DDoS-Schutzgrundlagen für kleine Standorte und Geschäfte
DDoS-Angriffe sind nicht nur ein Problem für Banken und Spielstudios — kleine Seiten werden ständig im Explosionsradius gefangen. Wie sie funktionieren, und was tatsächlich zu tun ist, wenn man beginnt.
Das erste Zeichen ist fast nie ein Sicherheitsalarm. Es ist die Website ist langsam, dann die Website sehr langsam, dann das Hosting-Dashboard zeigt CPU auf 100 % gepinnt und ein Support-Ticket, das sagt: "Haben Sie eine Kampagne laufen?"
Wenn jemand das Wort DDoS benutzt, läuft es normalerweise schon seit zwanzig Minuten. Es lohnt sich also, die Form der Sache zu verstehen, bevor man einen trifft — besonders die Tatsache, dass sich zwei ganz unterschiedliche Angriffe unter demselben Akronym verstecken, und sie brauchen unterschiedliche Antworten.
Warum "verteilt" ist das ganze Problem
DDoS steht für Distributed Denial of Service. Der Denial-of-Service-Teil ist einfach: Überwältigen Sie eine Website, so dass echte Besucher nicht in. Der verteilte Teil ist, was es schwer macht, damit umzugehen.
Der Verkehr kommt nicht von einem Ort, den Sie blockieren können. Es kommt von Tausenden von kompromittierten Geräten, die weltweit verbreitet sind — Heimrouter, Sicherheitskameras, Server mit schwachen Passwörtern, oft im Besitz von Leuten, die keine Ahnung haben, dass sie teilnehmen. Jeder schickt einen Tröpfchen. Zusammen sind sie eine Feuerhose, und es gibt keine einzige IP-Adresse zu fallen.
Zwei Angriffe, zwei Probleme
Volumenfluten
Die Brute-Force-Version: Senden Sie mehr rohen Datenverkehr als Ihre Verbindung tragen kann. Diese werden in Gigabit pro Sekunde gemessen, sie verwenden häufig Verstärkung — Senden einer kleinen gefälschten Anfrage an einen Dienst, der mit einer viel größeren Antwort antwortet, die auf Sie gerichtet ist — und sie kümmern sich nicht, was Ihre Website ist oder tut es. Ihre Pfeife füllt sich und legitime Pakete haben nichts zu gehen.
Wichtig zu verstehen ist, dass Sie dies auf Ihrem Server nicht lösen können. Wenn jemand 50 Gbit/s bei einer 1 Gbit/s-Verbindung sendet, ist nichts, was am Ende dieser Verbindung läuft, wichtig. Der Verkehr muss stromaufwärts absorbiert werden, in einem Netz mit mehr Kapazität als der Angriff.
Anwendungsebenenüberflutungen
Die Sneaker-Version, und zunehmend die häufigste gegen kleine Websites. Anstatt Rohvolumen, diese Anfragen senden, dass Sehen Sie. legitim, aber teuer für Sie zu beantworten: Suchanfragen mit ungewöhnlichen Begriffen, Endpunkte, die einen schweren Datenbank-Join auslösen, ein Anmeldeformular, alles, was nicht erreichbar.
Das Verkehrsvolumen kann bescheiden sein — ein paar tausend Anfragen pro Minute, nichts, was Ihre Bandbreite stören würde — während Ihre Datenbank schmilzt. Ein Geschäft mit einem langsamen Suchendpunkt kann durch einen Angriff klein genug heruntergenommen werden, dass niemand Alarme auf der Bandbreite überhaupt überwacht.
| Volumen | Anwendungsebene | |
|---|---|---|
| Gemessen in | Gigabit pro Sekunde | Anträge pro Sekunde |
| Was es erschöpft | Ihre Bandbreite | Ihre CPU und Datenbank |
| Sieht aus wie | Offensichtlicher Müll | Plausible Anträge |
| Angehalten von | Vorlaufkapazität | Geschwindigkeitsbegrenzungen, Caching, Herausforderungen |
| Kann Ihr Server helfen? | Nein | Teilweise |
Warum kleine Standorte überhaupt getroffen werden
Wer würde einen kleinen Ort angreifen?
