Cyberkriminelle nutzen unterschiedliche Arten von DoS- und DDoS-Angriffen, wobei die Methoden nach den Netzwerkschichten des OSI-Modells klassifiziert sind. „OSI-Modell“ steht für „Open Systems Interconnection Modell“ und ist ein Referenzmodell für Netzwerkprotokolle. Das OSI-Modell kennt insgesamt sieben Schichten.
Jede Schicht des OSI-Modells repräsentiert einen bestimmten Teil des Netzwerks. Angreifer:innen zielen auf verschiedene Ebenen ab; je nachdem, welche Art von web- oder internetbezogenen Ressourcen sie stören möchten.
Die einfachste Form des Angriffs besteht darin, Systemressourcen oder Netzwerkbandbreiten zu überlasten. Dabei werden die Netzwerk- und die Transportschicht des Netzwerks (Layer 3 und 4) blockiert. Die Angreifer:innen setzen hierbei auf Volumen und Masse der Anfragen, um ihre Ziele zu erreichen. Die Menge des erzeugten Traffics führt dabei in der Summe beim Anfrageziel zu einer Überlastung der Systeme.
Protokollangriffe hingegen ziehen sich durch mehrere Schichten des OSI-Modells. Über die klassischen Internetprotokolle (XMPP, https, DNS, SMTP, TCP, UDP usw.) versuchen Angreifer:innen, die Rechenkapazität verschiedener Netzwerkinfrastrukturressourcen zu überlasten, wie Router, Server oder Firewalls.
Weitverbreitet ist auch die Blockade auf Anwendungsebene (Layer 7). Die Angriffsmuster von DoS- und DDoS-Attacken ändern sich jedoch ständig und stehen im Wettbewerb mit immer besseren Schutzmaßnahmen. Diese orientieren sich an aktuellen Angriffsmustern und werden laufend weiterentwickelt.
In der Netzwerktechnik hat sich das OSI-Schichtenmodell etabliert, um komplexe Vorgänge innerhalb des Netzes aufzugliedern.
DDoS-Mechanismen und die verwendeten Methoden
DoS- und DDoS-Angriffe unterscheiden sich stark in ihrer technischen Umsetzung, verfolgen jedoch stets dasselbe Ziel: Systeme durch Überlastung lahmzulegen. Je nach Angriffstyp setzen sie auf Protokollmissbrauch, Anwendungsanfragen oder die gezielte Verstärkung von Datenströmen. Zu den wichtigsten DoS- und DDoS-Attacken zählen nachfolgende Methoden. Die meisten davon begannen ursprünglich als DoS-Angriffe, sind inzwischen aber auch längst als koordinierte DDoS-Attacken etabliert:
Ping-Flood über ICMP-Echo-Requests
Mit Ping-Flood-Attacken überfluten Kriminelle ihre Zielsysteme über das Internet mit Anfragen über das Internet Control Message Protocol (ICMP-Echo-Requests). Solche ICMP-Anfragen dienen eigentlich dazu, die Verbindungsqualität auf der Vermittlungsschicht (Layer 3) zu überprüfen.
Wenn sie massenhaft gestellt werden, überlasten sie jedoch die Systemressourcen der Gegenseite und bringen diese so temporär zum Erliegen. Andere Anfragen werden dann nicht mehr bearbeitet. Derartige Ping-Flood-Angriffe gibt es als DoS- und als DDoS-Attacken.
SYN-Flood
Bei SYN-Flood-Angriffen missbrauchen Angreifer:innen den TCP-Verbindungsaufbau. Der Server hält zahlreiche halboffene Verbindungen bereit, bis er keine neuen Anfragen mehr verarbeiten kann. Die Folge: Legitime Nutzer:innen kommen nicht mehr durch.
HTTP-Flood
HTTP-Floods setzen auf eine Vielzahl scheinbar normaler Webanfragen. Da sie sich kaum von regulärem Traffic unterscheiden, werden sie oft zu spät erkannt. Wirksamer Schutz erfordert eine Analyse auf Anwendungsebene, z.B. durch eine Web Application Firewall (WAF). Slowloris
Slowloris-Angriffe halten Verbindungen bewusst lange offen und binden so Serverressourcen. Die Attacke entwickelt sich schleichend, kann aber über längere Zeit massive Auswirkungen haben. Klassische Schutzmechanismen greifen hier oft zu spät.
DNS-Amplification
Bei DNS-Amplification-Angriffen nutzen Cyberkriminelle offene DNS-Server, um Datenströme stark zu vervielfachen. Kleine Anfragen erzeugen extrem lange Antworten, die das Zielsystem überlasten. Die eigentlichen Angreifer:innen bleiben dabei meist verborgen.
DRDoS
„DRDoS“ steht für „Distributed Reflected Denial of Service“. Es bedeutet sinngemäß „verteilte Ausführung und Reflexion über Drittsysteme“. Solche Angriffe leiten die Attacke über unbeteiligte Drittsysteme um. Durch IP-Spoofing erscheint der Traffic legitim, während das Zielsystem überlastet wird. Die Identifikation der Angreifer:innen ist besonders schwierig.
Die Übersicht zeigt, auf welchen Ebenen DoS- und DDoS-Angriffe ansetzen und welche Auswirkungen sie haben.
Netzwerk-/Vermittlungsebene (Layer 3)
Angreifer:innen nutzen meist gefälschte IP-Adressen, sodass die Rückmeldungen an falsche Adressat:innen gehen
Server können keine neuen Verbindungen mehr annehmen
Ausnutzen halboffener TCP-Verbindungen
Anwendungsebene (Layer 7)
Webanwendungen brechen unter Last zusammen
Anfragen wirken wie legitimer Traffic
Anwendungsebene (Layer 7)
Ressourcen werden über lange Zeit blockiert
Langsam, schwer zu erkennen
Verstärkung kleiner Anfragen
Überlastung über Drittsysteme
Verschleierung der Angreifer:innen
