Site icon bintorosoft.com

DDoS Layer 3/4: Mitigation-Playbook vom Edge bis zum Scrubbing

Red Snapper

Ein DDoS Layer 3/4 Mitigation-Playbook beschreibt nicht nur einzelne technische Maßnahmen, sondern einen durchgängigen Ablauf: von der schnellen Verifikation am Edge über gezielte Filter und Rate Limits bis hin zur Eskalation in ein Scrubbing-Center oder eine Cloud-Mitigation. Layer-3/4-DDoS-Angriffe zielen auf Netzwerk- und Transportebene (IP, ICMP, UDP, TCP) und versuchen, Bandbreite, Paketverarbeitung (pps), State-Tabellen, NAT-Kapazitäten oder Upstream-Links zu überlasten. Für NOC- und SecOps-Teams ist der entscheidende Punkt: Je früher Sie Traffic „vor“ Ihrer Infrastruktur reduzieren, desto geringer ist der Blast Radius. Gleichzeitig dürfen Maßnahmen nicht unkontrolliert legitimen Traffic beschädigen – besonders bei UDP-basierten Services, VPNs oder Echtzeitkommunikation. Dieser Artikel liefert ein operatives Playbook mit klaren Schritten und Entscheidungspunkten, damit Sie DDoS-L3/L4-Incidents strukturiert behandeln: Erkennen, stabilisieren, sauber mitigieren, Beweise sichern und danach die Abwehr so verbessern, dass der nächste Angriff weniger Zeit und weniger Kollateralschäden verursacht.

Layer 3/4 DDoS verstehen: Ziele, Muster und typische Angriffsarten

Layer-3/4-DDoS ist selten „nur viel Traffic“. In der Praxis gibt es unterschiedliche Lastprofile, die verschiedene Schwachstellen ausnutzen:

Die wichtigste operative Konsequenz: Ein Mitigation-Schritt, der bei Bandwidth Flood wirkt (z. B. Upstream-Scrubbing), ist nicht automatisch der beste erste Schritt bei State Exhaustion (z. B. SYN-Cookies/Proxying, Connection Limits). Das Playbook muss daher mit klaren Diagnoseschritten starten.

Erkennung und Verifikation: Was muss in den ersten Minuten passieren?

Bevor Sie filtern oder eskalieren, müssen Sie in wenigen Minuten die grundlegenden Parameter bestimmen. Das reduziert Fehlmaßnahmen und beschleunigt die richtige Eskalation.

Minimaler Erstcheck (5–10 Minuten)

Telemetriequellen dafür sind typischerweise Interface-Utilization, Drops/Discards, CPU/ASIC-Load, Firewall-Session-Statistiken, NetFlow/sFlow/IPFIX sowie synthetische Checks (von außen und innen). Wenn möglich, sollten Sie parallel einen kurzen PCAP-Schnappschuss am Edge ziehen, um Protokollmerkmale sicher zu bestätigen.

Decision Tree: Wann Edge-Maßnahmen reichen – und wann sofort Scrubbing?

Ein Playbook braucht klare Schwellen, die nicht diskutiert werden müssen, wenn es brennt. Sinnvoll ist eine Kombination aus Kapazität und Service-Impact.

Pragmatische Eskalationslogik

Zur Orientierung kann ein einfaches Kapazitätsmodell helfen: Wenn ein Angriff dauerhaft über ~60–70% der nutzbaren Uplink-Kapazität liegt und bereits Paketdrops sichtbar sind, verschiebt sich der Nutzen stark Richtung Upstream-Mitigation. Gleichzeitig gilt: pps kann Ihre Geräte killen, auch wenn bps „harmlos“ aussieht.

Edge-Mitigation: Filter, Rate Limits und Schutzmechanismen (ohne Kollateralschaden)

Edge-Maßnahmen sind schnell, aber riskant, wenn sie zu grob sind. Ziel ist, die Angriffssignatur zu reduzieren, ohne geschäftskritische Protokolle zu brechen. In vielen Umgebungen ist „drosseln“ besser als „droppen“.

Grundprinzipien für sicheres Blocking

Mitigation nach Angriffsart: Konkrete Maßnahmen auf Layer 3/4

ICMP Flood (Echo, Destination Unreachable, Fragmentation Needed)

ICMP-Funktion und Bedeutung für Fehlerdiagnose und PMTUD ist in RFC 792 (ICMP) sowie für ICMPv6 in RFC 4443 beschrieben.

UDP Flood und UDP Amplification

Bei Reflection/Amplification ist Quell-IP-Blocking meist ineffizient, weil die Quellen Reflektoren sind. Hier wirkt Scrubbing besonders gut, weil es massiv skaliert und Muster besser herausfiltert.

TCP SYN Flood (State Exhaustion)

TCP-Verhalten und Flags sind in RFC 9293 (TCP) dokumentiert. Für viele Umgebungen ist die wichtigste Praxisregel: SYN-Flood-Mitigation möglichst nahe am ersten Gerät durchführen, das stateful wird.

Fragment Floods und Paket-Anomalien

Grundlagen der IP-Fragmentierung finden sich in RFC 791 (IPv4) sowie für IPv6 in RFC 8200.

Vom Edge zum Provider: Upstream-Optionen (BGP, RTBH, FlowSpec)

Wenn die Sättigung vor Ihrer Infrastruktur passiert, müssen Sie Traffic upstream reduzieren. Je nach Provider und Setup haben Sie unterschiedliche Hebel:

RTBH und FlowSpec sind leistungsfähig, aber governance-intensiv: Sie benötigen klare Freigaberegeln, Monitoring und einen Rollback-Plan, damit Sie nicht versehentlich Produktivtraffic wegfiltern.

Scrubbing-Center und Cloud-DDoS: Wann es unverzichtbar wird

Scrubbing ist die skalierte Form der Mitigation: Traffic wird in ein Scrubbing-Center umgeleitet, dort gefiltert und „sauber“ zu Ihnen zurückgetunnelt. Das ist besonders wirksam bei volumetrischen Angriffen und Reflection-Kampagnen.

Typische Scrubbing-Architekturen

Wichtig ist, dass Ihr Playbook die Umschaltprozedur konkret beschreibt: Wer darf BGP-Diversion auslösen? Welche Prefixes? Wie wird der Erfolg validiert? Wie ist der Rückweg (GRE/IPsec) dimensioniert?

Runbook-Schritte: Mitigation-Playbook als operativer Ablauf

Ein gutes Playbook ist eine Checkliste mit Entscheidungen, nicht ein Lehrbuch. Der folgende Ablauf ist in vielen Enterprise- und Provider-Umgebungen praxistauglich:

Phase 1: Triage und Stabilisierung

Phase 2: Sofortmaßnahmen am Edge

Phase 3: Upstream/Eskalation

Phase 4: Evidence Pack und Nachbereitung (ohne die Mitigation zu gefährden)

Monitoring und Thresholds: Was ein NOC für L3/L4-DDoS zwingend braucht

Als Designprinzip sollten Schwellenwerte nicht nur „High Utilization“ melden, sondern gleichzeitig Kontext liefern: Welcher Port? Welches Ziel? Welche Veränderung gegenüber Baseline? Das reduziert Alert Fatigue und beschleunigt die richtige Mitigation.

Hardening und Prävention: Maßnahmen, die DDoS-Mitigation messbar erleichtern

Outbound-Links für vertiefende Standards und Best Practices

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version