Ein verteilter Überlastungsangriff speist Verkehr aus vielen Orten, sodass das Sperren eines Rechners den Dienst nicht rettet.
Die Verteilung ist der Punkt dieser Seite: die Last ist gestreut, deshalb lässt eine einzelne Adresssperre den größten Teil der Flut unberührt.
So funktioniert es
Quellen können kompromittierte Geräte oder andere gemeinsam handelnde Clients sein, und der vereinte Verkehr erschöpft Bandbreite oder die Antwortfähigkeit der Anwendung.
Betreiber arbeiten deshalb mit vorgelagerten Netzen, die näher an den Quellen filtern können, statt jede Adresse auf dem leidenden Server zu listen.
Der Angriff ist absichtlich und kommt aus vielen Quellen, was ihn von einem gewöhnlichen Ausfall und von einem Versuch aus einer Quelle trennt.
Kundenhinweise sollten Wirkung und Wiederherstellung beschreiben, nicht die Wege oder Einstellungen, die jemandem helfen würden, eine ähnliche Flut zu richten.
Konkrete Beispiele
- Das Sperren der geschäftigsten Adresse beseitigt nur einen kleinen Teil der Fehler, und die Seite bleibt unten, bis der Anbieter vorgelagert filtert.
- Ein in einer Region betriebener Dienst fällt aus, während eine Bereitschaft in einer anderen Region, dem Anbieter vorher genannt, weiter antwortet.
- Protokolle zeigen Anfragen aus vielen Netzen in derselben Minute, und kein einzelnes Kundennetz erklärt die Menge.
Schutzmaßnahmen
- Vereinbaren Sie vorgelagertes Filtern, bevor Sie es brauchen, und prüfen Sie, wer dieses Filtern auslösen darf.
- Verlassen Sie sich bei einer verteilten Flut nicht auf das Sperren einzelner Adressen als hauptsächliche Reaktion.
- Platzieren Sie kritische Anwendungen so, dass eine Flut der öffentlichen Seite Ihre Fähigkeit zum Betrieb nicht nimmt.
- Melden Sie Nutzerinnen und Nutzern Wirkung und Wiederherstellungszeit und behalten Sie Quelldetails in der vertraulichen Vorfallsakte.