DDoS-Angriffe werden intelligenter

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Diese neue Spezies von Browser-basiertem Bot ließ sich von Imperva nicht mehr mit den herkömmlichen Abwehrmaßnahmen stoppen. Selbst ein Aufkommen von 50-100 Anfragen/s würde laut Incapsula die meisten mittelgroßen Webseiten außer Gefecht setzen. Fast 30% aller Botnetzangriffe zielt auf die Infiltration von 50 Zielen pro Monat, und mehr als ein Viertel aller Botnetze findet sich Indien, China und Iran. Daher auch die Dominanz der chinesischen Suchmaschinen-Bots. Die Wachstumsrate solcher Angriffe ist alarmierend: 2014 verzeichnete Imperva pro Woche 12 Mio. einzelne DDoS-Sessions, was einer Steigerung um 240% gegenüber dem beobachteten Vorjahreszeitraum entspricht.

Abwehrmaßnahmen

Imperva empfiehlt eine erhebliche Verfeinerung der Filtermethoden, um solche Bots abzuwehren. Gefälschte Suchmaschinen-Bots legen ein typisches Verhalten an den Tag. Entspricht dieses Verhalten nicht den erwarteten Vorgaben, dann handelt es sich wahrscheinlich um einen gefälschten Bot. Ähnliches gilt für deren Herkunft, die leicht ersichtlich ist, weil sich auf dieser Ebene (Layer 7) keine IP-Adressen fälschen lassen, wie Incapsula schreibt. Da das Volumen der Angriffe steigt, empfiehlt Incapsula Cloud-basierte Abwehrdienste. Imperva etwa hat die Abwehrkapazität seiner Tochterfirma im ersten Quartal 2014 bereits auf satte 630 Gbps Datendurchsatz erhöht und plant weitere Erhöhungen.

Ein typischer Abwehrdienst wird von Interoute auch in Europa angeboten, einem Carrier von Glasfasernetzwerken. Der bösartige DDoS-Traffic aus einem Botnetz wird von einem Threat Management Server (TMS) abgefangen, bevor er das Rechenzentrum eines Kunden erreicht. Die Kapazität liegt laut Markus Dietrich derzeit bei 10 bis 20 Gbps. Das Vernichten des Botnetz-Traffics erfolgt über Droppen der Pakete oder Blackholing über Partner. Der Haken bei diesem TMS-Einsatz: Da die Belastung der Performance zu hoch wäre, wenn der TMS dauernd aktiv wäre, wird er nur auf Anfrage des Kunden zugeschaltet. "Es besteht auch das Risiko, 'guten' Traffic wegzuwerfen, den der Kunde wünscht", gibt Dietrich zu bedenken.

Beim Outsourcing setzen die Kunden auf die Abwehrfähigkeiten ihres Dienstleisters. Die All for One Steeb AG, ein führender Dienstleister im SAP-Mittelstandsmarkt (Jahresumsatz 2012/13: 186 Mio. EUR) schützt ihre Kunden und deren Services durch mehrere Maßnahmen, berichtet Vorstandssprecher Lars Landwehrkamp. "Unsere gesamte Firewall-Infrastruktur ist durchgängig zweistufig ausgebaut. Die Netzsegmente, die unsere beiden Rechenzentren miteinander verbinden, verfügen extra über keine direkte Anbindung an das Internet. Zudem haben wir gewissermaßen an vorderster Front unserer demilitarisierten Schutzzonen ein aufwändiges Intrusion Detection System im Einsatz."

Um herauszufinden, ob diese Infrastruktur mit der Technologie potentieller Angreifer Schritt halten kann, lässt All for One Steeb regelmäßig Penetrationstests durchführen. "Das erfolgt bei uns extern, etwa von KPMG, grundsätzlich aber auch im Rahmen unserer Zertifizierungen und Rezertifizierungen, etwa als SAP Certified Provider of Hosting oder Cloud Services", erläutert Landwehrkamp. Bei diesen Penetrationstests werden etwa Security Scans und Firewall-Audits durchgeführt. Weitere Tests beträfen den Faktor Mensch, etwa beim Social Engineering und Phishing. Man sieht also, dass sich Dienstleister durchaus berufen und in der Lage sehen, DDoS-Attacken abzuwehren.

(ID:42738606)