Ein Botnet-Angriff nutzt viele ferngesteuerte Geräte gleichzeitig gegen ein Ziel.
Das Ziel sieht verteilte Anfragen, Nachrichten oder Anmeldeversuche und nicht den Betreiber hinter der Menge.
Abwehr muss die Wirkung am eigenen Dienst begrenzen und die Steuerung, soweit erkennbar, von den Geräten trennen.
Botnetze verstehen
Ein Botnetz besteht aus Geräten, die Befehle eines Dritten ausführen.
Für den Angegriffenen ist zuerst die gemeinsame Handlung sichtbar, nicht die Infektion auf den fremden Geräten.
Verstehen heißt, beide Seiten zu unterscheiden: die Quelle der Last und den Kanal, der sie auslöst.
Arten von Botnetzen
Botnetze sind zentral über wenige Steuerrechner organisiert oder dezentral über viele gleichberechtigte Knoten.
Zentrale Formen lassen sich an den Steueradressen stören, dezentrale Formen überstehen den Verlust einzelner Knoten.
Mietbare Netze verdecken zusätzlich, wer den Auftrag erteilt hat.
Wie Botnets erstellt werden
Erstellt wird ein Botnetz durch massenhafte Infektion und durch einen Kanal, der Befehle zuverlässig zustellt.
Schwachstellen, getäuschte Benutzer und bereits vorhandene Schadsoftware liefern die Geräte.
Danach kann der Betreiber die Menge für wechselnde Aufträge einsetzen.
Botnet-Angriffe
Der Angriff ist die konkrete Nutzung dieser Menge gegen Verfügbarkeit, Postfächer oder Anmeldeseiten.
Er beginnt mit einem Auftrag und endet, wenn das Ziel ausfällt, Daten abfließen oder der Auftrag abbricht.
Dieselbe Menge kann kurz hintereinander verschiedene Ziele bedienen.
DDoS-Angriffe
Bei einem DDoS-Angriff senden viele Bots gleichzeitig so viel Verkehr, dass der Dienst nicht mehr regulär antwortet.
Die Last kann aus Verbindungsversuchen, aus teuren Suchanfragen oder aus volumetrischem Verkehr bestehen.
Filter nahe der Anwendung und Kapazität beim Netzanbieter wirken an unterschiedlichen Stellen dieser Last.
Spamming und Phishing
Spamming und Phishing nutzen das Botnetz, um Nachrichten von vielen Herkünften zu senden.
Einzelne Sperren einer Adresse treffen nur einen kleinen Teil der Sendung.
Inhalt, Empfängerlisten und zeitliche Häufung bleiben die stabileren Merkmale als die Absenderadresse.
Verhinderung und Eindämmung von Botnet-Angriffen
Verhinderung reduziert neue Infektionen im eigenen Bestand, Eindämmung begrenzt die Wirkung eines laufenden Angriffs.
Beides braucht vorbereitete Filter, erreichbare Ansprechpartner und eine Übung vor dem Ernstfall.
Während des Angriffs hat die Verfügbarkeit der eigenen Dienste Vorrang vor der vollständigen Aufklärung der Herkunft.
Erweiterte Tools zur Erkennung und Reaktion
Erweiterte Erkennung verbindet Verkehrsmuster, Anmeldefehlschläge und bekannte Steuerindikatoren.
Reaktion bedeutet zuschaltbare Filter, das Abwerfen teurer Funktionen und die Information von Netzanbietern.
Werkzeuge helfen nur, wenn die Schwellwerte vor dem Angriff erprobt wurden.
Gemeinsame Anstrengungen
Gemeinsame Anstrengungen reichen Indikatoren für Steuerkanäle und für laufende Kampagnen an andere Betreiber weiter.
Ein Ziel allein kann die infizierten Geräte in fremden Netzen nicht bereinigen.
Abgestimmte Sperren der Steuerung verkürzen den Angriff für alle, die dieselbe Menge trifft.
Fazit
Ein Botnet-Angriff ist die gemietete oder eigene Nutzung vieler kompromittierter Geräte.
Am eigenen Dienst zählen vorbereitete Filter und klare Entscheidungen unter Last.
Dauerhaft sinkt die Bedrohung, wenn Infektionen beseitigt und Steuerkanäle gemeinsam gestört werden.