Site icon bintorosoft.com

DDoS Schutzarchitektur: Scrubbing, RTBH und Flowspec explained

Red Snapper

Eine moderne DDoS Schutzarchitektur entscheidet darüber, ob geschäftskritische Online-Services bei Angriffen erreichbar bleiben oder ob ein einzelnes Ereignis zu stundenlangen Ausfällen, Umsatzverlust und Reputationsschäden führt. Distributed Denial of Service (DDoS) ist dabei kein „Spezialfall“ mehr: Angriffe sind heute häufig, automatisiert, oft kurz („hit and run“) und kombinieren mehrere Vektoren wie volumetrische Floods, Protokollmissbrauch und applikationsnahe Überlast. Eine belastbare DDoS Schutzarchitektur setzt deshalb nicht auf eine einzelne Maßnahme, sondern auf ein abgestuftes Design aus Erkennung, schneller Traffic-Umleitung, gezielter Filterung und sauberer Betriebsorganisation. Besonders verbreitet und praxistauglich sind drei Mechanismen, die in vielen Enterprise- und Provider-Netzen zusammenwirken: Scrubbing (Traffic-Reinigung in spezialisierten Zentren), RTBH (Remotely Triggered Black Hole, gezieltes Verwerfen von Traffic) und BGP Flowspec (granulare Filterregeln über BGP). Dieser Artikel erklärt Scrubbing, RTBH und Flowspec verständlich, zeigt typische Architekturpatterns, benennt Trade-offs (Sicherheit vs. Verfügbarkeit) und gibt konkrete Hinweise, wie Sie DDoS Schutzarchitektur so umsetzen, dass sie im Ernstfall nicht nur auf dem Papier funktioniert.

DDoS-Grundlagen: Warum eine Architektur nötig ist

DDoS ist kein einzelner Angriffstyp, sondern ein Spektrum an Techniken, die gemeinsam ein Ziel verfolgen: Ressourcen erschöpfen. Das kann Bandbreite sein (volumetrische Angriffe), Zustände in Geräten (State Exhaustion) oder CPU/Threads in Anwendungen (Layer-7-Überlast). Die wichtigste Konsequenz für das Design: Je nach Vektor greift eine andere Schutzmaßnahme, und der beste Schutzpunkt ist nicht immer „im eigenen Rechenzentrum“.

Eine DDoS Schutzarchitektur muss daher beantworten: Wo erkennen wir Angriffe? Wo können wir sie am schnellsten und kosteneffizientesten stoppen? Und wie vermeiden wir, dass Schutzmaßnahmen selbst zum Ausfall führen?

Architekturprinzip: Defense-in-Depth für DDoS

Im DDoS-Kontext bedeutet Defense-in-Depth: mehrere Schutzschichten an unterschiedlichen Punkten im Netz. Typischerweise besteht eine reife Architektur aus:

Scrubbing erklärt: Traffic-Reinigung außerhalb Ihrer Leitung

Scrubbing bedeutet, dass der angegriffene Traffic zu einem Scrubbing Center umgeleitet wird. Dort wird „schlechter“ Traffic herausgefiltert, und nur „guter“ Traffic wird zu Ihrem Service weitergeleitet. Der entscheidende Vorteil: Volumen wird bereits vor Ihrem Internetanschluss reduziert. Das ist bei großen Amplification-Angriffen oft die einzige realistische Option, weil lokale Firewalls zwar filtern könnten, die Leitung aber längst gesättigt ist.

Scrubbing-Modelle

Scrubbing-Design: Was wirklich wichtig ist

RTBH erklärt: Remotely Triggered Black Hole als Notbremse

RTBH (Remotely Triggered Black Hole) ist eine DDoS-Gegenmaßnahme, bei der Traffic zu einem Zielpräfix oder einer Ziel-IP gezielt verworfen wird. Der Sinn ist nicht „Service retten“, sondern „Netz stabil halten“, wenn die Alternative ein kompletter Kollaps der Leitung oder der Edge-Infrastruktur wäre. RTBH ist damit die Notbremse, die Sie bewusst und kontrolliert einsetzen sollten.

