Botnetz-gestützten DDoS-Angriffen und Erpressungsversuchen standhalten

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

IP-Adressen des Botnetzes blockieren

Je nach Größe und Organisation eines Netzwerks aus Zombie-PCs, wie die geknackten Rechner oft genannt werden, kann sich dessen Abwehr als sehr aufwändig erweisen. So wurden Ende 2008 die Nameserver des Anbieters InternetX das Opfer einer Datenflut, die nicht mehr einzudämmen war: 40.000 unterschiedliche IP Adressen sorgten für einen Traffic von über 20 Gigabit pro Sekunde, was zu einem Ausfall vieler Internetauftritte führte.

Die Muster eines angreifenden Rechners lassen sich von denen eines legitimen Besuchers oftmals nur schwer unterscheiden. Somit bleibt oft nur die manuelle Analyse des Datenverkehrs und Blockierung der IP-Adressen. Zwar können Firewall-Regeln dieses Vorgehen automatisieren, jedoch treten dann zwangsläufig auch vermehrt False Positives auf.

Angriffe auf die Anwendungsschicht abwehren

So unterschiedlich die den Botnetzen zugrunde liegende Malware programmiert ist, so unterschiedlich verlaufen auch die Angriffe. Weniger professionelle Botnetze versuchen einen Dienst wie den freien Webserver Apache oder Microsoft IIS direkt anzugreifen, indem der Server auf Port 80 (oder 443) mit Verbindungsanfragen überflutet wird.

Abhilfe schafft hierbei oftmals schon das Ausschalten der KeepAlive-Direktive unter Apache oder das Setzen eines niedrigen Timeout-Wertes im Kernel des Servers. Inaktive Verbindungen werden dadurch schneller beendet, was einen Angriff häufig drosselt beziehungsweise ins Leere laufen lässt.

Zusätzlich kann der Administrator spezielle Module zur Filterung einsetzen. Damit lassen sich IP-Adressen für einen festgelegten Zeitraum komplett blockieren, sofern diese ein erlaubtes Limit an Verbindungen pro Minute überschreiten.

UDP

Seite 3: Direkte Attacken auf TCP- und UDP-Basis

(ID:2021511)