Der folgende Artikel ist Teil 2 einer dreiteiligen Serie zur Fehlerbehebung bei DDoS-Angriffen und ein Gastbeitrag von Matt Conran von Network Insight . In diesem Artikel geht Matt auf die Herausforderungen der manuellen DDoS-Fehlerbehebung ein.
Ein DDoS-Angriff (Distributed Denial of Service) ist ein gezielter Angriff, der Online-Dienste durch massiven Datenverkehr aus zahlreichen Quellen lahmlegt. Bei diesem Cyberangriff nutzt der Angreifer mehrere unterschiedliche IP-Adressen. Denkt man an DDoS-Angriffe, fallen einem daher als Erstes die Erkennungs- und Abwehrmechanismen ein. Schließlich fließen hier die Investitionen und die neuesten Funktionen. Letztendlich ist es aber die Effektivität einer umfassenden Lösung, die einen DDoS-Angriff rechtzeitig stoppt.
Das fehlende Puzzleteil ist die Fehlersuche. Viele glauben, Netzwerkplanung und Fehlerbehebung seien rein technische Aufgaben, die nur von einem Techniker erledigt werden müssen. Tatsächlich muss aber ein ganzer Unternehmensprozess integriert werden, der schließlich zur praktischen Konfiguration führt und so den DDoS-Angriff stoppt.
Das Verfahren beinhaltet die Koordination von Personen aus verschiedenen Teams und mit unterschiedlichem technischen Hintergrund, um effizient eine Lösung zu mischen und zu bilden. Dies geschieht nicht automatisch oder zufällig. Es muss geprobt und genau kontrolliert werden. Eines der größten Probleme bei DDoS-Angriffen ist die mangelnde Vorbereitung. Mangelnde Vorbereitung führt zu Panik und dann wird nichts repariert, wenn das einsetzt.
Alle technische Erfahrung der Welt wird Ihnen nicht helfen, wenn die Kulturen zwischen den Teams nicht gut funktionieren. Und bei einem DDoS-Ereignis benötigen Sie sicherlich mehrere Teams, die zusammenarbeiten.
Die Kunst des Netzwerkens hat zu Tausenden verschiedener Netzwerkdesigns geführt, die oft als einzigartige Schneeflocken bezeichnet werden. In SP-Netzwerken bietet es oft die gleiche Endziel-Konnektivitätsanforderung, wie z. B. ein L2VPN und L3PVPN. Allerdings variiert die Art des Netzwerkdesigns von Provider zu Provider erheblich.
Viele Entwürfe verbleiben auf den Köpfen des Designers, obwohl sie in einem zentralen Repository mit Änderungen verfolgt werden sollten. Die Fehlerbehebung bei verschiedenen Netzwerkdesigns und -konfigurationen wird schwierig, wenn Sie DDoS-Angriffe mit Volumen im Terabyte-Bereich erhalten.
Remotely-Triggered Black Hole (RTBH) ist eine der gängigsten Methoden zur Abwehr von DDoS-Angriffen. Es nutzt das Border Gateway Protocol (BGP) im Netzwerk und installiert Regeln im Weiterleitungspunkt, um das Ziel zu blockieren und so den DDoS-Angriff zu unterbinden. Im Prinzip führt es den DDoS-Angriff im Auftrag des Angreifers aus. RTBH war in der Vergangenheit nützlich, hat aber den Nachteil, dass es sowohl Routing-Funktionen als auch Sicherheitsfunktionen auf demselben Gerät vereint.
Firewall-Regeln, die verwendet werden, um einen Angriff zu blockieren, werden in das Netzwerkgerät platziert, das die Kernrolle des Routings des Datenverkehrs von Punkt A nach Punkt B übernimmt. Aus technischer Sicht stehen wir also bereits vor Herausforderungen. Um dies noch weiter zu verschärfen, müssen wir mehr als oft zwei Teams kombinieren, um an demselben Gerät zu arbeiten, sowohl an der Sicherheit als auch am Netzwerk. Aus betrieblicher Sicht besteht der häufigste Ansatz zur DDoS-Abwehr darin, zwei technische Hüte auf demselben Gerät zu mischen.
Auf dem Höhepunkt eines DDoS-Angriffs ist die Teamzusammenarbeit von entscheidender Bedeutung, und die vorhandene DDoS-Abwehr wie RTBH kann die Teamkoordination vor Herausforderungen stellen. Um effizient vor DDoS zu schützen, darf eine Lösung nie ausschließlich aus technischer Sicht betrachtet werden. Es ist der gesamte Fehlerbehebungsprozess und die Zusammenarbeit der Teams, die das Rennen erfolgreich gewinnen.
Für einen effektiven DDoS-Schutz müssen alle Schichten des OSI-Modells (Open Systems Interconnection) untersucht werden. Es geht nicht mehr nur um eine einzelne Schicht; Cyberkriminelle nutzen mehrere Schichten, um in ein Netzwerk einzudringen. Häufig werden parallele Angriffe eingesetzt, die sowohl volumetrische Angriffe der Schicht 4 als auch Anwendungsangriffe der Schicht 7 kombinieren. Im Wesentlichen müssen also zwei Schichten des Protokollstapels überprüft werden: Schicht 4 und Schicht 7.
Dies könnte möglicherweise auch zwei separate Teams umfassen – ein Netzwerkteam für Layer 4 und ein Anwendungsteam für Layer 7. Zusammen mit einigen Firewalls und Load Balancern haben wir eine schöne Mischung aus verteilter Teaminteraktion. Diese Art der Zusammenarbeit muss rationalisiert und effizient koordiniert werden.
