Denial-of-Service-Angriff

In der Informatik bezeichnet ein Denial-of-Service-Angriff ( DoS-Angriff / dɒs / doss ^{[ 1 ]} ) einen Cyberangriff, bei dem der Angreifer versucht, eine Maschine oder Netzwerkressource für die vorgesehenen Benutzer unzugänglich zu machen , indem er die Dienste eines mit einem Netzwerk verbundenen Hosts vorübergehend oder dauerhaft stört . Ein Denial-of-Service-Angriff wird typischerweise durch das Überfluten der Zielmaschine oder -ressource mit überflüssigen Anfragen erreicht, um Systeme zu überlasten und die Bearbeitung legitimer Anfragen ganz oder teilweise zu verhindern. ^{[ 2 ]} Die Angriffe sind sehr vielfältig und reichen von der Überlastung eines Servers mit Millionen von Anfragen, um dessen Leistung zu verlangsamen, über die Überlastung eines Servers mit einer großen Menge ungültiger Daten bis hin zum Senden von Anfragen mit einer ungültigen IP-Adresse . ^{[ 3 ]}

Bei einem verteilten Denial-of-Service-Angriff ( DDoS -Angriff ) [ 4 ] ^{stammt der eingehende Datenverkehr} , der ^{das Opfer überflutet} , aus vielen verschiedenen Quellen. Um diese Art von Angriff abzuwehren , sind ausgefeiltere Strategien erforderlich; der Versuch, nur eine einzige Quelle zu blockieren, reicht nicht aus. [ 5 ^{] [ 6 ] Ein DDoS} -Angriff ist vergleichbar mit einer Menschenmenge, die den Eingang eines Geschäfts blockiert und es legitimen Kunden erschwert, hineinzukommen. Dadurch wird der Handel gestört und dem Unternehmen finanzielle Verluste entstehen. Kriminelle Täter von DDoS-Angriffen zielen häufig auf Websites oder Dienste ab, die auf prominenten Webservern gehostet werden, ^wie beispielsweise ^Banken oder Kreditkarten - Zahlungsgateways . Rache und Erpressung [ 7 ^{] [ 8 ] [ 9 ] sowie} Hacktivismus [ 10 ^{] können} die Motive für diese Angriffe sein.

Panix , der drittälteste Internetdienstanbieter (ISP) der Welt, war Ziel des vermutlich ersten DoS-Angriffs. Am 6. September 1996 wurde Panix Opfer eines SYN-Flood- Angriffs, der die Dienste für mehrere Tage lahmlegte, während Hardwarehersteller, insbesondere Cisco , an einer geeigneten Verteidigung arbeiteten. ^{[ 11 ]} Die Veröffentlichung von Beispielcode während dieses Angriffs führte im darauffolgenden Jahr zu Online-Angriffen auf Sprint , EarthLink , E-Trade und weitere große Unternehmen. ^{[ 12 ]}

Im Februar 2020 erlebte Amazon Web Services einen Angriff mit einem Spitzenvolumen von2,3 Tb/s . ^{[ 13 ]} Im Juli 2021 rühmte sich Cloudflare damit, seine Kunden vor einem DDoS-Angriff des globalen Mirai-Botnetzes mit bis zu 17,2 Millionen Anfragen pro Sekunde geschützt zu haben. ^{[ 14 ]} Der russische DDoS-Schutzanbieter Yandex gab an, am 5. September 2021 einen HTTP-Pipelining-DDoS-Angriff blockiert zu haben, der von ungepatchten Mikrotik -Netzwerkgeräten ausging. ^{[ 15 ]} In der ersten Jahreshälfte 2022 prägte die russische Invasion in der Ukraine die Cyberbedrohungslandschaft maßgeblich. Es kam zu einem Anstieg von Cyberangriffen, die sowohl staatlich geförderten Akteuren als auch globalen Hacktivisten zugeschrieben wurden. Das bedeutendste Ereignis war ein DDoS-Angriff im Februar – der größte, dem die Ukraine je ausgesetzt war –, der Regierungs- und Finanzdienstleistungen lahmlegte. Diese Welle der Cyberaggression griff auch auf westliche Verbündete wie Großbritannien, die USA und Deutschland über. Insbesondere im britischen Finanzsektor kam es zu einem Anstieg von DDoS-Angriffen durch staatliche Akteure und Hacktivisten, die darauf abzielten, die Verbündeten der Ukraine zu schwächen. ^{[ 16 ]}

Im Februar 2023 sah sich Cloudflare einem Angriff mit 71 Millionen Anfragen pro Sekunde ausgesetzt, der nach eigenen Angaben der bis dahin größte HTTP-DDoS-Angriff war. ^{[ 17 ]} HTTP-DDoS-Angriffe werden anhand der HTTP-Anfragen pro Sekunde gemessen, nicht anhand der Pakete oder Bits pro Sekunde. Am 10. Juli 2023 wurde die Fanfiction-Plattform Archive of Our Own (AO3) Ziel von DDoS-Angriffen, die zu Dienstausfällen führten. Anonymous Sudan , die sich zu dem Angriff bekannte, wurde von AO3 und Experten skeptisch betrachtet. Flashpoint, ein Anbieter von Bedrohungsanalysen, wies zwar auf frühere Aktivitäten der Gruppe hin, bezweifelte aber deren angegebene Motive. AO3, unterstützt von der gemeinnützigen Organisation Organization for Transformative Works (OTW) und auf Spenden angewiesen, wird die geforderte Bitcoin- Lösegeldsumme von 30.000 US-Dollar voraussichtlich nicht aufbringen können . ^{[ 18 ] [ 19 ]}

Im August 2023 attackierte die Hacktivistengruppe NoName057 mehrere italienische Finanzinstitute mit langsamen DoS-Angriffen . ^{[ 20 ]} Am 14. Januar 2024 führten sie einen DDoS-Angriff auf Schweizer Bundeswebseiten durch, ausgelöst durch die Teilnahme von Präsident Selenskyj am Weltwirtschaftsforum in Davos . Das Schweizerische Nationale Zentrum für Cybersicherheit (CSC) konnte den Angriff schnell abwehren und die Sicherheit der wichtigsten Bundesdienste gewährleisten, obwohl es auf einigen Webseiten vorübergehend zu Erreichbarkeitsproblemen kam. ^{[ 21 ]} Im Oktober 2023 wurde durch die Ausnutzung einer neuen Schwachstelle im HTTP/2- Protokoll der Rekord für den größten HTTP-DDoS-Angriff gleich zweimal gebrochen: einmal mit 201 Millionen Anfragen pro Sekunde, beobachtet von Cloudflare, ^{[ 22 ]} und ein weiteres Mal mit 398 Millionen Anfragen pro Sekunde, beobachtet von Google . ^{[ 23 ]} Im August 2024 beobachtete und meldete Global Secure Layer einen rekordverdächtigen Paket-DDoS-Angriff mit 3,15 Milliarden Paketen pro Sekunde, der auf eine unbekannte Anzahl inoffizieller Minecraft-Spielserver abzielte . ^{[ 24 ]}

Im Oktober 2024 wurde das Internet Archive von zwei schweren DDoS-Angriffen lahmgelegt, die die Website vollständig offline nahmen. Unmittelbar zuvor hatte ein Angriff Daten von über 31 Millionen Nutzern offengelegt. ^{[ 25 ] [ 26 ]} Die Hacktivistengruppe SN_Blackmeta bekannte sich zu dem DDoS-Angriff als Vergeltung für die amerikanische Beteiligung am Gaza-Krieg , obwohl das Internet Archive nicht mit der US-Regierung verbunden ist. Der Zusammenhang mit dem vorangegangenen Datenleck bleibt jedoch unklar. ^{[ 27 ]}

Cloudflare gibt an, am 23. September 2025 einen 40 Sekunden dauernden DDoS-Angriff mit einer Spitzenlast von 22,2 Tbit/s aufgezeichnet und erfolgreich selbstständig blockiert zu haben. Dies wäre der bis dato größte DDoS-Angriff. ^{[ 28 ]} Cloudflare erklärt, dass über 404.000 Quell-IP-Adressen verwendet wurden, um eine einzige IP-Adresse anzugreifen, und dass die Quell-IP-Adressen nicht gefälscht waren . ^{[ 29 ]} Laut Cloudflare folgte dies auf mehrere andere groß angelegte DDoS-Angriffe, die jeweils den vorherigen Rekord übertrafen, darunter ein Angriff mit 7,3 Tbit/s im Mai 2025 und ein Angriff mit 11,5 Tbit/s am 1. September 2025. ^{[ 30 ]}

