Hosting mit umfassendem DDoS-Schutz – Mythos oder Realität

In den ersten beiden Quartalen des Jahres 2020 hat sich die Anzahl der DDoS-Angriffe fast verdreifacht, wobei 65 % auf primitive Versuche des "Lasttests" entfallen, die schutzlose Websites kleiner Online-Shops, Foren, Blogs und Medien problemlos "außer Gefecht setzen".

Wie wählen Sie ein DDoS-sicheres Hosting aus? Worauf sollten Sie achten und was müssen Sie beachten, um nicht in eine unangenehme Situation zu geraten?

(Impfung gegen "graues" Marketing im Inneren)

Die Verfügbarkeit und Vielfalt der Werkzeuge für DDoS-Angriffe zwingt Betreiber von Online-Diensten, entsprechende Maßnahmen zum Schutz gegen die Bedrohung zu ergreifen. Es ist ratsam, bereits bei der Wahl der Plattform für das Hosting (Hosting-Anbieter oder Rechenzentrum) über DDoS-Schutz nachzudenken und nicht erst nach dem ersten Ausfall oder im Rahmen eines Maßnahmenpakets zur Erhöhung der Ausfallsicherheit der Infrastruktur.

DDoS-Angriffe werden je nach den Protokollen, deren Schwachstellen ausgenutzt werden, in verschiedene Kategorien eingeteilt, die den Schichten des OSI-Modells entsprechen:

• Schicht 2 (L2),
• Schicht 3 (L3),
• Schicht 4 (L4),
• Schicht 7 (L7).

Aus Sicht der Sicherheitsysteme können diese in zwei Gruppen unterteilt werden: Angriffe auf Infrastrukturebene (L2-L4) und auf Anwendungsebene (L7). Dies hängt mit der Reihenfolge der Ausführung der Traffic-Analysealgorithmen und der rechnerischen Komplexität zusammen: Je tiefer wir in das IP-Paket schauen, desto mehr Rechenleistung ist erforderlich.

Im Allgemeinen ist die Optimierung von Berechnungen bei der Echtzeit-Traffic-Verarbeitung ein Thema für eine gesonderte Artikelreihe. Lassen Sie uns jedoch zunächst annehmen, dass es einen Cloud-Anbieter mit bedingt unbegrenzten Rechenressourcen gibt, der in der Lage ist, Websites gegen Angriffe auf Anwendungsebene zu schützen (einschließlich kostenlos).

Die 3 wichtigsten Fragen zur Bestimmung des Schutzes des Hostings gegen DDoS-Angriffe

Werfen wir einen Blick auf die Bedingungen des DDoS-Schutzdienstes und das Service Level Agreement (SLA) des Hosting-Anbieters. Enthalten diese Antworten auf die folgenden Fragen:

• Welche technischen Einschränkungen gibt der Dienstanbieter an??
• Was passiert, wenn der Kunde die Einschränkungen überschreitet?
• Wie ein Hosting-Anbieter DDoS-Schutz aufbaut (Technologien, Lösungen, Anbieter)?

Wenn Sie diese Informationen nicht gefunden haben, sollten Sie entweder die Seriosität des Dienstleisters in Frage stellen oder selbst einen grundlegenden DDoS-Schutz (L3-4) einrichten. Beispielsweise können Sie eine physische Anbindung an das Netzwerk eines spezialisierten Schutzanbieters beauftragen.

Wichtig! Es macht keinen Sinn, den Schutz vor Anwendungsangriffen mit einem Reverse Proxy zu gewährleisten, wenn Ihr Hosting-Anbieter den Schutz vor Infrastrukturangriffen nicht sichern kann: Die Netzwerkgeräte werden überlastet und sind nicht mehr verfügbar, auch nicht für die Proxy-Server des Cloud-Anbieters (Abbildung 1).

Abbildung 1. Direkter Angriff auf das Netzwerk des Hosting-Anbieters

Lassen Sie sich nicht erzählen, dass die echte IP-Adresse des Servers hinter der Schutzcloud des Anbieters verborgen ist und daher ein direkter Angriff unmöglich ist. In neun von zehn Fällen wird es dem Angreifer leicht fallen, die echte IP-Adresse des Servers oder mindestens des Netzwerks des Hosting-Anbieters zu finden, um ein ganzes Rechenzentrum 'außer Betrieb zu setzen'.

Wie Hacker auf der Suche nach der echten IP-Adresse agieren

Unter Spoilern finden Sie einige Methoden zur Ermittlung der tatsächlichen IP-Adresse (diese werden zu Informationszwecken bereitgestellt).

