffen.
Führen Sie eine kontinuierliche Überwachung durch
Regelmäßige Tests sollten durch eine kontinuierliche Überwachung Ihres Netzwerkverkehrs ergänzt werden. So können Sie ungewöhnliche Aktivitäten erkennen, die auf einen DDoS-Angriff hindeuten könnten. Eine frühzeitige Erkennung ist entscheidend, um die Auswirkungen eines Angriffs zu minimieren.
3 führende Dienste zur Abwehr von DDoS-Angriffen
Es gibt zahlreiche Dienste zur Abwehr von DDoS-Angriffen, die jeweils eine einzigartige Kombination aus Funktionen und Möglichkeiten bieten. Hier sind drei führende Dienste, die jeweils robusten Schutz vor DDoS-Angriffen bieten.
Cloudflare
Cloudflare bietet robuste DDoS-Schutzdienste, die alles schützen sollen, was mit dem Internet verbunden ist. Zu den wichtigsten Funktionen und Angeboten gehören drei Arten von DDoS-Schutzdiensten:
- DDoS-Schutz für Websites mit Web Services (L7): Dieser Dienst ist in allen Cloudflare-Tarifen für Website-Anwendungen ohne Mengenbegrenzung und kostenlos enthalten. Er bietet unbegrenzte und nicht nach Datenmenge abgerechnete Abwehr und Schutz vor DDoS-Angriffen auf Websites (HTTP/HTTPS). Die Einrichtung erfolgt einfach über das Cloudflare-Dashboard oder die API.
- DDoS-Schutz für Anwendungen mit Spectrum (L4): Dabei handelt es sich um einen Reverse-Proxy-Dienst für alle TCP/UDP-Anwendungen (Gaming, VoIP usw.), der nach tatsächlicher Nutzung abgerechnet wird. Er ermöglicht die Weiterleitung beliebigen TCP/UDP-Datenverkehrs über Cloudflare Spectrum und bietet integrierte Leistungsvorteile. Außerdem kann Datenverkehr auf Layer 4 auf mehrere Server verteilt werden.
- DDoS-Schutz für Netzwerke mit Magic Transit (L3): Dieser Dienst ist für lokale, Cloud- und hybride Netzwerke vorgesehen. Er kombiniert DDoS-Schutz, Datenverkehrsbeschleunigung und weitere Funktionen. Er verfügt über eine Netzwerkkapazität von mehr als 197 Tbps und kann die meisten Angriffe in weniger als 3 Sekunden abwehren. Die Integration erfolgt über BGP-Routing und GRE-Kapselung; unterstützt werden alle IP-Dienste (TCP, UDP, IPSec, VoIP und benutzerdefinierte Protokolle).
- Funktionen ausschließlich für Unternehmen: Unternehmenskunden erhalten rund um die Uhr an 365 Tagen im Jahr Support per Chat, E-Mail und Telefon, eine Verfügbarkeitsgarantie von 100 % mit einer SLA-Erstattung in Höhe des 25-Fachen sowie planbare Pauschalpreise für nutzungsabhängige Produkte. Hinzu kommen erweiterte Cache-Steuerung, Bot-Management, Zugriff auf Rohprotokolle, Firewall-Analysen, rollenbasierte Zugriffssteuerung und Netzwerkpriorisierung.
Akamai
Akamai ist ein weltweit führender Anbieter von Content-Delivery-Network-(CDN-)Diensten, Cloud-Sicherheit und verteilten Netzwerklösungen. Die DDoS-Schutzlösungen sind Teil des umfassenderen Sicherheitsportfolios und dienen der Abwehr sowohl kleiner als auch groß angelegter DDoS-Angriffe.
- Prolexic Routed: Dieser Dienst bietet kontinuierlichen DDoS-Schutz für kritische IP-Subnetze und hilft dabei, die volle Wucht von DDoS-Angriffen am Netzwerkrand abzufangen, bevor sie die Anwendungsinfrastruktur erreichen. Er schützt vor allen Arten von DDoS-Angriffen und wird durch eine robuste SLA abgesichert.
- Prolexic Connect: Dies ist ein DDoS-Schutzdienst auf Abruf, der bei Erkennung eines Angriffs aktiviert werden kann. Er bietet die Flexibilität, den Datenverkehr während eines Angriffs nur über die Scrubbing-Center von Akamai zu leiten und so die Auswirkungen auf den normalen Betrieb zu verringern.
- Kona Site Defender: Hierbei handelt es sich um eine Web Application Firewall und einen DDoS-Schutzdienst, die vor DDoS-Angriffen auf Anwendungsebene schützen. Der Dienst kann für einen umfassenden DDoS-Schutz mit Prolexic-Diensten kombiniert werden.
