DDoS-Attacken gezielt abwehren

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

Onapsis Europe GmbH

So nah wie möglich an der Quelle

In erster Linie sind Webserver das Ziel von DDoS-Attacken. In 20 Prozent der Fälle werden sie tatsächlich erreicht und zum Stoppen gebracht. Viel größer ist aber die Wahrscheinlichkeit, dass die davor stehenden Firewalls überlastet werden oder die Anbindung an den Carrier.

Dies ist fatal, weil dann alle Sicherheitskomponenten in der IT-Infrastruktur nutzlos sind, die eigentlich DDoS-Attacken abfangen sollen. Der Datenverkehr muss zu einem sogenannten „Scrubbing Center“ umgeleitet werden, um den Angriff abzuwenden.

Firewalls und Intrusion-Prevention-Systeme (IPS) als wichtige Bestandteile einer Sicherheitsstrategie wurden nicht speziell für die Abwehr von DDoS-Attacken entwickelt. IPS blocken Angriffe, die auf Datenklau abzielen. Firewalls verhindern unautorisierten Zugriff auf Daten. Sie schützen also die Integrität des Netzwerks und die Daten, sichern aber nicht die Verfügbarkeit.

Einige Firewalls bieten DDoS-Schutz. Diese Funktionen schützen aber nur das interne Netzwerk und nicht den Internet-Zugang, der bereits durch den DDoS-Angriff überflutet worden sein kann. Der effektivste Schutz eines Netzwerks vor einer Attacke ist, diese so nah wie möglich an der Quelle zu bekämpfen. Ein DDoS wird also bestenfalls abgewehrt, bevor er die Internet-Anbindung des Unternehmens überflutet und jegliche externe Verbindung stilllegt.

Leisten kann dies ein Security Service Provider, der ein eigenes Security Operation Center (SOC) mit einem im eigenen Netzwerk integrierten DDoS-Schutz betreibt. Dieser kann den Angriff erkennen und abwehren, bevor er den Kunden erreicht. Netzwerkbasierte Lösungen von Providern haben außerdem den Vorteil, dass sie sich einfach skalieren lassen.

Unterstützung vom Provider

Wollen sich Unternehmen auf diesem Wege schützen, so müssen sie auf eine Reihe von Aspekten achten. Der Provider sollte den DDoS-Schutz an strategischen Punkten in seinem gesamten Netzwerk angeordnet haben, um eine kontinuierliche Funktion und bestmögliche Round Trip Times (RTT) zu gewährleisten, falls doch Verkehr umgeleitet werden müsste.

An diesen Punkten erhalten die Kollektoren Netflow-Telemetrie-Daten aus dem Grenzbereich des Netzwerks, um jede anormale Aktivität schnell zu erkennen. Die Lösung sollte den Betrieb aktiv aufnehmen, sobald Anomalien erkannt werden, ohne dass der Kunde selbst reagieren muss. Verdächtiger Verkehr wird verworfen, um die Bandbreite zu schützen und die Verfügbarkeit von Diensten zu sichern.

Idealerweise überwacht die Lösung den Verkehr kontinuierlich, sodass der Kunde immer für eine Attacke gewappnet ist. Das spart Kosten und Konfigurationsarbeit, da die Parameter erst nach einer bestimmten Betriebsdauer optimal eingestellt sind. Die Kunden erfahren dann zum Teil erst aus dem Report von einem Angriff. Einige Provider bieten auch die Möglichkeit einer spontanen Aufschaltung, etwa im Vorfeld einer Erpressung oder im Fall eines konkreten Angriffs.

Entsprechende Security Services lassen sich demnach individuell an die Sicherheitsbedürfnisse anpassen. Es ist keine zusätzliche Hardware nötig, da alle Komponenten vom Provider betrieben werden. Durch die direkte Anbindung im Netzwerk und die kontinuierliche Überwachung muss der Verkehr bei einer Attacke nicht mehr in ein Scrubbing Center umgeleitet werden.

Die Technologie ermöglicht es dem Kunden, seine Internet-Dienste auch während eines Angriffs weiter zu nutzen bzw. zu betreiben. Dadurch werden die Effekte koordinierter Attacken wie entgangene Einnahmen durch Ausfallzeiten minimiert. Die Netzwerksicherheit erhöht sich ebenso wie die Leistungsfähigkeit der Netzwerkressourcen, was zu einer verbesserten Qualität der Services führt. Zugleich werden Kosten für Hard- und Software sowie für Wartung und Betrieb gespart.

Über den Autor

Joerg Heckwolf ist Product Manager IP Access Security Services bei Colt Technology Services GmbH und seit mehr als zwölf Jahren im Bereich Informationssicherheit tätig. Als Produktmanager verantwortet er das IT-Netzwerk-Security-Portfolio bei Colt.

(ID:42692401)