Ein DDoS-Angriff (Distributed Denial-of-Service) ist ein böswilliger Versuch, den normalen Datenverkehr eines Zielservers, -dienstes oder -netzwerks zu stören, indem das Ziel oder die umliegende Infrastruktur mit Internet-Traffic überflutet wird. DDoS-Angriffe erzielen Effektivität, indem sie mehrere kompromittierte Computersysteme nutzen, um den Angreifer-Traffic zu erzeugen.

Bei einem DDoS-Angriff erlangt ein Angreifer die Kontrolle über ein Netzwerk von Computern, die mit dem Internet verbunden sind. Computer und andere Maschinen werden dann mit Malware infiziert, wodurch sie zu Bots werden. Der Angreifer hat dann aus der Ferne volle Kontrolle über die Gruppe von Bots (ein sogenanntes Botnet). Er kann dann die Maschinen steuern, indem er über aus der Ferne neue Anweisungen an jeden Bot sendet.

Verschiedene DDoS-Angriffsvektoren zielen auf unterschiedliche Komponenten einer Netzwerkverbindung ab. Eine Netzwerkverbindung im Internet besteht aus vielen verschiedenen Komponenten oder Ebenen. Wie beim Bau eines Hauses hat jeder Schritt im Modell einen anderen Zweck. Das OSI-Modell ist ein konzeptionelles Framework zur Beschreibung der Netzwerkkonnektivität in sieben verschiedenen Ebenen.

Um einen DDoS-Angriff mit mehreren Vektoren abzuwehren, sind verschiedene Strategien erforderlich, um jeweils unterschiedliche Abläufe zu bekämpfen. Je komplexer der Angriff, desto schwieriger ist es, ihn vom normalen Datenverkehr zu trennen – das Ziel des Angreifers besteht darin, sich so weit wie möglich „unterzumischen“. Um einen komplexen Angriff zu verhindern, eignet sich eine Lösung mit mehreren Ebenen am besten. 

Eine Web Application Firewall (WAF) schützt Webanwendungen, indem HTTP-Datenverkehr zwischen der Webanwendung und dem Internet gefiltert und überwacht wird. Mit einer WAF vor der Webanwendung wird eine Art Schild zwischen der Webanwendung und dem Internet eingesetzt. Eine WAF schützt den Server vor Angriffen, indem Clients die durch die WAF geleitet werden, bevor sie den Server erreichen.

Eine WAF, die mit einer Blacklist (negatives Sicherheitsmodell) arbeitet, schützt vor bekannten Angriffen. Im Gegensatz dazu lässt eine WAF, die auf einer Whitelist basiert (positives Sicherheitsmodell), nur Datenverkehr zu, der vorab genehmigt wurde. Sowohl Blacklists als auch Whitelists haben ihre Vor- und Nachteile, weshalb viele WAFs ein hybrides Sicherheitsmodell nutzen, das beides implementiert.

Ein Content Delivery Network (CDN) ist eine geografisch verteilte Servergruppe, die dazu dient, Internetinhalte schnell bereitzustellen. Ein CDN überträgt schnell Daten, die zum Laden von Internetinhalten benötigt werden. CDN-Dienste werden immer beliebter, und heute wird der meiste Webverkehr über CDNs abgewickelt.

Um Geschwindigkeit und Konnektivität zu verbessern, platziert ein CDN Server an Austauschpunkten zwischen verschiedenen Netzwerken. Diese Internet-Austauschpunkte (IXP, internet exchange points) sind die Hauptstandorte, an denen sich die verschiedenen Internet-Provider verbinden, um den gegenseitigen Zugang zum Datenverkehr sicherzustellen, der aus ihren verschiedenen Netzen stammt.

Wenn Website-Inhalte geladen werden, brechen Benutzer schnell ab, wenn eine Website langsamer wird. Da CDNs global verteilt sind, lässt sich so die Entfernung zwischen Benutzern und Website-Ressourcen reduzieren. Anstatt sich mit dem Ursprungsserver einer Website verbinden zu müssen, können sich Benutzer über ein CDN mit einem geografisch näher gelegenen Rechenzentrum verbinden. Die geringere Distanz führt zu einer schnelleren Bereitstellung.

Das Domain Name System (DNS) ist das Telefonbuch des Internets. Menschen greifen online über Domain-Namen wie nytimes.com oder espn.com auf Informationen zu. Webbrowser interagieren jedoch über IP-Adressen (Internet Protocol). DNS übersetzt Domainnamen in IP-Adressen, damit Browser Internetressourcen laden können.

Bei der DNS-Auflösung wird ein Hostname (z. B. ibm.com/de-de)in eine computerfreundliche IP-Adresse (z. B. 192.168.1.1) konvertiert. Jedem Gerät im Internet wird eine IP-Adresse zugewiesen, mit der sich das Gerät finden lässt. Beim Laden einer Webseite wird das, was ein Benutzer in das Adressfeld seines Browsers eingibt, in die IP-Adresse übersetzt, die benötigt wird, um die jeweilige Webseite zu finden.

Der DNS-Resolver ist der erste Anlaufpunkt in der DNS-Suche und verantwortlich für die Antwort an den Benutzer, der die erste Anfrage gestellt hat. Der Resolver startet die Abfragesequenz, die letztendlich die URL in die erforderliche IP-Adresse übersetzt.