F5 Cloud Services nach schwerwiegendem Angriff für robusten DDoS-Schutz eingeführt

Die Mirai Communication Network Co., Ltd. mit Sitz in Ogaki in der Präfektur Gifu bietet ein breites Spektrum an Dienstleistungen an. Dazu gehören Internetdienste (ISP), Mietserverdienste, der Betrieb und die Verwaltung von Rechenzentren, die Registrierung, der Betrieb und die Verwaltung von Domains sowie Unternehmensnetzwerke, die das präfekturweite Glasfasernetz von Gifu und den Gifu Information Superhighway nutzen. Zum Schutz vor DDoS-Angriffen hat das Unternehmen F5 Distributed Cloud DNS implementiert. Wir sprachen mit Herrn Yuki Kano und Frau Atsuko Tanaka aus der Technologieabteilung von Mirai Communication Network über die spezifischen Anforderungen, Funktionen und erwarteten Vorteile für ihr Unternehmen bei der Implementierung.

PDF herunterladen (auf Japanisch)

Der Bedarf

Unter dem Leitgedanken, ein Internetdienstanbieter mit menschlichem Gesicht zu sein, bietet Mirai Communication Network Co., Ltd. ein breites Spektrum an netzwerkbezogenen Dienstleistungen an – nicht nur für Privatunternehmen, sondern auch für Kommunalverwaltungen und öffentliche Einrichtungen. Mit unseren Hosting-Diensten betreuen wir Kunden im ganzen Land, doch unser besonderes Merkmal ist unsere regionale Ausrichtung. In diesem Sinne sind wir ein Internetdienstanbieter mit „menschlichem Gesicht“, erklärt Yuki Kano aus der Technologieabteilung des Unternehmens. Anders als bei vielen herkömmlichen Serveranbietern, die ihre Dienste hauptsächlich aus der Ferne erbringen und deren Mitarbeiter für die Kunden unsichtbar bleiben, besuchen unsere Technik- und Wartungsmitarbeiter – mich eingeschlossen – die Kunden vor Ort. Bei jedem Projekt arbeiten wir direkt mit unseren Kunden zusammen, um maßgeschneiderte Lösungen zu entwickeln, fügt er hinzu. Anlass für Mirai Communication Network, seine Systemarchitektur neu zu bewerten, war ein groß angelegter DDoS-Angriff im Dezember 2023. Unsere DNS-Server wurden angegriffen, wodurch die Namensauflösung erheblich beeinträchtigt wurde. Zwar blockierten wir umgehend Anfragen von IP-Adressen, die als Angriffsquellen identifiziert worden waren, und stellten die Dienste schnell wieder her. Doch uns wurde bewusst, dass selbst bei einem funktionsfähigen Netzwerk keine Kommunikation möglich ist, wenn ein DNS-Server ausfällt. Dieser Vorfall habe nochmals verdeutlicht, wie wichtig es sei, DNS-Server vor Angriffen zu schützen, so Kano. Bereits vor dem Angriff hatte das Unternehmen Maßnahmen ergriffen, darunter die Überwachung des Netzwerkverkehrs, um potenzielle DDoS-Angriffe zu erkennen und ausschließlich legitimen Datenverkehr zuzulassen. Der Vorfall machte jedoch deutlich, dass speziellere Schutzmaßnahmen für DNS-Server erforderlich sind. Daher zog das Unternehmen die Einführung eines dedizierten DDoS-Schutzdienstes in Betracht.

Die Transformation

Nach einer rund dreimonatigen Prüfung im Anschluss an den Angriff entschied sich Mirai Communication Network für die Einführung von F5 Distributed Cloud DNS. Frau Atsuko Tanaka aus der Technologieabteilung des Unternehmens, die unmittelbar an der Bewertung der verschiedenen Lösungen beteiligt war, erklärte: „Aufgrund der Dringlichkeit der Situation konzentrierten wir uns auf Lösungen, die sich unkompliziert über Cloud-Dienste bereitstellen ließen. Der Dienst von F5 gehörte zunächst nicht zu unseren Kandidaten. Im Laufe unserer Evaluierung unterbreitete F5 jedoch ein Angebot, und wir kamen zu dem Schluss, dass der Dienst sowohl hinsichtlich der Kosten als auch der einfachen Integration in unsere bestehende Umgebung Vorteile bot.“ Bei einigen Konkurrenzdiensten mussten sowohl der primäre als auch der sekundäre DNS-Server auf SaaS-Seite neu konfiguriert werden, während andere lediglich eine primäre DNS-Lösung bereitstellten, die sich nicht mit einem sekundären DNS integrieren ließ. Bei weiteren Diensten musste bereits bei Vertragsabschluss entschieden werden, ob die Schutzmaßnahmen auf den primären oder den sekundären DNS angewendet werden sollten. Zudem variierten die Kosten je nach Abfragevolumen, was die Budgetplanung erschwerte. Herr Kano erläuterte die Gründe für die Wahl von F5: „Bei Kunden aus dem öffentlichen Sektor, etwa Kommunalverwaltungen, erfolgt die Beschaffung häufig über Ausschreibungsverfahren, und das Budget wird jährlich festgelegt. Daher können Preisanpassungen infolge unerwarteter Angriffe nicht auf den Dienstpreis umgelegt werden.“ F5 Distributed Cloud DNS verwendet ein Preismodell, das auf der Anzahl der Zonen basiert, und bietet eine flexible Struktur: Selbst wenn die Anzahl der Zonen die vertraglich vereinbarte Menge überschreitet, fallen während der Vertragslaufzeit keine zusätzlichen Gebühren an. Erforderliche Anpassungen können bei der Neuverhandlung des Vertrags in den folgenden Haushaltsjahren vorgenommen werden. Mirai Communication Network richtete eine Proof-of-Concept-Umgebung (PoC) ein, um F5 Distributed Cloud DNS zu testen. Kano erklärte: „Als die Entscheidung zur Einführung des Dienstes von F5 getroffen wurde, erhielten wir sowohl ein PoC-Konto als auch ein Käuferkonto. Die Benutzeroberfläche ist intuitiv und leicht verständlich, und dank der umfassenden Unterstützung durch die F5-Ingenieure verläuft die Überprüfung reibungslos.“

