Google Cloud, AWS und Cloudflare berichten von den größten DDoS-Angriffen aller Zeiten
Der Angriff auf Google Cloud war 7½ Mal größer als jeder zuvor verzeichnete DDoS-Angriff. Hier ist alles Weitere, was Sie wissen müssen.
Massive DDoS-Angriffe trafen Google Cloud sowie andere große Internetdienste.
Distributed Denial of Service (DDoS)-Angriffe zählen zwar zu den am wenigsten ausgefeilten Arten von Cyberangriffen, doch sie können erheblichen Schaden anrichten. Inzwischen berichten Google sowie andere führende Cloud-Anbieter von neuen Rekorden bei der Größe solcher Angriffe.
Im vergangenen August wurde Google Cloud vom größten DDoS-Angriff der Geschichte heimgesucht. Der Angriff erreichte einen bisher beispiellosen Höchstwert von 398 Millionen Anfragen pro Sekunde. Wie hoch ist das? Laut Google erhielt Google Cloud in nur zwei Minuten mehr Anfragen pro Sekunde, als Wikipedia im gesamten September 2023 verzeichnete.
Das ist enorm. Der Angriff auf Google Cloud, bei dem eine neue „Rapid Reset“-Technik zum Einsatz kam, war 7,5 Mal größer als jeder zuvor dokumentierte DDoS-Angriff. Der größte bisher dokumentierte DDoS-Angriff im Jahr 2022 erreichte „nur“ 46 Millionen Anfragen pro Sekunde.
Google war nicht der Einzige, der betroffen war. Auch Cloudflare, ein führender Cloud-Delivery-Netzwerk-Anbieter (CDN), sowie Amazon Web Services (AWS), der größte Cloud-Anbieter der Welt, berichteten von Angriffen. Cloudflare wehrte einen Angriff mit 201 Millionen Anfragen pro Sekunde ab, während AWS einen Angriff mit 155 Millionen Anfragen pro Sekunde abwehren konnte.
Laut Google begannen diese DDoS-Angriffe Ende August und „dauern bis heute an“. Ziel der Angriffe waren große Infrastrukturanbieter. Trotz des Ausmaßes und der Intensität der Angriffe konnten die globalen Lastausgleichs- sowie DDoS-Abwehrmechanismen der führenden Technologieunternehmen die Bedrohung erfolgreich abwehren und so einen uneingeschränkten Service für ihre Kunden gewährleisten.
Im Anschluss an die Angriffe koordinierten die Unternehmen eine branchenübergreifende Reaktion, indem sie Informationen sowie Gegenmaßnahmen mit anderen Cloud-Anbietern und Softwareentwicklern austauschten. Diese Zusammenarbeit führte zur Entwicklung von Patches und Abwehrmaßnahmen, die mittlerweile von den meisten großen Infrastrukturanbietern übernommen wurden.
Die „Rapid Reset“-Technik nutzte die Funktion zum Multiplexen von Streams im HTTP/2-Protokoll - ein weiterer Schritt in der Entwicklung von Layer-7-Angriffen. Dabei werden mehrere logische Verbindungen so über eine einzige HTTP-Sitzung multiplexed, dass ein Angriff möglich wird.
Dies ist ein „Upgrade“ gegenüber HTTP 1.x - bei dem jede HTTP-Sitzung logisch gesehen eigenständig war. Somit besteht ein HTTP/2 Rapid Reset-Angriff, wie der Name schon sagt, aus mehreren HTTP/2-Verbindungen, bei denen Anfragen und Reset-Befehle nacheinander gesendet werden. Falls Sie HTTP/2 für Ihre Website oder Internetdienste implementiert haben, sind Sie ein potenzielles Ziel.
In der Praxis funktioniert Rapid Reset dadurch, dass eine Reihe von Anfragen für mehrere Datenströme gesendet werden, gefolgt von einer sofortigen Zurücksetzung für jede einzelne Anfrage. Das Zielsystem verarbeitet jede Anfrage und erstellt dabei Protokolle - auch dann, wenn die Anfrage anschließend zurückgesetzt oder abgebrochen wird. Dadurch verbraucht das Zielsystem Zeit und Rechenkapazitäten, um diese Protokolle zu generieren - selbst wenn dem Angreifer keine Netzwerkdaten zurückgesendet werden. Ein Angreifer kann diesen Mechanismus ausnutzen, indem er eine große Anzahl von HTTP/2-Anfragen sendet, wodurch das Zielsystem überlastet werden kann.
Dies ist eigentlich eine „aufgepeppte“ Version einer sehr alten Art von Angriff: der HTTP-Flood-DDoS-Angriff. Um sich gegen solche DDoS-Angriffe zu schützen, müssen Sie eine Architektur implementieren, die es Ihnen ermöglicht, unerwünschte Anfragen zu erkennen sowie die Anzahl der Anfragen zu bewältigen und bösartige HTTP-Anfragen zu blockieren.
Die von den Angreifern ausgenutzte Sicherheitslücke wurde als CVE-2023-44487 identifiziert.
Organisationen und Einzelpersonen, die HTTP-basierte Dienste im Internet anbieten, werden dringend dazu geraten, die Sicherheit ihrer Server zu überprüfen und die vom Hersteller bereitgestellten Patches für CVE-2023-44487 anzuwenden, um ähnliche Angriffe zu verhindern. Die Patches sind bereits in Vorbereitung. Doch bis sie flächendeckend installiert sind, bin ich mir sicher, dass wir weitere Rapid-Reset-Angriffe erleben werden.
Die meisten Unternehmen verfügen nicht über die notwendigen Ressourcen, um solche Angriffe abzuwehren. Um Angreifer, die den „Rapid Reset“-Ansatz nutzen, effektiv abzuwehren, sind umfangreiche und leistungsstarke DDoS-Schutzdienste erforderlich - wie beispielsweise Amazon CloudFront, AWS Shield, Google Cloud Armor oder Cloudflare Magic Transit.
Letztendlich wird es eine Lösung für diesen speziellen Angriff geben, doch ähnliche Angriffe werden bald folgen. Wie das Sicherheitsmotto besagt: „Sicherheit ist kein Produkt, sondern ein Prozess.“