PMG1617/Einführung/Gianluca

Wiki-Quelltext dieser Seite.

<language>Javascript</language>
[[Datei:DDOS-Attacke.jpg|miniatur|Schema eines mittels des DoS-Clients ''Stacheldraht'' ausgeführten DoS-Angriffs]]

'''Denial of Service''' '''DoS''' ([[engl.]] für „''Verweigerung des Dienstes''“) bezeichnet in der [[Informatik]] die Nichterreichbarkeit eines Internetdienstes, welcher eigentlich den Status "Verfügbar" besitzen sollte.

Auch,wenn es viele verschiedene Gründe für die Nichterreichbarkeit gibt, ist die am häufigsten vorkommende Art, die Überlastung eines [[Datennetz|Datennetzes]]. Dies kann entweder durch schlichte Überlastung durch eine hohe Anzahl von Usern hervorgerufen werden oder durch einen beabsichtigten Angriff auf die [[Server]] oder sonstige Einheiten des Datennetzes.

Bei einem beabsichtigen hervorrufen unendlicher Anfragen auf einen Server spricht man von ''verbreiteten Verweigerung des Dienstes'' (engl. '''Distributed Denial of Service''' '''DDoS''').

== Mutwillige Serverüberlastungen ==
Wird eine Überlastung mutwillig herbeigeführt, ist der Hintergrund einen oder mehrere [[Online]]-stehende [[Netzwerkdienst|Dienste]] funktionsunfähig zu machen. Ursprünglich war dies eine Form des Protests. Heutzutage,werden Denial-of-Service-Attacken von [[Cyber-Kriminellen]] zum Kauf angeboten, um andere zu schädigen.

=== Wie funktionieren DoS-Attacken?  ===
DoS-Attacken, belasten den Internetzugang,Betriebssysteme oder die Dienste eines [[Host(Informatik)]], beispielsweise [[Hypertext Transfer Protocol|HTTP]], mit einer riesigen  Anzahl von Anfragen, als jene in der Lage sind verarbeiten zu können, woraufhin richtige Anfragen meist nicht mehr ankommen/laden. Effizienter ist es jedoch, Programmfehler auszunutzen, um eine Fehlerfunktion der Serversoftware auszulösen, worauf diese auf Anfragen nicht mehr in der Lage ist zu reagieren. Beispiele wären [[WinNuke]], die [[Land-Attacke]], die [[Teardrop-Attacke]] oder der [[Ping of Death]].

Die Absicht eines DDoS-sers ist nicht die direkte Infizierung eines Rechners/Servers sonder die Lahmlegung eines Servers durch eine Überlastung von einer Masse an gesendete Anfragen, dennoch kann der Angriff als Ablenkung für einen Richtigen Virus dienen. Hier ein Beispiel.

* Um vom eigentlichen Angriff auf ein System abzulenken, wird ein anderes System durch einen DoS lahmgelegt. Dies soll dafür sorgen, dass das mit der [[Serveradmin]] betraute Personal vom eigentlichen Ort des Geschehensfür einen kurzen Moment abgelenkt ist oder die Angriffsversuche im durch den DoS erhöhten Datenaufkommen versteckt/getarnt sind oder untergehen
* Werden Antworten eines regulären Systems verzögert, können Hacker eigens geschriebene Antworten im Namen des Servers an die Clienten schicken.Sie geben sich folglich als Betreiber des Servers aus und senden Malware/Virus versteckt in der Datei.Ein Beispiel wäre  das [[Hijacking]] fremder [[Domain (Internet)|Domains]] durch Liefern gefälschter [[Domain Name System|DNS]]-Antworten.

=== Distributed-Reflected-Denial-of-Service-Attack ===
Eine besondere Form der DoS-Attacke ist die ''Distributed-Reflected-Denial-of-Service(-Angriff)'',kurz DRDoS-Angriff dar. Hierbei sendet der Angreifer seine Datenpakete nicht direkt an die Opfer, sondern an normal funktionierende Internetdienste, trägt jedoch als [[IP-Adresse]] die des Opfers ein ([[IP-Spoofing]]). Die Antworten des regulär funktionsfähigen Servers stellen für das Opfer die DoS-Attacke dar. Durch diese Methode ist es für den Angegriffenen unmöglich den Ursprung des Angriffs zurück zu verfolgen. Lediglich der Administrator des für den Angriff "benutzten" Servers könnte die Ip-Adresse, insofern der Angreifer nicht über eine ihm nicht gehörende IP connected ist, ermitteln.Ein Beispiel für einen solchen Angriff wäre die [[DNS Amplification Attack]], bei der das [[Domain Name System]] als "Spiegel" missbraucht wird.