Denial-of-Service-Angriffe (DoS-Angriffe) zeichnen sich durch den gezielten Versuch von Angreifern aus, die legitime Nutzung eines Dienstes zu verhindern. Es gibt zwei Hauptformen von DoS-Angriffen: solche, die Dienste zum Absturz bringen, und solche, die Dienste überlasten. Die schwerwiegendsten Angriffe sind verteilte Angriffe. ^{[ 31 ]}

Ein verteilter Denial-of-Service-Angriff (DDoS-Angriff) liegt vor, wenn mehrere Systeme die Bandbreite oder Ressourcen eines Zielsystems, in der Regel eines oder mehrerer Webserver, überlasten. ^{[ 31 ]} Ein DDoS-Angriff nutzt mehr als eine eindeutige IP-Adresse oder mehrere Rechner, oft von Tausenden mit Schadsoftware infizierten Hosts . ^{[ 32 ] [ 33 ]} Typischerweise sind bei einem verteilten Denial-of-Service-Angriff mehr als drei bis fünf Knoten in verschiedenen Netzwerken beteiligt; weniger Knoten können zwar als DoS-Angriff gelten, stellen aber keinen DDoS-Angriff dar. ^{[ 34 ] [ 35 ]}

Angreifer agieren meist von einem Endpunkt aus, der nicht ihr eigentliches Ziel ist, beispielsweise indem sie den Rechner eines anderen Benutzers nutzen, um einen Server anzugreifen. Wird ein solcher ahnungsloser Endpunkt kompromittiert, können sie anschließend auf eine andere Workstation im Unternehmensnetzwerk übergehen. ^{[ 36 ]} Selbst wenn ein einzelner Angreifer mit wenigen Rechnern eine große Anzahl von Benutzern vortäuscht und einen DoS-Angriff durchführt, ist die Menge des von ihm erzeugten Datenverkehrs stark begrenzt. ^{[ 37 ]} Erfolgen die Angriffe von mehreren Quellen, kann es für den Host schwierig sein, diese zu identifizieren und zu stoppen. ^{[ 38 ]}

Das Ausmaß von DDoS-Angriffen hat in den letzten Jahren kontinuierlich zugenommen und überstieg 2016 ein Terabit pro Sekunde . ^{[ 39 ] [ 40 ]} Zu den gängigen DDoS-Angriffen zählen UDP-Flooding , SYN-Flooding und DNS-Amplification . ^{[ 41 ] [ 42 ]}

Ein Yo-Yo-Angriff ist eine spezielle Art von DoS/DDoS-Angriff, der auf Cloud-basierte Anwendungen mit Autoscaling abzielt . ^{[ 43 ] [ 44 ] [ 45 ]} Während des Angriffs wechselt der Angreifer wiederholt zwischen dem Senden großer Datenmengen (was zu einer Skalierung nach oben führt) und dem Stoppen dieser Spitzen (was wiederum eine Skalierung nach unten zur Folge hat). ^{[ 46 ]}

Ein DDoS-Angriff auf Anwendungsebene (manchmal auch als Layer-7-DDoS-Angriff bezeichnet ) ist eine Form des DDoS-Angriffs, bei der Angreifer Prozesse auf Anwendungsebene ins Visier nehmen . ^{[ 47 ] [ 34 ]} Der Angriff überlastet bestimmte Funktionen oder Merkmale einer Website mit der Absicht, diese Funktionen oder Merkmale zu deaktivieren. Dieser Angriff auf Anwendungsebene unterscheidet sich von einem Angriff auf das gesamte Netzwerk und wird häufig gegen Finanzinstitute eingesetzt, um IT- und Sicherheitspersonal von Sicherheitslücken abzulenken. ^{[ 48 ]} Im Jahr 2013 machten DDoS-Angriffe auf Anwendungsebene 20 % aller DDoS-Angriffe aus. ^{[ 49 ]} Laut einer Studie von Akamai Technologies gab es zwischen dem vierten Quartal 2013 und dem vierten Quartal 2014 einen Anstieg der Angriffe auf Anwendungsebene um 51 Prozent und zwischen dem dritten und vierten Quartal 2014 um 16 Prozent. ^{[ 50 ]} Im November 2017; Junade Ali, ein Ingenieur bei Cloudflare, stellte fest, dass Angriffe auf Netzwerkebene zwar weiterhin ein hohes Volumen aufweisen, aber seltener auftreten. Ali merkte außerdem an, dass die Angriffe auf Anwendungsebene trotz der abnehmenden Häufigkeit von Netzwerkangriffen laut Daten von Cloudflare weiterhin unvermindert zunehmen. ^{[ 51 ]}

Der einfachste DoS-Angriff basiert primär auf Brute-Force-Angriffen, bei denen das Ziel mit einer überwältigenden Menge an Paketen überflutet wird, wodurch dessen Verbindungsbandbreite überlastet oder die Systemressourcen erschöpft werden. Bandbreitenüberlastende Angriffe setzen die Fähigkeit des Angreifers voraus, diese überwältigende Paketmenge zu erzeugen. Eine gängige Methode hierfür ist heutzutage der Einsatz von verteilten Dienstverweigerungsangriffen (Denial-of-Service, DDoS) mithilfe eines Botnetzes . Ein DDoS-Angriff auf Anwendungsschicht dient hauptsächlich spezifischen Zwecken, wie der Unterbrechung von Transaktionen und dem Zugriff auf Datenbanken. Er benötigt weniger Ressourcen als Angriffe auf Netzwerkschicht, tritt aber häufig in Kombination mit diesen auf. ^{[ 52 ]} Ein Angriff kann so getarnt sein, dass er wie legitimer Datenverkehr aussieht, zielt aber auf spezifische Anwendungspakete oder -funktionen ab. Der Angriff auf die Anwendungsschicht kann Dienste wie den Abruf von Informationen oder Suchfunktionen auf einer Website beeinträchtigen. ^{[ 49 ]}

Ein Advanced Persistent DoS (APDoS) ist mit einer Advanced Persistent Threat (APD) verbunden und erfordert spezielle DDoS-Abwehrmaßnahmen . ^{[ 53 ]} Diese Angriffe können wochenlang andauern; die längste bisher beobachtete Dauer betrug 38 Tage. Dieser Angriff umfasste über 50 Petabit (über 50.000 Terabit) schädlichen Datenverkehrs. ^{[ 54 ]} Angreifer können in diesem Szenario taktisch zwischen mehreren Zielen wechseln, um die DDoS-Abwehrmaßnahmen zu umgehen, konzentrieren den Hauptangriff aber schließlich auf ein einzelnes Opfer. Angreifer mit kontinuierlichem Zugriff auf mehrere leistungsstarke Netzwerkressourcen sind in diesem Szenario in der Lage, eine lang anhaltende Kampagne durchzuführen und enorme Mengen an unverstärktem DDoS-Datenverkehr zu erzeugen. APDoS-Angriffe zeichnen sich durch folgende Merkmale aus:

• fortgeschrittene Aufklärung ( OSINT vor dem Angriff und umfangreiche, getarnte Scans, die darauf ausgelegt sind, über lange Zeiträume unentdeckt zu bleiben)
• taktische Ausführung (Angriff mit primären und sekundären Opfern, wobei der Schwerpunkt auf den primären Opfern liegt)
• explizite Motivation (ein kalkuliertes Endziel/Zielvorgabe)
• große Rechenkapazität (Zugang zu erheblicher Rechenleistung und Netzwerkbandbreite)
• simultane, mehrfädige Angriffe auf die OSI-Schicht (hochentwickelte Werkzeuge, die auf den Schichten 3 bis 7 operieren)
• Persistenz über längere Zeiträume (die Kombination all der oben genannten Punkte zu einem koordinierten, gut geplanten Angriff auf eine Reihe von Zielen). ^{[ 55 ]}

Einige Anbieter stellen sogenannte Booter- oder Stresser- Dienste bereit, die über einfache webbasierte Benutzeroberflächen verfügen und Zahlungen über das Internet abwickeln. Obwohl sie als Stresstest-Tools vermarktet und beworben werden, können sie für unautorisierte Denial-of-Service-Angriffe missbraucht werden und technisch unerfahrenen Angreifern Zugang zu komplexen Angriffswerkzeugen ermöglichen. ^{[ 56 ]} Der von einem Consumer-Stresser erzeugte Datenverkehr, der üblicherweise von einem Botnetz betrieben wird, kann zwischen 5 und 50 Gbit/s liegen und in den meisten Fällen den Internetzugang eines durchschnittlichen Heimanwenders unterbrechen. ^{[ 57 ]}

Ein Markov-modulierter Denial-of-Service-Angriff liegt vor, wenn der Angreifer mithilfe eines versteckten Markov-Modells Kontrollpakete stört . Markov-Modell-basierte Angriffe sind häufig im Online-Gaming anzutreffen, da die Störung der Kontrollpakete das Spielgeschehen und die Systemfunktionalität beeinträchtigt. ^{[ 58 ]}

Das United States Computer Emergency Readiness Team (US-CERT) hat folgende Symptome für einen Denial-of-Service-Angriff identifiziert: ^{[ 59 ]}

• ungewöhnlich langsame Netzwerkleistung (Öffnen von Dateien oder Zugriff auf Webseiten),
• Nichtverfügbarkeit einer bestimmten Website oder
• Unfähigkeit, auf irgendeine Website zuzugreifen.

