Verteilte Dienstblockaden Die fünf größten Irrtümer über DDoS-Angriffe

DDoS-Angriffe begünstigen Datendiebstahl. Doch welche IT-Sicherheitsmaßnahmen helfen gegen die Web-Service-Blockaden? Und wen betrifft das DDoS-Risiko überhaupt? Arbor Networks nennt die fünf größten Irrtümer und wichtige Sicherheitsvorkehrungen.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

SEPPmail - Deutschland GmbH

Arbor Networks

Ob IT-Unternehmen, Service-Anbieter oder Endanwender: Das Risiko der verteilten Dienstblockade (Distributed Denial of Service, DDoS) betrifft alle. Entsprechende Angriffe sollen größere Cyber-Attacken meist vorbereiten oder flankieren. Der Diebstahl von Kundendatenbanken ist dabei keine Seltenheit.

Vorbei die Zeit, da kleine Unternehmen oder Einzelstrukturen, weniger interessante Märkte oder Nischenprodukte nicht betroffen waren. Wer mehr über die Zahl und den Umfang von DDoS-Attacken erfahren möchte, der erhält auf der www.digitalattackmap.com „Digital Attack Map“ eine Live-Visualisierung des globalen Angriffsverkehrs.

Die Digital Attack Map wurde von Arbor Networks in Zusammenarbeit mit Google Ideas entwickelt. Die hier dargestellten repräsentativen Daten zeigen die aktuellen Angriffe, die aus ständig analysierten 120 Terabit pro Sekunde des gesamten Internetdatenverkehrs weltweit erhoben werden.

Die Zahlen stammen aus dem Monitoring-System ATLAS (Arbor Threat Level Analysis System) und zeigen: Die Angriffe verändern sich ständig, und damit auch die Voraussetzungen für einen effizienten Schutz. Beide werden immer komplexer.

Viele Unternehmen halten sich für gut geschützt, auch wenn die Sicherheitsmechanismen nicht mehr auf dem neuesten Stand sind. Mitunter glauben Administratoren nicht an eine Bedrohung des eigenen Unternehmens. Deshalb hier die fünf größten Irrtümer zum Thema DDoS – und was man wirklich dagegen tun kann:

Irrtum 1: Firewalls, IPS oder CDN sind eine ausreichende Lösung

Einfache Netzwerkstrukturen sind passé: Heute ist fast jedes Netzwerk komplex und meist mit Cloud-Lösungen externer Anbieter verquickt. Sogenannte Perimeter – also klar definierte Netzwerksegmente an Schnittstellen – gibt es quasi nicht mehr. Traditionelle perimeterorientierte Sicherheitslösungen wie Firewalls und IDS/IPS (Intrusion-Detection- und -Prevention-Systeme) aber schon.

Diese Systeme sind nach wie vor ein wichtiger Teil der meisten Sicherheitsstrategien, für bestimmte Arten von DDoS-Angriffen sind sie aber anfällig. Sie lassen sich manipulieren und können sogar zu einer Verschärfung von Angriffen beitragen. Denn die perimeterorientierten Lösungen arbeiten mit einer so genannten „Stateful-Inspection“, einer dynamischen Paketfilterung anhand des Verbindungsstatus.

Auch CDNs (Content Delivery Networks) sind keine Lösung zur Abwehr von DDoS-Angriffen. Im Gegenteil: CDNs reagieren nur auf die Symptome eines Angriffs und öffnen den Angriffsdaten sogar noch die Tür. Denn die riesigen Datenmengen eines DDoS-Angriffs werden durch ein CDN sozusagen absorbiert. Alle Daten gelangen in das Netzwerk und werden darin verteilt.

Die meisten CDN-basierten Lösungen für den DDoS-Schutz sind zudem nur für Angriffe über die Protokolle HTTP und HTTPS ausgelegt. Andere, mittlerweile häufige Angriffsarten – wie zum Beispiel Verstärkungsangriffe über Netzwerkinfrastruktur-Komponenten wie Domain Name Servern (DNS) und Network Time Protocol (NTP) – werden erst gar nicht erkannt.

