Starker DDoS-Schutz für Uptime und Sicherheit

Bei einer HTTP-Flood-Attacke beschießen Angreifer einen Webserver mit HTTP-Anfragen, die etwa gezielt Seiten mit großem Ladevolumen aufrufen. Dadurch wird der Webserver letztlich überlastet und kann keine legitimen Anfragen mehr verarbeiten - die betroffenen Webseiten, Portale und APIs sind für Nutzer:innen nicht mehr verfügbar. Die Besonderheit: HTTP-Floods basieren auf technisch korrekt formulierten (validen) Anfragen an den attackierten Webserver. Weil die schädlichen HTTP-Anfragen fast nicht von regulärem Traffic zu unterscheiden sind, gestaltet sich die Erkennung und Abwehr hier besonders schwierig.

Slowloris missbraucht die Funktionalität für partielle HTTP-Anfragen aus dem HTTP-Protokoll. Clients müssen dabei nicht die gesamten Daten eines GET- oder POST-Requests auf einmal an den Server liefern, sondern können sie auf mehrere Pakete aufteilen. Je nach Serverkonfiguration bewirkt bereits die erste Teilanfrage, dass der Webserver Ressourcen für die Beantwortung reserviert, während er auf den Rest der Anfrage wartet. Dieser Umstand führt dazu, dass ausgerechnet Webserver, die nur eine begrenzte Zahl paralleler HTTP-Anfragen zulassen, um eine Systemüberlastung zu vermeiden, besonders anfällig für Slowloris-Angriffe sind.

Slowloris ist im Vergleich zu den meisten Flooding-Tools relativ unauffällig, da nur der Webserver selbst betroffen ist und alle anderen Dienste intakt bleiben. Slowloris hat auch einige Tarnfunktionen eingebaut. So kann beispielsweise die Protokolldatei während des Angriffs nicht geschrieben werden, bis die Anfrage abgeschlossen ist. Auf diese Weise lässt sich ein Server minutenlang lahmlegen, ohne dass ein einziger Eintrag in der Protokolldatei auftaucht, um jemanden zu warnen, der diese Datei möglicherweise gerade prüft.

Beim HALO-Angriff handelt es sich um eine Reverse HTTP Amplification, die zu einem erheblichen Upstream-Verkehr beim anvisierten Ziel führt und die ausgehende Datenverbindung blockiert. Dazu sendet der Angreifer gültige Anfragen an Ressourcen, die größer sind als die Anfrage selbst – in der Regel JavaScript- oder CSS-Code, Bilder, PDFs und dergleichen.

Bedrohungssimulationen der DDoS-Analysten von zeroBS haben dabei gezeigt, dass beim Einsatz eines Botnetzes mit 5.000 Bots und 1 RPS (Requests Per Second) mit Dateien von durchschnittlich 1 MByte Größe ein Upstream-Traffic von 70 GBit/s generiert werden kann. Dank der relativ niedrigen RPS-Rate können Angreifer mit der HALO-Attacke gängige WAF- und Bot-Management-Lösungen umgehen, während die schädliche Bandbreite den Upstream vollständig auslastet und den Datenkanal blockiert.

Im Sommer 2023 trat mit HTTP/2 RapidReset ein neuer Angriffsvektor auf der Applikationsschicht in Erscheinung. Die Angriffsmethode macht sich eine Zero-Day-Sicherheitslücke (CVE-2023-44487) zunutze, um mit überschaubaren Ressourcen enorm schlagkräftige DDoS-Attacken mit immensen Paketraten auszuführen.

Bei HTTP/2 RapidReset senden Angreifer über ein Botnet eine Vielzahl von Anfragen an den anvisierten Webserver. Anstatt jedoch eine Antwort vom Server abzuwarten, werden diese Streams direkt wieder abgebrochen. Die Verbindung bleibt dabei offen. Der betroffene Webserver startet zunächst mit der Verarbeitung, bricht im Anschluss allerdings die weitere Ausführung ab, ohne die Anfrage zum üblichen Limit von 100 Streams pro Verbindung zu zählen. So sind unzählige Anfragen hintereinander möglich und der Server wird überlastet.