Ein DDoS-Angriff (Distributed Denial of Service) versucht, einen Dienst lahmzulegen, indem er ihn mit mehr Traffic überflutet, als er bewältigen kann. Hier erfahren Sie, wie diese Angriffe funktionieren, was DDoS-Schutz leistet und was er nicht leisten kann.
Die drei Arten von Angriffen
- Volumetrische Angriffe füllen die Netzwerkleitung selbst mit Müll, gemessen in Gigabit pro Sekunde. Beispiele sind UDP-Floods sowie DNS- oder NTP-Amplification.
- Protokoll-Angriffe missbrauchen die Funktionsweise von Verbindungen, etwa SYN-Floods, die die Verbindungstabelle des Servers erschöpfen.
- Anwendungsschicht-Angriffe senden viele scheinbar legitime Anfragen, etwa Tausende Suchen oder Logins pro Sekunde, um CPU und Datenbanken zu erschöpfen.
In Netzwerkbegriffen sind die ersten beiden Angriffe auf Layer 3 und 4 (L3/L4) und der letzte auf Layer 7 (L7).
Wie Schutz auf Netzwerkebene funktioniert
- Der Traffic zu Ihrer IP-Adresse läuft zuerst durch die Filter-Hardware des Anbieters.
- Das System lernt, wie normaler Traffic aussieht, und markiert Auffälligkeiten.
- Bösartige Pakete, etwa mit gefälschter Quelle oder fehlerhaft aufgebaut, werden verworfen, bevor sie Ihren Server erreichen.
- Sauberer Traffic läuft normal weiter, meist ohne sichtbare Verzögerung.
Jeder VPS auf unserer Plattform enthält L3/L4-Schutz, der die volumetrischen und Protokoll-Angriffe abdeckt, die die meisten Ausfälle verursachen.
Was L3/L4-Schutz nicht stoppt
Layer-7-Floods sehen aus wie echte Besucher, daher können Netzwerkfilter sie nicht immer unterscheiden. Diese behandeln Sie auf Anwendungsebene:
- Stellen Sie ein CDN oder einen Reverse-Proxy vor Websites und cachen Sie großzügig.
- Nutzen Sie Rate Limiting in Nginx (
limit_req_zone) für Login- und Suchseiten. - Nutzen Sie fail2ban, um Wiederholungstäter zu blockieren.
- Liefern Sie statische Seiten aus, wo es geht; ihre Auslieferung kostet fast nichts.
Verringern Sie Ihre Angriffsfläche
- Halten Sie die IP Ihres Ursprungsservers privat, wenn Sie ein CDN nutzen, und lassen Sie sie nicht im DNS-Verlauf oder in E-Mail-Headern durchsickern.
- Schließen Sie jeden nicht benötigten Port.
- Halten Sie Software aktuell, damit Angreifer sie nicht mit einem kleinen Fehler zum Absturz bringen können.
- Überwachen Sie den Ressourcenverbrauch, damit Sie Probleme früh bemerken.
Was bei einem Angriff zu tun ist
- Bestätigen Sie, dass es ein Angriff ist: Prüfen Sie Bandbreitendiagramme und
ss -sauf Verbindungszahlen. - Kontaktieren Sie den Support Ihres Hosts, damit er die Filterung anpassen kann.
- Aktivieren Sie Rate Limits oder stellen Sie die Website hinter einen Proxy.
- Zahlen Sie keine Erpressungsforderungen. Zahlung stoppt wiederholte Angriffe nicht.
Häufig gestellte Fragen
Was bewirkt DDoS-Schutz?
Er filtert Fluten bösartigen Datenverkehrs, bevor sie Ihren Server erreichen, damit die Website für echte Besucher erreichbar bleibt.
Stoppt der DDoS-Schutz des Hosters jeden Angriff?
Nein. Er bewältigt hauptsächlich große Netzwerkfluten. Angriffe auf der Anwendungsschicht, die wie normale Anfragen aussehen, erfordern Rate Limits, Caching und Bot-Regeln auf Ihrem eigenen Server.
Brauche ich DDoS-Schutz für eine kleine Website?
Kleine Websites werden selten direkt angegriffen, können aber in Scans und Fluten geraten. Grundlegender Schutz und Rate Limits sind eine günstige Versicherung.