Protection – DDoS-Notfallreaktion

In diesem Artikel erfahren Sie:

• So diagnostizieren Sie einen DDoS-Angriff
• So blockieren Sie einen Angriff im Notfall mit:
  • GeoIP
  • Filter
  • Web Application Firewall (WAF)
• Häufig gestellte Fragen

---

DDoS-Diagnostik

DDoS-Angriffe sind eine häufige Art von Cyberangriff, bei der versucht wird, eine Website oder Anwendung mit einer großen Menge an Anfragen zu überlasten. Diese Anfragen stammen typischerweise aus verschiedenen Regionen, können aber auch von einer einzelnen IP-Adresse, einem Bereich oder einem Anbieter kommen. Manche haben einen gemeinsamen UserAgent, über den sie sich wirksam filtern lassen.

Der erste Schritt, um angemessen auf einen laufenden DDoS-Angriff zu reagieren, besteht darin, herauszufinden, wer die Angreifer sind, und sie zu blockieren, ohne den legitimen Traffic zu Ihrer Website einzuschränken. Das beste Werkzeug zur Traffic-Analyse ist die Grafana-Oberfläche, die Sie einrichten können gemäß Protection – Grafana Anleitung.

Wenn Sie vermuten, dass Ihre Website oder Anwendung angegriffen wird, gehen Sie wie folgt vor:

1. Melden Sie sich an in Ihrem Grafana-Interface ⧉.
2. Im Host der Anfrage Filter oben links wählen Sie die Domain, die angegriffen wird. Ändern Sie bei Bedarf auch den Zeitbereich oben rechts auf 5 Minuten.
3. Durchsuchen Sie die Protokolle nach verdächtigem Verhalten.
4. Bestimmen Sie die beste Blockiermethode anhand der folgenden Hinweise.

Es gibt keinen einzig richtigen Weg, die Protokollanalyse durchzuführen; als allgemeine Empfehlung sollten Sie prüfen:

• Anomalien. Die Tabelle Anomalies listet Anfragen mit Fehlercodes auf. Dazu gehören blockierte Anfragen (456), die das System bereits aktiv blockiert. Sie müssen dagegen nichts unternehmen.
• Anfragen aus Ländern. Wenn in dieser Liste große Mengen von Anfragen aus ungewöhnlichen Ländern erscheinen, verwenden Sie GeoIP um diese Länder zu blockieren, bis der Angriff abklingt.
• TOP10 Client-IPs. Bei DDoS-Angriffen ist das zwar unüblich, aber Sie können ungewöhnlich viele Anfragen von wenigen IP-Adressen feststellen. Diese können Sie blockieren mit Filter.
• TOP10 UserAgents und ASN Report. Unter Umständen teilen sich Angreifer einen UserAgent oder eine ASN. Dafür können Sie leicht einen Filter diese.

Können Sie die Angriffsquelle nicht eingrenzen und herausfiltern, blockieren Sie den Angriff mit WAF.

Sobald DDoS-Angriffe ein System nicht mehr lahmlegen können, lassen sie typischerweise innerhalb einiger Minuten nach. Beobachten Sie die Lage weiter und versuchen Sie, die Notfallmaßnahmen wieder abzuschalten, sobald Sie keinen schädlichen Datenverkehr mehr feststellen.

---

Notfall-Blockierung

Dauert es den automatischen Filtern zu lange, einen DDoS-Angriff (oder einen ähnlichen Angriff) auf Ihre Website oder Anwendung abzuwehren, empfehlen wir einzurichten:

• GeoIP eignet sich am besten, um Datenverkehr aus Ihrem Land oder Kontinent schnell zu isolieren oder Verkehr aus angreifenden Regionen zu blockieren.
• Filter bestimmte IPs, ASNs oder UserAgents blockieren.
• Web Application Firewall (WAF) kann Verkehr anhand strengerer Regeln mit höherem Paranoia-Level filtern.

GeoIP Blocking

Um GeoIP einzurichten, gehen Sie wie folgt vor:

1. Melden Sie sich an bei WEDOS.global Administration ⧉.
2. Wählen Sie die angegriffene Domain aus.
3. Wählen Sie im linken Menü GeoIP.
4. Enable Custom GeoIP.
5. Richten Sie GeoIP nach Ihren Anforderungen ein (siehe unten) und speichern Sie.

GeoIP-Blockierung verwenden Sie typischerweise, um:

• Website oder Anwendung nur für Nutzer in einem bestimmten Gebiet verfügbar machen mit folgenden Schritten:
  1. Im Zugriffseinstellungen Bereich wählen Sie die Allow Access Verhalten und speichern Sie.
  2. Wählen Sie die gewünschte(n) verfügbare(n) Zielregion(en) aus in GeoIP Map. Traffic aus nicht ausgewählten (blauen) Regionen wird blockiert.
  3. Im Liste der ausgewählten Regionen, klicken Sie auf die Ausgewählte Regionen speichern -Schaltfläche.
• Datenverkehr aus Ländern blockieren mit einer hohen Zahl oder einem hohen Anteil nicht blockierter problematischer Anfragen anhand der folgenden Schritte:
  1. Im Zugriffseinstellungen Bereich wählen Sie die Block Access Verhalten und speichern Sie.
  2. Wählen Sie die gewünschte(n) verfügbare(n) Zielregion(en) aus in GeoIP Map. Traffic aus nicht ausgewählten (blauen) Regionen wird zugelassen.
  3. Im Liste der ausgewählten Regionen, klicken Sie auf die Ausgewählte Regionen speichern -Schaltfläche.

Traffic-Filterung

Die verfügbaren Traffic-Filter sind:

• IP. Blockiert alle Anfragen von einer angegebenen IP-Adresse oder einem Bereich.
• ASN. Blockiert alle Anfragen von einer bestimmten ASN (Autonomous System Number, die typischerweise einen Internetanbieter identifiziert).
• URL. Blockiert den gesamten Traffic zu eine bestimmte URL, unabhängig von der Quelle. Verwenden Sie dies, wenn der Angriff auf eine bestimmte Ressource zielt.
• UserAgent. Blockiert Traffic anhand von UserAgent-Strings.

Um IP-, ASN-, URL- oder UserAgent-Filter einzurichten, gehen Sie wie folgt vor:

1. Melden Sie sich an bei WEDOS.global Administration ⧉.
2. Wählen Sie die angegriffene Domain aus.
3. Wählen Sie im linken Menü Filter.
4. Aktivieren Sie beliebige Custom Filter die Sie verwenden möchten.
5. Fügen Sie problematische IPs, ASNs und UserAgents hinzu.

WAF-Filterung

Wenn es keinen eindeutigen Hinweis auf die Quelle oder das Ziel des schädlichen Datenverkehrs gibt, empfehlen wir, das WAF-Paranoia-Level für die Dauer des Angriffs zu erhöhen.

Um die WAF-Paranoia-Stufe zu ändern, gehen Sie wie folgt vor:

1. Melden Sie sich an bei WEDOS.global Administration ⧉.
2. Wählen Sie die angegriffene Domain aus.
3. Wählen Sie im linken Menü WAF.
4. Enable Custom WAF.
5. Im Paranoia Level Bereich wählen Sie Stufe 2.

---

FAQ