Wie RTBH technisch funktioniert

Im Kern basiert RTBH auf BGP: Sie announcen eine Route (meist ein Hostroute-Präfix, z. B. /32 bei IPv4 oder /128 bei IPv6) mit einem Next-Hop oder einer Community, die im Netz als „blackhole“ interpretiert wird. Upstream oder Ihre eigenen Router leiten Traffic dann in ein Null-Interface oder verwerfen ihn in Hardware. Das verhindert, dass Angriffstraffic weiter Ihre Infrastruktur belastet.

Als Referenz für Blackhole-Communities und Operationalisierung ist RFC 7999 hilfreich.

RTBH Best Practices

BGP Flowspec erklärt: Granulare Filterregeln über BGP

BGP Flowspec (Flow Specification) erweitert BGP um die Fähigkeit, Traffic-Filterregeln zu verteilen: nicht nur „Route zu Präfix“, sondern „Traffic, der auf bestimmte Header-Merkmale passt, wird gedroppt oder rate-limited“. Das ist besonders wertvoll, wenn Sie nicht gleich den ganzen Host blackholen wollen, sondern gezielt einen Angriffsvektor stoppen möchten, z. B. UDP/53 Flood, TCP SYN Flood auf einen Port, oder bestimmte Fragmente.

Was Flowspec matchen kann

Die normative Referenz für Flowspec ist RFC 8955 (IPv4 Flowspec; für IPv6 existiert ein entsprechendes Dokument).

Flowspec Actions: Drop, Rate-Limit, Marking

Flowspec Best Practices in der Praxis

Scrubbing vs. RTBH vs. Flowspec: Wann gewinnt welches Werkzeug?

In einer sauberen DDoS Schutzarchitektur haben alle drei Werkzeuge ihren Platz, aber mit unterschiedlichen „Zielen“.

In vielen reifen Umgebungen sieht der Ablauf so aus: Frühphase mit Flowspec-Policern, Eskalation zu Scrubbing bei Volumen, und RTBH nur als letzter Schritt, wenn ein Ziel sonst die gesamte Edge-Stabilität gefährdet.

Erkennung und Trigger: Ohne saubere Signale bringt die beste Architektur wenig

DDoS-Maßnahmen müssen schnell ausgelöst werden, sonst ist die Auswirkung bereits eingetreten. Dafür braucht es Erkennung auf mehreren Ebenen:

Best Practice ist, Trigger nicht nur auf „Bandbreite“ zu setzen, sondern auch auf PPS und CPS. Ein SYN Flood kann Ihre Infrastruktur töten, obwohl die Bandbreite niedrig wirkt.

Fail-Safe Design: Schutzmaßnahmen dürfen nicht schlimmer sein als der Angriff

Eine häufige operative Falle ist, dass Mitigation-Regeln zu breit sind oder zu lange aktiv bleiben. DDoS Schutzarchitektur braucht deshalb Guardrails:

DDoS und BGP Security: Filter, RPKI und Anti-Spoofing sind Teil der Schutzarchitektur

Scrubbing, RTBH und Flowspec wirken deutlich besser, wenn Ihre Edge-BGP-Policies sauber sind. Sonst riskieren Sie Route Leaks oder unbeabsichtigte Umleitungen. Ebenso reduziert Anti-Spoofing (BCP38) die Möglichkeit, dass Ihr Netz selbst als Amplification-Quelle missbraucht wird.

Für RPKI/ROV ist RFC 6811 eine gute Referenz, und für Anti-Spoofing das Grunddokument BCP 38.

Operational Readiness: Runbooks, Rollen und Übungen

Eine DDoS Schutzarchitektur ist nur so gut wie ihre Bedienbarkeit. In der Praxis sind Angriffe oft außerhalb der Kernarbeitszeit, und die ersten Minuten entscheiden. Deshalb braucht es klare Runbooks und Rollen:

Dokumentation und Nachweise: Evidence-by-Design für DDoS-Maßnahmen

DDoS-Ereignisse sind häufig audit- und compliance-relevant, spätestens wenn Kunden betroffen sind oder SLA-Verletzungen auftreten. Eine saubere Dokumentation hilft auch bei Postmortems und Verbesserungen.

Als Prozessrahmen für auditierbare Verantwortlichkeiten kann ISO/IEC 27001 dienen; für operative Kontrollen zu Monitoring und Change Management sind die CIS Controls hilfreich.

Typische Stolpersteine und robuste Gegenmaßnahmen

Praktische Checkliste: DDoS Schutzarchitektur in Enterprise-Qualität

Outbound-Quellen für Standards und Vertiefung

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version