Publikation von Christoph Puppe
Von allen Seiten: Maßnahmen gegen Distributed-Denial-of-Service-Angriffe
Systematik der DoS-Angriffe fünf Jahre nach Mafiaboy, dessen Attacken auf Yahoo, eBay und Amazon eine Woche lang für massive Störungen sorgten. Der Einstieg begründet, warum das Problem strukturell unlösbar ist: Eindeutige Identifikation aller Teilnehmer und zentrale Verwaltung würden DDoS an der Wurzel packen, verlangten aber die Aufgabe der Privatsphäre. Es folgt die Technikgeschichte von Ping-of-Death über die Smurf-Attacke bis zur damals aktuellen Methode: Bot-Nets aus mehreren zehntausend Zombie-PCs, von Kriminellen an Spammer und Erpresser vermietet. Ein Syn-Storm mit wenigen hundert Paketen pro Sekunde genügte, um die 100 bis 200 erlaubten halboffenen Verbindungen eines Servers zu erschöpfen. Der Text teilt die Angriffe in drei Klassen, Flooding, Protokollschwächen und fehlerhafter Code, und ordnet jeder die Gegenwehr zu: Syn-Cookies nach Dan Bernstein, Ingress- und Egress-Filter nach RFC 2267, Overprovisioning bis hin zu Akamais damals 15.000 Servern, Sinkholing als letzter Ausweg. Vollständig verhindern lässt sich nur die dritte Klasse, per Patchmanagement. Der Schlusssatz wägt ab: Wer sein Recht auf Privatsphäre schätzt, zieht ein Internet mit DDoS-Angriffen einem vollständig überwachten Netz vor.