Denial-of-Service-Angriffe (DoS): Präventionsstrategien
DoS-Angriffe können Ihre Geschäftsprozesse lahmlegen. Lernen Sie, wie Sie Denial-of-Service-Angriffe auf Ihre Infrastruktur erkennen, verhindern und darauf reagieren können.
Einführung
Denial-of-Service-(DoS)-Angriffe sind nicht subtil. Sie versuchen nicht, Daten zu stehlen oder sich still in einem System zu halten. Ihr Ziel ist eindeutig: einen Dienst für legitime Benutzer unzugänglich zu machen. Für Unternehmen, die auf Online-Verfügbarkeit angewiesen sind – SaaS-Plattformen, E-Commerce, APIs, Finanzsysteme – ist Ausfallzeit der Schaden.
Trotz der Tatsache, dass sie zu den ältesten Arten von Cyberangriffen gehören, bleiben DoS-Angriffe effektiv, weil viele Systeme immer noch so konzipiert sind, dass Funktionalität zuerst und Widerstandsfähigkeit später berücksichtigt wird. Dieser Beitrag erklärt, wie DoS-Angriffe funktionieren, warum sie immer noch erfolgreich sind und—am wichtigsten—wie man sie mit mehrschichtigen, praktischen Abwehrmaßnahmen verhindern kann.
Was ist ein DoS-Angriff?
Ein Denial-of-Service-(DoS)-Angriff versucht, die Ressourcen eines Systems zu überlasten, sodass es nicht mehr auf legitime Anfragen reagieren kann. Dies kann sich richten gegen:
- Netzwerkbandbreite (Überflutungstraffic)
- Serverressourcen (CPU, Speicher, Dateideskriptoren)
- Anwendungslogik (teure Abfragen, Missbrauch der Authentifizierung)
Wenn der Angriff auf viele Quellen verteilt wird, handelt es sich um einen Distributed-Denial-of-Service-(DDoS)-Angriff. Die Auswirkung ist dieselbe; die Schwierigkeit der Abwehr nimmt zu.
Häufige Arten von DoS-Angriffen
1. Netzwerk-Schicht Flutangriffe
Diese Angriffe sättigen die Bandbreite oder die Netzwerkstapel.
Beispiele:
- SYN-Fluten
- UDP-Fluten
- ICMP-Fluten
Sie zielen darauf ab, Verbindungstabellen zu erschöpfen oder die Routing-Kapazität zu überlasten, bevor der Verkehr überhaupt die Anwendung erreicht.
2. Angriffe auf Anwendungsebene
Diese sind gefährlicher, weil sie legitim aussehen.
Beispiele:
- HTTP GET/POST-Fluten
- Brute-Force-Versuche beim Login
- API-Missbrauch
- Teure Such- oder Berichtsanforderungen
Anwendungsangriffsversuche umgehen oft grundlegende Firewalls, weil jede Anfrage technisch gültig ist.
3. Angriffe durch Ressourcenerschöpfung
Angreifer lösen absichtlich Codepfade aus, die übermäßige CPU-, Speicher- oder Datenbankverbindungen verbrauchen.
Beispiele:
- Wiederholtes Passwort-Hashing
- Hochladen großer Dateien
- Unbegrenzte Paginierungsabfragen
- Missbrauch der PDF-/Bildgenerierung
Warum funktionieren DoS-Angriffe immer noch
DoS-Angriffe gelingen nicht, weil Verteidigungen nicht existieren, sondern weil Systeme häufig folgendes fehlen:
- Ratenbegrenzungen
- Anforderungsvalidierung
- Ressourcengrenzen
- Verkehrsübersicht
- Kostenbewusstes Design
Viele Anwendungen vertrauen darauf, dass sich Benutzer vernünftig verhalten. Angreifer verlassen sich auf dieses Vertrauen.
Core Präventionsstrategie: Verteidigung in der Tiefe
Es gibt keine einzelne Lösung für DoS-Angriffe. Effektive Prävention erfordert gestufte Kontrollen, die jeweils so konzipiert sind, dass sie sicher ausfallen, wenn eine andere Schicht überlastet wird.
Schicht 1: Netzwerk- und Rand-Schutz
Verwenden Sie einen Reverse-Proxy oder CDN
Ein Reverse-Proxy nimmt den Verkehr auf, bevor er Ihre Infrastruktur erreicht.
Fähigkeiten:
- Verkehrsfilterung
- Bot-Minderung
- SYN-Flood-Schutz
- Anycast-Routing
Anbieter wie Cloudflare oder Akamai sind global tätig und können Volumina bewältigen, die kein einzelner Server schaffen kann.
Wichtiges Prinzip: Ihr Ursprungsserver sollte niemals direkt exponiert werden.
