Startseite > Office & Kommunikation > IT-Sicherheit fängt heute schon im Web an

Distributed-Denial-of-Service

IT-Sicherheit fängt heute schon im Web an

9. April 2015, 11:18 Uhr | Jürgen Metko, Regional Vice President Central Europe bei Akamai

Fortsetzung des Artikels von Teil 2

Verteilte Architektur des Internets nutzen

Ein mehrstufiger Ansatz nutzt die verteilte Architektur des Internets und damit dessen Skalierbarkeit und Flexibilität, um die Infrastruktur, Web-Applikationen sowie Datenbanken zu schützen und Ausfälle zu vermeiden. Cloud-basierte Sicherheits- und Verfügbarkeitslösungen bieten eine Always-On- oder auch eine On-Demand-Security, sie sind hochskalierbar sowie verfügbar und reduzieren für die Unternehmen die Total Cost of Ownership für Planung und Wartung ihrer IT-Sicherheitsmaßnahmen. Dafür wird eine hochverteilte, netzwerkübergreifende Cloud-Infrastruktur benötigt, die das Umleiten von Angriffen nah am Ursprung und Echtzeitreaktion auf Veränderungen ermöglicht.

Eine Cloud-Security-Lösung muss darüber hinaus in der Lage sein, häufig auftretende DDoS-Attacken baldmöglichst zu stoppen. Angriffe, die auf die unteren Ebenen des TCP/IP-Stacks zielen, sollten frühzeitig abgewehrt werden. Wenn der Traffic für die Netzwerkebene nicht die erforderlichen Informationen zur Weiterleitung an die Webseiten eines Unternehmens enthält, wird automatisch angenommen, dass es sich hier entweder um böswilligen oder fehlerhaften Traffic handelt.

Im Unterschied zu Angriffen auf die Infrastrukturebene lassen sich Cyber-Attacken auf die Applikationsebene nicht automatisch stoppen. Solche Angriffe kommunizieren typischerweise in Form legitimer Anfragen mit Websites und Applikationen. Sie versuchen dabei, den Server mit unvollständigen, fehlerhaften oder einer exzessiven Menge von Anfragen zu blockieren. Um eine erfolgreiche Verteidigung gegen Application-Layer-DDoS-Attacken bieten zu können, sollte eine weltweit aktive Cloud-Security-Plattform über genügend Kapazitäten verfügen, um auch großvolumige HTTP Floods und DNS Floods zu absorbieren, bevor sie eine Applikation erreichen können.

Eine weitere Möglichkeit besteht darin, den Angriffs-Traffic zu „Reinigungszwecken“ auf spezielle Rechenzentren umzuleiten. In einem solchen Scrubbing-Center wird der bösartige Datenverkehr entfernt und legitimer Datenverkehr mit nur minimaler Verzögerung weitergeleitet.