- Erpresser — eine kurze Demonstration, dann eine Zahlungsforderung
- Ein Wettbewerber, in der Regel um einen Verkauf oder Start
- Jemand testet einen Booter-Service auf einem zufälligen Ziel
- Kollateraler Schaden durch einen Angriff auf einen Nachbarn bei Ihrem Gastgeber
Warum es mehr weh tut
- Ein Server hat eine harte Decke und keine Elastizität
- Ausfallzeiten während einer Beförderung sind direkt verlorene Einnahmen
- Gemeinsame Hosting-Nachbarn können Sie mit ihnen
- Niemand ist um 2 Uhr morgens auf Abruf.
Der letzte Punkt in der linken Spalte ist es wert, auf. Auf geteilten Hosting, ein Angriff auf eine völlig unabhängige Website auf Ihrem Server gerichtet kann auch Ihren offline. Sie müssen nicht ein Ziel sein, um ein Opfer zu sein.
Die Verteidigung ist Kapazität, die Sie nicht besitzen
Sie können keinen Kapazitätskampf von einem einzigen Server gewinnen, und der Kauf eines größeren Servers ändert nicht die Arithmetik — der Angreifer kann Bots schneller und billiger hinzufügen, als Sie Hardware hinzufügen können.
Was funktioniert, ist, ein großes verteiltes Netzwerk vor Sie zu stellen. Ein Randnetz hat Punkte der Präsenz in vielen Städten, jede mit erheblichen Kapazität, und der Verkehr wird absorbiert und gefiltert über alle von ihnen anstatt auf Ihrer einen Box zu konvergieren. Eine Flut, die einen einzigen Ursprung flacher machen würde, kommt an fünfzig Orten auf einmal an, wird an jedem gefiltert, und was dich erreicht, ist, was legitim war.
Caching macht hier auch überraschend viel Arbeit. Wenn 95 % der Anfragen von der Kante aus beantwortet werden, wird eine auf zwischengespeicherte URLs gerichtete applikations-layer-Flut vollständig absorbiert – der Angreifer ist DDoSing ein Cache, wofür Caches sind.
Nichts davon hilft, wenn Ihre echte Herkunft IP öffentlich ist. Angreifer suchen es nach — in alten DNS-Datensätzen, in Mail-Headern, in Zertifikatstransparenzprotokollen — und treffen es direkt und umgehen Ihren Schutz vollständig. Ändern Sie die Ursprungs-IP, wenn Sie sich hinter einem Edge-Netzwerk bewegen, und konfigurieren Sie es, um den Datenverkehr nur von der Kante aus zu akzeptieren.
Was zu tun ist, während es geschieht
Bestätige, was für eine Art es ist
Bandbreite gesättigt, oder CPU mit bescheidener Bandbreite gesättigt? Diese einzelne Frage entscheidet über alles, was Sie als nächstes tun.
Nicht anfangen Länder in Panik zu blockieren
Es fühlt sich entscheidend, es blockiert in der Regel Kunden, und der Angriff einfach bewegt.
Caching nach oben drehen
Steigern Sie TTLs und Cache aggressiv, einschließlich Dinge, die Sie normalerweise dynamisch hinterlassen würden. Eine veraltete Seite schlägt keine Seite.
Die teuren Endpunkte herausfordern
Suche, Login, alles uncacheable. Eine Proof-of-Work-Challenge kostet einen echten Browser nichts und macht automatisierte Lautstärke unwirtschaftlich.
Prüfen Sie, ob Ihre Herkunft tatsächlich versteckt ist
Wenn der Verkehr immer noch direkt ankommt, kann Ihnen nichts am Rand helfen. Firewall den Ursprung zu den Bereichen des Edge-Netzwerks.
Schreiben Sie auf, was passiert ist
Danach, während es frisch ist. Attacken wieder, oft von den gleichen Menschen, und das zweite Mal ist viel ruhiger, wenn Sie Noten haben.
Häufig gestellte Fragen
Was ist ein DDoS-Angriff?
Ein DDoS, oder verteilt Denial-of-Service, überflutet eine Website mit Traffic von Tausenden von separaten kompromittierten Geräten, so dass legitime Besucher nicht durchkommen können. Da der Datenverkehr von vielen Quellen auf einmal und nicht von einer stammt, gibt es keine einzige Adresse zu blockieren, und das Gesamtvolumen kann weit über das hinausgehen, was ein einzelner Server oder eine Verbindung verarbeiten kann.
