Reflection/Amplification DDoS-Angriffe – deutsche Unternehmen und Service Provider sind Ziel immer ausgeklügelterer Angriffe

Schutzmaßnahmen sind vielfältig

Die primäre Verteidigung besteht in der Blockade der gefälschten Quellpakete. Da die Angriffe aus legitimen Quellen kommen, die Dienste wie DNS und NTP nutzen, ist es schwierig, zwischen echtem Benutzer-Workload und reflektiertem Datenverkehr zu unterscheiden. Erschwerend kommt hinzu, dass bei einem Angriff auf einen Dienst der legitime Benutzerverkehr aufgrund der Verlangsamung des Dienstes gezwungen sein kann, Antworten zu wiederholen. Das führt wiederum dazu, dass diese Wiederholungen fälschlicherweise als eigenständige DDoS-Angriffe identifiziert werden.

Unternehmen können jedoch die folgenden Schritte dagegen unternehmen:

• Ratenbegrenzungen schränken Quellen auf der Grundlage einer Abweichung von einer zuvor festgelegten Zugriffsrichtlinie ein und sind an der Quelle effektiver. Die Ratenbeschränkung am Zielort kann sich unbeabsichtigt auf den legitimen Datenverkehr auswirken, weshalb zu diesem Ansatz nur in Ausnahmefällen geraten werden kann.
• Durch die Sperrung nicht benötigter Ports sind Unternehmen weniger anfällig. Dies verhindert aber keine Angriffe auf Ports, die sowohl von legitimem als auch von angreifendem Datenverkehr genutzt werden.
• Verkehrssignatur-Filter können verwendet werden, um sich wiederholende Strukturen zu identifizieren, die auf Angriffe hindeuten. Der Nachteil der Filterung ist die mögliche Beeinträchtigung der Leistung durch die Untersuchung jedes Pakets.
• Durch den Einsatz von Threat Intelligence Services können Unternehmen anfällige Server identifizieren, so dass die IP-Adressen proaktiv blockiert und potenzielle Angriffe abgewehrt werden.

Fazit

Wenn man sich unzureichend auf neue DDoS-Angriffsstrategien vorbereitet, gibt man auch Bedrohungsakteuren mit geringen Ressourcen die Möglichkeit, die eigenen Dienste lahmzulegen und riskiert hohe wirtschaftliche Verluste. Aber Vorsicht: Zwar sind die gelisteten Verteidigungsmaßnahmen wirkungsvoll gegen Reflection/Amplification-Angriffe, sie sollten jedoch nicht überstürzt und mit fehlendem Know-How angewandt werden. Andernfalls können die Lösungen den legitimen Datenverkehr und die Leistung der Dienste unnötig stark einschränken. Des Weiteren ist man durch die Implementierung dieser Abwehrmechanismen nicht hundertprozentig vor diesen und ähnlichen Attacken geschützt. Für größtmöglichen Schutz sorgt ein ganzheitlicher Sicherheitsansatz, der sich automatisch an die sich wandelnden Taktiken von böswilligen Hackern anpasst.