Viele von uns hatten kürzlich Schwierigkeiten beim Zugriff auf einige der zentralen Anwendungen, die sowohl unsere Organisationen als auch wir als Einzelpersonen täglich privat oder beruflich nutzen. Anfang Juni hatten viele an aufeinanderfolgenden Tagen zunächst Probleme beim Zugriff auf das Webportal Microsoft Outlook.com, dann auf OneDrive und schließlich auf das Microsoft Azure Portal.
Einige vermuteten, dass der fehlende Zugriff auf wichtige Microsoft-Anwendungen durch eine Fehlkonfiguration verursacht worden sein könnte. Andere waren der Ansicht, dass es sich möglicherweise um einen Cyberangriff gehandelt habe. Microsoft teilte mit, dass das Unternehmen das erhöhte Datenverkehrsaufkommen bei seinen zentralen Anwendungen gesteuert und ausgeglichen habe.
Am Freitag, dem 16. Juni, erläuterte dann ein vom Microsoft Security Response Center (MSRC) veröffentlichter Blogbeitrag mit dem Titel Microsofts Reaktion auf verteilte Denial-of-Service-Angriffe (DDoS) auf Schicht 7 die Ursache der Ausfälle der Microsoft-Anwendungen, die am 7. Juni begannen und bis zum 9. Juni andauerten.
Der Blog bestätigte, dass Microsoft Opfer eines Layer-7-DDoS-Angriffs (L7) geworden war, wodurch vorübergehend nicht auf diese Dienste zugegriffen werden konnte, die in anderen Publikationen als Outlook.com, OneDrive und Microsoft Azure Portal bezeichnet wurden.
In dem Blogbeitrag hieß es, Microsoft habe „einen sprunghaften Anstieg des Datenverkehrs gegen einige Dienste festgestellt, der deren Verfügbarkeit vorübergehend beeinträchtigte“. Außerdem wurde erwähnt, dass Microsoft „umgehend eine Untersuchung einleitete und begann, die anhaltenden DDoS-Aktivitäten zu verfolgen“. Im MSRC-Blog wurde erläutert, dass der Angriff von einem Bedrohungsakteur verübt worden war, den Microsoft unter der Bezeichnung Storm-1359 verfolgt und der auch als Anonymous Sudan bekannt ist. Der Blog betonte, dass Microsoft keine Hinweise darauf gefunden habe, dass auf Kundendaten zugegriffen wurde oder diese kompromittiert worden seien. Die DDoS-Angriffe sollten Störungen verursachen, Aufmerksamkeit erregen und die Angreifer – Storm-1359 alias Anonymous Sudan – bekannt machen.
Während viele DDoS-Angriffe auf Schicht 3 (Netzwerkschicht) oder Schicht 4 (Transportschicht) des OSI-Modells (Open Systems Interconnection) abzielen, sind L7-DDoS-Angriffe (Anwendungsschicht) eine ganz andere Herausforderung. L7-DDoS-Angriffe sind wesentlich schwieriger zu erkennen als L3- oder L4-DDoS-Angriffe, da sie meist komplex und verdeckt ablaufen und nicht von legitimem Datenverkehr zu Webanwendungen zu unterscheiden sind. Die Angriffe richten sich gegen bestimmte Komponenten eines Anwendungsservers und überhäufen diese so lange mit Anfragen, bis sie überlastet sind und auf keinerlei Datenverkehr mehr reagieren können. Zudem verändern sich diese Angriffe, wobei die Angriffsmuster häufig und oftmals nach dem Zufallsprinzip wechseln.
Laut Microsoft nutzte der L7-DDoS-Angriff auf seine Dienste „eine Sammlung von Botnetzen und Tools“, die es den Angreifern ermöglichte, ihren Angriff über verschiedene Cloud-Dienste und „offene Proxy-Infrastrukturen“ zu starten. Dabei kamen virtuelle private Server, Cloud-Umgebungen, offene Proxys sowie gekaufte oder anderweitig beschaffte DDoS-Tools zum Einsatz.
Storm-1359 (auch bekannt als Anonymous Sudan) setzte drei verschiedene Arten von L7-DDoS-Angriffen gegen Microsoft ein:
- HTTP(S)-Flood-Angriff, bei dem eine erhebliche Anzahl von Anfragen, darunter SSL-/TLS-Handshakes und HTTP(S)-Anfragen von einer Vielzahl von Geräten aus verschiedenen Regionen und mit unterschiedlichen Quell-IP-Adressen, Systemressourcen wie CPU und Arbeitsspeicher überlastet, sodass ein Anwendungsserver keine Anfragen mehr verarbeitet.
