Distributed Denial of Service

Als Denial of Service (DoS, zu Deutsch etwa: Dienstverweigerung) bezeichnet man einen Angriff auf einen Host (Server) oder sonstigen Rechner in einem Datennetz mit dem Ziel, einen oder mehrere seiner Dienste arbeitsunfähig zu machen. In der Regel geschieht dies durch Überlastung. Erfolgt der Angriff koordiniert von einer größeren Anzahl anderer Systeme aus, so spricht man von Verteilter Dienstblockade bzw. DDoS (Distributed Denial of Service). Normalerweise werden solche Angriffe nicht per Hand, sondern mit Backdoor-Programmen oder Ähnlichem durchgeführt, die sich von alleine auf anderen Rechnern im Netzwerk verbreiten und dem Angreifer durch solche Botnetze weitere Wirte zum Ausführen seiner Angriffe bringen.

Funktionsweise

DoS-Angriffe, wie z.B. SYN-Flooding oder die Smurf-Attacke, belasten die Dienste eines Servers, beispielsweise HTTP, mit einer größeren Anzahl Anfragen, als dieser in der Lage ist zu bearbeiten, woraufhin diese eingestellt werden oder reguläre Anfragen so langsam beantworten, dass diese abgebrochen werden. Wesentlich effizienter ist es jedoch, wie bei WinNuke, der Land-Attacke, der Teardrop-Attacke oder dem Ping of Death Programmfehler auszunutzen, um eine Fehlerfunktion (wie einen Absturz) der Serversoftware auszulösen, worauf diese ebenso auf Anfragen nicht mehr reagiert.

Eine besondere Form stellt die DRDoS (Distributed Reflected Denial of Service)-Attacke dar. Hierbei adressiert der Angreifer seine Datenpakete nicht direkt an das Opfer, sondern an regulär arbeitende Internetdienste, trägt jedoch als Absenderadresse die des Opfers ein (IP-Spoofing). Die Antworten auf diese Anfragen stellen dann für das Opfer den eigentlichen DoS-Angriff dar. Der Ursprung des Angriffs ist für den Angegriffenen durch diese Vorgehensweise praktisch nicht mehr ermittelbar.

Im Unterschied zu anderen Angriffen will der Angreifer hier normalerweise nicht in den Computer eindringen und benötigt deshalb keine Passwörter oder Ähnliches. Jedoch kann ein DoS-Angriff Bestandteil eines Angriffs auf ein System sein, zum Beispiel bei folgenden Szenarien:

• Um vom eigentlichen Angriff auf ein System abzulenken, wird ein anderes System durch einen DoS lahmgelegt. Dies soll dafür sorgen, dass das mit der Administration betraute Personal vom eigentlichen Ort des Geschehens abgelenkt ist, bzw. die Angriffsversuche im durch den DoS erhöhten Datenaufkommen untergehen.
• Werden Antworten eines regulären Systems verzögert, können Anfragen an dieses durch eigene, gefälschte Antworten kompromittiert werden. Beispiel hierfür ist das Hijacking fremder Domainnamen durch Liefern gefälschter DNS-Antworten.
• Als Form des Protests sind DoS-Attacken in letzter Zeit populär geworden. Zum Eigenschutz der Protestierenden werden Angriffe dieser Art im Allgemeinen von Würmern durchgeführt, die sich selbstständig auf fremden Systemen verbreiten. Entsprechend handelt es sich bei Protestaktionen dieser Art um DDoS-Attacken.

Beispiele

• Im Februar 2000 wurden verschiedene, große Internet-Dienste (zum Beispiel Yahoo, CNN, amazon.de, eBay) durch DDoS-Attacken lahmgelegt. Hierbei hatten sich die Angreifer Zugang zu hunderten von Computern im Internet verschafft, um die Wirksamkeit ihrer Attacken durch die Vielzahl der gleichzeitig angreifenden Rechner stark zu erhöhen.
• Mai 2001: drei Tage andauernde DDoS-Attacke gegen das CERT/CC (Computer Emergency Response Team/Coordination Center).
• August 2003: Der E-Mail-Wurm Lovsan / W32.Blaster soll die Update-Site der Firma Microsoft unerreichbar machen, wird jedoch durch Deaktivierung des Domainnamens ins Leere geführt.
• Februar 2004: Der E-Mail-Wurm Mydoom bringt die Website der Firma SCO zum Erliegen.
• Januar/Februar 2005: Ein aktiv gesteuerter DoS-Angriff legt in mehreren Angriffswellen das Online-Angebot des Heinz-Heise-Verlags für zwei Tage teilweise lahm. Der Zeitschriftenverlag stellt Strafanzeige und setzt eine Belohnung in Höhe von 10.000 Euro für sachdienliche Hinweise aus, die zur Ergreifung des Täters führen.
• April 2005: Das Online-Spielenetzwerk PlayOnline der Firma Square Enix, auf dem unter anderem das Spiel Final Fantasy XI läuft, ist Ziel eines DDoS-Angriffs.
• August 2005: Wegen mehrerer DDoS-Attacken wird das Bundeskriminalamt eingeschaltet, zum Beispiel bei der FLUXX AG, die Ziel eines gescheiterten Erpressungsversuchs um 40.000 Euro war.
• Dezember 2005: DDoS gegen die Server von dialerschutz.de, computerbetrug.de, gulli.com und antispam.de; Ermittlungsbehörden eingeschaltet.
• Februar 2007: Das Onlinespiel Ragnarok Online (euRO) der Burda Holding ist Ziel eines DoS-Angriffs.
• März 2007: DDoS gegen den Service von DynDNS.org. Es wurde vor allem der Client-Server angegriffen welcher die IP-Adressen der dynamischen Hostnamen annimmt.
• April / Mai 2007: Die Server der estnischen Regierung und von Unternehmen in Estland werden in mehreren Wellen angegriffen und brechen zeitweilig zusammen. Es soll sich um den schwersten DDoS-Angriff gegen ein Land gehandelt haben. ^[1]
• November 2007: DDoS-Angriff gegen antispam.de und aa419.org, die Betreiber gehen von einem Zusammenhang aus.^[2]
• August 2008: Die Website des georgischen Präsidenten Micheil Saakaschwili wird lahmgelegt.^[3]
• November 2008: Ein DDoS-Angriff mit über 20 GBit/s von mehr als 40.000 Hosts erfolgt auf den Domain Name Registrar und Hoster InterNetX.^[4]
• Dezember 2008: Mehrere Verbraucherschutz-Seiten wie Abzocknews.de, Antiabzocke.net, Nicht-Abzocken.eu und Rotglut.org sind aufgrund massiver und gezielter DDoS-Angriffe teilweise für mehrere Tage nicht mehr zu erreichen.^[5]
• Februar 2009: Ein Chat von tagesschau.de mit Charlotte Knobloch wird mit einem DDoS-Angriff unterbrochen, nachdem sich Knobloch für ein NPD-Verbot ausgesprochen hatte.^[6]

