UDP Amplification Attack: Muster, Indikatoren und sicheres Blocking

Eine UDP Amplification Attack ist eine der effektivsten DDoS-Varianten, weil sie zwei Dinge kombiniert: Source-IP-Spoofing und Dienste, die auf kleine Anfragen mit sehr großen Antworten reagieren. Angreifer senden dabei viele UDP-Requests mit gefälschter Absenderadresse (IP des Opfers) an sogenannte „Reflektoren“ im Internet – beispielsweise offene DNS-Resolver oder falsch konfigurierte NTP-Server. Die Reflektoren schicken ihre (deutlich…

DDoS Layer 3/4: Mitigation-Playbook vom Edge bis zum Scrubbing

Ein DDoS Layer 3/4 Mitigation-Playbook beschreibt nicht nur einzelne technische Maßnahmen, sondern einen durchgängigen Ablauf: von der schnellen Verifikation am Edge über gezielte Filter und Rate Limits bis hin zur Eskalation in ein Scrubbing-Center oder eine Cloud-Mitigation. Layer-3/4-DDoS-Angriffe zielen auf Netzwerk- und Transportebene (IP, ICMP, UDP, TCP) und versuchen, Bandbreite, Paketverarbeitung (pps), State-Tabellen, NAT-Kapazitäten oder…

Firewall-State-Table voll: Symptome, Telemetrie und Recovery-Plan

Wenn die Firewall-State-Table voll ist, fühlt sich ein Netzwerkvorfall oft „diffus“ an: Einzelne Anwendungen brechen weg, neue Verbindungen hängen in Timeouts, während bestehende Sessions teilweise noch funktionieren. Der Grund liegt im Kernprinzip vieler Firewalls: Sie arbeiten stateful und halten pro Verbindung einen Zustand (State) in einer Tabelle, damit Rückverkehr korrekt zugeordnet, Regeln konsistent angewendet und…

Conntrack Exhaustion (Linux/K8s): Schnelle Detection und dauerhafte Fixes

Conntrack Exhaustion ist eine der häufigsten, aber am schwersten zu erkennenden Ursachen für „plötzliches“ Netzwerk- oder Service-Fehlverhalten in Linux- und Kubernetes-Umgebungen. Gemeint ist die Erschöpfung der Connection-Tracking-Tabelle (nf_conntrack) im Kernel, die für stateful Paketverarbeitung genutzt wird – etwa durch NAT (SNAT/DNAT), Stateful Firewalls (iptables/nftables), kube-proxy, Service-Mesh-Komponenten oder Node/Ingress-Gateways. Wenn die Conntrack-Tabelle ihr Limit erreicht, können…

Port Scanning in Produktion: Low-Noise-Detection (SIEM/NDR)

Port Scanning in Produktion ist kein exotisches Hacker-Klischee, sondern eine alltägliche Realität in Enterprise-Netzen: Schwachstellen-Scanner, Asset-Discovery, Fehlkonfigurationen, kompromittierte Hosts oder externe Angreifer erzeugen Verbindungsversuche auf vielen Ports und Zielen. Das Problem im Betrieb ist selten das Erkennen an sich, sondern die Low-Noise-Detection: SIEM- und NDR-Systeme sollen relevante Scans zuverlässig melden, ohne den SOC- oder NOC-Workflow…

ARP/ND Storm: Monitoring-Thresholds und Response-Plan

Eine ARP/ND Storm ist einer der häufigsten Gründe, warum ein eigentlich gesundes Layer-2-Netz plötzlich „zäh“ wird oder partiell ausfällt. Der Effekt fühlt sich oft wie ein zufälliger Performance-Einbruch an: Clients bekommen keine IP, DNS wirkt instabil, VoIP knackt, WLAN-Controller verlieren APs, und Switch-CPUs steigen, obwohl die Link-Auslastung scheinbar niedrig bleibt. Ursache ist nicht „zu viel…

ARP-Spoofing/MITM: Funktionsweise, Packet Evidence und schnelle Detection

ARP-Spoofing/MITM gehört zu den klassischen Angriffsmustern in lokalen Netzwerken (Layer 2) und ist gleichzeitig eine der häufigsten Ursachen für schwer erklärbare Störungen: „Der Server ist manchmal erreichbar“, „TLS bricht sporadisch ab“, „DNS liefert plötzlich andere Antworten“ oder „nur einige Clients haben Probleme“. Der Kern ist immer ähnlich: Ein Angreifer bringt Endgeräte dazu, falsche Zuordnungen zwischen…

Layer-2-Forensics: Evidence sammeln ohne Traffic zu stören

Layer-2-Forensics ist in vielen Incidents der schnellste Weg, belastbare Evidence zu sammeln, weil sich L2-Symptome oft früher zeigen als L3/L7: MAC-Flapping, Broadcast-Spikes, STP-Topologieänderungen, ARP/ND-Anomalien oder plötzlich auftauchende Rogue Devices. Gleichzeitig ist genau hier die Gefahr am größten, den Betrieb unbeabsichtigt zu stören – etwa durch zu aggressive SPAN-Mirrorings, falsch platzierte Taps, überlastete Switch-Control-Planes oder unkontrollierte…

Rogue DHCP: Symptome, Täter identifizieren und sichere Mitigation

Rogue DHCP bezeichnet das Auftreten eines nicht autorisierten DHCP-Servers in einem Netzwerksegment, der IP-Konfigurationen an Clients verteilt. Das kann durch ein Fehlverhalten (z. B. versehentlich aktivierter DHCP-Dienst auf einem Testsystem) entstehen – oder durch einen absichtlichen Angriff, bei dem ein Täter Clients gezielt mit falschen Einstellungen versorgt. Die Auswirkungen reichen von „nur“ instabiler Konnektivität bis…

MITM Incident Response: Checkliste vom Alert bis zur Isolation

Ein MITM Incident Response-Prozess (Man-in-the-Middle) entscheidet im Ernstfall darüber, ob Sie einen Angriff schnell eindämmen oder ob sich der Angreifer unbemerkt zwischen Clients und Services „festsetzt“. MITM-Szenarien sind besonders tückisch, weil sie oft nicht wie ein klassischer Ausfall wirken: Nutzer berichten über „komische Zertifikatswarnungen“, sporadische Login-Probleme, ungewöhnliche Latenz, Session-Abbrüche oder plötzlich veränderte Inhalte. In modernen…