Auf dieser Seite
Das Wichtigste
- Reflection erzeugt den FloodDieser Punkt hilft, „DDoS-Amplification-Angriff erklärt“ mit präzisem Blick auf Kapazität zu behandeln.
- Amplification erhöht VolumenKleine Anfragen können größere Antworten erzeugen.
- UDP wird häufig missbrauchtDieser Punkt hilft, „DDoS-Amplification-Angriff erklärt“ mit präzisem Blick auf Latenz zu behandeln.
- Upstream-Filtering zähltDie Attacke muss vor dem Kundelink reduziert werden.
Definition des Problems
Ein DDoS-Verstärkungsangriff missbraucht Internetdienste, die größer antworten als die eingehende Anfrage. Der Angreifer sendet kleine Anfragen mit gefälschter Opfer-IP als Quelle; die zwischengeschalteten Server antworten dann an das Ziel.
Das Risiko liegt nicht nur in der Bandbreite. Das Opfer sieht Verkehr von realen Maschinen, oft verteilt und in anderem Kontext legitim. Deshalb sind einfache Quellblockaden schwach; nötig sind Prüfungen nach Protokoll, Größe, Richtung und Verhalten.
- Reflection erzeugt den Flood
- ein Amplification-Angriff macht aus kleinen gespooften Anfragen große Antworten von Drittsystemen. Die Prüfung muss Bandbreite, PPS, Protokollverhalten und den genauen Punkt trennen, an dem der Dienst ausfällt.
- Amplification erhöht Volumen
- Kleine Anfragen können größere Antworten erzeugen.
- UDP wird häufig missbraucht
- ein Amplification-Angriff macht aus kleinen gespooften Anfragen große Antworten von Drittsystemen. Die Prüfung muss Bandbreite, PPS, Protokollverhalten und den genauen Punkt trennen, an dem der Dienst ausfällt.
Warum es wichtig ist
Für Hoster, Dienstbetreiber und Gaming-Netze ist der Effekt sofort sichtbar: volle Ports, Paketverlust, Timeouts, Verbindungsabbrüche und Supportdruck. Der Ursprungsserver kann gesund sein, während der Netzzugang bereits unbrauchbar ist.
Auch Vertrieb und Online-Sichtbarkeit leiden. Ein Interessent, der während einer Störung auf den Dienst zugreift, sieht keinen Vektornamen, sondern einen Anbieter, der nicht antwortet. Die Abwehr muss Nutzererlebnis erhalten, nicht nur blockierten Verkehr anzeigen.
Mögliche Schutzmaßnahmen
Abwehr beginnt mit Kapazität und Filtern am richtigen Punkt. Ist der Kundenlink voll, kommt eine lokale Firewallregel zu spät. Reflektierter Verkehr muss in einer geschützten Schicht aufgenommen und anhand brauchbarer Protokollsignale reduziert werden.
Danach folgt die Rücklieferung: BGP, GRE, IPIP, VXLAN, Cross-Connect oder Router-VM je nach Kunde. Die Wahl muss MTU, Latenz, Rückweg, Protokollierung und den gewünschten Routing-Kontrollgrad berücksichtigen.
Wo Mitigation bei DDoS-Amplification-Angriff erklärt greift
Bei Gaming- oder Reverse-Proxy-Kunden entfernt die Netzwerkschicht reflektiertes Volumen, bevor die feinere Ebene Spieler, Bots oder Protokolldetails bewertet. Ziel ist ein erreichbarer Dienst während des Angriffs.
Konkretes Einsatzbeispiel
Ein Hoster kann eine Welle erhalten, die DNS-, NTP- und andere UDP-Antworten gegen mehrere Kunden-IPs mischt. Ohne vorgelagerten Schutz wird der Zugangsport zum Engpass und jeder Kunde wirkt wie ein eigener Vorfall.
Häufige Fehler
Der erste Fehler ist, nur größere Ports zu kaufen. Das hilft, aber Verstärkung kann schneller wachsen als verfügbare Kapazität. Der zweite Fehler ist, ein ganzes Protokoll ohne Prüfung legitimer Nutzung zu sperren.
Ein weiterer Fehler ist die Annahme, ein einzelner Filter bleibe dauerhaft gültig. Angreifer wechseln Reflektoren und Ports. Regeln müssen testbar, beobachtbar und anpassbar sein, ohne sauberen Verkehr zu beschädigen.
Fragen und Antworten
Ist Amplification dasselbe wie eine direkte UDP-Flut?
Nein. Bei einer Reflexion antworten fremde Server an das Opfer, dessen Adresse als Absender der Anfragen gefälscht wurde. Amplification bedeutet, dass die Antworten größer als die Anfragen sind. Eine direkte UDP-Flut benötigt diesen Vermittler nicht.
Warum ist eine gefälschte Quelladresse wichtig?
Sie lenkt die Antworten zum Opfer. Quelladressvalidierung im sendenden Netz erschwert diesen Missbrauch. Das Opfer benötigt weiterhin Schutz vor Reflektoren in anderen Netzen.
Kann ich betroffen sein, ohne den missbrauchten Dienst zu betreiben?
Ja. Reflektierte DNS-, NTP- oder Memcached-Antworten können auch andere Ziele treffen. Die Filterung muss die tatsächlich benötigten legitimen Protokolle erhalten.
