DDoS-Angriffe erkennen und richtig eskalieren
Bei einem Distributed-Denial-of-Service-Angriff erzeugen viele Quellen so viel Verkehr oder so viele Anfragen, dass Dienst oder Netzanbindung überlastet werden. Eine lokale Firewall kann helfen, einzelne Muster zu begrenzen, aber keine bereits ausgelastete Providerleitung freimachen.
Inhaltsverzeichnis
Mögliche Anzeichen
- plötzlicher starker Anstieg von Traffic oder Anfragen
- sehr viele gleichzeitige Verbindungen
- hohe Last durch Webserver, Anwendung oder Datenbank
- Paketverlust und stark steigende Antwortzeiten
- Dienst von außen nicht erreichbar, Konsole aber noch verfügbar
Nicht jede Lastspitze ist ein Angriff. Fehlerhafte Bots, Schleifen, Backups, Updates oder legitime Besucher können ähnlich wirken.
Informationen sammeln
date --iso-8601=seconds
uptime
ss -s
ip -s link
systemctl --failedErfassen Sie Beginn, betroffene IP/Domain, Zielport, Protokoll, Trafficwerte, Fehlermeldungen und eine kurze Beschreibung. Speichern Sie nur notwendige Ausschnitte; riesige Paketmitschnitte können Speicher und Datenschutz belasten.
Richtig reagieren
- Kontaktieren Sie den Hostinganbieter über den vorgesehenen Notfallweg.
- Nehmen Sie keine unkoordinierten Änderungen vor, die Analyse oder Filterung behindern.
- Begrenzen Sie klar erkennbare Anwendungsmuster nur, wenn ein Rückweg über Konsole vorhanden ist.
- Deaktivieren Sie nicht wahllos alle Firewallregeln.
- Prüfen Sie nach der Entlastung Anwendung, Logs und mögliche Folgeschäden.
Warnung: Antworten Sie nicht mit Gegenangriffen und versuchen Sie nicht, fremde Systeme zu übernehmen. Quelladressen können gefälscht oder selbst kompromittiert sein.
