DDoS-Angriffe (Distributed Denial of Service) stellen eine ernsthafte Bedrohung für die Fähigkeit eines Unternehmens dar, Kunden anzuziehen, zu halten und mit ihnen zu interagieren. Einfach ausgedrückt, ein DDoS-Angriff soll die Webpräsenz eines Unternehmens für legitime Benutzer unzugänglich machen, indem die zugrunde liegende Infrastruktur mit böswilligem Datenverkehr überfüllt wird.
Herkömmliche DDoS-Angriffe werden immer billiger und einfacher durchzuführen. Der Aufstieg des Internet der Dinge (IoT) und das Wachstum des Cloud Computing bedeuten, dass Cyberkriminelle einfachen Zugang zu einer großen Menge an Rechenleistung haben, die mit dem Internet verbunden ist. Diese Botnets können so zugewiesen werden, dass böswillige Anforderungen in einem höheren Volumen als den von Webservern unterstützten an eine Website gesendet werden.
Das Wachstum billiger und leicht zugänglicher Rechenleistung ist jedoch nicht der einzige Weg, auf dem sich die DDoS-Bedrohungslandschaft weiterentwickelt. Cyberkriminelle nutzen auch neue Tools und Techniken, um ihre Angriffe auszuführen. Ein Beispiel für eine solche Technik ist der NXNSAttack. Dieser Angriff nutzt die Eigenschaften der rekursiven DNS-Server (Domain Name System), um einen DDoS-Angriff auf den DNS-Server des Opfers auszuführen. Wenn dieser DNS-Server nicht hinter robust steht DDoS-SchutzSie könnten überfordert sein und die Website des Unternehmens für legitime Benutzer unzugänglich machen.
Die Bedeutung der DNS-Infrastruktur
Bei Verwendung des Internets geben die meisten Benutzer nicht die IP-Adresse des Computers ein, auf den sie zugreifen möchten. Stattdessen geben sie einen Domainnamen oder eine URL ein, z. B. google.com. Diese IP-Adressen sind jedoch das, was der Clientcomputer und die Router im Pfad zwischen Quell- und Zielcomputer benötigen, um sicherzustellen, dass der Datenverkehr sein beabsichtigtes Ziel erreicht.
DNS ist das Internetprotokoll, mit dem Domänennamen in IP-Adressen übersetzt werden können. Die DNS-Infrastruktur ist als Hierarchie von Servern organisiert, die für die Verarbeitung von Abfragen für eine bestimmte Domäne ausgelegt sind. Dies bedeutet, dass für eine Abfrage zum Auflösen der URL einer bestimmten Website möglicherweise Anforderungen an mehrere DNS-Server (z. B. .com, google.com usw.) erforderlich sind. Damit Benutzer auf eine Website zugreifen können, müssen sie in der Lage sein, ihre URL in die IP-Adresse des Servers zu konvertieren, auf dem sie gehostet wird. Dies erfordert, dass jeder DNS-Server, der zum Auflösen der Adresse erforderlich ist, online ist und von einem Computer aufgerufen werden kann.
das 2016 DDoS-Angriff auf Dyn, Als wichtiger DNS-Anbieter zeigt er die möglichen Auswirkungen eines DDoS-Angriffs auf die DNS-Infrastruktur. Während des Angriffs wurden Server, auf denen der von Dyn verwaltete DNS-Dienst gehostet wird, von einigen DDoS-Angriffen des Mirai-Botnetzes angegriffen. Während der Dienst schließlich in der Lage war, den Angriff zu überwinden, wurde ein erheblicher Prozentsatz des Internets während des Angriffs nicht mehr erreichbar, als der Dienst DNS-Anforderungen von legitimen Benutzern nicht auflösen konnte.
DNS-System für DDoS-Angriffe
DDoS-Angriffe gegen die DNS-Infrastruktur sind nichts Neues, wie der DDoS-Angriff gegen Dyn 2016 gezeigt hat. Die Beziehung zwischen DDoS-Angriffen und DNS-Diensten ist jedoch nicht immer die des Angreifers und des Ziels. Einige DDoS-Angriffe nutzen DNS-Dienste, um die Auswirkungen des Angriffs zu verstärken. EIN kürzlich entdeckter Angriff nutzt die hierarchische Struktur der DNS-Infrastruktur. Rekursive DNS-Server dienen zum Weiterleiten von DNS-Anforderungen an autorisierte Server, die sich im Upstream befinden, um den Domänennamen in eine IP-Adresse aufzulösen. Diese autorisierten Server können diese Berechtigung auch an andere DNS-Server delegieren.
Der neue Angriff nutzt diese Funktionalität, um DDoS-Angriffe auszuführen. Bei diesem Angriff sendet der Angreifer eine DNS-Anfrage an einen DNS-Server, für den der autorisierte DNS-Server unter der Kontrolle des Angreifers steht. Nach Erhalt der Anforderung weist der DNS-Server des Angreifers den rekursiven DNS-Server an, diese Berechtigung an eine lange Liste gefälschter DNS-Server in der Domäne des Opfers zu delegieren. Um die Anforderung zu lösen, fragt der rekursive DNS-Server den DNS-Server des Opfers nach jedem dieser angeblichen DNS-Server ab. Infolgedessen empfängt der DNS-Server des Opfers eine große Menge an Datenverkehr vom rekursiven DNS-Server, wodurch seine Fähigkeit, legitime DNS-Anforderungen aufzulösen, beeinträchtigt wird.
Wenn der DNS-Server des Opfers die Anforderungen nicht verarbeiten kann, können Besucher, die versuchen, auf Websites innerhalb der Domäne des Opfers zuzugreifen, ihre URLs nicht in die IP-Adressen der Webserver des Opfers übersetzen. Infolgedessen kann die Website des Opfers völlig unerreichbar werden und Mitarbeiter können möglicherweise den Zugriff auf interne Dienste im Unternehmensintranet verlieren, wenn der Zugriff auf diese Dienste vom DNS-Server des Unternehmens abhängt.
Schutz vor DDoS-Angriffen
Die Webpräsenz eines Unternehmens ist entscheidend für seine Geschäftsfähigkeit. Kunden bevorzugen es zunehmend, online zu surfen und einzukaufen, anstatt physische Geschäfte zu besuchen. Darüber hinaus verlagern viele Unternehmen aufgrund der erhöhten Skalierbarkeit einige oder alle ihrer Kundendienstfunktionen auf ihre Website.
Cyberkriminelle haben verschiedene Methoden, mit denen sie eine Website durch DDoS-Angriffe trennen können. Angreifer können die Website direkt angreifen, indem sie Anforderungen an die Webanwendung senden oder auf die DNS-Infrastruktur abzielen, auf die sich die Website stützt, um den Besucherverkehr auf ihre Webserver weiterzuleiten. Da DDoS-Angriffe einfacher und billiger durchzuführen sind, werden sie wahrscheinlich noch häufiger. Um die Verfügbarkeit der Webpräsenz des Unternehmens sicherzustellen, müssen robuste DDoS-Minderungslösungen implementiert werden, mit denen verschiedene DDoS-Angriffe identifiziert und blockiert werden können.
