Ein DDoS-Angriff auf Schicht 7 zielt auf die Anwendung selbst, nicht auf die bloße Füllung der Leitung.
Die Anfragen sehen oft wie normale Seitenaufrufe, Suchen oder Anmeldungen aus und verbrauchen trotzdem Anwendungslogik, Datenbankzeit oder Sitzungen.
Wer nur die Verkehrslast in Bits betrachtet, übersieht diesen Angriff leicht.
Das OSI-Modell verstehen
Das OSI-Modell ordnet Kommunikation in Schichten, von der physikalischen Übertragung bis zur Anwendung.
Jede Schicht hat eigene Adressen, Fehlerfälle und Angriffsmöglichkeiten.
Für die Abwehr ist die Einordnung wichtig, weil eine Maßnahme auf Schicht 3 einen Missbrauch von Anwendungslogik nicht erkennt.
Die Rolle der siebten Schicht im OSI-Modell
Schicht 7 trägt Protokolle, mit denen Programme sprechen, etwa Webanfragen, Namensauflösung aus Sicht der Anwendung oder E-Mail-Befehle.
Hier entstehen Sitzungen, Parameter und teure Operationen wie eine Suche oder ein Login.
Ein Angriff auf dieser Schicht trifft genau diese Operationen und nicht nur die Paketweiterleitung.
Was ist ein DDoS-Angriff?
Ein DDoS-Angriff lässt viele Quellen gemeinsam einen Dienst so stark beanspruchen, dass berechtigte Nutzer keinen brauchbaren Zugang mehr haben.
Verteiltheit bedeutet, dass die Last von vielen Rechnern kommt und eine einzelne Absenderadresse nicht den ganzen Angriff erklärt.
Das Ziel ist die Störung der Verfügbarkeit, nicht das Lesen von Daten.
Die Auswirkungen von DDoS-Angriffen
Betroffene Dienste antworten langsam, brechen Anmeldungen ab oder werden für Kunden unerreichbar.
Interne Abhängigkeiten wie Datenbanken und Warteschlangen laufen voll, selbst wenn die äußere Leitung noch Kapazität hat.
Wiederholte Störungen beschädigen Vertrauen und können benachbarte Systeme mitziehen, die dieselben Kontingente nutzen.
Was ist ein DDoS-Angriff der Schicht 7?
Ein Angriff der Schicht 7 sendet viele scheinbar zulässige Anwendungsanfragen, die jeweils teure Arbeit auslösen.
Beispiele sind Suchen mit aufwendigen Filtern, wiederholte Logins oder Aufrufe, die große Antworten erzeugen.
Die Bandbreite bleibt oft unauffällig, während CPU, Speicher oder Datenbankverbindungen erschöpft sind.
Der Mechanismus von DDoS-Angriffen auf Layer 7
Der Angreifer verteilt Anfragen über viele Clients und variiert Pfade, Parameter und Kopffelder, damit einfache Wiederholungsmuster nicht auffallen.
Jede einzelne Anfrage kann für sich gültig sein.
Die Schädigung entsteht aus der Summe und daraus, dass die Anwendung die Anfrage vollständig bearbeitet, bevor sie den Missbrauch erkennt.
Wie man DDoS-Angriffe auf Layer 7 erkennt
Erkennung vergleicht das Verhalten mit dem gewöhnlichen Nutzungsmuster einer Anwendung.
Auffällig werden plötzliche Häufungen gleicher teurer Aufrufe, ungewöhnliche Fehlerquoten bei Anmeldungen oder viele Quellen mit demselben Zielpfad.
Reine Volumengrenzen auf der Leitung greifen zu spät, wenn die Anfragen klein, aber teuer sind.
Tools zur Erkennung von DDoS-Angriffen der Schicht 7
Nützlich sind Anwendungsprotokolle, die Pfad, Statuscode und Bearbeitungszeit festhalten, sowie Metriken zu Datenbankzeit und gleichzeitigen Sitzungen.
Webanwendungsfirewalls und Reverse-Proxys können Häufungen nach Pfad, Methode und Quelle zählen.
Die Auswertung muss die normale Last der Anwendung kennen, sonst wird ein Verkaufsstart als Angriff gelesen.
Wie man Layer-7-DDoS-Angriffe abwehrt
Abwehr begrenzt teure Operationen, trennt anonyme von angemeldeten Aufrufen und hält Kapazität für bekannte gute Clients frei.
Caches, Warteschlangen und kürzere Timeouts verhindern, dass eine teure Anfrage alle Arbeiter blockiert.
Sperren sollten an Verhalten und Kosten hängen, nicht nur an einer einzelnen Adresse, die der Angreifer wechselt.
Tools zur Eindämmung von DDoS-Angriffen der Schicht 7
Zum Eindämmen dienen Rate-Limits an Reverse-Proxys, Herausforderung bei verdächtigen Sitzungen, Lastabwurf für unwichtige Pfade und eine Skalierung, die teure Abfragen von günstigen trennt.
Eine Anwendungsfirewall kann Regeln für wiederholte Logins oder ungewöhnliche Parameter tragen.
Diese Werkzeuge wirken, wenn sie die tatsächlichen Kosten der Anfrage kennen und berechtigte Spitzen nicht pauschal aussperren.
Schlussfolgerung
Schicht-7-Angriffe missbrauchen gültige Anwendungsarbeit und lassen sich nicht an der Leitung allein erkennen.
Schutz heißt, teure Pfade zu messen, Verhalten von der gewöhnlichen Nutzung zu unterscheiden und Kapazität für echte Clients zu reservieren.
Wer nur Bandbreite hinzufügt, bezahlt die Bearbeitung der schädlichen Anfragen mit.