Irrtum 2: DDoS-Schutz auf einer Ebene ist ausreichend

Heutige DDoS-Angriffe setzen sich aus mehreren, dynamisch kombinierten Vektoren zusammen: volumetrische Angriffe, TCP-Überlastungsangriffe (State Exhaustion) und Attacken auf der Applikationsebene. Kurz: man benötigt ein mehrstufiges Schutz-Verfahren.

Massive Flooding-Angriffe lassen sich am besten durch einen in der Cloud des Service-Providers implementierten „Upstream“-Schutzmechanismus abwehren. So werden die lokale Internet-Konnektivität und lokal installierte DDoS-Schutzsysteme erst gar nicht in Mitleidenschaft gezogen. Umgekehrt lassen sich verdeckte Angriffe auf der Applikationsebene am besten abwehren, wenn sich die Schutzmechanismen auf den Kundensystemen vor Ort und damit in räumlicher Nähe zu den Schlüsselapplikationen und Diensten befinden.

Entscheidend dabei ist, dass diese beiden Ebenen auf intelligente Weise miteinander kommunizieren und ständig mit aktualisierten Informationen über neue maliziöse Aktivitäten und Angriffsarten versorgt werden. Nur mit solchen dynamisch kombinierten Vektoren lassen sich DDoS-Angriffe wirksam abwehren.

Irrtum 3: „Wir“ sind als Angriffsziel uninteressant

DDoS Angriffe haben dramatisch zugenommen. Der Grund dafür ist einfach: Nie zuvor war es so simpel, einen DDoS-Angriff auszuführen. Für ein paar Euro oder sogar kostenlos kann man geeignete Tools aus dem Internet laden und damit Schäden in Millionenhöhe auslösen. Aber warum? Schon eine konträre Meinung, eine andere politische Einstellung, Geldnöte oder einfach Ärger mit dem Chef sind häufige Motive für DDoS-Angriffe.

Das kann Ihnen nicht passieren? Spätestens, wenn Ihre Dienste in einer gemeinsamen Cloud-Umgebung gehostet werden, kann jeder in Mitleidenschaft gezogen werden – ohne selbst das direkte Ziel des Angriffs zu sein. Wer bis heute noch nicht Opfer eines DDoS-Angriffs geworden ist, hat statistisch betrachtet einfach nur Glück gehabt.

Irrtum 4: Der Schaden rechtfertigt nicht die Sicherheitsausgaben

Ein DDoS-Angriff kann unmittelbaren und schweren Schaden verursachen. Oft werden nämlich die indirekten und Folgekosten eines Angriffs vergessen: Kosten für Service-Level-Agreements (SLAs), Honorare oder Gebühren für Rechtsbeistände, PR-Kosten zur Reduzierung von Imageschäden, verstärkte Kundenabwanderung und vieles mehr.

Es sind sogar Fälle bekannt, in denen Mitglieder des Vorstands oder Aufsichtsrats wegen nicht verhinderter DDoS-Angriffe entlassen wurden. Ein effizientes Risikomanagement und ein direkter Kostenvergleich zeigen: DDoS-Schutz lohnt sich.

Irrtum 5: DDoS-Angriffe sind keine komplexen Bedrohungen

Technisch betrachtet sind DDoS-Angriffe tatsächlich nicht sehr komplex. Jüngste Studien über Botnets und DDoS-Angriffe zeigen aber, dass DDoS-Angriffe meist eng mit komplexen Bedrohungsszenarien verzahnt sind, die sich Malware, RATs (Remote Access Trojan) und andere Systeme zu Nutze machen.

DDoS-Angriffe werden demzufolge häufig zielgerichtet eingesetzt, beispielsweise

• zum Auskundschaften des Abwehrverhaltens von Unternehmensnetzwerken bei einer Bedrohung

• zur Verschleierung während des Einschleusens von Malware: Forensisch verwertbare Produktprotokolle und Datendateien werden mit Informationen überschwemmt, um so die Suche nach eingeschleuster Malware zu erschweren

• für Datendiebstahl: Hier wird durch DDoS-Angriffe vom eigentlichen Angriffsziel abgelenkt

Diese Erkenntnisse werfen nun bei jedem verzeichneten DDoS-Angriff die Frage auf, ob es sich um ein isoliertes Ereignis oder einen Bestandteil eines komplexeren Angriffs auf ein Unternehmen handelt.

(ID:43410114)