Cyberkriminelle nutzen unterschiedliche Arten von DoS- und DDoS-Angriffen, wobei die Methoden nach den Netzwerkschichten des OSI-Modells klassifiziert sind. OSI-Modell steht für „Open Systems Interconnection Modell“ und ist ein Referenzmodell für Netzwerkprotokolle. Das OSI-Modell kennt insgesamt sieben Schichten.
Jede Schicht des OSI-Modells repräsentiert einen bestimmten Teil des Netzwerks. Angreifer:innen zielen auf verschiedene Ebenen ab; je nachdem, welche Art von web- oder internetbezogenen Ressourcen sie stören möchten.
Die einfachste Form des Angriffs besteht darin, Systemressourcen oder Netzwerkbandbreiten zu überlasten. Dabei werden die Netzwerk- und die Transportschicht des Netzwerks (Layer 3 und 4) blockiert. Die Angreifer:innen setzen hierbei auf Volumen und Masse der Anfragen, um ihre Ziele zu erreichen. Die Menge des erzeugten Traffics führt dabei in der Summe beim Anfrageziel zu einer Überlastung der Systeme.
Protokollangriffe hingegen ziehen sich durch mehrere Schichten des OSI-Modells. Über die klassischen Internetprotokolle (XMPP, https, DNS, SMTP, TCP, UDP usw.) versuchen Angreifer:innen, die Rechenkapazität verschiedener Netzwerkinfrastrukturressourcen zu überlasten, wie Router, Server oder Firewalls.
Weit verbreitet ist auch die Blockade auf Anwendungsebene (Layer 7). Die Angriffsmuster von DoS- und DDoS-Attacken ändern sich jedoch ständig und stehen im Wettbewerb mit immer besseren Schutzmaßnahmen. Diese orientieren sich an aktuellen Angriffsmustern und werden laufend weiterentwickelt.
In der Netzwerktechnik hat sich das OSI-Schichtenmodell etabliert, um komplexe Vorgänge innerhalb des Netzes aufzugliedern.
DDoS-Mechanismen und deren Abwehr
DoS- und DDoS-Angriffe unterscheiden sich stark in ihrer technischen Umsetzung, verfolgen jedoch stets dasselbe Ziel: Systeme durch Überlastung lahmzulegen. Je nach Angriffstyp setzen sie auf Protokollmissbrauch, Anwendungsanfragen oder die gezielte Verstärkung von Datenströmen. Zu den wichtigsten DoS- und DDoS-Attacken zählen nachfolgende Methoden. Die meisten davon begannen ursprünglich als DoS-Angriffe, sind inzwischen aber auch längst als koordinierte DDoS-Attacken etabliert:
Ping-Flood mittels über ICMP-Echo-Requests
Mit Ping-Flood-Attacken überfluten Kriminelle ihre Zielsysteme über das Internet mit Anfragen über das Control Message Protocol (ICMP-Echo-Requests). Solche ICMP-Anfragen dienen eigentlich dazu, die Verbindungsqualität auf Ebene der Vermittlungsschicht (Layer 3) zu überprüfen.
Wenn sie massenhaft gestellt werden, überlasten sie jedoch die Systemressourcen der Gegenseite und bringen diese so temporär zum Erliegen. Andere Anfragen werden dann nicht mehr bearbeitet. Derartige Ping-Flood-Angriffe gibt es als DoS- und als DDoS-Attacken.
SYN-Flood
Bei SYN-Flood-Angriffen missbrauchen Angreifer:innen den TCP-Verbindungsaufbau. Der Server hält zahlreiche halboffene Verbindungen bereit, bis er keine neuen Anfragen mehr verarbeiten kann. Die Folge: Legitime Nutzer:innen kommen nicht mehr durch.
HTTP-Flood
HTTP-Floods setzen auf eine Vielzahl scheinbar normaler Webanfragen. Da sie sich kaum von regulärem Traffic unterscheiden, werden sie oft zu spät erkannt. Wirksamer Schutz erfordert eine Analyse auf Anwendungsebene, z.B. durch eine Web Application Firewall (WAF). Slowloris
Slowloris-Angriffe halten Verbindungen bewusst lange offen und binden so Serverressourcen. Die Attacke entwickelt sich schleichend, kann aber über längere Zeit massive Auswirkungen haben. Klassische Schutzmechanismen greifen hier oft zu spät.
DNS-Amplification
Bei DNS-Amplification-Angriffen nutzen Cyber-Kriminelle offene DNS-Server, um Datenströme stark zu vervielfachen. Kleine Anfragen erzeugen extrem lange Antworten, die das Zielsystem überlasten. Die eigentlichen Angreifer:innen bleiben dabei meist verborgen.
DRDoS
DRDoS-Angriffe leiten die Attacke über unbeteiligte Drittsysteme um. Durch IP-Spoofing erscheint der Traffic legitim, während das Zielsystem überlastet wird. Die Identifikation der Angreifer:innen ist besonders schwierig. Die Abkürzung DRDoS steht dabei für „Distributed Reflected Denial of Service“, was auf die verteilte Ausführung und die Reflexion über Drittsysteme hindeutet.
Die Übersicht zeigt, auf welchen Ebenen DoS- und DDoS-Angriffe ansetzen und welche Auswirkungen sie haben.
Netzwerk-/Vermittlungsebene (Layer 3)
Angreifer nutzen meist gefälschte IP-Adressen, sodass die Rückmeldungen an falsche Adressaten gehen
Server können keine neuen Verbindungen mehr annehmen
Ausnutzen halboffener TCP-Verbindungen
Anwendungsebene (Layer 7)
Webanwendungen brechen unter Last zusammen
Anfragen wirken wie legitimer Traffic
Anwendungsebene (Layer 7)
Ressourcen werden über lange Zeit blockiert
Langsam, schwer zu erkennen
Verstärkung kleiner Anfragen
Überlastung über Drittsysteme
Verschleierung der Angreifer
