Cloud-Chroniken, Teil 2: Prävention und Abwehr von DNS-DDoS-Angriffen

Griff Shelley

Wenn Sie überlegen, wie sich eine DNS-Lösung in Ihre Umgebung integrieren lässt, denken Sie vielleicht nicht zuerst an Sicherheit. Schließlich wird DNS oft als „Telefonbuch des Internets“ bezeichnet – und wie häufig werden Telefonbücher und Sicherheit schon im selben Satz erwähnt? DNS wirkt eher unscheinbar, obwohl es im Grunde das Rückgrat unserer täglichen Interaktionen im Internet bildet. Vielleicht gerade wegen dieser Allgegenwärtigkeit sind DNS-Dienste auch häufig das Ziel von Distributed-Denial-of-Service-Angriffen (DDoS-Angriffen). Und mit zunehmender Komplexität und Häufigkeit dieser Angriffe steigen auch die Anforderungen an den Schutz dieses Grundpfeilers der Internetinfrastruktur.

DNS-DDoS-Angriffe: Eine Rose mit anderem Namen würde den Datenverkehr dennoch stören

Was lässt sich über DNS-DDoS-Angriffe sagen, das nicht schon gesagt wurde? Es gibt sie in zahlreichen Varianten und Größenordnungen – von „lästig“ bis hin zu „das Internet lahmlegen“ oder zumindest einen Teil davon. „DDoS“ ist ein Oberbegriff für unzählige Arten von Netzwerk- und Anwendungsangriffen, die Dienste außer Gefecht setzen und sich unter den legitimen Anwendungsdatenverkehr mischen. Hier sind vier der häufigsten groß angelegten Angriffe:

DNS-Amplifikations- und -Reflexionsangriffemachen das DNS selbst zur Waffe, indem sie die offene Struktur von DNS-Servern ausnutzen, um den Angriffsverkehr zu verstärken – ähnlich wie bei einem Ruf in eine Schlucht, dessen Schall durch das Echo verstärkt wird.

NXDOMAIN-Angriffe überfluten einen Server mit Anfragen nach nicht existierenden Domains und erzeugen so eine heimtückische Kakofonie aus „falsch verbunden“-Meldungen, die den Dienst ausbremst.

Angriffe mit zufälligen Subdomains sorgen für eine unerwartete Wendung, indem sie eine riesige Zahl nicht existierender Subdomains abfragen und damit DNS-Resolver überfordern.

DNS-Floods überfluten einen oder mehrere Server mit legitim erscheinendem Datenverkehr und versuchen, das System durch die schiere Menge zu überlasten.

DNS-Flood-, Subdomain-, NXDOMAIN- sowie Amplification- und Reflection-Angriffe – in welcher Form sie auch auftreten, sie alle zielen darauf ab, durch übermäßigen oder ungewöhnlichen Datenverkehr den Zugriff legitimer Nutzer auf geschäftskritische Anwendungen zu stören. Sie werden auch nicht immer isoliert gestartet. Tatsächlich können DNS-DDoS-Angriffe auch als Ablenkungsmanöver dienen, um andere böswillige Aktivitäten zu verschleiern. Angesichts dieser Angriffsarten und der zunehmenden digitalen Transformation, der wachsenden Verbreitung von IoT-Geräten sowie des Ausbaus des Zugangs zu 5G-Netzen können böswillige Akteure heute mehr Technologien und Internetverbindungen als je zuvor nutzen, um ihre schädlichen Ziele gegen DNS-Dienste zu verwirklichen. Was lässt sich dagegen tun?

Angriffe über mehrere Vektoren, Sicherheit über mehrere Vektoren

Wenn DNS in einer Umgebung als Ausgangspunkt für die Anwendungsbereitstellung positioniert wird, sollten Teams es auch als Ausgangspunkt für die Sicherheit betrachten – selbst wenn ein DNS-Dienst im herkömmlichen Sinne normalerweise nicht als Sicherheitslösung angesehen wird.

Es ist hilfreich, Sicherheit im Kontext von drei miteinander verbundenen Funktionen zu betrachten: Skalierbarkeit, Hochverfügbarkeit und Abwehr schädlichen Datenverkehrs. Alle diese Funktionen greifen aktiv in den Datenverkehr ein und sorgen dafür, dass der richtige Datenverkehr ungehindert sein Ziel erreicht.

