Abo
  • IT-Karriere:

Epic Fail Collection: Wie man einen DDoS-Angriff nicht verhindert

Wie verhindert man einen DDoS-Angriff nicht? Dieser Frage ging der Sicherheitsforscher Moshe Ziono in seinem Vortrag auf dem 32C3 nach. Demnach wird das teure Anti-DDoS-Equipment offenbar manchmal selbst zur Falle.

Artikel veröffentlicht am ,
Der Referent nutzte dieses Bild eines Massen-Facepalms, um seinen Vortrag zu bebildern.
Der Referent nutzte dieses Bild eines Massen-Facepalms, um seinen Vortrag zu bebildern. (Bild: Frank & Fefe)

Der Sicherheitsforscher Moshe Ziono hat auf dem Hackerkongress 32C3 gezeigt, wie man einen DDoS-Angriff (Distributed Denial of Service) nicht verhindert. Ziono berichtete in einem Vortrag von zahlreichen Beispielen aus der Praxis, bei denen Kunden sich auf teils obskure Sicherungsmechanismen verließen, die ihnen in einem Test zum Verhängnis wurden.

Inhalt:
  1. Epic Fail Collection: Wie man einen DDoS-Angriff nicht verhindert
  2. Inkompetenz führt zu DDoS

Ziono arbeitet für eine Firma, die die DDoS-Resilizenz von Systemen testet. Viele der Kunden stammen aus dem Finanzumfeld, sind also in der Regel recht große Unternehmen. Alle genannten Beispiele stammen Zionos Angaben zufolge aus der Praxis, die Namen der Kunden wurden selbstverständlich nicht genannt. Zu Testzwecken benutzt das Unternehmen ein eigenes Botnetz, das Ziono als "so legitim wie möglich" beschrieb.

Webseite unbemerkt offline

In einem Fall attackierten die Sicherheitsforscher das System der Kunden - und legten die Seite innerhalb kurzer Zeit lahm. Doch die Monitoring-Systeme zeigten nach mehreren Traffic-Peaks keine ungewöhnlichen Meldungen an - und keiner schlug Alarm, obwohl die Seite weiterhin nicht erreichbar war. Der Grund dafür war trivial: Alle Systeme des Unternehmens liefen auf einem Server - der DDoS-Angriff hatte nicht nur die Webseite lahmgelegt, sondern auch das interne Voice-over-IP-Netz. Die Möglichkeit, im Web zu surfen, und die E-Mail-Kommunikation waren komplett lahmgelegt - deswegen kontaktierte niemand das IT-Team der Firma. Offenbar war unbemerkt geblieben, dass die eigene Seite nicht mehr online ist.

Eine andere weit verbreitete falsche Annahme sei, dass Backend-Systeme nicht von DDoS-Attacken betroffen seien, sagte Ziono. Diese würden meist als nicht wichtig erachtet. "Wenn du einen deiner Server als unwichtig ansiehst, dann nutze ihn nicht - er ist nur Backup", sagte er in dem Vortrag. Denn oftmals sei es möglich, eine Webseite anzugreifen, indem die dahinterliegende Datenbank mit Anfragen überfordert werde - und so Funktionen wie Logins nicht mehr funktionierten. "Wenn dein Server viel rechnen muss, ist es meistens das Backend" - dies könne man ausnutzen, um die Rechenkapazität des Systems zu erschöpfen.

Inkompetenz führt zu DDoS 
  1. 1
  2. 2
  3.  


Anzeige
Spiele-Angebote
  1. 17,99€
  2. (-70%) 5,99€
  3. 4,99€

Folgen Sie uns
       


iOS 13 ausprobiert

Apple hat iOS 13 offiziell vorgestellt. Die neue Version des mobilen Betriebssystems bringt unter anderem den Dark Mode sowie zahlreiche Verbesserungen einzelner Apps.

iOS 13 ausprobiert Video aufrufen
Cyberangriffe: Attribution ist wie ein Indizienprozess
Cyberangriffe
Attribution ist wie ein Indizienprozess

Russland hat den Bundestag gehackt! China wollte die Bayer AG ausspionieren! Bei großen Hackerangriffen ist oft der Fingerzeig auf den mutmaßlichen Täter nicht weit. Knallharte Beweise dafür gibt es selten, Hinweise sind aber kaum zu vermeiden.
Von Anna Biselli

  1. Double Dragon APT41 soll für Staat und eigenen Geldbeutel hacken
  2. Internet of Things Neue Angriffe der Hackergruppe Fancy Bear
  3. IT-Security Hoodie-Klischeebilder sollen durch Wettbewerb verschwinden

Alexa: Das allgegenwärtige Ohr Amazons
Alexa
Das allgegenwärtige Ohr Amazons

Die kürzlich angekündigten Echo-Produkte bringen Amazons Sprachassistentin Alexa auf die Straße und damit Datenschutzprobleme in die U-Bahn oder in bisher Alexa-freie Wohnzimmer. Mehrere Landesdatenschutzbeauftragte haben Golem.de erklärt, ob und wie die Geräte eingesetzt werden dürfen.
Von Moritz Tremmel

  1. Digitaler Assistent Amazon bringt neue Funktionen für Alexa
  2. Echo Frames und Echo Loop Amazon zeigt eine Brille und einen Ring mit Alexa
  3. Alexa Answers Nutzer smarter Lautsprecher sollen Alexa Wissen beibringen

Gemini Man: Überflüssiges Klonexperiment
Gemini Man
Überflüssiges Klonexperiment

Am 3. Oktober kommt mit Gemini Man ein ambitioniertes Projekt in die deutschen Kinos: Mit HFR-Projektion in 60 Bildern pro Sekunde und Will Smith, der gegen sein digital verjüngtes Ebenbild kämpft, betreibt der Actionfilm technisch viel Aufwand. Das Seherlebnis ist jedoch bestenfalls komisch.
Von Daniel Pook

  1. Filmkritik Apollo 11 Echte Mondlandung als packende Kinozeitreise

    •  /