„DDoS-Schutz inklusive“ steht auf nahezu jeder Hosting-Seite. Die Formulierung ist vage und deckt sehr unterschiedliche Realitäten ab. Hier ist, was Sie wissen müssen, um zu verstehen, was Sie kaufen.
Was ein Denial-of-Service-Angriff ist
Ein DDoS-Angriff will einen Dienst durch Überlastung unerreichbar machen. Es gibt zwei Familien, die fast nichts gemeinsam haben.
Volumetrische Angriffe ertränken die Netzanbindung in einer Paketflut. Man misst sie in Gigabit pro Sekunde. Sie nutzen keine Schwachstelle, sie füllen schlicht die Leitung. Ein Server hinter 1 Gb/s fällt bei 10 Gb/s Datenverkehr, unabhängig von seiner Software.
Angriffe auf Anwendungsebene sind weit unauffälliger. Einige Tausend scheinbar legitime HTTP-Anfragen auf die teuerste Seite genügen, um die Datenbank zu überlasten. Das Volumen ist gering; der Dienst fällt trotzdem aus.
Was eine Netzfilterung leistet
Die DDoS-Filterung greift vorgelagert im Rechenzentrumsnetz, bevor der Verkehr Ihren Server erreicht. Die Geräte analysieren die Ströme und verwerfen, was nicht nach legitimem Verkehr aussieht: DNS- oder NTP-Amplifikation, SYN-Fluten, fehlerhafte Pakete.
Gegen volumetrische Angriffe ist das sehr wirksam — und genau darauf kommt es bei einem Gameserver an: Solche Angriffe wollen die Partie unterbrechen, keine Daten stehlen.
Was keine Filterung für Sie übernimmt
Man sollte es klar sagen:
- Ein gezielter Angriff auf Anwendungsebene sieht aus wie normaler Verkehr. Die Netzfilterung lässt ihn durch; Ratenbegrenzung, Caching und anwendungsseitiger Schutz liegen bei Ihnen.
- Ein schwaches Passwort ist kein DDoS-Problem. Die meisten kompromittierten Server fallen über schlecht geschützte Zugänge, nicht über Überlastung.
- Ein verwundbares Plugin bleibt verwundbar, geschützt oder nicht.
- Ein interner Angriff — ein Spieler, der einen teuren Befehl missbraucht — ist vom Netz aus unsichtbar.
Ergänzende gute Gewohnheiten
- Veröffentlichen Sie die IP Ihrer Maschine nicht. Setzen Sie bei einer Website einen Dienst davor, der die Herkunft verbirgt. Eine bekannte IP ist ein leichteres Ziel.
- Begrenzen Sie die Rate anwendungsseitig. Bei einer API oder einem Formular genügen fast immer wenige Anfragen pro Minute und Adresse.
- Setzen Sie Caching ein. Eine aus dem Cache gelieferte Seite kostet tausendfach weniger als eine neu berechnete.
- Überwachen Sie. Ein in zehn Minuten erkannter Angriff ist weit leichter zu behandeln als einer, der am Folgetag entdeckt wird.
Was Sie einen Hoster fragen sollten
Drei einfache Fragen:
- Ist die Filterung dauerhaft aktiv oder wird sie auf Anfrage eingeschaltet?
- Gibt es eine Kapazitätsgrenze, und welche?
- Was passiert, wenn mein Dienst wiederholt angegriffen wird — bin ich geschützt oder werde ich gesperrt?
Die letzte Frage ist die aufschlussreichste. Manche Hoster trennen den angegriffenen Kunden, um die übrigen zu schützen. Das ist eine vertretbare Politik, sie sollte aber vor der Bestellung feststehen und nicht während des Vorfalls entdeckt werden.
Unsere Statusseite veröffentlicht laufend die Verfügbarkeit jedes Infrastrukturbausteins.