Quelle: BSI

Das BSI hat eine Liste mit qualifizierten DDoS-Mitigation-Anbietern veröffentlicht und arbeitet an einer weiteren mit APT-Response-Dienstleistern.

Verteilte Denial-of-Service-Angriffe (DDoS) laufen meist grob so ab, dass ein Angreifer unter falscher Absende-Adresse eine Anfrage an sehr viele Rechner stellt. Diese Anfrage ist so konfiguriert, dass sie sehr umfangreiche Rückantworten provoziert. Diese Rückantworten gehen allerdings nicht an den Angreifer, sondern an das Ziel seiner Attacke, das sich hinter der falschen Absende-Adresse verbirgt. Das empfängt nun auf einen Schlag so viele Daten, dass es im schlechtesten Fall den Dienst quittieren muss.

DDoS-Mitigation-Dienste

DDoS-Mitigation-Anbieter bauen eine Art Schildstruktur um Anbieter herum, die mit vielen Anfragen zurecht kommt und im Zweifel den Datenverkehr über DNS oder das Border Gateway Protokoll (BGP) umleitet und nur die legitimen Anfragen durchlässt. Solche Anbieter hat das BSI (Bundesamt für Sicherheit in der Informationstechnik) nun unter einem bestimmten Kriterienkatalog [PDF] untersucht und eine Liste mit empfohlenen Anbietern online gestellt [PDF], dazu gehören Akamai Technologies GmbH, Arbor Networks UK LTD, Deutsche Telekom AG, Link 11, Myra Security GmbH, Vodafone GmbH.

Das BSI überprüft die DDoS-Mitigation-Anbieter dafür unter anderem auf ihre permanente Erreichbarkeit, redundante Anbindung, ihre ISO-27001-Zertifizierungen für Rechenzentren, deren räumliche Verteilung und die Berücksichtigung des Bundesdatenschutzgesetzes. Dies findet nur Beachtung, wenn die Rechenzentren in Deutschland stehen. Auch geprüft hat es, ob die Unternehmen Filter für verschiedene Dienste (E-Mail, VPN, DNS usw.) bereitstellen. Nur die Telekom erfüllt laut BSI sämtliche Kriterien, allerdings müssen die DDoS-Mitigation-Anwender womöglich auch nicht alle Kriterien berücksichtigen.

APT-Response-Dienstleister

Auch eine Liste mit APT-Response-Dienstleistern kündigt das Bundesamt im Zuge der Veröffentlichung an. Hier steht bereits sei Februar 2017 ein Katalog mit Kriterien [PDF] bereit, unter denen das BSI die Anbieter prüfen möchte. Außerdem gibt es ein noch etwas älteres PDF von 2016, das “Erste Hilfe bei einem APT-Angriff” [PDF] verspricht.

APT steht für Advanced Persistent Threat und bezeichnet starke Angreifer (oft staatlich gestützte Akteure), die meist gezielt, über einen längeren Zeitraum und mit verschiedenen Angriffstechniken ihre Ziele attackieren. Dienstleister, die gegen solche Angriffe schützen wollen, müssen laut Kriterienkatalog unter anderem in der Lage sein, die Einfallstore des Angreifers zu analysieren, eine umfassende Malware-Analyse sowie Host- und Netzwerkforensik zu erledigen, den Angreifer auszusperren und das Netzwerk etwa um Hintertüren zu bereinigen.

Zu den Kriterien, die das BSI überprüfen möchte, gehört die personelle Ausstattung der Teams inklusive passender persönlicher Eigenschaften. Krisenmanager, Malware-Analysten, IT-Security-Spezialisten, Host- und Netzwerk-Forensiker müssen jeweils für sich entsprechende Kompetenzen in ihren Bereichen vorweisen. Weitere Details liefert der oben erwähnte Kriterienkatalog.