DDoS-Angriffe werden immer häufiger und größer. Das Wettrüsten zwischen Angreifern und Verteidigern geht weiter. Google meldet neuen DDoS-Rekord auf Layer 7: Das Mēris-Botnetz soll bis zu 46 Millionen HTTPS-Verbindungsanfragen pro Sekunde aus 132 Ländern an Google Cloud gesendet haben. Das Unternehmen vergleicht die Flut an Datenpaketen mit allen Wikipedia-Aufrufen eines ganzen Tages, konzentriert auf zehn Sekunden. Nach eigenen Angaben konnte Google den Angriff verhindern.
Am 1. Juni beobachtete Google einen DDoS-Angriff von nicht weniger als 5.256 IP-Adressen. Von anfangs gut 10.000 https-Anfragen pro Sekunde an einen https-Loadbalancer wuchs die schiere Datenmenge bald auf 100.000 an. Googles Werbebericht besagt, dass die Systeme dem namenlosen Google-Cloud-Client eine Abwehrmaßnahme empfohlen haben, die sie nach einer kurzen Testphase umgesetzt haben.
Das scheint die Autoren verärgert zu haben. In den zwei Minuten nach Beginn der wirksamen Abwehr sendeten die Angreifer Millionen von Anfragen pro Sekunde an Google Cloud, mit einem Spitzenwert von 46 Millionen pro Sekunde. Damit wurde der bisher bekannte Maximalwert eines Layer-7-DDoS-Angriffs um drei Viertel überschritten: Im Juni konnte Cloudflare ein Manöver mit bis zu 26 Millionen Anfragen pro Sekunde verhindern. Auch diesmal sollen die Angreifer keinen nennenswerten Erfolg gehabt haben. Nach insgesamt 69 Minuten war das Gespenst vorbei.
Der teure Angriff entgeht
Ein solch gewaltiger Angriff mit verschlüsselten Verbindungen belastet nicht nur Zielsysteme und vorgelagerte Netze, sondern erfordert auch erhebliche Rechenressourcen auf Seiten des Angreifers. Botnet-Betreiber, die „ihre“ Systeme für diese Verbrechen zur Verfügung stellen, werden dafür gut bezahlt. Daher vermutet Google, dass der Angreifer bald aufgegeben hat. Der Angriff war also teuer, aber wirkungslos.
Google schreibt fast ein Drittel der Angriffe IP-Adressen aus nur vier der 132 Länder zu: Indonesien, Brasilien, Russland und Indien. Google hat 22 % aller Quelladressen als Tor-Ausgangsknoten erkannt. Sie waren jedoch nur für drei Prozent des Angriffsvolumens verantwortlich, ein relativ bescheidener Beitrag. Bei 46 Millionen Anfragen pro Sekunde sind drei Prozent jedoch immer noch mehr als 1,3 Millionen pro Sekunde.
DDoS kurz erklärt
Die Abkürzung DDoS steht für Distributed Denial of Service. Bei Denial-of-Service-Angriffen werden Router, Server oder darauf laufende Software böswillig mit Datenpaketen überflutet, um diese Systeme zu überlasten. Berechtigte Nutzer können die betroffenen Systeme dann nur noch schwer oder gar nicht nutzen. Die Motive der Angreifer sind meist Erpressung (z.B.: „Solange du nicht zahlst, mache ich weiter, und deine Kunden können bei dir nichts kaufen“), politische Gründe (Proteste, Sabotage), Cyberwarfare, o.ä der Versuch, eine gezielte Fehlfunktionsüberlastung auszuüben. In einem zweiten Schritt können diese Fehlfunktionen den Zugriff auf ein System ermöglichen oder Manipulationen, beispielsweise von Preisen, ermöglichen.
Einfache Denial-of-Service-Angriffe sind sehr selten. Das Zielsystem kann leicht verteidigt werden, indem alle vom Angreifer kommenden Datenpakete verworfen werden. Außerdem wäre die Angriffskraft auf die maximale Leistung des Bootsystems begrenzt. Angriffe erfolgen heute fast immer verteilt: Datenpakete kommen nicht aus einer einzigen Quelle, sondern von vielen verschiedenen Ausgangspunkten gleichzeitig. Dies erschwert die Unterscheidung zwischen Verbindungsanfragen legitimer Nutzer und denen von Angreifern und ermöglicht deutlich größere Datenfluten auf dem Zielsystem.
Für die Angriffe werden beispielsweise Botnetze, vernetzte Geräte (Internet of Things, IoT), unsichere Proxys oder fehlerhafte Server missbraucht, die dazu gebracht werden können, auf kleine Anfragen mit großen Datenpaketen an falsche Adressen zu antworten. DoS-Angriffe sind auf allen sieben Ebenen des OSI-Modells möglich; Üblich sind Layer 3 (z. B. über ICMP Internet Control Message Protocol), Layer 4 (SYN-Pakete) und Layer 7 (http(s) Verbindungsaufbau).
(Sonne)
Auf der Homepage