Kann eine kleine Website von einem DDoS Angriff getroffen werden?
Ja, und das passiert regelmäßig. Kleine Websites werden von Erpresser auf der Suche nach einer schnellen Zahlung, von Wettbewerbern rund um den Verkauf und Starts und von Menschen Tests Angriffsdienste auf willkürliche Ziele. Beim gemeinsamen Hosting kann eine Website auch offline als Kollateralschaden durch einen Angriff auf einen unabhängigen Nachbarn auf dem gleichen Server genommen werden.
Wie kann ich einen DDoS-Angriff stoppen?
Sie können nicht verhindern, dass ein Server angegriffen wird — eine volumetrische Flut sättigt die Verbindung, bevor etwas auf Ihrem Server läuft. Der effektive Ansatz ist es, hinter einem verteilten Randnetz zu sitzen, das den Verkehr über viele Standorte aufnimmt und filtert, aggressiv zwischenspeichert, so dass die meisten Anfragen nie Ihren Ursprung erreichen, Rate Grenzen und Herausforderungen anwenden, um teure Endpunkte, und stellen Sie sicher, dass Ihre Herkunft IP versteckt ist und akzeptiert Traffic nur von der Kante.
Was ist der Unterschied zwischen volumetrischer und Applikationsschicht DDoS?
Ein volumetrischer Angriff zielt darauf ab, Ihre Bandbreite mit bloßem Verkehrsvolumen auszuschöpfen, gemessen in Gigabit pro Sekunde, und muss vor Ihrer Verbindung absorbiert werden. Ein Angriff auf die Applikationsschicht sendet eine viel kleinere Anzahl von Anfragen, die individuell teuer zu bedienen sind — schwere Suchen, unerreichbare Seiten, Anmeldeversuche — anstrengende CPU und Datenbankkapazität statt bandbreite und wird durch Caching, Geschwindigkeitsbegrenzung und Herausforderungen gemildert.
Schützt ein CDN vor DDoS?
Für beide Typen erheblich. Die verteilte Kapazität eines CDN absorbiert volumetrische Fluten, die einen einzigen Ursprung überwältigen würden, und sein Cache beantwortet die meisten Anfragen der Anwendungsebene, ohne dass Ihr Server überhaupt einbezogen wird. Der Schutz gilt nur, wenn Ihre Ursprungs-IP versteckt ist und Firewall, um den Datenverkehr nur vom CDN zu akzeptieren – sonst können Angreifer es umgehen, indem sie den Ursprung direkt anvisieren.
Soll ich Länder während eines DDoS-Angriffs blockieren?
Es ist in der Regel der falsche erste Schritt. Länderblöcke fühlen sich entscheidend, aber zuverlässig blockieren echte Kunden, und ein verteiltes Botnet verlagert sich einfach auf Quellen in erlaubten Ländern. Ein aggressiveres Absacken, die Begrenzung teurer Endpunkte und das Anwenden von Herausforderungen auf verdächtigen Verkehr sind präziser und weniger kostspielig. Behandeln Sie geographische Blockade als späte Maßnahme und überprüfen Sie sie, sobald der Angriff beendet ist.
Die unbequeme Wahrheit über DDoS ist, dass die Vorbereitung vor dem Angriff geschehen muss, denn es gibt nicht viel, das Sie von innen aus nützlich tun können. Die gute Nachricht ist, dass die Vorbereitung kurz ist: Sitzen Sie hinter einem Netzwerk mit Kapazität, verstecken Sie Ihren Ursprung und Cache genug, dass der größte Teil Ihres Traffics nie einen Server überhaupt berührt.
Sehen Sie, wie NordicCDN dies für Ihre Website tut:
Mads hat seit seinem 16. Lebensjahr in der IT gearbeitet — hauptsächlich als Hosting. Er beteiligte sich früh an einer SaaS-Firma und half, sie bis zur Übernahme durch Visma weiterzuentwickeln, hat Data-Center-Netzwerke aufgebaut und betrieben und diente als CTO eines dänischen Rechenzentrums. Er hat NordicCDN gestartet, um eine schnelle, sichere Infrastruktur einfach zu bedienen.
