Volumenbasierter Angriff Abwehr einer DDoS-Attacke in der Praxis

Im Juni ist es Imperva Incapsula gelungen, einen besonders groß angelegten Distributed Denial of Service, kurz DDoS, zu verhindern. Mit einem Traffic von 470 Gigabit pro Sekunde war es der größte Angriff, der bis dato aufgezeichnet wurde.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Keeper Security EMEA Ltd.

Imperva Ltd.

Mehr als vier Stunden dauerte die DDoS-Attacke, mit der sich ein chinesisches Glückspielunternehmen am 14. Juni konfrontiert sah. Das Unternehmen war auch von anderen großangelegten Angriffen betroffen, die täglich innerhalb einer Woche stattfanden und schließlich im besagten Ereignis gipfelten.

Zwar habe es dem Angriff an der Raffinesse von DDoS-Bedrohungen gefehlt, die Imperva Incapsula sonst in seinem Blog beschreibt. Dieser Angriff habe aber ein neues Zeichen im ewigen Tauziehen zwischen Unternehmen, die für Schadensminderung sorgen, und Cyberkriminellen gesetzt.

Schon beim Ausbruch belief sich das Datenvolumen der Attacke auf über 250 Gigabit pro Sekunde (Gbps). Anschließend baute es sich über die folgenden Stunden langsam weiter auf und erreichte um 19:32 Uhr mit 470 Gbps den Höchstwert. Nachdem diesem Peak war der Angriffsverkehr rückläufig und trat innerhalb von 30 Minuten vollständig zurück.

Der Angriff war deutlich komplexer durch Netzwerkschicht-Vorgaben, gestützt durch eine Mischung aus neun verschiedenen Typen von Nutzdaten (Datenpaketen). Der Großteil des Verkehrs wurde zuerst von SYN-Nutzdaten erzeugt, dann durch typische UDP- und TCP-Nutzdaten.

Derartige Neun-Vektor-Angriffe werden laut Imperva nur sehr selten registriert. Relativiert man diese Ansicht, machte dies im ersten Quartal 2016 nicht mehr als 0,2 Prozent aller Netzwerkschicht-DDoS-Attacken gegen die Kunden von Imperva aus.

Für gewöhnlich haben Täter mit der Verwendung von Multi-Vektor-Angriffen das Ziel, zwischen verschiedenen Nutzdaten-Typen zu wechseln, um Schutzmechanismen zu umgehen. So war es auch in diesem Fall: Auf halbem Wege änderten die Täter ihre Vorgehensweise und erhöhten ihre Angriffsrate (gemessen in Mpps, Millionen Pakete pro Sekunde) mithilfe kleinerer Nutzdaten.

Bildergalerie

Als Ergebnis dieser Verlagerung stieg die Paketrate um 17:57 Uhr plötzlich an und erreichte bei ungefähr 110 Millionen Paketen pro Sekunde (Mpps) seinen Höchstwert, kurz bevor der Angriff ausklang. Die Verwendung kleinerer Nutzdaten, um extrem hohe Paketübermittlungsraten zu erreichen, war eine beliebte Taktik bei vielen großen Angriffen, die der Sicherheitsexperte dieses Jahr abwehren konnte.

Diese Vorgehensweise hilft den Tätern, die Rechenleistung modernster Abwehrmechanismen zu reduzieren - eine ihrer größten Schwachstellen. Im ersten Quartal 2016 hat Imperva jeden vierten Tag einen 50+Mpps-Angriff und jeden achten Tag einen 80+Mpps-Angriff abgewehrt. Mehrere davon überstiegen 100 Mpps.

Angriffe abwehren

Mit über zwei Tbps Netzwerkkapazität und über 100 Gbps in vielen der 30 Datenzentren von Imperva sind die Fähigkeiten von Imperva Incapsula einen Angriff solch großen Ausmaßes abzuwehren zweifellos vorhanden.

Die Herausforderung war es, einen Angriff dieser Größenordnung ohne Auswirkungen auf die Millionen rechtmäßiger Website-Besucher des Unternehmens abzuwehren.

Um genau zu sein, war das Netops-Team in der Lage, diesen Angriffsverkehr zwischen 21 Datenzentren mit Anycast zu adressieren, indem sich alle Datenzentren an der Abwehr beteiligten, während gleichzeitig die hohen Kapazitätsspannen aufrecht erhalten wurden. An diesen Orten wurde der Angriffsverkehr durch die Scrubbing Servers BH (Codename Behemoth) geleitet – jeder mit der Fähigkeit, bis zu 170 Gbps und 100 Mpps zu verarbeiten.

Durch Deep Packet Inspection (DPI) wurde der schädliche Datenverkehr von Impervas Scrubbing Algorithmus identifiziert, basierend auf Faktoren wie Protokolltyp, Länge des Inhalts und Quellen-IP. Untersuchungen dieses Datenverkehrs und einige andere Faktoren generierten ein Profil für bösartige Netzwerk-Pakete.

Danach wurden alle Pakete, die in dieses Profil passten, automatisch herausgefiltert, bevor sie das Zielnetzwerk erreichen konnten. Wann immer die Angreifer ihre Muster änderten, justierte sich der Algorithmus neu, um neue gemeinsame Kriterien für die Filterung zu erkennen.

Der regelmäßige Datenfluss im Netzwerk hat weder größere Wellen geschlagen, noch wurde die tägliche Routine davon beeinflusst. Unternehmen müssen Ruhe bewahren und sich um ausgeklügelte Abwehrmechanismen kümmern. Hilfreich ist eine Kombination aus flexiblem Netzwerk-Management, leistungsfähiger Hardware und anpassungsfähiger Security-Software.

(ID:44151832)