CyberGlossary

Angriffe und Bedrohungen

DDoS-Amplifikation

Auch bekannt als: Reflection-DDoS, Amplifikationsangriff

Definition

DDoS-Technik, die UDP-Dienste missbraucht, um Antworten zurückzusenden, die ein Vielfaches größer als die gefälschte Anfrage sind, sodass selbst kleine Angreifer riesige Flutvolumen erzeugen können.

Amplifikations- bzw. Reflection-DDoS-Angriffe nutzen Internetdienste aus, die auf kleine UDP-Anfragen mit deutlich größeren Antworten reagieren. Der Angreifer sendet Anfragen mit gefälschter Absender-IP des Opfers; die Reflektoren senden daraufhin große Antworten an das Opfer. Der Amplifikationsfaktor — Verhältnis von Antwort- zu Anfragegröße — reicht von wenigen Faktoren (NTP MONLIST) über Dutzende (DNS ANY, SSDP) bis hin zu Tausenden (memcached, der bisherige Rekord). So lassen sich Angriffe im Terabit-Bereich mit vergleichsweise wenig Ressourcen erzeugen. Mitigation umfasst Source-Address-Validation (BCP 38/RFC 2827), das Abschalten oder Begrenzen missbrauchbarer Dienste, Rate Limiting bei Reflektoren und große Scrubbing-Dienste.

Beispiele

  • Der Angreifer spooft die Opfer-IP und sendet DNS-ANY-Anfragen an Tausende offene Resolver, die das Ziel mit großen Antworten überfluten.
  • Im Internet exponierte memcached-Server werden für Angriffe mit Amplifikationsfaktoren über 50.000× missbraucht.

Verwandte Begriffe