- Beim Cache-Bypass werden Content Delivery Networks (CDNs) umgangen, indem Anfragen an von einem Angreifer erstellte und bereitgestellte URLs gesendet werden, die die Anwendung dazu veranlassen, alle Anfragen an den Ursprungsserver weiterzuleiten.
- Slowloris nutzt ein einzelnes System, um eine Verbindung zu einem Webserver herzustellen, und erzwingt, dass die Verbindung offen bleibt, indem die Ressourcenanfrage nicht bestätigt oder nur verzögert angenommen wird.
In dem Blogbeitrag erklärte Microsoft, man habe „die Schutzmaßnahmen auf Schicht 7 verstärkt und unter anderem die Azure Web Application Firewall (WAF) optimiert, um Kunden besser vor DDoS-Angriffen zu schützen“.
Microsoft gab seinen Kunden anschließend mehrere Empfehlungen, um sich noch besser vor L7-DDoS-Angriffen (auf Anwendungsebene) zu schützen, darunter:
- Verwendung von Azure WAF oder anderen L7-Diensten zum Schutz von Web-Apps
- Verwenden des Bot-Schutzes in Azure WAF oder einem anderen Dienst zur Abwehr schädlicher Bots
- Schädliche IP-Adressen und IP-Adressbereiche identifizieren und blockieren
- Blockieren, Begrenzen der Anfragerate oder Umleiten von Datenverkehr von außerhalb einer festgelegten geografischen Region oder innerhalb einer bestimmten Region
- Nutzung bekannter Angriffssignaturen zur Erstellung benutzerdefinierter WAF-Richtlinien, die schädlichen HTTP(S)-Datenverkehr automatisch blockieren oder dessen Übertragungsrate begrenzen
F5 Web App and API Security (WAAP) unterstützt bereits viele Microsoft-Benutzer und -Kunden dabei, Webanwendungen vor komplexen, schwer zu erkennenden L7-DDoS-Angriffen zu schützen. F5 WAAP basiert auf der F5 WAF-Engine und ihren renommierten Erkennungs- und Überwachungsfunktionen und bietet somit eine vertraute Umgebung. F5 WAAP ist in jedem erforderlichen Bereitstellungsmodell (als Hardware, SaaS und Software in Form einer virtuellen Edition auf Microsoft Azure) sowie in beliebigen Kombinationen verfügbar und kann überall dort eingesetzt werden, wo Apps gehostet werden. Die Komponenten arbeiten dabei zusammen, um einen umfassenden Schutz vor L7-DDoS-Angriffen zu gewährleisten.
Ebenfalls verfügbar ist die preisgekrönte Lösung F5 Distributed Cloud Bot Defense, die SaaS-basierte Lösung von F5 zur Abwehr und Eindämmung von Bots, die die weltweit größten Banken, Einzelhändler und Fluggesellschaften schützt. Distributed Cloud Bot Defense schützt vor schädlichen Bots durch eine beispiellose Analyse von Geräte- und Verhaltenssignalen, die automatisierte Aktivitäten entlarven.
Weitere Informationen zu F5 WAAP, Lösungen zum DDoS-Schutz und Bot-Abwehr:
- Erfahren Sie mehr über die Optionen von F5 für den Schutz vor DDoS-Angriffen
- Erfahren Sie mehr über den Schutz von Webanwendungen und APIs durch F5
- Ein Blogbeitrag darüber, wie F5 Distributed Cloud Services L7-DDoS-Angriffen standhalten
- Erwerben und implementieren Sie BIG-IP Advanced WAF, Distributed Cloud WAAP, und NGINX App Protect im Azure Marketplace
- Request a free trial of BIG-IP Advanced WAF, Distributed Cloud, or NGINX App Protect
- Erleben Sie Distributed Cloud WAAP, Distributed Cloud Bot Defense und NGINX App Protect in Aktion
- Erfahren Sie, wie NGINX App Protect DoS DoS-Angriffe auf Anwendungsebene abwehrt
- Erfahren Sie, warum jetzt der richtige Zeitpunkt ist, Ihre Maßnahmen zur Bot-Abwehr neu zu bewerten
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...