Adaptive DDoS-Suppression Abwehr gegen massive DDoS-Angriffe

Anbieter zum Thema

Eye Security GmbH

Netscout, Kastor & Pollux

Die Entwicklung des Internets und der globalen Netzwerktopologie führt zu Veränderungen bei den Angriffsvektoren und -methoden, die es DDoS-Angreifern ermöglichen, herkömmliche Verteidigungsmaßnahmen und Gegenmaßnahmen zu umgehen.

Netzwerkbetreiber haben in den letzten Jahren Überstunden gemacht, um die rasant steigende Nachfrage nach Bandbreite und Durchsatz zu befriedigen, die durch Telearbeit, größere Investitionen in digitale Initiativen und eine schnell wachsende Internet-of-Things-Landschaft (IoT) mit Milliarden von Geräten verursacht wird. Von der Aufrüstung der Infrastruktur bis hin zur Beschleunigung von 5G und anderen Hochverfügbarkeits-Terminen haben die Netzbetreiber dramatische Fortschritte gemacht, wenn es um schnellere Konnektivität mit hohem Volumen geht. Obwohl diese Netzwerk-Upgrades Unternehmen und Privatpersonen dabei helfen, sich zu vernetzen und auf viele neue Arten erfolgreich zu sein, öffnen sie leider auch die Tür für etwas anderes - die Möglichkeit für massive Sicherheitslücken.

Ausbreitung von IoT-Malware

Online-Bedrohungen vermehren sich weiterhin mit großer Geschwindigkeit. Laut dem Netscout Threat Intelligence Report für das erste Halbjahr 2022 gibt es beispielsweise mehr als 500.000 kompromittierte Geräte, die mit IoT-Malware infiziert sind, die in der Lage ist, DDoS-Angriffe (Distributed Denial of Service) zu starten. Der Bericht besagt auch, dass 5,5 Millionen verschiedene gegnerische IPs allein in der ersten Hälfte des Jahres 2022 Netscout-Kunden angegriffen haben. Insgesamt wächst die Bedrohung durch Malware- und Botnet-DDoS-Angriffe, und die erweiterte Internetkapazität verschlimmert die potenziellen Probleme nur.

Angriffsvektoren und -methoden umgehen Schutzmaßnahmen

Die Entwicklung des Internets und der globalen Netzwerktopologie führt zu Veränderungen bei den Angriffsvektoren und -methoden, die es DDoS-Angreifern ermöglichen, herkömmliche Verteidigungsmaßnahmen und Gegenmaßnahmen zu umgehen. In Verbindung mit einer erhöhten Bandbreite und einem höheren Durchsatz sowie einer wachsenden Anzahl missbrauchbarer Geräte ergibt sich daraus das Potenzial für eine neue Art massiver DDoS-Angriffe.

Ein traditioneller Ansatz der Netzbetreiber gegen DDoS-Angriffe ist die Carrier-Grade Network Address Translation (CG-NAT). Damit lassen sich jedoch neuere Online-Geräte und -Dienste nicht schützen, die Protokolle verwenden, die sich nicht hinter NAT befinden und somit ungeschützt sind. Während die bisherigen DDoS-Abwehransätze, die sich auf die Erkennung, Klassifizierung, Rückverfolgung und Abschwächung von Angriffen konzentrieren, bei eingehendem Datenverkehr gut funktioniert haben, können ausgehende und grenzüberschreitende DDoS-Angriffe mit den heutigen robusteren Betreiberinfrastrukturen ebenso verheerend sein.

Kurz gesagt: Was bisher für Netzbetreiber funktioniert hat, ist keine langfristige Lösung mehr. Stattdessen müssen Netzbetreiber ihre Denkweise ändern, sich an die neue Bedrohungslandschaft anpassen und von einer Standardhaltung der DDoS-Abwehr zu einem neuen Paradigma der adaptiven DDoS-Suppression übergehen.

Adaptive DDoS-Suppression

DDoS-Unterdrückung ist notwendig, weil DDoS-Angriffe inzwischen selbst adaptiv sind und die Angreifer im Vorfeld eines Angriffs umfangreiche Erkundungen durchführen, um spezifische Schwachstellen zu ermitteln.

Die Angreifer nutzen auch Botnet-Knoten und Reflektoren/Verstärker, die topologisch an die Ziele angrenzen. Dadurch werden die administrativen Grenzen, die der DDoS-Angriffsverkehr durchqueren muss, minimiert und die Möglichkeiten, solche Angriffe zu stoppen, verringert.

Eine adaptive DDoS-Suppression verlagert die DDoS-Abwehr an die Ränder des Netzwerks, einschließlich direkt innerhalb der Peering- und Kundenaggregations-Points of Presence (PoPs). So können Netzbetreiber DDoS-Angriffsverkehr unterdrücken, sobald er irgendwo am Netzrand eintritt, und ihn stoppen, bevor er zu einem groß angelegten Angriff werden kann.

Durch die Implementierung von Edge-basierter Angriffserkennung, intelligenter DDoS-Abwehr und auf der Netzwerkinfrastruktur basierender Abwehrtechniken an allen Netzwerkeingangspunkten können Betreiber adaptive DDoS-Suppression-Systeme implementieren, die skalierbar sind, um DDoS-Angriffskapazitäten und gegnerischen Innovationen zu begegnen.

Über den Autor: Karl Heuser ist Account Manager Security DACH bei Netscout.

(ID:49433619)