=== DDoS und Botnetze ===
Mutwillige DDoS-Angriffe werden, oft (aber nicht immer, siehe [[#DDoS als Protestaktion|DDoS als Protestaktion]]) mit Hilfe von [[Backdoor]]-Programmen ausgeführt. Diese Backdoor-Programme, werden in der Regel von [[Computerwürmern]] auf Servern mit veralteter oder nicht entsprechender Sicherheitssoftware installiert, um weitere Rechner im Netzwerk zu infizieren, um im nächsten Schritt ein [[Botnet]]z  zu erstellen. Je größer das erstellte Botnetz, desto wahrscheinlicher ist es, dass der Angriff selbst gegen gut geschützte Systeme durchdringt. Die Steuerung des Angriffs erfolgt über [[Internet Relay Chat|IRC]], [[Hypertext Transfer Protocol|HTTP]] oder mittels eines [[Peer-to-Peer|Peer-to-Peer-Netzes]].

=== DDoS-Angriffe als Protestaktion ===
Enstanden sind DDoS-Attacken, als einer der ersten Form des [[Cyberprotestes|Cyberaktivismuses]]und gewinnt heute immer mehr an Popularität. Einfach zu bedienende Werkzeuge wie zum Beispiel die am meisten verwendete [[Low Orbit Ion Cannon]] ermöglichen es nun auch dem [[Otto Normalverbraucher]] , den Betrieb fremder Computer, Webseiten und Dienste und Servern mit zB. Denial-of-Service-Angriffen zu stören.

Befürworter dieser Form des Protestes argumentieren, dass bei [[Online-Demonstration]]en die Protestierenden nur ihre eigenen Ressourcen verwenden und deren Aktionen somit weder das Tatbestandsmerkmal der [[Gewalt]], noch eine Drohung mit einem empfindlichen Übel aufweisen. Daher sei diese politische von der wirtschaftlich motivierten Form des DDoS zu unterscheiden.<ref>Achim Sawall: [http://www.golem.de/news/petition-anonymous-fordert-legalisierung-von-ddos-attacken-1301-96830.html ''Anonymous fordert Legalisierung von DDoS-Attacken'']. In: [[golem.de]]. 10. Januar 2013, abgerufen am 28. März 2013.</ref>

In Deutschland ist bereits der Versuch der Störung , in dem Falle die Installation der dafür benötigten Software, strafbar und zählt unter [[Computersabotage]]

=== Beispiele für erfolgreiche Attacken ===
Im Folgenden werden bekannte Beispiele zu absichtlich herbeigeführten Serverüberlastungen aufgeführt.

* '''August 2008''': Die Webseite des [[Georgien|georgischen]] Präsidenten [[Micheil Saakaschwili]] ist nicht mehr erreichbar.<ref>[http://www.spiegel.de/netzwelt/web/0,1518,572033,00.html Hack-Attacke auf Georgien: Ehrenamtliche Angriffe], Artikel bei ''[[Spiegel Online]]'', vom 14.&nbsp;August 2008</ref>
* '''Anfang Juli 2009''': [[Südkorea]]nische und US-amerikanische Regierungsseiten, Shoppingportale und Nachrichtendienste sind nach Angriffen vorübergehend nicht mehr erreichbar. Die ferngesteuerten Zugriffe von bis zu 30.000 mit schädlicher Software infizierten PCs sollen an dem Angriff beteiligt gewesen sein.
<ref>[http://diepresse.com/home/politik/aussenpolitik/493971/HackerAttacke-auf-Suedkorea_Oesterreich-unter-Verdacht?_vl_backlink=/home/politik/aussenpolitik/index.do Hacker-Attacke auf Südkorea: Österreich unter Verdacht], Artikel bei ''[[DiePresse.com]]'', vom 10.&nbsp;Juli 2009