Methode 1: Suche in offenen Quellen

Die Suche kann mit dem Online-Dienst Intelligence Xbeginnen: Dieser sucht Informationen im Darknet, auf Dokumentenaustausch-Plattformen, verarbeitet Whois-Daten, Lecks von öffentlichen Daten und viele weitere Quellen.

Wenn anhand bestimmter Merkmale (HTTP-Header, Whois-Daten usw.) festgestellt werden kann, dass die Website durch Cloudflare geschützt ist, kann die Suche nach der echten IP-Adresse beginnen mit der Liste, der etwa 3 Millionen IP-Adressen von Websites enthält, die hinter Cloudflare liegen.

Mit einem SSL-Zertifikat und dem Dienst Censys kann man viele nützliche Informationen finden, einschließlich der tatsächlichen IP-Adresse der Website. Um eine Abfrage für Ihre Ressource durchzuführen, gehen Sie zum Tab Certificates und geben Sie ein:

_parsed.names: Nameder Website AND tags.raw: trusted

Um IP-Adressen von Servern zu suchen, die ein SSL-Zertifikat nutzen, muss die Dropdown-Liste manuell mit mehreren Tools durchgesehen werden (Tab „Explore“, dann wählen wir „IPv4 Hosts“).

Methode 2: DNS

Die Rückverfolgung der DNS-Änderungshistorie ist eine bewährte Methode. Die vorherige IP-Adresse einer Website kann Hinweise darauf geben, bei welchem Hosting-Anbieter (oder in welchem Rechenzentrum) sie gehostet wurde. Unter den Online-Diensten sticht der Anbieter hervor, der am benutzerfreundlichsten ist. ViewDNS und SecurityTrails.

Wenn die Einstellungen geändert werden, wird die Website nicht sofort die IP-Adresse des Cloud-Schutzanbieters oder des CDN verwenden, sondern bleibt eine gewisse Zeit direkt verbunden. In diesem Fall besteht die Möglichkeit, dass Online-Dienste zur Historie von IP-Adressänderungen Informationen über die ursprüngliche Adresse der Website enthalten.

Falls nur der Name des alten DNS-Servers bekannt ist, kann mit speziellen Tools (dig, host oder nslookup) die IP-Adresse anhand des Domainnamens der Website abgefragt werden, zum Beispiel:

_dig @Name_des_alten_dns_servers Nameder Website

Methode 3: E-Mail

Die Idee dieser Methode besteht darin, über ein Kontaktformular oder eine Registrierung (oder auf andere Weise, die das Versenden einer E-Mail ermöglicht) eine E-Mail an Ihre Adresse zu erhalten und die Header zu überprüfen, insbesondere das Feld „Received“.

Im Betreff der E-Mail befindet sich häufig die echte IP-Adresse des MX-Records (Mail-Exchange-Server), die als Ausgangspunkt für die Suche nach anderen Zielservern dienen kann.

Tools zur Automatisierung der Suche

Software zur IP-Suche hinter Cloudflare funktioniert meistens in drei Aufgabenbereichen:

• Scannen falscher DNS-Konfigurationen mit DNSDumpster.com;
• Scannen der Datenbank Crimeflare.com;
• Suche nach Subdomains mittels Dictionary-Methoden.

Die Subdomains-Suche erweist sich oft als die effektivste der drei Optionen – der Webseitenbesitzer könnte die Hauptseite geschützt haben, während die Subdomains weiterhin direkt funktionieren. Am einfachsten kann man dies überprüfen mit CloudFail.

Außerdem gibt es Tools, die ausschließlich für die Suche nach Subdomains durch Dictionary-Methoden und in offenen Quellen konzipiert sind, wie beispielsweise: Sublist3r oder dnsrecon.

Wie die Suche in der Praxis abläuft

Nehmen wir als Beispiel die Webseite seo.com, die Cloudflare nutzt, und die wir mit dem bekannten Dienst builtwith finden, der es ermöglicht, sowohl Technologien / Engines / CMS zu identifizieren, auf denen die Website basiert, als auch umgekehrt – Webseiten nach verwendeten Technologien zu suchen.

Wenn Sie zum Tab „IPv4-Hosts“ wechseln, zeigt der Dienst eine Liste von Hosts mit aktivem Zertifikat an. Um den richtigen zu finden, suchen Sie nach der IP-Adresse mit dem offenen Port 443. Wenn sie auf die gewünschte Website umleitet, ist die Aufgabe erledigt; andernfalls müssen Sie den „Host“-Header der HTTP-Anfrage mit dem Domainnamen der Website hinzufügen (zum Beispiel *curl -H "Host: name_der_website" *.https://IP_adresse).

