Was sind die Schichten der DDoS-Abwehr und was bewältigt jede davon?

Question

Accepted Answer

DDoS-Abwehr ist **Verteidigungsvorbereitung in der Tiefe**: Keine einzelne Kontrolle stoppt jeden Angriff, daher stapeln Sie Schichten, die jeweils eine andere Verkehrsklasse absorbieren, filtern oder blockieren. Die Reihenfolge ist wichtig — schieben Sie so viel Arbeit wie möglich an den Rand, weg von Ihrem Ursprung.

## Die Schichten, von außen nach innen

- **CDN / scrubbing centers** (Cloudflare, Akamai, AWS Shield) — die äußerste Schicht. Mit **anycast** wird die gleiche IP von vielen Präsenzpunkten angekündigt, sodass ein volumetrischer Anfluss **über globale Kapazität verteilt** wird, anstatt in ein Datenzentrum. Scrubbing-Center absorbieren die Flut und leiten nur sauberen Verkehr weiter.
- **WAF (Web Application Firewall)** — inspiziert HTTP-Anfragen und blockiert bösartige Muster: schlechte Signaturen, verdächtige User Agents, bekannte schlechte IPs und **Layer 7** Fluten, die echte Anfragen nachahmen.
- **Rate limiting** — begrenzt Anfragen pro IP, API-Schlüssel oder Benutzer über ein Zeitfenster, gibt `429 Too Many Requests` zurück. Stoppt missbräuchliche Clients, ohne normale zu schädigen.
- **Upstream / ISP blackhole (null-route)** — der letzte Ausweg für rohes Volumen. Der Anbieter verbietet den gesamten Verkehr zur Ziel-IP (**remotely-triggered blackhole, RTBH**), opfert diese eine IP, um alles andere zu schützen.
- **Autoscaling + overprovisioning** — zusätzliche Ursprungskapazität zum **Absorbieren** von dem, was durchfällt, kauft Zeit, während andere Schichten eingreifen.

## Wie sie zusammen funktionieren

Das mentale Modell ist **absorbieren -> filtern -> blockieren**:

```text
Internet flood
  -> CDN + anycast      : ABSORB volume across global PoPs
  -> scrubbing          : drop obvious junk (L3/L4 floods)
  -> WAF                : FILTER malicious HTTP (L7)
  -> rate limiting       : throttle abusive clients (429)
  -> origin (autoscaled) : serve the clean remainder
  -> ISP null-route      : last resort if origin IP is overwhelmed
```

Volumetrische Angriffe sterben auf der CDN/Scrubbing-Schicht; Angriffe auf Anwendungsebene, die wie echter Verkehr aussehen, werden durch WAF und Rate Limiter gefiltert.

## Warum es wichtig ist

Sich auf eine Schicht zu verlassen, schlägt vorhersehbar fehl: eine WAF kann eine 1-Tbps-Flut nicht stoppen (die Leitung sättigt sich zuerst), und ein CDN allein wird freudig eine clevere HTTP-Flut an Ihren Ursprung weitergeben. Mehrschichtigkeit bedeutet, dass jede Angriffsklasse auf eine für sie entworfene Kontrolle trifft, und der Ursprung sieht nur Verkehr, den die äußeren Schichten nicht allein bewältigen konnten.