Offensichtlichen Missbrauch am Rand blockieren
Selbst ohne kostenpflichtige WAF-Regeln helfen grundlegende Schutzmaßnahmen:
- Blockieren gängiger Admin-Pfade, die nicht existieren
- Ablehnen fehlerhafter HTTP-Anfragen
- Durchsetzen von Größenbeschränkungen für Anfragen
- Filtern von Benutzeragenten, die keine Browser sind, wo dies angemessen ist
Die Randfilterung reduziert die Belastung, bevor die Anwendungslogik überhaupt ausgeführt wird.
Schicht 2: Transport- und Infrastrukturverstärkung
Ratenbegrenzung auf mehreren Ebenen
Ratenbegrenzung sollte existieren:
- Am Rand
- Am Webserver
- In der Anwendung
Unterschiedliche Grenzen für verschiedene Endpunkte:
- Authentifizierungsendpunkte: sehr streng
- Öffentliche Seiten: nachsichtiger
- APIs: tokenbasierte Kontingente
Ratenbegrenzung geht nicht darum, alle Angriffe zu stoppen – es geht darum, Angriffe teuer und langsam zu machen.
Verbindungsgrenzen durchsetzen
Auf Serverebene:
- Gleichzeitige Verbindungen pro IP begrenzen
- Vernünftige Keep-Alive-Timeouts setzen
- Größen von Anfragekörpern begrenzen
Auf Datenbankebene:
- Maximale Verbindungen begrenzen
- Verbindungspools verwenden
- Schnell fehlschlagen statt endlos zu warten
Schicht 3: Anwendungsebene-Verteidigungen
Schützen Sie hochpreisige Operationen
Jeder Endpunkt, der:
- Passwörter hasht
- Berichte erstellt
- Dateien hochlädt
- E-Mails sendet
- Große Datensätze abfragt
…muss geschützt werden.
Kontrollen umfassen:
- CAPTCHA oder Arbeitsnachweis
- Anforderungsquoten
- Abklingzeiten
- Asynchrone Aufgabenwarteschlangen
Lassen Sie niemals zu, dass Angreifer wiederholt teure synchrone Arbeiten auslösen.
Schließt im Fehlerfall, öffnet nicht
Wenn ein System unter Last steht:
- Neue Anfragen schnell ablehnen
- Klare Fehlercodes zurückgeben
- Nicht intern in Schleifen erneut versuchen
Sanfte Degradation bewahrt die Verfügbarkeit für Kernbenutzer, anstatt vollständig zusammenzubrechen.
Schicht 4: Beobachtbarkeit & Erkennung
Überwache, was wichtig ist
DoS-Angriffe sind oft vor dem vollständigen Ausfall sichtbar.
Verfolgen:
- Anforderungsraten pro Endpunkt
- Authentifizierungsfehler
- Latenzspitzen
- CPU- und Speicherauslastung
- Erschöpfung der Datenbankverbindungen
Cloud-Plattformen wie Amazon Web Services bieten native Metriken und Alarme, die von Tag eins an aktiviert werden sollten.
Protokoll mit Absicht
Protokolle sollten beantworten:
- Welcher Endpunkt wird aufgerufen?
- Von wo?
- Mit welcher Rate?
- Mit welcher Nutzlastgröße?
Vermeiden Sie das Protokollieren kompletter Anforderungsinhalte für sensible Endpunkte, aber protokollieren Sie immer genügend Metadaten, um Missbrauchsmuster zu erkennen.
Architektur-Design-Entscheidungen, die das DoS-Risiko reduzieren
- Zustandslose Dienste skalieren unter Last besser
- Caching reduziert den Druck auf das Backend
- Asynchrone Verarbeitung verhindert Anstauungen von Anfragen
- Idempotente APIs reduzieren Wiederholungsverstärkungen
- Timeouts überall verhindern Ressourcenblockierungen
DoS-Resistenz hängt ebenso sehr von der Architektur ab wie von Sicherheitswerkzeugen.
-Ausrichtung an Industriestandards
Autoritative Richtlinien stärken diese Praktiken:
- NIST betont Verfügbarkeit als zentrale Säule der CIA-Triad
- OWASP hebt Ratenbegrenzung, Ressourcensteuerung und Eingabevalidierung als wesentliche Web-Sicherheitsmaßnahmen hervor
DoS-Prävention ist keine optionale Hygiene – sie ist grundlegende Sicherheitsentwicklung.
Schlussgedanken
DoS-Angriffe nutzen ein Ungleichgewicht aus: billige Anfragen versus teure Verarbeitung. Die Lösung besteht darin, das System zugunsten des Verteidigers wieder ins Gleichgewicht zu bringen.
Das bedeutet:
- Früh filtern
- Aggressiv begrenzen
- Für Ausfälle entwerfen
- Kontinuierlich beobachten
Verfügbarkeit ist eine Sicherheitseigenschaft. Systeme, die diese Realität ignorieren, lernen sie schließlich auf die harte Tour kennen.
An Evolving Cyber, wir entwerfen Systeme von Anfang an mit Blick auf Verfügbarkeit – denn sichere Software, die nicht online bleiben kann, ist überhaupt nicht sicher.