Ein DDoS-Amplification-Angriff ist ein Reflection-Angriff, bei dem kleine Anfragen mit gefälschter Absenderadresse fremde Server zu viel größeren Antworten an das Opfer bringen und so die Bandbreite des Angreifers vervielfachen.
Wie Amplification-Angriffe funktionieren
Der Angreifer schickt Anfragen über UDP – das den Absender nicht überprüft – an Tausende öffentlich erreichbare Server und trägt dabei die IP-Adresse des Opfers als Quelle ein (Spoofing). Die Server antworten dem Opfer, und jede Antwort ist um ein Vielfaches größer als die Anfrage. Das Verhältnis heißt Verstärkungsfaktor. Häufig missbrauchte Protokolle:
- DNS – offene Resolver, die große Antworten etwa auf ANY-Abfragen oder DNSSEC-Einträge liefern;
- NTP – der alte Befehl
monlistmit Faktoren von mehreren Hundert; - Memcached – offen erreichbare Caching-Server mit Faktoren im Zehntausenderbereich;
- SSDP, CLDAP, SNMP, CharGEN sowie einige UDP-basierte VPN- und Spieledienste.
Warum Amplification relevant ist
Amplification ermöglicht es einem kleinen Botnetz oder einem einzigen gemieteten Server, Datenfluten von Hunderten Gigabit pro Sekunde zu erzeugen, und versteckt den Angreifer hinter ahnungslosen Reflektoren. Im Februar 2018 traf GitHub ein Angriff mit 1,35 Tbit/s über offene Memcached-Server – damals ein Rekord. Amplification bleibt ein fester Bestandteil von DDoS-Angriffen, die „Booter“- und „Stresser“-Dienste neben Botnetz-Fluten verkaufen.
So wehren Sie Amplification-Angriffe ab
- Netzbetreiber sollten gefälschten Verkehr per Ingress-Filterung blockieren (BCP 38, RFC 2827).
- DNS-Resolver, NTP, Memcached und SNMP nicht ins Internet exponieren; veraltete Befehle abschalten und Response Rate Limiting nutzen.
- DDoS-Scrubbing-Dienste oder ein CDN mit ausreichender Kapazität einsetzen, um volumetrische Fluten abzufangen.
- Mit dem Internetanbieter einen Notfallplan vorbereiten, einschließlich Upstream-Filterung der missbrauchten Ports.