Das Ergebnis

DNS-Änderungen erfordern gründliche Tests sowie Aufgaben wie die Registrierung der erforderlichen Einträge auf dem Zielserver und die Übertragung der WHOIS-Informationen. Nach der Migration bleibt der Betrieb jedoch unverändert gegenüber unserer bestehenden Umgebung. Wir gehen davon aus, dass keine zusätzlichen personellen Ressourcen erforderlich sein werden, so Herr Kano. Mit F5 Distributed Cloud DNS kann das primäre DNS als „Hidden“ konfiguriert und damit vor dem Internet verborgen werden, um es vor DDoS-Angriffen zu schützen. Der bestehende DNS-Server kann weiterhin für Konfigurationszwecke genutzt werden, während das sekundäre DNS in der Distributed Cloud von F5 bereitgestellt wird und sämtliche DNS-Anfragen verarbeitet. Damit wird nicht nur unsere ursprüngliche Anforderung an den DDoS-Schutz erfüllt, sondern dank eines geografisch verteilten, cloudbasierten sekundären DNS werden auch die Antwortzeiten verbessert. Darüber hinaus können wir Versions-Upgrades und ähnliche Aufgaben an F5 übertragen und so unseren Betriebsaufwand weiter reduzieren, ergänzt Herr Kano.

F5 Distributed Cloud DNS ermöglicht die Konfiguration von primärem und sekundärem DNS. Das vorhandene primäre DNS wird ausschließlich für Konfigurationszwecke verwendet, während das sekundäre DNS in der Cloud von F5 bereitgestellt wird, um DNS-Anfragen zu verarbeiten. Diese Konfiguration bietet Schutz vor DDoS-Angriffen und verbessert die Antwortzeiten durch ein geografisch verteiltes Cloud-Netzwerk.

F5 bietet im Rahmen der F5 Distributed Cloud Services verschiedene Netzwerk- und Sicherheitsfunktionen an. Dazu gehören neben dem diesmal eingeführten Distributed Cloud DNS auch Load Balancer, Firewalls, API-Gateways, WAFs, API-Sicherheit, Bot-Schutz und verwaltete Kubernetes-Plattformen. Derzeit erwägen wir, DNS-Load-Balancing als Service anzubieten. Da immer mehr Unternehmen Systeme in mehreren Umgebungen betreiben, etwa On-Premises und in der Cloud, besteht definitiv Bedarf an DNS-basiertem Load-Balancing, erklärt Frau Tanaka und verweist auf die mögliche Einführung weiterer Services über Distributed Cloud DNS hinaus. Herr Kano hebt zudem die Vorteile hervor, die sich bei einer praktischen Schulung zu den F5 Distributed Cloud Services gezeigt haben: Wir haben festgestellt, dass der Service detaillierte Konfigurationsmöglichkeiten bietet und zugleich äußerst benutzerfreundlich ist. Im Hinblick auf eine Erweiterung unseres Serviceangebots erscheinen uns Monitoring-Funktionen wie HTTPS- und DNS-Monitore besonders nützlich. Außerdem möchten wir künftig Proofs of Concept (PoCs) für Managed Kubernetes durchführen. F5 Distributed Cloud Services unterstützt die Verwaltung und den sicheren Betrieb von Anwendungen und Netzwerken, die über verschiedene Umgebungen verteilt sind, sowie die schnelle Entwicklung und Bereitstellung von Anwendungen über Kubernetes-Plattformen. Unsere bestehenden Services, die wir über physische und virtuelle Appliances anbieten, können auf SaaS-Lösungen umgestellt werden, die sich einfach bereitstellen und skalieren lassen. Wir rechnen künftig mit weiteren Anwendungsfällen für F5 Distributed Cloud Services, so Herr Kano. Er sieht außerdem Potenzial für eine Zusammenarbeit mit F5, um Herausforderungen von Kommunalverwaltungen, Schulbehörden und regionalen Unternehmen zu bewältigen. Durch die intensivere Nutzung der Lösungen von F5 und deren Integration in unsere Services können wir meiner Ansicht nach neue Bedürfnisse unserer Bestandskunden erkennen und ihnen einen größeren Mehrwert bieten, ergänzt Herr Kano.