In Fällen wie MyDoom und Slowloris sind die Tools in Schadsoftware eingebettet und starten ihre Angriffe unbemerkt vom Systembesitzer. Stacheldraht ist ein klassisches Beispiel für ein DDoS-Tool. Es nutzt eine mehrschichtige Struktur: Der Angreifer verbindet sich über ein Client-Programm mit Handlern – kompromittierten Systemen –, die Befehle an Zombie-Agenten senden , welche wiederum den DDoS-Angriff ermöglichen. Die Agenten werden über die Handler kompromittiert, indem der Angreifer automatisierte Routinen nutzt, um Schwachstellen in Programmen auszunutzen, die Remote-Verbindungen auf den Zielrechnern akzeptieren. Jeder Handler kann bis zu tausend Agenten steuern. ^{[ 60 ]}

In anderen Fällen kann ein Rechner mit Zustimmung des Besitzers Teil eines DDoS-Angriffs werden, beispielsweise im Rahmen der von Anonymous organisierten Operation Payback . Die Low Orbit Ion Cannon wurde typischerweise auf diese Weise eingesetzt. Neben der High Orbit Ion Cannon ist heute eine Vielzahl von DDoS-Tools verfügbar, darunter kostenpflichtige und kostenlose Versionen mit unterschiedlichen Funktionen. Es existiert ein Untergrundmarkt dafür in Hackerforen und IRC-Kanälen.

Angriffe auf Anwendungsebene nutzen DoS- Schwachstellen aus und können dazu führen, dass Serversoftware den gesamten verfügbaren Speicherplatz belegt oder die gesamte verfügbare Arbeitsspeicher- oder CPU-Zeit verbraucht . Die Angriffe können bestimmte Pakettypen oder Verbindungsanfragen verwenden, um begrenzte Ressourcen zu sättigen, beispielsweise durch die maximale Anzahl offener Verbindungen oder das Füllen des Festplattenspeichers des Opfers mit Protokolldateien. Ein Angreifer mit Shell-Zugriff auf den Rechner eines Opfers kann diesen so weit verlangsamen, dass er unbrauchbar wird, oder ihn mithilfe einer Fork-Bombe zum Absturz bringen . Eine weitere Art von DoS-Angriff auf Anwendungsebene ist XDoS (oder XML DoS), der von modernen Web Application Firewalls (WAFs) abgewehrt werden kann. Alle Angriffe, die zur Kategorie der Timeout-Ausnutzung gehören , ^{[ 61 ]}

Slow-DoS-Angriffe sind Angriffe auf Anwendungsebene. Beispiele hierfür sind Slowloris, das Verbindungen zum Opfer herstellt, oder SlowDroid , ein Angriff auf Mobilgeräten. Ein weiteres Ziel von DDoS-Angriffen ist die Verursachung zusätzlicher Kosten für den Anwendungsbetreiber, insbesondere wenn dieser Cloud- basierte Ressourcen nutzt . In diesem Fall sind die von Anwendungen verwendeten Ressourcen an ein bestimmtes QoS-Niveau (Quality of Service) gebunden (z. B. Antwortzeiten unter 200 ms). Diese Regel ist üblicherweise mit automatisierter Software (z. B. Amazon CloudWatch) ^{[ 62 ]} verknüpft , um zusätzliche virtuelle Ressourcen vom Anbieter anzufordern und so die definierten QoS-Niveaus für die erhöhten Anfragen zu erfüllen. Hauptmotivation für solche Angriffe ist, den Anwendungsbetreiber zu zwingen, die Elastizitätsstufen zu erhöhen, um den gestiegenen Datenverkehr zu bewältigen, finanzielle Verluste zu verursachen oder seine Wettbewerbsfähigkeit zu beeinträchtigen. Ein Banana-Angriff ist eine weitere spezielle Art von DoS. Dabei werden ausgehende Nachrichten vom Client zurück an den Client umgeleitet, der Zugriff von außen verhindert und der Client mit den gesendeten Paketen überflutet. Ein LAND- Angriff ist ein Beispiel für diese Art von Angriff.

Pulsierende Zombies sind kompromittierte Computer, die so programmiert sind, dass sie Webseiten von Opfern in kurzen, sporadischen Abständen mit Daten überfluten, um diese lediglich zu verlangsamen, nicht aber zum Absturz zu bringen. Diese Art von Angriff, auch als Degradation-of-Service (DOS) bezeichnet , ist oft schwerer zu erkennen und kann die Verbindung zu Webseiten über längere Zeiträume stören und beeinträchtigen, wodurch potenziell größere Störungen als bei einem Denial-of-Service-Angriff (DoS) entstehen. ^{[ 63 ] [ 64 ]} Die Erkennung von DOS-Angriffen wird zusätzlich dadurch erschwert, dass es schwierig ist zu unterscheiden, ob der Server tatsächlich angegriffen wird oder ob lediglich eine überdurchschnittlich hohe legitime Auslastung vorliegt. ^{[ 65 ]}

Wenn ein Angreifer von einem einzelnen Host aus angreift, wird dies als DoS-Angriff (DoS-Angriff) klassifiziert. Jeder Angriff auf die Verfügbarkeit eines Systems wird als Denial-of-Service-Angriff (DoS-Angriff) eingestuft. Nutzt ein Angreifer hingegen mehrere Systeme, um gleichzeitig Angriffe auf einen entfernten Host zu starten, handelt es sich um einen DDoS-Angriff (Distributed DoS-Angriff). Malware kann DDoS-Angriffsmechanismen enthalten; ein bekanntes Beispiel hierfür ist MyDoom . Dessen DoS-Mechanismus wurde zu einem bestimmten Datum und einer bestimmten Uhrzeit ausgelöst. Bei dieser Art von DDoS-Angriff wurde die Ziel -IP-Adresse vor der Veröffentlichung der Malware fest codiert, und es war keine weitere Interaktion erforderlich, um den Angriff zu starten. Ein System kann auch durch einen Trojaner kompromittiert werden, der einen Zombie-Agenten enthält . Angreifer können zudem mithilfe automatisierter Tools in Systeme eindringen, die Schwachstellen in Programmen ausnutzen, die Verbindungen von entfernten Hosts entgegennehmen. Dieses Szenario betrifft hauptsächlich Systeme, die als Webserver fungieren. Stacheldraht ist ein klassisches Beispiel für ein DDoS-Tool. Es nutzt eine mehrschichtige Struktur, in der der Angreifer über ein Clientprogramm eine Verbindung zu Handlern herstellt. Diese kompromittierten Systeme senden Befehle an die Zombie-Agenten, welche wiederum den DDoS-Angriff ermöglichen. Die Agenten werden über die Handler vom Angreifer kompromittiert. Jeder Handler kann bis zu tausend Agenten steuern. ^{[ 60 ]} In manchen Fällen kann ein Rechner mit Zustimmung des Besitzers Teil eines DDoS-Angriffs werden, beispielsweise bei der von der Gruppe Anonymous organisierten Operation Payback . Diese Angriffe können verschiedene Arten von Internetpaketen wie TCP , UDP, ICMP usw. verwenden.

