mini|Schema eines mittels des DDoS-Clients Stacheldraht ausgeführten DDoS-Angriffs
Ein Denial-of-Service-Angriff (DoS-Angriff; englisch denial of service: für „Verweigerung des Dienstes“) bezeichnet in der Informationssicherheit einen Angriff auf das Schutzziel der Verfügbarkeit. Meist geschieht das durch Überlastung eines Rechnernetzes oder Netzwerkdienstes. Wird der Angriff von einer Vielzahl von Rechnern aus durchgeführt, spricht man von einem Distributed-Denial-of-Service-Angriff (DDoS-Angriff, deutsch wörtlich „verteilter Dienstverweigerungsangriff“). Ein verteilter Angriff ist wirkungsvoller und schwieriger abzuwehren als ein DoS-Angriff von einer einzelnen Quelle aus.
Zweck Wenn eine Überlastung mutwillig herbeigeführt wird, dann geschieht dies in der Regel mit der Absicht, einen Internetdienst funktionsunfähig zu machen. War dies ursprünglich vor allem eine Form von Protest oder Vandalismus, werden Denial-of-Service-Attacken mittlerweile von Cyber-Kriminellen als Dienstleistung angeboten (DDoS-Booter), um Konkurrenten zu schädigen. Ebenso werden Serverbetreiber zu einer Geldzahlung erpresst, damit ihr Internetangebot wieder erreichbar wird.
Im Unterschied zu Angriffen auf andere IT-Schutzziele will der Angreifer beim DoS-Angriff normalerweise nicht in den Computer eindringen und benötigt deshalb keine Passwörter oder Ähnliches vom Zielrechner. Jedoch kann der Angriff Bestandteil eines anderen Angriffs auf ein System sein, zum Beispiel bei folgenden Szenarien:
Um vom eigentlichen Angriff auf ein System abzulenken, wird ein anderes System durch einen DoS lahmgelegt. Dies soll dafür sorgen, dass das mit der Administration betraute Personal vom eigentlichen Ort des Geschehens abgelenkt ist oder die Angriffsversuche im durch den DoS erhöhten Datenaufkommen untergehen. Werden Antworten eines regulären Systems verzögert, können Anfragen an dieses durch eigene, gefälschte Antworten kompromittiert werden. Beispiel hierfür ist das Hijacking fremder Domains durch Liefern gefälschter DNS-Antworten.
Funktionsweise Ein DoS-Angriff überlastet eine knappe Ressource eines IT-Systems wie den Internetzugang, die CPU oder den Arbeitsspeicher, damit das überlastete System auf Anfragen nicht oder nur sehr langsam antwortet. Im einfachsten Fall geschieht dies durch das Senden vieler Anfragen an das angegriffene Ziel. So werden beispielsweise beim SYN-Flooding viele TCP-Verbindungsanfragen an einen Server gesendet, um dessen Zustandstabelle zu füllen, damit der Server keine neuen Verbindungen mehr entgegennehmen kann. Slowloris hält möglichst viele Verbindungen zu einem Webserver offen, um dessen Ressourcen zu belegen. Um die Effizienz des Angriffs zu steigern, werden, wenn möglich, Programmfehler oder Sicherheitsschwächen ausgenutzt. So wird beispielsweise bei WinNuke oder Ping of Death das Betriebssystem mit einem einzelnen Datenpaket, bei der Teardrop-Attacke mit mehreren Paketen, zum Absturz gebracht. Die Land-Attacke nutzt einen Programmfehler aus, um die CPU voll auszulasten, sodass das System nicht mehr reagiert.
Ohne Ausnutzung eines Programmfehlers muss der Angreifer in erheblichem Maße eigene Ressourcen einsetzen, um das Angriffsziel zu überlasten. Um das zu erreichen, werden Angriffe meist von vielen verteilten Quellsystemen durchgeführt (DDoS-Angriff). Der Angreifer kann hierbei auf Botnetze zurückgreifen, um sich fremde Ressourcen zu eigen zu machen (Abschnitt #DDoS und Botnetze). Um die Bandbreite von netzwerklastigen DDoS-Angriffen zu erhöhen, werden Verstärkungsangriffe durchgeführt. Hierbei werden Internetdienste von Dritten missbraucht, um die vom Angreifer eingesetzte Bandbreite zu multiplizieren (Abschnitt #Distributed-Reflected-Denial-of-Service-Angriff).