- Akamai Intelligent Platform: Die Plattform von Akamai ist eine der weltweit größten Plattformen für verteiltes Computing. Sie nutzt diese Plattform, um Inhalte und Anwendungen zu verteilen, deren Auslieferung zu beschleunigen und die Leistung zu verbessern, setzt sie aber auch für die Sicherheit ein. Die Größe und Verteilung der Plattform helfen dabei, DDoS-Angriffe abzufangen und abzuwehren.
- Security Operations Center: Das Security Operations Center (SOC) von Akamai überwacht und bekämpft Angriffe rund um die Uhr in Echtzeit. Das SOC ist mit Sicherheitsexperten besetzt, die während eines Angriffs sofortige Unterstützung leisten können.
AWS Shield
AWS Shield ist ein verwalteter DDoS-Schutzdienst, der Anwendungen schützt, die auf AWS ausgeführt werden. AWS Shield bietet mit AWS Shield Standard allen AWS-Kunden automatisch DDoS-Schutz ohne zusätzliche Kosten. Für ein höheres Schutzniveau gegen größere und ausgefeiltere Angriffe ist AWS Shield Advanced verfügbar. Zu den wichtigsten Funktionen und Möglichkeiten gehören:
- Kostenschutz bei DDoS-Angriffen: AWS Shield Advanced bietet finanziellen Schutz, indem zusätzliche Datenübertragungskosten übernommen werden, die während eines DDoS-Angriffs entstehen können.
- Zugriff auf das DDoS Response Team (DRT) rund um die Uhr: Kunden von AWS Shield Advanced haben rund um die Uhr Zugriff auf das AWS DRT. Das DRT verfügt über umfangreiche Erfahrung bei der Bewältigung groß angelegter DDoS-Angriffe und kann bei der Erstellung von Plänen zur Reaktion auf Vorfälle, der Abwehr von Angriffen und der Beantwortung technischer Fragen unterstützen.
- Erweiterte Bedrohungsinformationen: Kunden von AWS Shield Advanced erhalten während und nach Angriffen detaillierte Berichte zur Bedrohungslage. Diese Berichte enthalten Informationen über die Methoden und Strategien der Angreifer, die zur weiteren Verbesserung der Abwehrmaßnahmen genutzt werden können.
- Integration einer Web Application Firewall: AWS Shield lässt sich nahtlos in die AWS Web Application Firewall (WAF) integrieren und bietet umfassenden Schutz vor DDoS-Angriffen und anderen komplexen Angriffen auf Webanwendungen.
- Kosteneffiziente Skalierung: AWS Shield und die umfassendere AWS-Infrastruktur sind so ausgelegt, dass sie als Reaktion auf den Datenverkehrsbedarf automatisch skalieren – auch während eines DDoS-Angriffs. Dies kann dazu beitragen, die Verfügbarkeit von Anwendungen sicherzustellen, ohne unnötige Kosten zu verursachen.
- Schutz für Ressourcen außerhalb von AWS: Mit AWS Shield Advanced können Sie auch Ihre Ressourcen außerhalb von AWS schützen, indem Sie AWS Global Accelerator bereitstellen und mit Shield Advanced verknüpfen.
Fazit: Best Practices zur DDoS-Abwehr in einer sich wandelnden Bedrohungslandschaft
Angesichts der sich ständig weiterentwickelnden Cyberbedrohungen ist die DDoS-Abwehr keine einmalige Maßnahme, sondern ein kontinuierlicher Prozess. Sie erfordert ständige Wachsamkeit, regelmäßige Anpassungen und einen proaktiven Ansatz, um potenziellen Angriffen immer einen Schritt voraus zu sein.
Wenn Sie diese zehn Best Practices befolgen, können Sie das Risiko und die Auswirkungen dieser Angriffe deutlich reduzieren.
Denken Sie jedoch daran: Der Schlüssel zu einer wirksamen DDoS-Abwehr liegt nicht nur in der Vorbereitung und einer schnellen Reaktion, sondern auch in der fortlaufenden Bereitschaft, Ihre Strategien an die sich wandelnde Bedrohungslandschaft anzupassen und weiterzuentwickeln. Cybersicherheitsexperten müssen wachsam und proaktiv bleiben und sicherstellen, dass Netzwerke nicht nur heute geschützt sind, sondern auch für die Herausforderungen von morgen gerüstet sind.
Mit einem der besten DDoS-Schutzdienste zusammenarbeiten, um sicherzustellen, dass Ihr Netzwerk vor diesen Angriffen geschützt ist.