Diese Ansammlungen kompromittierter Systeme werden als Botnetze bezeichnet . DDoS-Tools wie Stacheldraht nutzen weiterhin klassische DoS-Angriffsmethoden, die auf IP-Spoofing und Amplification basieren, wie beispielsweise Smurf- und Fraggle-Angriffe (Angriffe, die die Bandbreite stark beanspruchen). Auch SYN-Floods (eine Art Ressourcenverknappungsangriff) können zum Einsatz kommen. Neuere Tools können DNS-Server für DoS-Zwecke missbrauchen. Im Gegensatz zum DDoS-Mechanismus von MyDoom können Botnetze gegen jede beliebige IP-Adresse eingesetzt werden. Scriptkiddies nutzen sie, um legitimen Nutzern den Zugriff auf bekannte Websites zu verweigern. ^{[ 66 ]} Fortgeschrittenere Angreifer verwenden DDoS-Tools zur Erpressung  – auch gegenüber ihren Konkurrenten. ^{[ 67 ]} Es wurde über neue Angriffe von IoT-Geräten berichtet , die an Denial-of-Service-Attacken beteiligt sind. ^{[ 68 ]} Ein solcher Angriff erreichte einen Spitzenwert von rund 20.000 Anfragen pro Sekunde und ging von etwa 900 Überwachungskameras aus. ^{[ 69 ]} Der britische Geheimdienst GCHQ verfügt über Tools zur DDoS-Attacke mit den Namen PREDATORS FACE und ROLLING THUNDER. ^{[ 70 ]}

Einfache Angriffe wie SYN-Floods können mit einer Vielzahl von Quell-IP-Adressen erfolgen und so den Anschein eines verteilten DoS-Angriffs erwecken. Diese Flood-Angriffe benötigen keinen abgeschlossenen TCP- Drei-Wege-Handschlag und zielen darauf ab, die SYN-Warteschlange des Zielservers oder dessen Bandbreite zu erschöpfen. Da die Quell-IP-Adressen leicht gefälscht werden können, kann ein Angriff von einer begrenzten Anzahl von Quellen oder sogar von einem einzelnen Host ausgehen. Verbesserungen des Protokollstapels, wie z. B. SYN-Cookies, können zwar SYN-Warteschlangen-Floods wirksam abmildern, beheben aber nicht das Problem der Bandbreitenerschöpfung. Im Jahr 2022 waren TCP-Angriffe die häufigste Methode bei DDoS-Angriffen und machten 63 % aller DDoS-Aktivitäten aus. Dies umfasst Taktiken wie TCP SYN , TCP ACK und TCP-Floods. Da TCP das am weitesten verbreitete Netzwerkprotokoll ist, ist zu erwarten, dass seine Angriffe weiterhin eine wichtige Rolle im DDoS-Bedrohungsumfeld spielen werden. ^{[ 16 ]}

Im Jahr 2015 gewannen DDoS-Botnetze wie DD4BC an Bedeutung und nahmen Finanzinstitute ins Visier. ^{[ 71 ]} Cyber-Erpresser beginnen typischerweise mit einem kleineren Angriff und der Warnung, dass ein größerer Angriff folgen wird, falls kein Lösegeld in Bitcoin gezahlt wird . ^{[ 72 ]} Sicherheitsexperten raten betroffenen Webseiten, das Lösegeld nicht zu zahlen. Sobald die Angreifer erkennen, dass das Ziel zur Zahlung bereit ist, gehen sie meist zu einer ausgedehnten Erpressungstaktik über. ^{[ 73 ]}

Der erstmals 2009 entdeckte HTTP-Slow-POST-Angriff sendet einen vollständigen, legitimen HTTP-POST-Header , der ein Content-Length -Feld zur Angabe der Größe des folgenden Nachrichtentextes enthält. Anschließend sendet der Angreifer den eigentlichen Nachrichtentext jedoch extrem langsam (z. B. 1 Byte alle 110 Sekunden). Da die gesamte Nachricht korrekt und vollständig ist, versucht der Zielserver, das Content-Length- Feld im Header zu berücksichtigen und wartet auf die vollständige Übertragung des Nachrichtentextes, was sehr lange dauern kann. Der Angreifer baut Hunderte oder sogar Tausende solcher Verbindungen auf, bis alle Ressourcen für eingehende Verbindungen auf dem Opferserver erschöpft sind. Dadurch werden weitere Verbindungen unmöglich, bis alle Daten gesendet wurden. Im Gegensatz zu vielen anderen DoS- oder DDoS-Angriffen, die versuchen, den Server durch Überlastung seines Netzwerks oder seiner CPU lahmzulegen, zielt ein HTTP-Slow-POST-Angriff auf die logischen Ressourcen des Opfers ab. Das bedeutet, dass dem Opfer weiterhin genügend Netzwerkbandbreite und Rechenleistung zur Verfügung stehen, um den Betrieb aufrechtzuerhalten. ^{[ 74 ]} Da der Apache HTTP-Server standardmäßig Anfragen bis zu einer Größe von 2 GB akzeptiert, kann dieser Angriff besonders wirksam sein. Slow-POST-Angriffe auf HTTP-Anfragen sind schwer von legitimen Verbindungen zu unterscheiden und können daher einige Schutzsysteme umgehen. OWASP , ein Open-Source -Projekt für die Sicherheit von Webanwendungen, hat ein Tool veröffentlicht, mit dem die Sicherheit von Servern gegen diese Art von Angriff getestet werden kann. ^{[ 75 ]}

Ein Challenge-Collapsar-Angriff (CC-Angriff) ist ein Angriff, bei dem häufig Standard-HTTP-Anfragen an einen Zielwebserver gesendet werden. Die in den Anfragen enthaltenen Uniform Resource Identifiers (URIs) erfordern komplexe und zeitaufwändige Algorithmen oder Datenbankoperationen, die die Ressourcen des Zielwebservers erschöpfen können. ^{[ 76 ] [ 77 ] [ 78 ]} Im Jahr 2004 entwickelte der chinesische Hacker KiKi ein Hacking-Tool namens Collapsar, um mit solchen Anfragen eine NSFOCUS-Firewall anzugreifen. Daher wurde dieses Hacking-Tool als Challenge Collapsar oder kurz CC bekannt . Folglich erhielt diese Angriffsart den Namen CC-Angriff . ^{[ 79 ]}

Ein Smurf-Angriff nutzt falsch konfigurierte Netzwerkgeräte aus, die es ermöglichen, Pakete über die Broadcast-Adresse des Netzwerks an alle Rechner im Netzwerk anstatt an einen bestimmten Rechner zu senden. Der Angreifer sendet eine große Anzahl von IP- Paketen, deren Quelladresse so gefälscht ist, dass sie die Adresse des Opfers zu sein scheint. ^{[ 80 ]} Die meisten Geräte im Netzwerk antworten standardmäßig mit einer Antwort an die Quell-IP-Adresse. Wenn sehr viele Rechner im Netzwerk diese Pakete empfangen und beantworten, wird der Rechner des Opfers mit Datenverkehr überflutet. Dies führt zu einer Überlastung des Rechners und kann ihn während eines solchen Angriffs sogar unbrauchbar machen. ^{[ 81 ]}

Ein Ping-Flood-Angriff basiert darauf, dem Opfer eine überwältigende Anzahl von Ping- Paketen zu senden, üblicherweise mithilfe des Ping -Befehls von Unix-ähnlichen Systemen. ^{[ a ]} Er ist sehr einfach durchzuführen; die Hauptvoraussetzung ist der Zugriff auf eine höhere Bandbreite als das Opfer. Ein Ping-of-Death- Angriff hingegen basiert darauf, dem Opfer ein fehlerhaftes Ping-Paket zu senden, was auf einem anfälligen System zu einem Absturz führt. Der BlackNurse -Angriff ist ein Beispiel für einen Angriff, der die erforderlichen ICMP-Pakete mit der Meldung „Zielport nicht erreichbar“ ausnutzt.

