Apache-Server vor DoS-Attacken schützen

Wie kann man Apache-Server gegen solche Angriffe absichern? Dazu soll hier zunächst einmal die Wirkungsweise dieser Angriffe aufgezeigt werden, um zu verdeutlichen, wie sie den Servern Schaden zufügen können.

Packet-Flooding
Eine Methode, um einen Server oder seine lokalen Netzwerke zum Erliegen zu bringen, ist das Packet-Flooding, meist mit ICMP-Paketen (Internet Control Message Protocol) oder UDP-Paketen. Vereinfacht gesprochen zielen diese Angriffe darauf ab, das maximal mögliche Traffic-Volumen eines Servers oder Netzwerks zu übersteigen, immer unter der Voraussetzung, dass der Angreifer eine schnellere Netzwerk-Verbindung als das Opfer besitzt. Dabei sind unter Verwendung von UDP keine Rückschlüsse auf den Rechner des Angreifers möglich. Unter Nutzung von ICMP können die Angreifer dagegen komplexere Angriffsmethoden anwenden und beispielsweise fehlerhafte Pakete senden, die im Netzwerk des Opfers Verwirrung stiften oder sogar zu dessen Abschaltung führen können. Besonders ausgefeilte Varianten sind sogar in der Lage, dem Zielserver vorzutäuschen, dass bei ihm eine durch ihn selbst verursachte Mitteilungsflut einginge.

Festplatten-Attacken
Brutalere Versionen von Systemangriffen zielen nicht nur auf die Kommunikationsstrukturen des Opfers, sondern auch auf dessen Hardware ab. Falsche Benutzeranfragen überschwemmen die Festplatte des Zielrechners mit Schreibbefehlen, so dass diese überlastet und schließlich heruntergefahren wird. Dies kann weitaus mehr als nur eine Störung bedeuten: Das Opfer kann schwerwiegende Schäden erleiden, da die Daten nicht nur zeitweilig nicht verfügbar sind. sondern sogar komplett verloren gehen können.

Routing ins Nichts
Häufig konzentrieren sich DoS-Attacken auf die Router eines Netzwerks, wobei der Angreifer die Kontrolle übernimmt und den Traffic des Zielsystems umleitet (so dass statt zu vielen zu wenig Daten bei diesem eingehen). Wenn es dem Angreifer gelingt, die Routing-Tabellen eines Routers zu verändern, können ganze Netzwerke (von einem einzelnen Zielserver ganz zu schweigen) vom Zugriff abgeschnitten werden. Diese Art von Attacke ist besonders heimtückisch, weil ihre ersten Anzeichen häufig irreführend sind. Schließlich lässt sich problemlos feststellen, dass bei einem Server übermäßig viele Pings eingehen, doch wenn niemand tatsächlich auf den Server zuzugreifen scheint, müssen erst zahlreiche mögliche Ursachen hierfür überprüft werden.