Netzwerkschichtangriffe haben nicht eine Form — sie wechseln Vektoren, skalieren Volumen, laufen stundenlang.
Klassische DDoS-Mitigation fällt in eines von zwei Problemen. Erstens: Cloud-Scrubbing-Dienste leiten Traffic an ein anderes Netzwerk weiter. Das fügt Latenz hinzu und öffnet Ihre Daten einem Dritten während der Angriffsanalyse. Kostenberechnungen belasten oft auch den Angriffs-Traffic.
Zweitens: Dedizierte On-Premises-DDoS-Appliances benötigen DDoS-Experten-Tuning für die richtige Reaktion. Schwellenwerte werden manuell gesetzt; wenn sich die Topologie ändert, werden Schwellenwerte veraltet; das Betriebsteam muss sie kontinuierlich aktualisieren.
Auf der Angreiferseite wechseln Vektoren ständig. SYN-Flood beginnt, entwickelt sich innerhalb von Minuten zu UDP-Flood, dann kommt DNS-Amplifikation. Orchestrierte Kampagnen mit IoT-Botnets kombinieren verschiedene Vektoren über Stunden. Single-Vektor-Verteidigungen altern mit jeder neuen Kampagne.
Das TR7 L4 DDoS-Add-on bekämpft alle drei zusammen: Filterung auf Paketebene behandelt alle gängigen Vektoren in einer Engine, adaptive Basislinie befreit den Operator vom manuellen Tuning, und die Mitigation bleibt auf Ihrer eigenen Hardware.
Unser Ansatz
Das L4 DDoS-Add-on läuft auf vier Prinzipien: Leistung auf Paketebene, Multi-Vektor-Abdeckung, adaptives Basislinie-Lernen und Route-Table-Granularität.
Filterung auf Paketebene
Erkennung und Filterung erfolgen auf Paketebene — vor der Anwendungsschicht. Hochvolumige Floods werden verworfen, bevor sie Anwendungs-Threads erreichen; der Ressourcenverbrauch bleibt minimal.
Multi-Vektor-Single-Engine
SYN/UDP/ICMP/ACK-Flood, Fragment-Angriffe, DNS/NTP/SSDP/Memcached-Amplifikation — alle in derselben Filterungs-Engine erkannt. Vektor-Wechsel mitten in einer Kampagne unterbrechen die Mitigation nicht.
Adaptive Basislinie + Operator-Bestätigung
Das System beobachtet das normale Profil Ihres Traffics, erstellt periodisch eine Basislinie und fragt den Operator „Soll ich Traffic oberhalb dieses Niveaus als Angriff behandeln?“. Der Operator genehmigt; die Basislinie aktiviert sich und stimmt sich im Laufe der Zeit selbst ab.
Route-Table-Granularität
Der Mitigiationsscope skaliert pro Route-Table. Derselbe ADC kann verschiedene L4-Schutzprofile für verschiedene Segmente hosten; kleine Deployments verwenden eine Route-Table, Multi-Kunden- oder Multi-Segment-Unternehmen verwenden 25+.
Abgedeckte Angriffsvektoren
Das TR7 L4 DDoS-Add-on behandelt die häufigsten Netzwerkschicht-Vektoren moderner Angriffskampagnen in einer einzigen Engine.
SYN-Flood — gefiltert bevor TCP-Handshake-Tabelle füllt
Ein Angreifer verwendet Hunderttausende halb-offener TCP-Verbindungen, um den Verbindungspool des Servers zu sättigen. Klassische Systeme müssen legitime Anfragen ablehnen, sobald der Pool voll ist. TR7 L4 DDoS wertet SYN-Pakete gegen die Basislinie aus; wenn anomale Quell-Diversität oder SYN/ACK-Verhältnis erkannt wird, greifen SYN-Cookies und aggressives TIME_WAIT-Handling. Legitime Verbindungen werden nicht beeinflusst.
Zwei Schwellen je Schutz — ein SYN-Flood trifft auf eine Rampe, nicht auf eine Wand
Jeder L4-Schutz führt ein weiches Limit und eine harte Obergrenze. Das Überschreiten des weichen Limits schaltet die abgestufte Antwort ein — SYN-Cookies, aggressives TIME_WAIT-Handling, Verbindungsratenlimit — und erst die harte Obergrenze verwirft Pakete. Da der Monitor-Modus beide getrennt gegen Ihre eigene Baseline meldet, stammen die Zahlen daraus, was dieses Netz in der Spitze tatsächlich tut, und nicht aus einem geratenen Standardwert. Mit nur einer Schwelle bleibt jedes Mal dieselbe Wahl: den Flood hereinlassen oder die eigenen Kunden mit ihm fallen lassen.
UDP-Flood — Quell-Ziel-Validierung und Rate-Limit
Die verbindungslose Natur von UDP gibt dem Angreifer einfachen Flood-Zugang. TR7 erkennt UDP-Floods durch Quelladress-Validierung, Paketgrößenverteilung und portbasierte Dichteprofile. Unerwarteter hochvolumiger Traffic aus ungewöhnlichen Quellen wird gegen die Basislinie ausgewertet; sobald der Angriff erkannt wird, wird protokollspezifisches Throttling angewendet.
ICMP-Flood — protokollspezifisches Throttling
Ping-Floods und ICMP-Echo-Amplifikation sind klassische volumetrische Vektoren. TR7 vergleicht ICMP-Traffic mit der Basislinie; protokollkonformer, aber anomal volumetrischer Traffic wird per Quell-Rate-Limit verworfen. Netzwerktechnik-Testtraffic wird nicht beeinflusst.