Ein Nuke-Angriff ist eine altmodische Denial-of-Service-Attacke (DoS) gegen Computernetzwerke. Dabei werden fragmentierte oder ungültige ICMP - Pakete an das Ziel gesendet. Dies geschieht mithilfe eines modifizierten Ping- Tools, das diese fehlerhaften Daten wiederholt sendet und so den betroffenen Computer verlangsamt, bis er vollständig ausfällt. Ein bekanntes Beispiel für einen Nuke-Angriff ist WinNuke , der eine Schwachstelle im NetBIOS- Handler von Windows 95 ausnutzte . Eine Reihe von Daten außerhalb des regulären Datenverkehrs wurde an TCP- Port 139 des Opferrechners gesendet, was zu dessen Absturz und der Anzeige eines Bluescreens führte . ^{[ 82 ]}

Angreifer haben eine Möglichkeit gefunden, verschiedene Sicherheitslücken in Peer-to-Peer- Servern auszunutzen, um DDoS-Angriffe zu starten. Der aggressivste dieser Peer-to-Peer-DDoS-Angriffe nutzt das DC++- Dateiaustauschnetzwerk aus. ^{[ 83 ]} Bei Peer-to-Peer-Angriffen gibt es kein Botnetz, und der Angreifer muss nicht mit den kompromittierten Clients kommunizieren. Stattdessen fungiert er als Drahtzieher und weist Clients großer Peer-to-Peer-Dateiaustauschplattformen an , die Verbindung zu ihrem Peer-to-Peer-Netzwerk zu trennen und stattdessen die Website des Opfers aufzurufen. ^{[ 83 ] [ 84 ] [ 85 ]}

Permanent Denial-of-Service (PDoS), auch bekannt als Phlashing ^{[ 86 ],} ist ein Angriff, der ein System so schwer beschädigt, dass die Hardware ersetzt oder neu installiert werden muss. ^{[ 87 ]} Im Gegensatz zum Distributed Denial-of-Service (DDoS) nutzt ein PDoS-Angriff Sicherheitslücken aus, die die Fernadministration der Management-Schnittstellen der Hardware des Opfers ermöglichen, beispielsweise von Routern , Druckern oder anderer Netzwerkhardware . Der Angreifer nutzt diese Schwachstellen , um die Firmware eines Geräts durch ein modifiziertes, beschädigtes oder fehlerhaftes Firmware-Image zu ersetzen – ein Vorgang, der, wenn er legitim durchgeführt wird, als Flashing bezeichnet wird. Ziel ist es, das Gerät unbrauchbar zu machen , bis es repariert oder ersetzt werden kann. PDoS ist ein rein hardwareorientierter Angriff, der deutlich schneller und ressourcenschonender als ein Botnetz bei einem DDoS-Angriff ist. Aufgrund dieser Eigenschaften und der hohen Wahrscheinlichkeit von Sicherheitslücken in netzwerkfähigen eingebetteten Geräten hat diese Technik die Aufmerksamkeit zahlreicher Hacker-Communities auf sich gezogen. BrickerBot , eine Schadsoftware, die es auf IoT-Geräte abgesehen hatte, nutzte PDoS-Angriffe, um ihre Ziele lahmzulegen. ^{[ 88 ]} PhlashDance ist ein Tool, das von Rich Smith (einem Mitarbeiter des Systems Security Lab von Hewlett-Packard ) entwickelt wurde und auf der EUSecWest Applied Security Conference 2008 in London, Großbritannien, zur Erkennung und Demonstration von PDoS-Schwachstellen eingesetzt wurde. ^{[ 89 ]}

Ein verteilter Denial-of-Service-Angriff (DDoS) kann das Versenden gefälschter Anfragen an eine sehr große Anzahl von Rechnern beinhalten, die diese beantworten. Mithilfe von IP-Adress-Spoofing wird die Quelladresse auf die des Zielrechners gesetzt, wodurch alle Antworten an diesen Rechner gesendet und ihn überflutet werden. Diese Form des reflektierten Angriffs wird auch als verteilter reflektierender Denial-of-Service-Angriff (DRDoS) bezeichnet. ^{[ 90 ]} ICMP-Echo-Request- Angriffe ( Smurf-Angriffe ) können als eine Form des reflektierten Angriffs betrachtet werden, da die angreifenden Rechner Echo-Anfragen an die Broadcast-Adressen falsch konfigurierter Netzwerke senden und so andere Rechner dazu verleiten, Echo-Antwortpakete an das Ziel zu senden. Einige frühe DDoS-Programme implementierten eine verteilte Form dieses Angriffs.

Verstärkungsangriffe werden eingesetzt, um die an ein Opfer gesendete Bandbreite zu erhöhen. Viele Dienste können als Reflektoren missbraucht werden, wobei einige schwieriger zu blockieren sind als andere. ^{[ 91 ]} US-CERT hat festgestellt, dass verschiedene Dienste zu unterschiedlichen Verstärkungsfaktoren führen können, wie in der folgenden Tabelle dargestellt: ^{[ 92 ]}

Bei DNS- Amplifikationsangriffen sendet ein Angreifer eine DNS-Namensauflösungsanfrage an einen oder mehrere öffentliche DNS-Server und fälscht dabei die Quell-IP-Adresse des Zielsystems. Der Angreifer versucht, so viele Informationen wie möglich anzufordern und verstärkt so die an das Zielsystem gesendete DNS-Antwort. Da die Anfrage deutlich kleiner ist als die Antwort, kann der Angreifer den Datenverkehr zum Zielsystem leicht erhöhen. ^{[ 98 ] [ 99 ]}

Das Simple Network Management Protocol (SNMP) und das Network Time Protocol (NTP) können in Verstärkungsangriffen als Reflektoren missbraucht werden. Ein Beispiel für einen verstärkten DDoS-Angriff über NTP ist der Befehl `monlist`, der die Daten der letzten 600 Hosts, die die Zeit vom NTP-Server angefordert haben, an den Anfragenden zurücksendet. Eine kleine Anfrage an diesen Zeitserver kann mit einer gefälschten Quell-IP-Adresse eines Opfers gesendet werden, was zu einer Antwort führt, die das 556,9-fache der ursprünglichen Anfragegröße beträgt. Dieser Effekt wird verstärkt, wenn Botnetze eingesetzt werden, die alle Anfragen mit derselben gefälschten Quell-IP senden. Dadurch wird eine enorme Datenmenge an das Opfer zurückgesendet. ^{[ 100 ]} Es ist sehr schwierig, sich gegen diese Art von Angriffen zu verteidigen, da die Antwortdaten von legitimen Servern stammen. Diese Angriffsanfragen werden zudem über UDP gesendet, das keine Verbindung zum Server erfordert. Das bedeutet, dass die Quell-IP-Adresse beim Empfang einer Anfrage durch den Server nicht überprüft wird. Um auf diese Schwachstellen aufmerksam zu machen, wurden Kampagnen gestartet, die sich der Suche nach Verstärkungsvektoren widmen, was dazu geführt hat, dass die Nutzer ihre Resolver repariert oder die Resolver komplett abgeschaltet haben.

Das Mirai-Botnetz infiziert mithilfe eines Computerwurms Hunderttausende von IoT-Geräten im Internet. Der Wurm breitet sich über Netzwerke und Systeme aus und übernimmt die Kontrolle über schlecht geschützte IoT-Geräte wie Thermostate, WLAN-fähige Uhren und Waschmaschinen. ^{[ 101 ]} Der Besitzer oder Nutzer bemerkt die Infektion in der Regel nicht sofort. Das IoT-Gerät selbst ist nicht das direkte Ziel des Angriffs, sondern wird als Teil eines größeren Angriffs missbraucht. ^{[ 102 ]} Sobald die gewünschte Anzahl an Geräten kompromittiert ist, werden diese angewiesen, einen Internetdienstanbieter (ISP) zu kontaktieren. Im Oktober 2016 griff ein Mirai-Botnetz Dyn an , den ISP von Websites wie Twitter , Netflix usw. ^{[ 101 ]} Unmittelbar nach dem Angriff waren diese Websites mehrere Stunden lang nicht erreichbar.

Der RUDY-Angriff zielt auf Webanwendungen ab, indem er die verfügbaren Sitzungen auf dem Webserver blockiert. Ähnlich wie Slowloris hält RUDY Sitzungen durch endlose POST-Übertragungen und das Senden eines beliebig großen Content-Length-Header-Werts lahm. ^{[ 103 ]}

Die Manipulation der maximalen Segmentgröße und der selektiven Bestätigung (SACK) kann von einem entfernten Peer ausgenutzt werden, um durch einen Integer-Überlauf im Linux-Kernel einen Denial-of-Service-Angriff zu verursachen und potenziell eine Kernel-Panic auszulösen . ^{[ 104 ]} Jonathan Looney entdeckte am 17. Juni 2019 die CVE - 2019-11477 , CVE- 2019-11478 und CVE- 2019-11479. ^{[ 105 ]}

Der sogenannte „Shrew“-Angriff ist ein Denial-of-Service-Angriff auf das Transmission Control Protocol ( TCP) , bei dem der Angreifer Man-in-the-Middle-Techniken einsetzt . Er nutzt eine Schwachstelle im Wiederholungs-Timeout-Mechanismus von TCP aus, indem er kurze, synchronisierte Datenpakete verwendet, um TCP-Verbindungen auf demselben Link zu unterbrechen. ^{[ 106 ]}

Ein Slow-Read-Angriff sendet legitime Anfragen auf Anwendungsebene, liest die Antworten jedoch sehr langsam und hält die Verbindungen länger offen, um den Verbindungspool des Servers zu erschöpfen. Dies wird erreicht, indem eine sehr kleine Größe für das TCP-Empfangsfenster angegeben und gleichzeitig der TCP-Empfangspuffer der Clients langsam geleert wird, was zu einer sehr geringen Datenflussrate führt. ^{[ 107 ]}