Die manuelle Herangehensweise an DDoS umfasst eine Reihe von Schritten, bevor sie tatsächlich zur Ursache des Problems gelangt. All dies muss möglicherweise von verschiedenen Personen, Teams, Orten und Zeiten durchgeführt werden. Meistens werden die beteiligten Personen nicht nebeneinander sitzen. Es kommt darauf an, wie der Angriff und wie er signalisiert wurde. Wenn es sich um einen Angriff auf Anwendungsebene handelt, muss ein Administrator möglicherweise die Protokolle einzelner Server anzeigen, indem er sich manuell anmeldet oder über einen zentralen Protokollanalyser.
Ein anderer Administrator muss möglicherweise eine Gruppe von Rechnern durchsuchen und Befehle wie „Netstat“ ausführen , um die offenen Verbindungen auf dem jeweiligen Server oder Gerät zu ermitteln. Ein weiterer Administrator muss die Rechnerlast prüfen oder die Anzahl der laufenden HTTP-Prozesse bestimmen . Ein Linux- oder Firewall-Administrator muss benutzerdefinierte Skripte erstellen und diese gegen die IP-Tabellen ausführen, um weitere Sicherheitsinformationen zu ermitteln.
Benutzerdefinierte Skripte, die von einzelnen Ingenieuren erstellt wurden, eignen sich hervorragend für einen der Jobs, aber wenn Sie möchten, dass sie zwischen Teams automatisiert werden, wird es schwieriger. Die Person, die das Skript erstellt, ist normalerweise diejenige, die das Skript verwaltet. Was passiert, wenn diese Person geht oder wenn es Fehler oder Änderungen gibt, die erforderlich sind?
Die zusätzliche Arbeit, die außerhalb des Bereichs dieses Ingenieurs liegt, wird in seinem normalen Tagesgeschäft zusammengefasst und schließlich beiseite gelassen. Es ist viel besser, alle Ihre Skripte in einer zentral verwalteten Datenbank zu horten, in der keine einzelne Person die Verantwortung trägt. DDoS-Angriffe entwickeln sich rasant. Die Art der erforderlichen zufälligen Änderungen ( TCP – > UDP ) wäre ein einfacher Befehl auf dem C2-Server. Der Versuch, all dies mit benutzerdefinierten Skripten zu verfolgen, ist ein schlechter Dienst für Sie und Ihr Unternehmen.
Um festzustellen, ob es sich um einen komplexeren Angriff handelt , muss möglicherweise ein erfahrenerer Techniker hinzugezogen werden, der die HTTP-Host-Header oder Sitzungstabellen eines Load Balancers untersucht. Da Layer-7-Angriffe die Anzahl der Pakete pro Sekunde nicht überschreiten, müssen wir über das übliche 5-Tupel hinausgehen und intermittierende Probleme ermitteln.
Manchmal müssen wir möglicherweise zusätzliche Anstrengungen unternehmen, um Überlastungszahlen, Überlastungsfenster, TCP RTT oder andere erweiterte Funktionen zu untersuchen. Auf einem Webserver müssen wir möglicherweise nach bestimmten Headern suchen, um in Null0 zu schreiben.
BGP-Communities eignen sich häufig für die DDoS-Abwehr. Die BGP-Community wird auf eine Route festgelegt und diese Route wird dann am WAN-Edge blockiert. Bei einer falschen Einstellung wäre es mit viel Handarbeit verbunden, herauszufinden, wo die Fehlerquelle liegt.
Die manuelle Fehlersuche ist letztendlich unerlässlich, und alle Diagnoseinformationen müssen anschließend zusammengeführt werden, um die weiteren Schritte festlegen zu können. Der Versuch, diese Schritte ohne Automatisierung mit denselben Mitarbeitern zu wiederholen, führt nicht zu einem reibungslosen Ablauf. Es sind zahlreiche Schritte erforderlich, die verschiedene Teams mit unterschiedlichen technologischen Kompetenzen erfordern.
Manche der für die Fehlerbehebung benötigten Geräte befinden sich möglicherweise in unterschiedlichen Netzwerken mit verschiedenen Anmeldedaten. Es kann sogar vorkommen, dass Sie ein Support-Ticket erstellen müssen, um überhaupt erst auf das Gerät zugreifen und mit der Fehlerbehebung beginnen zu können. Uns sind bereits die Hände gebunden, und DDoS-Angriffe haben uns weit voraus. Diese Art der Fehlerbehebung ist für Sie kontraproduktiv, insbesondere da wir uns bereits in einem Katz-und-Maus-Spiel befinden. Die Zusammenführung von Teams, technischen Experten und unterschiedlichen Kompetenzen ist eine anspruchsvolle Aufgabe und erfordert ein gutes Team- und Projektmanagement. Anstatt auf das Unvermeidliche zu vertrauen, ist es besser, eine Lösung parat zu haben, um die Situation selbst in die Hand zu nehmen. So sind Sie im Falle eines DDoS-Angriffs – und dieser wird mit Sicherheit erfolgen – mit einem Klick bereit, ihn abzuwehren.
NetBrain bietet einen einzigartiger Ansatz zur Netzwerkautomatisierung Dadurch wird die Lücke zwischen DDoS-Erkennung und Abwehr geschlossen. Die Fähigkeit für NetBrain Die Integration in Erkennungs- und Minderungssysteme vervollständigt das fehlende Teil des Denial-of-Service-Puzzles (DDoS). Es ist nicht das Kartierungsunternehmen, sondern das Automatisierungsunternehmen, das den Hebel ansetzt Dynamische Netzwerkzuordnung, ausführbar Runbooks und reichhaltiges Integrationsframework von APIs und Arbeitsabläufe um jede Art von DDoS zu beheben.