Akamai wehrt bisher größten DDoS-PPS-Angriff ab

Akamai hält die verteilte Denial-of-Service (DDoS) Attacke mit 809 Millionen Pakete pro Sekunde am 21. Juni 2020 für einen neuen Rekord für PPS-zentrierte Angriffe. Der Angriff war weit mehr als doppelt so groß wie die vorherige Höchstmarke auf der Akamai-Plattform.

Betrachtet man die DDoS-Aktivitäten seit Beginn des Jahres 2020 ganzheitlich, so wird deutlich, dass große, ausgeklügelte DDoS-Angriffe nach wie vor ein bedeutender Angriffsvektor sind und für Unternehmen in vielen Branchen Anlass zur Sorge geben.

DDoS-Angriffe sind fast immer volumetrischer Natur und werden im Allgemeinen in Bits pro Sekunde (bps) gemessen. Das Ziel eines DDoS-Angreifers ist es, die eingehende Internet-Pipeline zu überwältigen, indem er mehr Datenverkehr an eine Leitung schickt, als diese verarbeiten soll.

Im Gegensatz dazu sind PPS-fokussierte Angriffe weitgehend darauf ausgelegt, Netzwerkgeräte und/oder Anwendungen im Rechenzentrum oder in der Cloud-Umgebung des Kunden zu überwältigen. Beide sind volumetrisch, aber PPS-Angriffe erschöpfen eher die Ressourcen des Geräts als die Leistungsfähigkeit der Leitungen – und diese sind viel seltener als BPS-Angriffe.

Den Unterschied beider DDoS-Angriffstypen kann man sich klarmachen, indem man sich die Kasse eines Lebensmittelgeschäfts vorstellt. Ein Angriff mit hoher Bandbreite, gemessen in bps, ist so, als ob tausend Menschen in einer Schlange stehen würden, jeder mit einem vollen Einkaufswagen.

Eine PPS-basierte Attacke ist jedoch eher so, als ob eine Million Menschen auftauchen würden, von denen jeder eine Packung Kaugummi kaufen möchte. In beiden Fällen ist das Endergebnis ein Dienst oder ein Netzwerk, das den darauf gerichteten Verkehr nicht bewältigen kann.

Dieser jüngste Angriff wurde eindeutig optimiert, um DDoS-Abwehrsysteme durch hohe PPS-Last zu überlasten. Die gesendeten Pakete trugen eine magere 1-Byte-Nutzlast (bei einer Gesamtpaketgröße von 29 mit IPv4-Headern), so dass es wie jedes andere seiner mehreren Milliarden Peers aussieht.

Das Einzigartige an den gesendeten Paketen war der massive Anstieg der Anzahl der Quell-IP-Adressen. Die Anzahl der Quell-IP-Adressen, die den Verkehr zum Kundenziel registrierten, nahm während des Angriffs erheblich zu, was darauf hindeutet, dass es sich um einen stark verteilten Verkehr handelte. Im Vergleich zum, normalen Vorgehen stieg die Anzahl der Quell-IPs pro Minute um das 600-fache.

Über das Volumen der IP-Adressen hinaus stammte die überwiegende Mehrheit des Angriffsverkehrs von IPs, die Akamai bei Angriffen vor 2020 nicht registriert hatte. Dies deutet auf ein neu entstehendes Botnetz hin. Akamai verfolgt Hunderttausende von Quell-IPs, die bei DDoS-Angriffen genutzt wurden, von denen Zehntausende bei mehreren Angriffen beobachtet wurden.

Der Angriff vom 21. Juni war nicht nur wegen seines Umfangs bemerkenswert, sondern auch wegen der Geschwindigkeit, mit der er seinen Höhepunkt erreichte. Der Angriff wuchs innerhalb von Sekunden vom normalen Verkehrsaufkommen auf 418 Gbps an, bevor er in etwa zwei Minuten seine Spitzengröße von 809 Mpps erreichte. Insgesamt dauerte der Angriff etwas weniger als 10 Minuten.