Gianluca

Aus ProgrammingWiki
< PMG1617 < Einführung
Archivierte Version vom 2017-02-02T19:04:52+00:00. Aktuelle Version

Inhaltsverzeichnis

DDOS-Attacke.jpg
Schema eines mittels des DoS-Clients ''Stacheldraht'' ausgeführten DoS-Angriffs

Denial of Service DoS (engl. für „Verweigerung des Dienstes“) bezeichnet in der Informatik die Nichterreichbarkeit eines Internetdienstes, welcher eigentlich den Status "Verfügbar" besitzen sollte.

Auch,wenn es viele verschiedene Gründe für die Nichterreichbarkeit gibt, ist die am häufigsten vorkommende Art, die Überlastung eines Datennetzes. Dies kann entweder durch schlichte Überlastung durch eine hohe Anzahl von Usern hervorgerufen werden oder durch einen beabsichtigten Angriff auf die Server oder sonstige Einheiten des Datennetzes.

Bei einem beabsichtigen hervorrufen unendlicher Anfragen auf einen Server spricht man von verbreiteten Verweigerung des Dienstes (engl. Distributed Denial of Service DDoS).

Mutwillige Serverüberlastungen

Wird eine Überlastung mutwillig herbeigeführt, ist der Hintergrund einen oder mehrere Online-stehende Dienste funktionsunfähig zu machen. Ursprünglich war dies eine Form des Protests. Heutzutage,werden Denial-of-Service-Attacken von Cyber-Kriminellen zum Kauf angeboten, um andere zu schädigen.

Wie funktionieren DoS-Attacken?

DoS-Attacken, belasten den Internetzugang,Betriebssysteme oder die Dienste eines Host(Informatik), beispielsweise HTTP, mit einer riesigen Anzahl von Anfragen, als jene in der Lage sind verarbeiten zu können, woraufhin richtige Anfragen meist nicht mehr ankommen/laden. Effizienter ist es jedoch, Programmfehler auszunutzen, um eine Fehlerfunktion der Serversoftware auszulösen, worauf diese auf Anfragen nicht mehr in der Lage ist zu reagieren. Beispiele wären WinNuke, die Land-Attacke, die Teardrop-Attacke oder der Ping of Death.

Die Absicht eines DDoS-sers ist nicht die direkte Infizierung eines Rechners/Servers sonder die Lahmlegung eines Servers durch eine Überlastung von einer Masse an gesendete Anfragen, dennoch kann der Angriff als Ablenkung für einen Richtigen Virus dienen. Hier ein Beispiel.

  • Um vom eigentlichen Angriff auf ein System abzulenken, wird ein anderes System durch einen DoS lahmgelegt. Dies soll dafür sorgen, dass das mit der Serveradmin betraute Personal vom eigentlichen Ort des Geschehensfür einen kurzen Moment abgelenkt ist oder die Angriffsversuche im durch den DoS erhöhten Datenaufkommen versteckt/getarnt sind oder untergehen
  • Werden Antworten eines regulären Systems verzögert, können Hacker eigens geschriebene Antworten im Namen des Servers an die Clienten schicken.Sie geben sich folglich als Betreiber des Servers aus und senden Malware/Virus versteckt in der Datei.Ein Beispiel wäre das Hijacking fremder Domains durch Liefern gefälschter DNS-Antworten.

Distributed-Reflected-Denial-of-Service-Attack

Eine besondere Form der DoS-Attacke ist die Distributed-Reflected-Denial-of-Service(-Angriff),kurz DRDoS-Angriff dar. Hierbei sendet der Angreifer seine Datenpakete nicht direkt an die Opfer, sondern an normal funktionierende Internetdienste, trägt jedoch als IP-Adresse die des Opfers ein (IP-Spoofing). Die Antworten des regulär funktionsfähigen Servers stellen für das Opfer die DoS-Attacke dar. Durch diese Methode ist es für den Angegriffenen unmöglich den Ursprung des Angriffs zurück zu verfolgen. Lediglich der Administrator des für den Angriff "benutzten" Servers könnte die Ip-Adresse, insofern der Angreifer nicht über eine ihm nicht gehörende IP connected ist, ermitteln.Ein Beispiel für einen solchen Angriff wäre die DNS Amplification Attack, bei der das Domain Name System als "Spiegel" missbraucht wird.


DDoS und Botnetze

Mutwillige DDoS-Angriffe werden oft (aber nicht immer, siehe DDoS als Protestaktion) mit Hilfe von Backdoor-Programmen durchgeführt. Diese Backdoor-Programme werden in der Regel von Computerwürmern auf Servern mit veralteter oder mit nicht entsprechender Sicherheitssoftware installiert, um weitere Rechner im Netzwerk zu infizieren, um ein Botnetz zu erstellen. Je größer das Botnetz, desto wahrscheinlicher ist es, dass der Angriff selbst gegen gut geschützte Systeme durchdringt. Die Steuerung des Angriffs erfolgt über IRC, HTTP oder mittels eines Peer-to-Peer-Netzes.


DDoS-Angriffe als Protestaktion

Enstanden sind DDoS-Attacken, als einer der ersten Form des Cyberaktivismusesund gewinnt heute immer mehr an Popularität. Einfach zu bedienende Werkzeuge wie zum Beispiel die am meisten verwendete Low Orbit Ion Cannon ermöglichen es nun auch dem Otto Normalverbraucher , den Betrieb fremder Computer, Webseiten und Dienste und Servern mit zB. Denial-of-Service-Angriffen zu stören.