Ein ausgeklügelter DDoS-Angriff mit geringer Bandbreite ist eine Form des DoS, die weniger Datenverkehr benötigt und ihre Effektivität durch das Ausnutzen einer Schwachstelle im Systemdesign des Opfers erhöht. Der Angreifer sendet dazu Datenverkehr mit komplexen Anfragen an das System. ^{[ 108 ]} Im Wesentlichen ist ein ausgeklügelter DDoS-Angriff aufgrund des geringeren Datenverkehrs kostengünstiger, kleiner und daher schwerer zu identifizieren. Er kann auch Systeme schädigen, die durch Flusskontrollmechanismen geschützt sind. ^{[ 108 ] [ 109 ]}

Ein SYN-Flood tritt auf, wenn ein Host eine Flut von TCP/SYN-Paketen sendet, oft mit einer gefälschten Absenderadresse. Jedes dieser Pakete wird wie eine Verbindungsanfrage behandelt, wodurch der Server eine halb geöffnete Verbindung herstellt , ein TCP/SYN-ACK-Paket zurücksendet und auf eine Antwort von der Absenderadresse wartet. Da die Absenderadresse jedoch gefälscht ist, trifft die Antwort nie ein. Diese halb geöffneten Verbindungen erschöpfen die verfügbaren Verbindungen des Servers, sodass er bis zum Ende des Angriffs nicht auf legitime Anfragen reagieren kann. ^{[ 110 ]}

Bei einem Teardrop-Angriff werden verstümmelte IP-Fragmente mit überlappenden, übergroßen Nutzdaten an den Zielrechner gesendet . Dies kann aufgrund eines Fehlers im TCP/IP -Fragmentierungs-Reassemblierungscode zum Absturz verschiedener Betriebssysteme führen . ^{[ 111 ]} Windows 3.1x , Windows 95 und Windows NT sowie Linux- Versionen vor 2.0.32 und 2.1.63 sind für diesen Angriff anfällig. ^{[ b ]} Eines der Felder im IP-Header ist das Fragment-Offset- Feld. Es gibt die Startposition (den Offset) der Daten in einem fragmentierten Paket relativ zu den Daten im Originalpaket an. Wenn sich die Summe aus Offset und Größe zweier fragmentierter Pakete unterscheidet, überlappen sich die Pakete. In diesem Fall kann ein Server, der für Teardrop-Angriffe anfällig ist, die Pakete nicht reassemblieren, was zu einem Denial-of-Service-Zustand führt. ^{[ 114 ]}

Voice over IP (VoIP) hat den Missbrauch einer großen Anzahl von Telefonanrufen kostengünstig und einfach automatisierbar gemacht und gleichzeitig die Verschleierung des Anrufursprungs durch Rufnummernmanipulation ermöglicht . Laut dem US-amerikanischen Federal Bureau of Investigation (FBI ) tritt Denial-of-Service-Angriffe (TDoS) im Zusammenhang mit Telefonie als Bestandteil verschiedener Betrugsmaschen auf.

• Ein Betrüger kontaktiert den Bankberater oder Broker des Opfers und gibt sich als dieses aus, um eine Geldüberweisung zu veranlassen. Der Versuch des Bankberaters, das Opfer zur Bestätigung der Überweisung zu erreichen, scheitert, da die Telefonleitungen des Opfers mit betrügerischen Anrufen überlastet sind und das Opfer somit nicht erreichbar ist. ^{[ 115 ]}
• Ein Betrüger kontaktiert Verbraucher unter dem Vorwand, einen ausstehenden Kurzzeitkredit in Höhe von Tausenden von Dollar einzutreiben. Widerspricht der Verbraucher, rächt sich der Betrüger, indem er den Arbeitgeber des Opfers mit automatisierten Anrufen überhäuft. In einigen Fällen wird die angezeigte Anrufer-ID gefälscht, um die Polizei oder andere Strafverfolgungsbehörden vorzutäuschen. ^{[ 116 ]}
• Swatting : Ein Betrüger kontaktiert Verbraucher mit einer fingierten Forderung nach Schulden und droht mit der Polizei. Weigert sich das Opfer, ruft er die örtliche Polizei mit gefälschten Anrufen an, bei denen die Rufnummer des Opfers angezeigt wird. Die Polizei trifft kurz darauf beim Opfer ein, um den Ursprung der Anrufe zu ermitteln.

TDoS-Angriffe können auch ohne Internettelefonie stattfinden . Im Skandal um die Telefonstörung während der Senatswahlen 2002 in New Hampshire wurden Telefonverkäufer eingesetzt , um politische Gegner am Wahltag mit gefälschten Anrufen zu überfluten und so die Telefonleitungen zu blockieren. Auch die weitverbreitete Veröffentlichung einer Telefonnummer kann diese mit so vielen Anrufen überlasten, dass sie unbrauchbar wird. Dies geschah 1981 versehentlich, als mehrere Teilnehmer der Vorwahl +1 -867-5309 täglich Hunderte von Anrufen erhielten, nachdem der Song „ 867-5309/Jenny “ erschienen war. TDoS-Angriffe unterscheiden sich von anderen Formen der Telefonbelästigung (wie Scherzanrufen und obszönen Anrufen ) durch die Anzahl der ausgehenden Anrufe. Indem die Leitungen kontinuierlich mit wiederholten automatisierten Anrufen belegt werden, wird das Opfer daran gehindert, sowohl reguläre als auch Notrufe zu tätigen oder entgegenzunehmen. Verwandte Angriffe umfassen SMS-Flooding-Attacken und Blackfax , also die kontinuierliche Faxübertragung mithilfe einer Papierschleife beim Absender.

Das Verwerfen eines Pakets mit einem TTL- Wert von 1 oder weniger benötigt mehr Router-Ressourcen als das Weiterleiten eines Pakets mit einem höheren TTL-Wert. Wenn ein Paket aufgrund des Ablaufs der TTL-Gültigkeit verworfen wird, muss die Router-CPU eine ICMP-Antwort mit dem Hinweis auf Zeitüberschreitung generieren und senden . Die Generierung vieler dieser Antworten kann die Router-CPU überlasten. ^{[ 117 ]}

Ein UPnP-Angriff nutzt eine bestehende Schwachstelle im Universal Plug and Play (UPnP)-Protokoll, um die Netzwerksicherheit zu umgehen und das Netzwerk und die Server eines Ziels mit Datenverkehr zu überlasten. Der Angriff basiert auf einer DNS-Amplification-Technik, der eigentliche Angriffsmechanismus ist jedoch ein UPnP-Router, der Anfragen von einer externen Quelle an eine andere weiterleitet. Der UPnP-Router sendet die Daten über einen unerwarteten UDP-Port von einer gefälschten IP-Adresse zurück, was es erschwert, die Datenflut durch einfache Maßnahmen zu stoppen. Laut den Forschern von Imperva ist die effektivste Methode, diesen Angriff zu verhindern, die Absicherung von UPnP-Routern durch Unternehmen. ^{[ 118 ] [ 119 ]}

Im Jahr 2014 wurde entdeckt, dass das Simple Service Discovery Protocol (SSDP) für DDoS -Angriffe missbraucht wird, die als SSDP-Reflexionsangriff mit Verstärkung bekannt sind . Viele Geräte, darunter auch einige Heimrouter, weisen eine Schwachstelle in der UPnP-Software auf, die es Angreifern ermöglicht, Antworten über UDP-Port 1900 an eine beliebige Zieladresse zu erhalten. Mit einem Botnetz aus Tausenden von Geräten können die Angreifer eine ausreichend hohe Paketrate erzeugen und Bandbreite belegen, um Verbindungen zu überlasten und so einen Denial-of-Service (DoS) zu verursachen. ^{[ 120 ] [ 121 ] [ 122 ]} Aufgrund dieser Schwachstelle bezeichnete das Netzwerkunternehmen Cloudflare SSDP als „Stupidly Simple DDoS Protocol“ (dämlich einfaches DDoS-Protokoll). ^{[ 122 ]}

ARP-Spoofing ist eine häufige DoS-Attacke, die eine Schwachstelle im ARP-Protokoll ausnutzt, die es einem Angreifer ermöglicht, seine MAC-Adresse mit der IP-Adresse eines anderen Computers oder Gateways zu verknüpfen . Dadurch wird der für die ursprüngliche authentische IP-Adresse bestimmte Datenverkehr auf die IP-Adresse des Angreifers umgeleitet, was zu einer Dienstverweigerung führt.