* '''6. bis 8. Dezember 2010''': Als Reaktion auf Sperrungen von [[WikiLeaks]]-Konten bei der [[PostFinance]] wie auch bei den Zahlungsdiensten MasterCard, Visa, PayPal und Amazon wurden deren Webseiten angegriffen und, bis auf die Amazon-Seite, zeitweise in die Knie gezwungen.<ref>{{Internetquelle|url=http://www.20min.ch/news/dossier/wikileaks/story/12595939|titel=„Shame on you, Postfinance“ (Update)|datum=2010-12-07|zugriff=2010-12-07}}</ref><ref>{{Internetquelle|url=http://www.n24.de/news/newsitem_6506110.html|titel=„Wikileaks-Gegner“ von Hackern bombardiert (Update)|datum=2010-12-09|zugriff=2010-12-09}}

* '''18. Mai 2012''': Die Webseite der Stadt [[Frankfurt am Main]] wurde im Rahmen der [[Blockupy]]-Proteste durch [[Anonymous (Kollektiv)|Anonymous]] attackiert und war zeitweise nicht mehr erreichbar.<ref>[http://frankfurter-blog.de/2012/05/anonymous-attackiert-website-der-stadt-frankfurt Anonymous attackiert Website der Stadt Frankfurt], Artikel im Frankfurter-Blog vom 18. Mai 2012</ref>
* '''ab September 2012''': Angriffe auf Us-amerikanische Banken
<ref>[http://www.nytimes.com/2013/01/09/technology/online-banking-attacks-were-work-of-iran-us-officials-say.html Bank Hacking Was the Work of Iranians, Officials Say]

* '''19. März 2013''': Ein Zwist zwischen der Plattform Spamhaus und vermutlich dem anonymen Hoster "Cyberbunker" eskalierte zum derzeit größten bekannten DDoS-Angriff via [[DNS-Amplification/-Reflection]], dem kurzfristig, auf Grund geschickter PR durch [[CloudFlare]], dem Website-[[Proxy (Rechnernetz)|Proxy]] von Spamhaus, nachgesagt wurde. Er hätte angeblich {{"|das Internet spürbar verlangsamt}}.[http://www.spiegel.de/netzwelt/web/spamhaus-vs-cyberbunker-ddos-attacken-bremst-internet-a-891177.html Gigantische DDoS-Attacke: Spam-Streit bremst das komplette Internet], Artikel im Spiegel Online vom 27. März [http://www.golem.de/news/ddos-angriffe-spamhaus-attacke-erschuettert-das-internet-nicht-1303-98440.html Spamhaus Attacke erschüttert das Internet nicht], golem.de, abgerufen am 24. Juli 2013.

* '''21. Oktober 2016''': Der Internetdienstleister [[Dyn]] wurde ab 7 Uhr, beginnend an der [[Ostküste der Vereinigten Staaten|Ostküste der USA]], [[DDoS-Angriffe auf Dyn|Ziel einer DDoS Attacke]], die die Angebote namhafter Dyn-Kunden, wie [[Twitter]], [[Netflix]], [[Spotify]], [[Airbnb]], [[Reddit]] und anderer teilweise außer Funktion setzte. Neu an dem Angriff war,dass die Ausführung in mehreren Wellen über den Tag erfolgte , welches sich offenbar auf eine Infrastruktur aus ferngesteuerten Geräten stützte, die zum [[Internet der Dinge]] gehörten.
<ref>Nicole Perlroth: [http://www.nytimes.com/2016/10/22/business/internet-problems-attack.html?hp&action=click&pgtype=Homepage&clickSource=story-heading&module=first-column-region&region=top-news&WT.nav=top-news&_r=0 ''Hackers Used New Weapons to Disrupt Major Websites Across U.S.''] New York Times vom 21. Oktober 2016

== Unbeabsichtigte Überlastungen ==
Führt ein rasanter Anstieg von Anfragen auf eine bisher nur gering besuchte Website, aufgrund zB. der Berichterstattung in einem publikumswirksamen [[Massenmedium]], dann läuft dies auf eine normale [[Serverüberlastung] aus, welche auch zu einem [[Servershutdown]] führen kann.Dann wird ein [[Serverreboot]] benötigt um die Funktion des Servers wieder herzustellen.Beschädigungen im Sinne der Technik oder des Datenverlustes sind nicht zu befürchten.Bei  Lesern im Netz wird dies auch oft als  „[[Slashdot-Effekt]]“ betitelt und scherzhaft mit DDoS-Angriffen verglichen.