Distributed-Reflected-Denial-of-Service-Angriff Eine besondere Form stellt der Distributed-Reflected-Denial-of-Service-Angriff (DRDoS-Angriff) dar. Hierbei adressiert der Angreifer seine Datenpakete nicht direkt an das Opfer, sondern an regulär arbeitende Internetdienste, trägt jedoch als Absenderadresse die des Opfers ein (IP-Spoofing). Die Antworten auf diese Anfragen stellen dann für das Opfer den eigentlichen DoS-Angriff dar. Durch diese Vorgehensweise ist der Ursprung des Angriffs für den Angegriffenen nicht mehr direkt ermittelbar, da die Absenderadresse beim Opfer die Adresse vom regulären arbeitenden Internetdienst darstellt.
Ein Beispiel für einen solchen Angriff ist die auf dem User Datagram Protocol (UDP) basierende DNS Amplification Attack, bei der das Domain Name System als Reflektor missbraucht wird. Der dabei auftretende „Verstärkungsfaktor“ () beschreibt das Verhältnis der Paketgröße vom Reflektor zu der Paketgröße, welcher der Angreifer zur Auslösung dieser Antwort an den regulären Internetdienst schicken muss.
Ist dieser Verstärkungsfaktor größer 1 muss der Angreifer weniger Datenvolumen erzeugen als beim eigentlichen angegriffenen System durch die Antworten des Reflektorsystems zustande kommt. Für den Angreifer ist daher ein möglichst großer Verstärkungsfaktor am Reflektor vorteilhaft. Der konkrete Verstärkerfaktor ergibt sich durch die Definition des ausgenutzten Protokolls und dessen Eigenschaften. In folgender Tabelle sind einige, auf UDP basierende Verstärkerfaktoren für DRDoS-Angriffe zusammengefasst:
+ Erzielbare Verstärkungsfaktoren bei UDP-basierenden DRDoS-Angriffen Protokoll Erzielbarer Verstärkungsfaktor Hinweise MiCollab 2,2 Milliarden VoIP-Telefonsystem von der Firma Mitel; behoben in R9.4 SP1 FP1 Memcached 50.000 Behoben in version 1.5.6 NTP 556,9 Behoben in version 4.2.7p26 CHARGEN 358,8 Character Generator Protocol, UDP-Port 19 DNS bis zu 179 QOTD 140,3 Quote of the Day, UDP-Port 17 Quake Network Protocol 63,9 Behoben ab Version 71 BitTorrent 4 - 54,3 Behoben in der Bibliothek libuTP seit 2015 CoAP 10 - 50 ARMS 33,5 SSDP 30,8 Kad 16,3 P2P Netzwerk basierend auf Kademlia SNMPv2 6,3 Steam Protocol 5,5 NetBIOS 3,8 STUN 2,38
Weitere bekannte Methoden sind der Smurf- und der Fraggle-Angriff, bei denen ein Paket mit der IP-Adresse des Opfers als Absender an die Broadcast-Adresse eines Netzwerks gesendet wird. Das bewirkt, dass das Paket um die Anzahl der Geräte im Netzwerk vervielfacht und an das Opfer zurückgeschickt wird.
E-Mail-Backscatter wird eingesetzt, um nach einem ähnlichen Verfahren das E-Mail-Postfach eines Opfers zu füllen.
DDoS und Botnetze Mutwillige DDoS-Angriffe werden oft (aber nicht ausschließlich, siehe DDoS als Protestaktion) mit Hilfe von Backdoor-Programmen oder Ähnlichem durchgeführt. Diese Backdoor-Programme werden in der Regel von Trojanern auf nicht ausreichend geschützten Rechnern installiert und versuchen selbstständig, weitere Rechner im Netzwerk zu infizieren, um so ein Botnetz aufzubauen. Je größer das Botnetz, desto wahrscheinlicher ist, dass der Angriff selbst gegen gut geschützte Systeme durchdringt. Die Steuerung des Angriffs erfolgt über IRC, HTTP oder mittels eines Peer-to-Peer-Netzes.
DDoS und Internet der Dinge Mit zunehmender Bedeutung des Internets der Dinge werden für DDoS-Angriffe auch Geräte missbraucht, die auf den ersten Blick harmlos wirken: Internet-fähige Fernsehrekorder, Set-Top-Boxen, Fernseher, Überwachungskameras oder Uhren. Die Geräte werden oft mit Standard-Passwörtern ausgeliefert und ihre Firmware selten aktualisiert, was sie zu attraktiven Zielen für automatisierte Angriffe aus dem Internet macht.Brian Krebs: Who Makes the IoT Things Under Attack? krebsonsecurity.com; Hintergrundbericht; abgerufen am 5. Oktober 2016. Einmal infiziert, können sie ähnlich wie Rechner eines Botnetzes orchestriert werden.
DDoS als Protestaktion DDoS-Angriffe sind als Form des Protests populär geworden. Einfach zu bedienende Werkzeuge wie die Low Orbit Ion Cannon ermöglichen es auch nicht computerversierten Personen, den Betrieb fremder Computer, Websites und Dienste mit Denial-of-Service-Angriffen zu stören.