Abwehrmaßnahmen gegen Denial-of-Service-Angriffe umfassen typischerweise den Einsatz einer Kombination aus Angriffserkennungs-, Verkehrsklassifizierungs- und Reaktionswerkzeugen. Ziel ist es, den von den Werkzeugen als unzulässig identifizierten Datenverkehr zu blockieren und den als legitim identifizierten Datenverkehr zuzulassen. ^{[ 123 ]} Eine Liste der Reaktionswerkzeuge finden Sie im Folgenden.

Der gesamte für das Opfer bestimmte Datenverkehr wird über verschiedene Methoden, wie z. B. die Änderung der IP-Adresse des Opfers im DNS-System, Tunneling-Verfahren (GRE/VRF, MPLS, SDN), Proxys, digitale Querverbindungen oder sogar direkte Verbindungen , über ein Reinigungs- oder Filterzentrum umgeleitet. ^{[ 124 ]} Das Reinigungszentrum filtert schädlichen Datenverkehr (DDoS-Angriffe und andere gängige Internetangriffe) heraus und leitet nur legitimen Datenverkehr an den Server des Opfers weiter. ^{[ 125 ]} Das Opfer benötigt einen zentralen Internetzugang, um diesen Dienst nutzen zu können, es sei denn, es befindet sich im selben Gebäude wie das Reinigungszentrum. DDoS-Angriffe können jede Hardware-Firewall überlasten, und die Weiterleitung schädlichen Datenverkehrs über große und ausgereifte Netzwerke wird im Kampf gegen DDoS-Angriffe immer effektiver und wirtschaftlich sinnvoller. ^{[ 126 ]}

Anwendungsfrontend-Hardware ist intelligente Hardware, die im Netzwerk platziert wird, bevor der Datenverkehr die Server erreicht. Sie kann in Netzwerken zusammen mit Routern und Switches sowie im Rahmen des Bandbreitenmanagements eingesetzt werden . Anwendungsfrontend-Hardware analysiert Datenpakete beim Eintritt in das Netzwerk und identifiziert und verwirft gefährliche oder verdächtige Datenströme.

Ansätze zur Erkennung von DDoS-Angriffen auf Cloud-basierte Anwendungen basieren auf einer Analyse der Anwendungsschicht, die anzeigt, ob eingehender Massendatenverkehr legitim ist. ^{[ 127 ]} Diese Ansätze nutzen hauptsächlich einen identifizierten Wertpfad innerhalb der Anwendung und überwachen den Fortschritt der Anfragen auf diesem Pfad mithilfe von sogenannten Key Completion Indicators ( KCI) . ^{[ 128 ]} Im Wesentlichen handelt es sich bei diesen Techniken um statistische Methoden zur Bewertung des Verhaltens eingehender Anfragen, um Ungewöhnliches oder Anomalien zu erkennen. Man kann dies mit einem stationären Kaufhaus vergleichen, in dem Kunden durchschnittlich einen bestimmten Prozentsatz ihrer Zeit mit verschiedenen Aktivitäten verbringen, wie z. B. Artikel in die Hand nehmen und begutachten, zurücklegen, einen Einkaufswagen füllen, an der Kasse warten, bezahlen und das Geschäft verlassen. Wenn eine große Anzahl von Kunden das Geschäft betritt und ihre gesamte Zeit damit verbringt, Artikel in die Hand zu nehmen und zurückzulegen, ohne etwas zu kaufen, könnte dies als ungewöhnliches Verhalten erkannt werden.

Beim Blackhole-Routing wird der gesamte Datenverkehr an die angegriffene DNS- oder IP-Adresse an ein Blackhole (eine nicht existierende Schnittstelle oder einen nicht existierenden Server) umgeleitet. Um die Effizienz zu steigern und die Netzwerkverbindung nicht zu beeinträchtigen, kann dies vom Internetdienstanbieter (ISP) verwaltet werden. ^{[ 129 ]} Ein DNS-Sinkhole leitet den Datenverkehr an eine gültige IP-Adresse weiter, die den Datenverkehr analysiert und fehlerhafte Pakete verwirft. Sinkholing ist bei schweren Angriffen möglicherweise nicht effizient.

Intrusion-Prevention-Systeme (IPS) sind effektiv, wenn Angriffe über entsprechende Signaturen verfügen. Der Trend geht jedoch dahin, dass Angriffe legitime Inhalte mit böswilliger Absicht aufweisen. Intrusion-Prevention-Systeme, die auf Inhaltserkennung basieren, können verhaltensbasierte DoS-Angriffe nicht blockieren. ^{[ 53 ]} Ein ASIC- basiertes IPS kann Denial-of-Service-Angriffe erkennen und blockieren, da es über die nötige Rechenleistung und Granularität verfügt, um die Angriffe zu analysieren und automatisiert wie ein Schutzschalter zu agieren. ^{[ 53 ]}

Im Gegensatz zu Intrusion-Prevention-Systemen (IPS) konzentriert sich ein DoS-Abwehrsystem (DDS) stärker auf das Problem selbst und kann verbindungsbasierte DoS-Angriffe sowie Angriffe mit legitimen Inhalten, aber böswilliger Absicht blockieren. Ein DDS kann sowohl Protokollangriffe (wie Teardrop und Ping of Death) als auch ratenbasierte Angriffe (wie ICMP- und SYN-Floods) abwehren. DDS verfügt über ein speziell entwickeltes System, das Denial-of-Service-Angriffe deutlich schneller erkennen und unterbinden kann als softwarebasierte Systeme. ^{[ 130 ]}

Bei einem einfachen Angriff kann eine Firewall so konfiguriert werden, dass sie den gesamten eingehenden Datenverkehr der Angreifer anhand von Protokollen, Ports oder den Ursprungs-IP-Adressen blockiert. Komplexere Angriffe lassen sich jedoch mit einfachen Regeln nur schwer abwehren: Beispielsweise kann bei einem laufenden Angriff auf Port 80 (Webdienst) nicht der gesamte eingehende Datenverkehr auf diesem Port blockiert werden, da der Server dadurch keine legitimen Daten mehr empfangen und verarbeiten kann. ^{[ 131 ]} Zudem können Firewalls zu tief in der Netzwerkhierarchie positioniert sein, sodass Router bereits beeinträchtigt werden, bevor der Datenverkehr die Firewall erreicht. Viele Sicherheitstools unterstützen IPv6 außerdem noch nicht oder sind nicht korrekt konfiguriert, sodass Firewalls während der Angriffe umgangen werden können. ^{[ 132 ]}

Ähnlich wie Switches verfügen auch Router über Ratenbegrenzungs- und ACL- Funktionen. Auch diese werden manuell konfiguriert. Die meisten Router können bei einem DoS-Angriff leicht überlastet werden. Nokia SR-OS mit FP4- oder FP5-Prozessoren bietet DDoS-Schutz. ^{[ 133 ]} Nokia SR-OS nutzt außerdem den auf Big-Data-Analysen basierenden Nokia Deepfield Defender zum Schutz vor DDoS-Angriffen. ^{[ 134 ]} Cisco IOS bietet optionale Funktionen, die die Auswirkungen von Flooding reduzieren können. ^{[ 135 ]}

Die meisten Switches verfügen über Ratenbegrenzungs- und ACL- Funktionen. Einige Switches bieten automatische oder systemweite Ratenbegrenzung , Traffic Shaping , Delayed Binding ( TCP-Splicing ), Deep Packet Inspection und Bogon-Filterung (Filterung gefälschter IP-Adressen), um DoS-Angriffe durch automatische Ratenfilterung sowie WAN-Link-Failover und Lastverteilung zu erkennen und zu beheben. Diese Verfahren funktionieren, solange DoS-Angriffe durch sie verhindert werden können. Beispielsweise kann SYN-Flood durch Delayed Binding oder TCP-Splicing verhindert werden. Ebenso kann inhaltsbasierter DoS durch Deep Packet Inspection verhindert werden. Angriffe mit Martian Packets können durch Bogon-Filterung abgewehrt werden. Die automatische Ratenfilterung funktioniert, solange die festgelegten Ratenschwellenwerte korrekt eingestellt sind. WAN-Link-Failover funktioniert, solange beide Verbindungen über einen DoS-Schutzmechanismus verfügen. ^{[ 53 ]}