== Gegenmaßnahmen ==
Um Überlastungen von kritischer/fragiler [[Informationstechnik]]-Infrastruktur zu vermeiden oder solche mindestens zu begrenzen, wurden im Laufe der letzten Jahre einige Gegenmaßnahmen entwickelt:

* '''Eine generelle Schutzmaßnahme''': ist die Wahl von sicheren [[Passwort|Kennwörtern]] für [[Router]], [[Netzwerk]]e und vernetzte Geräte im [[Internet der Dinge]].
<ref name="BSI">[https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/Botnetz_iot_24102016.html Der Bot im Babyfon], [[Bundesamt für Sicherheit in der Informationstechnik]] vom 24. Oktober 2016, abgerufen am 27. Oktober 2016</ref>

* '''Es wird empfohlen''': die [[UPnP]]-Funktion bei Routern zu deaktivieren und unbenutzte Dienste zu sperren, um zu verhindern, dass die Geräte in einem lokalen Netzwerk missbraucht werden können.<ref name="BSI" />

* '''Bei kleineren Überlastungen''': die nur von einem oder wenigen Rechnern/Absendern verursacht werden, kann eine Dienstverweigerung mit Hilfe von einfachen [[Sperrliste]]n (i.d.R. eine Liste von Absenderadressen) vollzogen werden. Diese Sperrlisten werden von einer [[Firewall]] ausgeführt: Sie verwirft dabei Datenpakete von IP-Adressen aus dieser Sperrliste (oder leitet sie um). Oft kann eine Firewall auch simple Angriffe automatisch erkennen und diese Sperrlisten dynamisch erzeugen, zum Beispiel durch [[Rate Limiting]] von [[Transmission Control Protocol|TCP]]-SYN- und [[Internet Control Message Protocol|ICMP]]-Paketen.

* '''Der Einsatz von''': [[SYN-Cookies]] mindert die Auswirkungen eines [[SYN-Flooding]]-Angriffs.

* '''Bei''': "Rate Limiting" wird nicht zwischen erwünschten und schädlichen Anfragen unterschieden.

* '''Analyse- und Filtermaßnahmen''': können sowohl auf dem angegriffene Rechner als auch auf dem Grenzrouter des [[Internetdienstanbieter|Providers]] eingerichtet werden. Letzteres ist die effektivere Variante bei Überlastungen des Internetzugangs.

* '''Außerdem''': sollten Grenzrouter ungültige Absenderadressen nach RFC 2267 filtern um DoS-Angriffe zu verhindern, die versuchen, via [[IP-Spoofing]] die Sperrlisten zu umgehen.

* '''Falls dem Angreifer''': nur die [[IP-Adresse]] des betroffenen Rechners bekannt ist, besteht zudem die Möglichkeit, diese zu ändern (beim PC zu Hause würde in der Regel der Neustart des [[Router]]s reichen). Erfolgt jedoch ein DoS-Angriff über einen öffentlichen [[Domain Name System|DNS]]-[[Hostname]] und nicht über die IP-Adresse allein, so hilft diese Maßnahme nur kurzfristig.

* '''Bereits''': bei der Wahl des Providers sollte berücksichtigt werden, ob dieser explizit einen Grundschutz gegen DDoS-Angriffe anbietet. Der Grundschutz ist eine Kombination aus mehrfachen Internet-Anbindungen im zwei- bis dreistelligen Gbit/s-Bereich und spezialisierter Hardware zur Datenstromanalyse und Abwehr von Angriffen auf [[OSI-Modell|Anwendungsebene]].

* ''Eine weitere möglichekeit''': – welche aber in der Regel aber kostenaufwendiger ist, wäre die Gegenmaßnahme der sogenannten [[Serverlastverteilung]]. Wobei die bereitgestellten Dienste mit der Hilfe von verschiedenen [[Virtualisierungstechniken]] auf mehr als einen Rechner verteilt werden.



== Siehe auch ==
* [[Online-Demonstration]]


== Weblinks ==
* [http://www.digitalattackmap.com/ Darstellung aktueller weltweiter DDoS-Attacken in Form einer Karte]
* [http://security.radware.com/uploadedFiles/Resources_and_Content/DDoS_Handbook/DDoS_Handbook.pdf DDoS Survival Handbuch]
* [http://www.computec.ch/download.php?list.7 Eine Liste freier deutschsprachiger Dokumente zum Thema]
* [http://www.highgames.com/?set=hardwareview&view=8 Ausführliche Beschreibung des Denial of Service]


{{SORTIERUNG:Denial Of Service}}
[[Kategorie:Netzwerktechnik]]