Skalierbarkeit: Stellen Sie sich eine Infrastruktur vor, die darauf ausgelegt ist, automatisch hochzuskalieren, wenn der Datenverkehr sprunghaft ansteigt. Dadurch erhalten die Teams, die den Dienst betreiben, einen zeitlichen Vorsprung bei der Erkennung von DDoS-Angriffen. So kann sichergestellt werden, dass legitime Nutzer selbst während eines volumetrischen Angriffs ihre DNS-Anfragen mit minimalen Beeinträchtigungen auflösen können – ähnlich wie bei einer Brücke, die im Berufsverkehr zusätzliche Fahrspuren bereitstellen kann, um Staus zu vermeiden. Die Skalierbarkeit eines DNS-Dienstes bedeutet außerdem, dass eine plötzliche Welle von Datenverkehr – ob bösartig oder nicht – die Backend-Ressourcen nicht bis zur Funktionsunfähigkeit überlastet.

Hochverfügbarkeit: Erweitert man das Konzept der Skalierbarkeit um eine weitere Dimension, insbesondere im Zusammenhang mit der DNS-Sicherheit, wird deutlich, dass ein DNS-Dienst benötigt wird, der auch während eines Angriffs, durch den eine Ressource ausfallen kann, eine unterbrechungsfreie Namensauflösung gewährleistet. Verfügt dieser Dienst über weltweit verteilte Points of Presence (PoPs), kann dieses Servernetzwerk den Datenverkehr intelligent steuern, indem es nahtlose Failover zu festgelegten Ressourcen ermöglicht, den Zugriff für Benutzer sicherstellt und verhindert, dass Angreifer einen Single Point of Failure identifizieren und ausnutzen. Eine weitere Variante dieser Lösung besteht darin, einen cloudbasierten DNS-Dienst mit einem lokalen DNS-Dienst zu kombinieren und beide als eine Art dynamisches DDoS-Abwehrduo einzusetzen, das die Last untereinander aufteilen kann oder bei dem ein DNS-Dienst als Ausfallsicherung für den anderen dient.

Management bösartigen Datenverkehrs: Neben Skalierbarkeit und Hochverfügbarkeit sollte ein DNS-Dienst auch über fortschrittliche Funktionen zur Abwehr bösartigen Datenverkehrs verfügen. Durch den Einsatz von Echtzeitanalysen und Bedrohungsinformationen kann ein solcher Dienst Administratoren dabei unterstützen, bösartigen Datenverkehr zu erkennen und zu stoppen, bevor er Schaden anrichten kann. Stellen Sie sich einen Wasserfilter vor, der zwischen sauberem und verunreinigtem Wasser unterscheiden kann und nur sauberes Wasser durchlässt. Wenn ausschließlich „sauberer“ Datenverkehr in das Netzwerk gelangt, werden Ressourcen geschont: Bösartiger Datenverkehr wird frühzeitig erkannt und verworfen, bevor er sein Angriffsziel erreicht. Dadurch muss das Ziel keine unerwünschten Pakete verarbeiten, was die Verfügbarkeit von Anwendungen verbessert.

Diese Sicherheitsmethoden setzen an drei Punkten an, um schädlichen Datenverkehr einzudämmen. Sie skalieren, sie leiten um, sie verwerfen. Zudem ergänzen sie sich gegenseitig in Bereichen, in denen eine einzelne Methode möglicherweise Schwächen aufweist. Hohe Verfügbarkeit bedeutet beispielsweise nicht zwangsläufig hohe Skalierbarkeit (und umgekehrt). Eine Strategie für die Anwendungsbereitstellung, die alle drei Methoden kombiniert, kann jedoch schnell eine starke Verteidigungslinie gegen Überflutungen durch schädlichen Datenverkehr schaffen.

In der Praxis erfordert eine robuste Anwendungsbereitstellung angesichts von Herausforderungen wie DDoS-Angriffen häufig die Kombination verschiedener Strategien und Technologien, etwa intelligentes Traffic-Management, verteilte Architekturen und automatisierte Failover-Mechanismen. F5 Distributed Cloud DNS kann der erste Schritt beim Aufbau einer solchen Umgebung für Ihre verteilten Anwendungen sein.

Wenn Sie mehr darüber erfahren möchten, wie das funktioniert, kontaktieren Sie uns.

Über den Autor

Griff Shelley

Weitere Blogbeiträge von Griff Shelley