Bedrohungen können mit bestimmten TCP- oder UDP-Portnummern in Verbindung stehen. Das Blockieren dieser Ports an der Firewall kann einen Angriff abschwächen. Beispielsweise besteht bei einem SSDP-Reflexionsangriff die wichtigste Abwehrmaßnahme darin, eingehenden UDP-Verkehr auf Port 1900 zu blockieren. ^{[ 136 ]}

Das Blockieren bestimmter Time-to-Live- Werte (TTL) basierend auf der Netzwerkpfadlänge kann eine praktikable Option zur Abwehr von Spoofing-Angriffen sein. ^{[ 137 ]}

Ein unbeabsichtigter Denial-of-Service-Angriff (DoS) kann auftreten, wenn ein System nicht durch einen gezielten Angriff einer Einzelperson oder Gruppe, sondern schlichtweg durch einen plötzlichen, enormen Anstieg der Nutzerzahlen überlastet wird. Dies kann beispielsweise passieren, wenn eine extrem populäre Website im Rahmen eines Nachrichtenartikels einen prominenten Link zu einer anderen, weniger gut vorbereiteten Website veröffentlicht. Die Folge ist, dass ein erheblicher Teil der regulären Nutzer der Hauptseite – potenziell Hunderttausende – innerhalb weniger Stunden auf diesen Link klickt, was die gleiche Wirkung auf die Zielwebsite hat wie ein DDoS-Angriff. Ein VIPDoS-Angriff ist dasselbe, nur dass der Link speziell dann auftritt, wenn er von einer prominenten Person veröffentlicht wurde. Nach dem Tod von Michael Jackson im Jahr 2009 verlangsamten sich Websites wie Google und Twitter oder stürzten sogar ab. ^{[ 138 ]} Die Server vieler Websites hielten die Anfragen fälschlicherweise für Anfragen eines Virus oder einer Spyware, die einen DoS-Angriff auslösen wollte, und warnten die Nutzer, dass ihre Anfragen wie „automatisierte Anfragen eines Computervirus oder einer Spyware-Anwendung“ aussahen. ^{[ 139 ]}

Nachrichten- und Linkseiten – Seiten, deren Hauptfunktion darin besteht, Links zu interessanten Inhalten im restlichen Internet bereitzustellen – sind am ehesten für dieses Phänomen verantwortlich. Das bekannteste Beispiel ist der Slashdot-Effekt , der auftritt, wenn Besucher von Slashdot kommen. Er ist auch als „ Reddit -Umarmung des Todes“ ^{[ 140 ]} und „ Digg- Effekt“ ^{[ 141 ]} bekannt .

Ähnliche unbeabsichtigte Dienstverweigerungen können auch über andere Medien auftreten, beispielsweise wenn eine URL im Fernsehen erwähnt wird. Nachdem Flug MH370 der Malaysia Airlines im März 2014 verschollen war, startete DigitalGlobe einen Crowdsourcing- Dienst, über den Nutzer bei der Suche nach dem vermissten Flugzeug in Satellitenbildern helfen konnten. Die große Resonanz überlastete die Server des Unternehmens. ^{[ 142 ]} Eine unbeabsichtigte Dienstverweigerung kann auch durch ein von der Website selbst geplantes Ereignis verursacht werden, wie im Fall der Volkszählung in Australien 2016. ^{[ 143 ]}

In mindestens einem solchen Fall wurden rechtliche Schritte eingeleitet. Im Jahr 2006 verklagte die Universal Tube & Rollform Equipment Corporation YouTube : Zahlreiche Nutzer, die eigentlich YouTube.com besuchen wollten, hatten versehentlich die URL des Rohrherstellers, utube.com, eingegeben. Infolgedessen musste das Unternehmen hohe Summen für die Erweiterung seiner Bandbreite ausgeben. ^{[ 144 ]}

Es ist auch bekannt, dass Router unbeabsichtigt DoS-Angriffe verursachen können, da Router von D-Link und Netgear ^{[ 145 ]} NTP-Server überlastet haben , indem sie diese mit Anfragen überfluteten, ohne die Beschränkungen hinsichtlich Client-Typen oder geografischer Grenzen zu beachten.

In der Computersicherheit ist Backscatter eine Nebenwirkung von Denial-of-Service-Angriffen mit gefälschter IP-Adresse. Bei dieser Angriffsart fälscht der Angreifer die Quelladresse in den an das Opfer gesendeten IP-Paketen . Im Allgemeinen kann der Rechner des Opfers nicht zwischen gefälschten und legitimen Paketen unterscheiden und antwortet daher auf die gefälschten Pakete wie gewohnt. Diese Antwortpakete werden als Backscatter bezeichnet. ^{[ 146 ]}

Wenn der Angreifer Quelladressen zufällig fälscht, werden die vom Opfer zurückgesendeten Pakete an zufällige Ziele zurückgeschickt. Dieser Effekt kann von Netzwerkteleskopen als indirekter Beweis für solche Angriffe genutzt werden. Die Backscatter-Analyse bezeichnet die Beobachtung von Backscatter-Paketen, die in einem statistisch signifikanten Teil des IP-Adressraums eintreffen, um die Merkmale von DoS-Angriffen und deren Opfern zu bestimmen.

In vielen Ländern gelten Gesetze, die Denial-of-Service-Angriffe unter Strafe stellen. Die UNCTAD hebt hervor, dass 156 Länder, also 80 % weltweit, Gesetze gegen Cyberkriminalität erlassen haben , um deren weitreichende Auswirkungen zu bekämpfen. Die Umsetzungsraten variieren regional: In Europa liegen sie bei 91 %, in Afrika bei 72 %. ^{[ 148 ]}

In den USA gelten Denial-of-Service-Angriffe (DoS) gemäß dem Computer Fraud and Abuse Act als Bundesverbrechen und können mit mehrjährigen Haftstrafen geahndet werden. ^{[ 149 ]} Die Abteilung für Computerkriminalität und geistiges Eigentum des US-Justizministeriums ist für Fälle von DoS- und DDoS-Angriffen zuständig. So wurde beispielsweise Austin Thompson, alias DerpTrolling , im Juli 2019 von einem Bundesgericht zu 27 Monaten Haft und einer Entschädigungszahlung von 95.000 US-Dollar verurteilt, weil er mehrere DDoS-Angriffe auf große Videospielunternehmen durchgeführt und deren Systeme stunden- bis tagelang lahmgelegt hatte. ^{[ 150 ] [ 151 ]}

In europäischen Ländern kann die Begehung von Denial-of-Service-Angriffen mindestens zur Verhaftung führen. ^{[ 152 ]} Das Vereinigte Königreich stellt insofern eine Ausnahme dar, als es Denial-of-Service-Angriffe mit dem Police and Justice Act 2006 , einer Änderung von Abschnitt 3 des Computer Misuse Act 1990 , ausdrücklich unter Strafe stellte und eine Höchststrafe von 10 Jahren Gefängnis festlegte . ^{[ 153 ]}

Im Januar 2019 gab Europol bekannt, dass weltweit Maßnahmen zur Ermittlung der Nutzer von Webstresser.org, einem ehemaligen DDoS-Marktplatz, der im April 2018 im Rahmen der Operation PowerOFF abgeschaltet wurde, eingeleitet wurden . ^{[ 154 ]} Laut Europol führt die britische Polizei mehrere laufende Operationen gegen über 250 Nutzer von Webstresser und anderen DDoS-Diensten durch. ^{[ 155 ]}

Am 7. Januar 2013 veröffentlichte Anonymous eine Petition auf der Website whitehouse.gov , in der gefordert wurde, DDoS-Angriffe als legale Protestform ähnlich der Occupy-Bewegung anzuerkennen , mit der Begründung, dass beide Bewegungen dasselbe Ziel verfolgen. ^{[ 156 ]}

• Ethan Zuckerman, Hal Roberts, Ryan McGrady, Jillian York und John Palfrey (Dezember 2011). „Distributed-Denial-of-Service-Angriffe gegen unabhängige Medien und Menschenrechtsseiten“ (PDF) . Berkman Center for Internet & Society der Harvard University. Archiviert vom Original (PDF) am 26. Februar 2011. Abgerufen am 2. März 2011 .
• PC World – DDoS-Angriffe auf Anwendungsebene werden immer ausgefeilter

• RFC  4732 Überlegungen zu Denial-of-Service-Angriffen im Internet
• W3C – Häufig gestellte Fragen zur Sicherheit im World Wide Web – Schutz vor Denial-of-Service-Angriffen
• CERT-Leitfaden zu DoS-Angriffen in der Wayback Machine (archiviert am 09.11.2008) (historisches Dokument)