Befürworter dieser Form des Protestes argumentieren, dass bei Online-Demonstrationen die Protestierenden nur ihre eigenen Ressourcen verwenden und deren Aktionen somit weder das Tatbestandsmerkmal der Gewalt, noch eine Drohung mit einem empfindlichen Übel aufweisen. Daher sei diese politische von der wirtschaftlich motivierten Form des DDoS zu unterscheiden.<ref>Achim Sawall: ''Anonymous fordert Legalisierung von DDoS-Attacken''. In: golem.de. 10. Januar 2013, abgerufen am 28. März 2013.</ref>

In Deutschland ist bereits der Versuch der Störung , in dem Falle die Installation der dafür benötigten Software, strafbar und zählt unter Computersabotage

Beispiele für erfolgreiche Attacken

Im Folgenden werden sieben bekannte Beispiele zu absichtlich herbeigeführten Serverüberlastungen aufgeführt.


Unbeabsichtigte Überlastungen

Führt ein rasanter Anstieg von Anfragen auf eine bisher nur gering besuchte Website, aufgrund zB. der Berichterstattung in einem publikumswirksamen Massenmedium, dann läuft dies auf eine normale [[Serverüberlastung] aus, welche auch zu einem Servershutdown führen kann.Dann wird ein Serverreboot benötigt um die Funktion des Servers wieder herzustellen.Beschädigungen im Sinne der Technik oder des Datenverlustes sind nicht zu befürchten.Bei Lesern im Netz wird dies auch oft als „Slashdot-Effekt“ betitelt und scherzhaft mit DDoS-Angriffen verglichen.

Gegenmaßnahmen

Um Überlastungen von kritischer IT-Infrastruktur zu verhindern oder solche zu begrenzen, wurden mit der Zeit einige Gegenmaßnahmen entwickelt:

  • Eine generelle Schutzmaßnahme ist die Wahl von sicheren Kennwörtern für Router, Netzwerke und vernetzte Geräte im Internet der Dinge.<ref name="BSI">Der Bot im Babyfon, Bundesamt für Sicherheit in der Informationstechnik vom 24. Oktober 2016, abgerufen am 27. Oktober 2016</ref>
  • Es wird empfohlen, die UPnP-Funktion bei Routern zu deaktivieren und unbenutzte Dienste zu sperren, um zu verhindern, dass die Geräte in einem lokalen Netzwerk missbraucht werden können.<ref name="BSI"></ref>
  • Bei kleineren Überlastungen, die nur von einem oder wenigen Rechnern/Absendern verursacht werden, kann eine Dienstverweigerung mit Hilfe von einfachen Sperrlisten (i.d.R. eine Liste von Absenderadressen) vollzogen werden. Diese Sperrlisten werden von einer Firewall ausgeführt: Sie verwirft dabei Datenpakete von IP-Adressen aus dieser Sperrliste (oder leitet sie um). Oft kann eine Firewall auch simple Angriffe automatisch erkennen und diese Sperrlisten dynamisch erzeugen, zum Beispiel durch Rate Limiting von TCP-SYN- und ICMP-Paketen.
  • Der Einsatz von SYN-Cookies mindert die Auswirkungen eines SYN-Flooding-Angriffs.
  • Bei Rate Limiting wird nicht zwischen erwünschten und schädlichen Anfragen unterschieden.
  • Analyse- und Filtermaßnahmen können sowohl auf dem betroffenen Rechner als auch auf dem Grenzrouter des Providers eingerichtet werden. Letzteres ist insbesondere die effektivere Variante bei Überlastungen des Internetzugangs.
  • Außerdem sollten Grenzrouter ungültige Absenderadressen nach RFC 2267 filtern um DoS-Angriffe zu verhindern, die versuchen, via IP-Spoofing die Sperrlisten zu umgehen.
  • Falls dem Angreifer nur die IP-Adresse des betroffenen Rechners bekannt ist, besteht zudem die Möglichkeit, diese zu ändern (beim PC zu Hause würde in der Regel der Neustart des Routers reichen). Erfolgt jedoch ein DoS-Angriff über einen öffentlichen DNS-Hostname und nicht über die IP-Adresse allein, so hilft diese Maßnahme nur kurzfristig.
  • Bereits bei der Wahl des Providers sollte berücksichtigt werden, ob dieser explizit einen Grundschutz gegen DDoS-Angriffe anbietet. Der Grundschutz ist eine Kombination aus mehrfachen Internet-Anbindungen im zwei- bis dreistelligen Gbit/s-Bereich und spezialisierter Hardware zur Datenstromanalyse und Abwehr von Angriffen auf Anwendungsebene.
  • Eine weitere mögliche – in der Regel aber kostenaufwendigere – Gegenmaßnahme gegen Überlastungen ist die sogenannte Serverlastverteilung. Dabei werden die bereitgestellten Dienste mit der Hilfe von verschiedenen Virtualisierungstechniken auf mehr als einen physischen Rechner verteilt.
  • Da DNS-Amplification-Angriffe in der Vergangenheit bereits Angriffsvolumen von mehr als 200 bis 300 GBit/s erreicht haben, ist als einzig dauerhafte Möglichkeit die Nutzung eines Filter-Services sinnvoll. Diese werden von mehreren kommerziellen Anbietern offeriert, die teilweise über Anbindungen von 400 bis 500 GBit/s verfügen. Selbst größte Angriffe können so ohne Störung des eigenen Rechenzentrums gefahrlos bewältigt werden. Die Dienste unterscheiden sich in Qualität und Größe der abfangbaren Angriffe. Jedoch ist die Datenschutz-Situation zu beachten. So leiten viele US-Anbieter die Daten durch die USA oder das Vereinigte Königreich, was hinsichtlich der Auftragsdatenverarbeitung nach BDSG nicht erlaubt ist.


Siehe auch