Apache-Server vor DoS-Attacken schützen

Neben dem Schutz der Schwachstellen des Apache-Servers bieten sich einige zusätzliche Maßnahmen an.

Firewalls lohnen sich immer

Im Falle einer Netzwerk-Attacke bietet eine Firewall einen weitreichenden Schutz. Man muss sich allerdings klar machen, was eine Firewall kann und was nicht. Sie hilft bei der Abwehr konventioneller DoS-Attacken, bei denen nicht authentische Benutzer falsche Anfragen einreichen, was die Firewall abwenden kann. Eine Firewall kann dagegen nichts gegen DoS-Attacken ausrichten, die legitime Dienste gegen ein System einsetzt. Man darf sich also nicht auf eine Firewall als Allheilmittel verlassen.

Handelt es sich bei DoS-Attacken um Netzwerk-Attacken, ist eine Firewall sehr nützlich. Diese Art von Angriffen basiert auf den Inhalten der Pakete, durch die das Netzwerk überflutet wird. Die Firewalls untersuchen diese Pakete und sortieren solche mit verdächtigem Inhalt aus. Darüber hinaus können die Firewalls die noch wichtigere Aufgabe der Überprüfung entfernter Benutzer bei deren Zugang zu einem Netzwerk übernehmen.

Wie kann man Angriffe entdecken?

Natürlich lässt sich eine DoS-Attacke auf Netzwerk-Ebene einfacher feststellen als auf Server-Ebene. Bei Netzwerk-Attacken werden Kommunikationswege und Routing-Einstellungen beeinträchtigt, die offen einsehbar und daher leicht zu überwachen sind. Unter linuxsecurity.com sind Informationen über speziell zu diesem Zweck entwickelte Software verfügbar.

DoS-Attacken gegen Server sind viel schwieriger zu erkennen, da auf Server-Ebene legitime Benutzeranfragen nicht so leicht von gefälschten Anfragen zu unterscheiden sind. Grundsätzlich kann man jedoch feststellen, wenn das Nutzungsmuster eines im Netzwerk befindlichen Servers plötzlich von der Norm abweicht. Auf diese Weise weiß man rechtzeitig, wo ein Angriff stattfindet. Auch hierfür gibt es leistungsfähige Software, so zum Beispiel Tripwire, Nagios und SNIPS (System/Network Integrated Polling System).

DoS Evasive Maneuvers

Ab Apache 1.3 steht ein neues Modul namens mod_dosevasive (DoS Evasive Maneuvers) zur Verfügung, mit dem gefälschte Anfragen abgewiesen werden können. Dieses Modul überwacht die Nutzung von Bandbreite und Ressourcen. Es kann zwar gegen verteilte Angriffe nichts ausrichten (gegen diese gibt es ohnehin nahezu keine Verteidigung), doch erweist es sich zur Abwehr konventioneller Attacken als äußerst wirksam.