Befürworter dieser Form des Protestes argumentieren, dass bei Online-Demonstrationen die Protestierenden nur ihre eigenen Ressourcen verwenden und deren Aktionen somit weder das Tatbestandsmerkmal der Gewalt noch eine Drohung mit einem empfindlichen Übel aufweisen. Daher sei diese politische von der wirtschaftlich motivierten Form des DDoS zu unterscheiden.Achim Sawall: Anonymous fordert Legalisierung von DDoS-Attacken. In: golem.de. 10. Januar 2013, abgerufen am 28. März 2013.
In Deutschland ist bereits der Versuch der Störung als Computersabotage strafbar, siehe dazu Abschnitt Rechtliche Situation.
DDoS von Staaten Auch Staaten nutzten DDoS-Attacken, um unliebsame Websites, zumindest vorübergehend, lahmzulegen. Die Volksrepublik China hat dazu die sogenannte Great Cannon of China erstellt und greift Websites an, die Tools anbieten, um die Great Firewall zu umgehen.
Bekannte Angriffe DDoS-Angriffe finden regelmäßig im Internet statt. Im Folgenden werden einige bekannte Beispiele aufgeführt.
August 2008: Die Webseite des georgischen Präsidenten Micheil Saakaschwili war nicht mehr erreichbar.Hack-Attacke auf Georgien: Ehrenamtliche Angriffe. Spiegel Online, 14. August 2008 Anfang Juli 2009: Südkoreanische und US-amerikanische Regierungsseiten, Shoppingportale und Nachrichtendienste waren nach Angriffen vorübergehend nicht mehr erreichbar. Die ferngesteuerten Zugriffe von bis zu 30.000 mit schädlicher Software infizierten PCs sollen an dem Angriff beteiligt gewesen sein.Hacker-Attacke auf Südkorea: Österreich unter Verdacht. DiePresse.com, 10. Juli 2009 6. bis 8. Dezember 2010: Als Reaktion auf Sperrungen von WikiLeaks-Konten bei der Postfinance wie bei den Zahlungsdiensten MasterCard, Visa, PayPal und Amazon wurden deren Websites angegriffen und – bis auf die Amazon-Site – zeitweise in die Knie gezwungen. 18. Mai 2012: Die Website der Stadt Frankfurt am Main wurde im Rahmen der Blockupy-Proteste durch Anonymous attackiert und war zeitweise nicht mehr erreichbar. In: Frankfurter-Blog, 18. Mai 2012 ab September 2012: Angriffe auf amerikanische BankenBank Hacking Was the Work of Iranians, Officials Say. nytimes.com 19. März 2013: Ein Streit zwischen der Plattform Spamhaus und vermutlich dem anonymen Hoster Cyberbunker führte zum derzeit größten bekannten DDoS-Angriff via DNS-Amplification/-Reflection, dem auf Grund geschickter PR durch Cloudflare, dem Website-Proxy von Spamhaus, kurzfristig nachgesagt wurde, er hätte .Gigantische DDoS-Attacke: Spam-Streit bremst das komplette Internet. Spiegel Online, 27. März 2013 Bei etwa 300 Gigabit pro Sekunde anfragenden DNS-Server ist dies, im Vergleich zu Spitzen von 2,5 Terabit/s alleine im DE-CIX, unwahrscheinlich und wird vom Fachdienst Renesys lediglich als „lokaler Angriff“ eingeordnet.Spamhaus Attacke erschüttert das Internet nicht. golem.de; abgerufen am 24. Juli 2013. 21. Oktober 2016: Der Internetdienstleister Dyn wurde ab 7 Uhr, beginnend an der Ostküste der USA, Ziel einer DDoS-Attacke, die die Angebote namhafter Dyn-Kunden wie Twitter, Netflix, Spotify, Airbnb, Reddit und anderer teilweise außer Funktion setzte. Neu an dem Angriff, der in mehreren Wellen über den Tag erfolgte, war, dass er sich offenbar auf eine Infrastruktur aus ferngesteuerten Geräten stützte, die zum Internet der Dinge gehören.Nicole Perlroth: Hackers Used New Weapons to Disrupt Major Websites Across U.S. In: New York Times, 21. Oktober 2016 28. Februar 2018: Der Online-Dienst GitHub wird gegen Mittag von einer neuen Form einer DDoS-Attacke, der Memcached Amplification Attack, getroffen. Dabei wurden pro Sekunde 1,35 Terabit an Daten an den Server geschickt. Nach 8 Minuten konnte der Angriff durch Eingreifen des Dienstleisters Akamai beendet werden.1,35 Terabit pro Sekunde: Weltgrößte DDoS-Attacke gegen Github. Der Standard, 2. März 2018