In unserem Fall hat die Suche in der Censys-Datenbank nichts ergeben, also machen wir weiter.

Die DNS-Suche führen wir über den Dienst durch. https://securitytrails.com/dns-trails.

Indem wir die in den DNS-Serverlisten angesprochenen Adressen mit dem CloudFail-Tool durchgehen, finden wir aktive Ressourcen. Das Ergebnis wird in wenigen Sekunden bereit sein.

Mit nur öffentlichen Daten und einfachen Werkzeugen haben wir die tatsächliche IP-Adresse des Webservers bestimmt. Der Rest ist für den Angreifer technischer Kleinkram.

Kehren wir zur Auswahl des Hosting-Anbieters zurück. Um den Nutzen des Dienstes für den Kunden zu bewerten, betrachten wir mögliche Schutzmaßnahmen gegen DDoS-Angriffe.

Wie der Hosting-Anbieter seinen Schutz aufbaut

1. Eigene Schutzsysteme mit Filterhardware (siehe Abbildung 2).
   Benötigt:
   1.1. Hardware zur Filterung des Datenverkehrs und Lizenzen für Software;
   1.2. Qualifizierte Fachkräfte für deren Unterstützung und Betrieb;
   1.3. Internetzugangskanäle, die ausreichen, um Angriffe zu empfangen;
   1.4. Eine signifikante Vorauszahlung für die Bandbreite zur Annahme von "Müll"-Traffic.
   
   Abbildung 2. Eigene Schutzsysteme des Hosting-Anbieters
   Wenn man das beschriebene System als Schutzmaßnahme gegen moderne DDoS-Angriffe im Bereich von Hunderten Gbps betrachtet, würde ein solches System sehr teuer sein. Verfügt der Hosting-Anbieter über einen solchen Schutz? Ist er bereit, "Müll"-Traffic zu bezahlen? Offensichtlich wäre ein solches wirtschaftliches Modell für den Anbieter unrentabel, wenn in den Tarifen keine zusätzlichen Gebühren vorgesehen sind.
2. Reverse Proxy (nur für Webseiten und einige Anwendungen). Trotz einer Reihe von Vorteilen, garantiert der Anbieter keinen Schutz vor direkten DDoS-Angriffen (siehe Abbildung 1). Hosting-Anbieter bieten oft eine solche Lösung als Allheilmittel an und schieben die Verantwortung auf den Sicherheitsanbieter.
3. Die Dienste eines spezialisierten Cloud-Anbieters (Nutzung seines Filternetzwerks) zum Schutz vor DDoS-Angriffen auf allen OSI-Ebenen (Abbildung 3).
   
   Abbildung 3. Umfassender DDoS-Schutz durch einen spezialisierten Anbieter
   Lösung setzt eine tiefe Integration und ein hohes Maß an technischer Kompetenz beider Seiten voraus. Die Auslagerung von Traffic-Filterdiensten ermöglicht es dem Hosting-Anbieter, die Kosten für Zusatzservices für den Kunden zu senken.

Wichtig! Je detaillierter die technischen Spezifikationen des angebotenen Dienstes beschrieben sind, desto mehr Chancen gibt es, deren Erfüllung oder eine Entschädigung im Falle von Ausfällen zu fordern.

Neben den drei Hauptmethoden gibt es eine Vielzahl von Kombinationen und Variationen. Bei der Auswahl des Hostings ist es für den Kunden wichtig zu bedenken, dass die Entscheidung nicht nur die Größe der garantierten blockierten Angriffe und die Genauigkeit der Filterung beeinflusst, sondern auch die Reaktionsgeschwindigkeit sowie die Informationsbereitstellung (Liste der blockierten Angriffe, allgemeine Statistiken usw.).

Denken Sie daran, dass nur eine Handvoll Hosting-Anbieter weltweit in der Lage ist, ein angemessenes Schutzniveau selbstständig zu gewährleisten. In den meisten Fällen bietet Kooperation und technisches Know-how die Hilfe. Das Verständnis grundlegender Prinzipien zum Schutz vor DDoS-Angriffen ermöglicht es Website-Besitzern, nicht auf Marketingtricks hereinzufallen und keinen "schwarzen Kater" zu kaufen.

Quelle: habr.com