Endstation Blackhole. Die Geschichte einer DDoS-Attacke

Der Angriffszeitpunkt ist vom Verursacher mit Bedacht gewählt. Während samstagnachmittags gefühlt die halbe Republik am Grill steht oder im Café sitzt, zeigen unsere Monitoringsysteme um 15:55 erste Unregelmäßigkeiten. Vier Minuten später meldet sich über Twitter bereits der erste Kunde mit Problemen.

Unmittelbar nachdem wir die Auffälligkeiten identifizieren, blockieren wir auffällige Angreifer von unseren Systemen. Der Angriff ist jedoch so komplex, dass unsere Techniker zusätzliche Maßnahmen umsetzen. Die Hacker streuen ihre Attacke, versuchen, das eigentliche Ziel zu verschleiern und erschweren so die Mustererkennung.
 

Was wir zu diesem Zeitpunkt noch nicht wissen: Die Traffic-Sprünge sind nur ein Vorbote dessen, was in den nächsten Stunden auf unsere Systeme zukommt. Das Monitoring wird später Peaks anzeigen, die bis zu - und das ist kein Marketing-Blabla - tausend Mal  so stark sind, wie bei einem üblichen DDoS. 
 

Die Brisanz ist aber bereits jetzt klar. Während die Techniker weiter analysieren und aussperren, unterstützen Kundenservice und Kommunikation unsere Kunden bei aufkommenden Fragen. 

In der Folge werden Muster erkennbar, sodass wir den Traffic der aktivsten Angreifer sperren. Der gesamte Datenverkehr von und zu diesen Providern wird ab sofort verworfen. Dank weiterer Analysen sehen wir, worauf es die Angreifer abgesehen haben. Wir lokalisieren die Angriffsziele. Darunter befinden sich auch Teile unserer Infrastruktur. Die Vermutung liegt nah: Die Angreifer haben keine Kunden, sondern uns ins Visier genommen.

Aufgrund dieser Erkenntnis schreiben wir Blackhole-Einträge. Dadurch wird das Ziel in unserer Infrastruktur unsichtbar und ist nicht mehr erreichbar - scheinbar gelöscht. Gute Entscheidung, denn so stellen wir sicher, dass die meisten Systeme zeitnah und zuverlässig wieder erreichbar sind. Die Lage entspannt sich, auch wenn der eigentliche Angriff erst in den kommenden Stunden erfolgt.

Der Angreifer konfrontiert unsere Systeme nun mit enormen Traffic-Mengen, die wir aber direkt blockieren können. Während der Sturm wütet, sind die allermeisten Kundenprojekte komplett erreichbar. Wir führen weitere Netzwerkanpassungen durch und kümmern uns um Kunden, die von den Blackholes betroffen sind. Diese Arbeiten werden das gesamte Wochenende weitergeführt. Unser Team ist rund um die Uhr im Einsatz, bearbeitet, kommuniziert und beobachtet den Traffic. 

Nachmittags bemerkten alle Kunden die Auswirkungen des Angriffs. Anschließend waren die Websites und Shops der Kunden offline, die vom Blackhole betroffen waren oder deren Projekte mit gesperrten Provider-Netzen sprechen wollten. Durch den Einsatz des ganzen Teams konnten wir im Laufe des Wochenendes die wenigen Kundenprojekte, die geblackholed waren, wieder Schritt für Schritt verfügbar machen.

Ein Angriff kommt selten allein. Auch das ist leider normal im Internet. Deshalb überrascht es uns nicht, dass die Hacker auch Tage danach immer wieder auf uns zielen. Die Intensität der Angriffe war und ist dabei genauso heftig, die Wirkung jedoch dank unserer Vorarbeit gering. Unsere Kunden bekommen von den Attacken in der Regel kaum etwas mit.

Bei einer Distributed Denial of Service (kurz DDoS) Attacke überlasten Angreifer gezielt die Kapazitäten von Netzwerkressourcen, um die Systeme zum Erliegen zu bringen. Dafür stellen sie mit Hilfe von Bot-Netzwerken in kurzer Zeit eine enorme Anzahl an Anfragen an die angegriffene Webressource. 

Angriffe dieser Art gehören zum Internet-Alltag. Als Reaktion darauf haben wir zahlreiche Schutzmechanismen und ein engmaschiges Monitoring entwickelt. Von beidem profitiert jeder Kunde - unabhängig des gewählten Tarifs. Die Sicherheit ist für uns Standard und kein Zusatzpaket. Deshalb bekommst du in der Regel von den Angriffen nichts mit.

Mittwald steht für Stabilität und Sicherheit. Für den Fall, dass im Rahmen deiner Projekte Mittwald-Services nicht erreichbar sind, sollte die Status-Seite deine erste Anlaufstelle sein. Hier informieren wir aktuell über mögliche Störungen. Weitere Fragen richtest du am besten direkt über Ticket oder Telefon an den Kundenservice.