Die beobachteten Angriffe basierten auf zwei wesentlichen Schwachstellen: Zum einen konnten die Absenderadressen der „angreifenden“ Datenpakete gefälscht werden (IP-Spoofing), zum anderen konnte vor dem eigentlichen Angriff auf einer großen Anzahl dritter – nur unzureichend geschützter – Internet-Rechner unberechtigterweise Software installiert werden, die dann ferngesteuert durch massenhaft versendete Datenpakete den eigentlichen Angriff ausführten. Das Besondere an diesen DDoS-Angriffen ist, dass diese auch diejenigen treffen können, die sich ansonsten optimal vor Eindringlingen aus dem Internet geschützt haben. Insofern sind Rechner, auf denen nicht einmal so genannte Grundschutzmaßnahmen umgesetzt sind, nicht nur für den jeweiligen Betreiber eine Gefahr, sondern auch für alle anderen Computer im Internet.

Dienstverweigerung bei herkömmlicher Überlastung

Führt der sprunghafte Anstieg von Anfragen an eine bisher nur gering frequentierte Website aufgrund der Berichterstattung in einem publikumswirksamen Medium (wie dem IT-Online-Magazin Slashdot) zu deren Überlastung und damit zur Dienstverweigerung, wird das zumeist Slashdot-Effekt genannt und gelegentlich scherzhaft mit einem DDoS-Angriff verglichen. Bekanntes Beispiel dafür ist der Nachrichtenticker Heise online.

Gegenmaßnahmen

Eine dynamische Vorgehensweise besteht im laufenden Abgleich der IP-Adressen mit so genannten Blacklists und die Analyse und Filterung des eingehenden Datenverkehrs durch den Grenzrouter des Providers. Datenpakete von bekannten IP-Adressen werden verworfen. Ebenso kann sich eine dynamische Filterung auf Datenmengen beziehen. Jeder IP-Adresse, die einen einstellbaren Grenzwert (Datenvolumen pro Zeit) überschreitet, kann der Zugang komplett verweigert oder die Bandbreite beschränkt werden.

Bei kleineren DDoS-Angriffen, die keinen erheblichen Datenverkehr verursachen und lediglich den Server unnötig belasten, kann das Blocken auf Basis der Herkunfts-IP-Adresse durch den Server selbst sinnvoll sein.

Bei der kompletten Sperre des eingehenden Datenverkehrs werden am Grenzrouter des Providers alle auf die betroffene Ziel-IP-Adresse eingehenden Datenpakete verworfen. Das bedeutet im Umkehrschluss, dass auch legitime Anfragen an die IP-Adresse und den dahinterliegenden Server verworfen werden. Der Server ist dann faktisch nicht mehr erreichbar, womit die Attacke ihr Ziel erreicht hat. Diese Maßnahme kann also nur kurzfristig eingesetzt werden. Treten die Angriffe wiederholt auf, besteht die Möglichkeit die IP-Adresse des Servers zu ändern oder eine dynamische Filterung einzusetzen.

Weblinks

• Funktionsweise des DoS (Bundesamt für Sicherheit in der Informationstechnik)
• Eine Liste freier deutschsprachiger Dokumente zum Thema
• Ausführliche Beschreibung des Denial of Service

Einzelnachweise

1. ↑ http://www.iaik.tugraz.at/downloads/public/KIIS/tittelbach_angriff_auf_estland.pdf
2. ↑ Zitat von der temporären Startseite von antispam.de: „Die Betreiber von Antispam.de gehen aufgrund der zeitlichen Überschneidung von einem Zusammenhang mit der DDoS auf die Anti-Scam-Seite aa419.org (Artists Against 419) aus, die sich mit dem als 'Nigeria-Mails' bekannten Vorschussbetrug befasst und diesen bekämpft.“
3. ↑ [1]
4. ↑ http://www.heise.de/newsticker/DDoS-Attacke-auf-InternetX-Update--/meldung/119274
5. ↑ netzwelt.de; vgl. abzocknews.de.
6. ↑ Corinna Emundts: tagesschau-Chat mit Charlotte Knobloch. „Man hätte viel verhindern können“. Auf: tagesschau.de, 11. Februar 2009.