LU12b - Angriffsvarianten DOS/DDoS

1. Die grundlegende Funktionsweise von DoS/DDoS erklären und demonstrieren können.
2. Angriffsvektoren bzw. Angriffsarten für DoS/DDoS nennen können.
3. Nennen können wie eine DoS/DDoS-Attacke gegen die CIA-Triade wirkt und welches Schutzziel primär betroffen ist.

Die Angriffstechnik DoS nutzt eine simple Tatsache aus: Jeder Server verfügt nur über begrenzte Ressourcen (Rechenleistung, Arbeitsspeicher, Verbindungstabellen und Bandbreite). Werden diese Ressourcen schneller beansprucht als sie freigegeben werden können, bricht der Dienst für alle zusammen. In der nachfolgenden Abbildung wird gezeigt, wie legitime Anfragen echter Benutzer im Ansturm einer Flood untergehen und der Server dadurch nicht mehr antworten kann.

Das Grundprinzip einer Flood lässt sich stark vereinfacht so darstellen:

// von tausenden gekaperten Geräten gleichzeitig ausgeführt
while (true) {
    sende_anfrage(ziel_server);
}

Ein einzelner Rechner (DoS) richtet dabei meist wenig aus. Erst wenn dieselbe Schleife verteilt von tausenden Geräten eines Botnets ausgeführt wird (DDoS), summieren sich die Anfragen zu einer Last, die kein normaler Server mehr bewältigen kann. Die Verbindungstabelle läuft voll, sobald sie belegt ist, wird jede weitere Anfrage – auch die eines echten Kunden – abgewiesen.

Eine Applikation im Business-Umfeld hat grundsätzlich drei Dimensionen bzw. Ziele der Sicherheit zu gewährleisten:

• Vertraulichkeit: Userdaten sind weder bewusst noch unbewusst unbefugten zugänglich.
• Verfügbarkeit: Das System ist zu vereinbarten Zeiten vollumfänglich verfügbar.
• Integrität: Die Daten liegen unverfälscht vor.

Während eine SQLi potenziell alle drei Ziele verletzen kann, zielt eine DoS/DDoS-Attacke primär und direkt auf die Verfügbarkeit ab. Die beiden anderen Schutzziele können jedoch indirekt betroffen sein, wenn der Angriff als Ablenkung dient.

Dies ist das eigentliche und direkte Ziel jeder DoS/DDoS-Attacke. Ein Angriff auf die Verfügbarkeit bedeutet, dass ein System zu vereinbarten Zeiten nicht mehr erreichbar ist. Je nach Geschäftsumfeld ist dies unterschiedlich kritisch: Der Lebensmittelladen um die Ecke kann sein Geschäft auch ohne IT-System betreiben. Ein Online-Shop hingegen verliert bei jedem Ausfall unmittelbar Umsatz.

Eine DoS/DDoS-Attacke selbst stiehlt keine Daten. Sie kann aber als Ablenkungsmanöver (engl. Smokescreen) dienen: Während das Sicherheitsteam alle Kräfte darauf verwendet, den Dienst wieder verfügbar zu machen, läuft im Hintergrund unbemerkt ein zweiter Angriff.

Auch die Unverfälschtheit der Daten kann indirekt leiden. Sind Systeme überlastet, fallen mitunter Schutz- und Protokollmechanismen aus oder es kommt bei der überstürzten Wiederherstellung zu Fehlern.

Volkan Demir

Volkan Demir