ACK-Flood und TCP-State-Exhaustion-Angriffe
Der Angreifer sendet zufällige ACK-Pakete; der Server wird zu State-Lookup gezwungen und die CPU wird verbraucht. TR7 erkennt ACK-Floods durch State-Table-Abfragedichteprofile; Angriffspakete werden auf Paketebene abgelehnt.
Fragment-Angriffe — gefiltert vor Reassembly
Fragmentierte Pakete erschöpfen den Reassembly-Pool auf dem Zielserver. TR7 inspiziert Fragment-Traffic vor der Reassembly; fehlende oder überlappende Fragment-Muster werden bei Erkennung verworfen.
DNS-Amplifikation — Reflektor-Erkennung und Quell-Validierung
Der Angreifer verwendet fehlkonfigurierte DNS-Resolver, um kleine Anfragen in große Antworten umzuwandeln. TR7 vergleicht DNS-Antwort-Traffic mit der Anfrageverlaufsdaten; nicht übereinstimmende Anfrage-/Antwort-Paare werden als Reflektor-Angriffe erkannt und verworfen.
NTP-, SSDP-, Memcached-, SNMP-Amplifikation
Über DNS hinaus klassische Amplifikationsvektoren: NTP-Monlist, SSDP-Discovery, Memcached-UDP, SNMP-Getbulk. Jeder hat ein protokollspezifisches Traffic-Profil; unerwartete hochverstärkte Antworten werden gefiltert, bevor sie die Quelle erreichen.
Multi-Vektor-Kampagnenmanagement
Moderne Angriffskampagnen wechseln Vektoren mitten in der Kampagne. TR7 beobachtet kontinuierlich den aktiven Vektor-Mix; die Mitigations-Richtlinie passt sich automatisch an. Kein Operator-Eingriff erforderlich.
Adaptive Basislinie — manuelle Schwellenwert-Debatte endet
Das Traffic-Profil wird über stündliche, tägliche und wöchentliche Zyklen erlernt. Der Operator prüft die Basislinie zuerst, genehmigt sie; danach stimmt sich die Basislinie selbst ab. Wenn Traffic wächst, erweitern sich Schwellenwerte; wenn er sinkt, engeren sie sich.
Pro-Route-Table-Scope
Mitigation ist pro Route-Table definiert. Derselbe ADC schützt verschiedene Kundensegmente, verschiedene Anwendungsgruppen oder verschiedene Netzwerktopologien mit separaten L4-Schutzprofilen. Kapazitätsstufen — 1, 2, 5, 10, 25 Route-Tables; Enterprise erhält Unlimited.
Operative Tiefe
Das L4 DDoS-Add-on ist nicht nur ein technischer Filter — Basislinie-Lernen, Operator-Fluss, granulare Skalierung und Audit-Protokolle bilden zusammen ein vollständiges Betriebsmodell.
Basislinie-Lernzyklus
Das Traffic-Profil wird über stündliche, tägliche und wöchentliche Skalen beobachtet. Das System präsentiert dem Operator „Soll ich Traffic oberhalb dieses Niveaus als Angriff behandeln?“; der Operator prüft, genehmigt oder modifiziert. Nach der Aktivierung, wenn sich das Traffic-Profil entwickelt, präsentiert das System einen neuen Basislinie-Vorschlag.
Operator-Genehmigungsfluss
Neue Basislinien oder Richtlinienänderungen durchlaufen die Operator-Genehmigung vor der Aktivierung. Die Genehmigungskette ist konfigurierbar; Änderungen mit großer Auswirkung können eine doppelte Genehmigung erfordern.
Route-Table-Mitigations-Scope
Mitigations-Regeln werden auf Route-Table-Ebene definiert. Wenn derselbe ADC mehrere Segmente bedient, erhält jedes seine eigene unabhängige Basislinie und sein eigenes Mitigation-Profil.
Mitigations-Aktions-Set
Nach erkanntem Angriffsvektor wird die Aktion automatisch gewählt: Drop, Rate-Limit, Quell-Blacklist, protokollspezifisches Throttling. Operatoren können über Richtlinien anpassen.
Blockierter DDoS-Traffic zählt nicht zur Bandbreite
Volumetrischer Angriffs-Traffic erscheint nicht auf Ihrer Rechnung. Klassische Anbieter belasten blockierten Angriffs-Traffic mit der Bandbreite; TR7 schließt ihn von Anfang an aus.
SIEM und Audit-Trail
Jeder erkannte Angriffsvektor, angewendete Mitigations-Aktion, Quellgeografie und Dauer wird in den Audit-Trail geschrieben und an SIEM gestreamt. Vollständige Beweiskette für forensische Untersuchung und Compliance-Reporting.
Die 31 Schutzfunktionen, namentlich
Fast jede Schutzfunktion lässt sich unabhängig auf aus, beobachten, blockieren oder Quarantäne setzen; die wenigen, die Richtlinienschalter statt Schwellwerte sind, sind schlicht ein oder aus. Der Satz: SYN flood (new-TCP rate, out-of-state first packet, suspicious MSS) · teardrop fragment attacks · total connections per source · new TCP connections per source · UDP flood · NTP flood per source · DNS flood per source · zero-byte UDP · UDP broadcast (fraggle) · ICMP packet limit (smurf) · allow/deny ICMP · ping of death · TCP reset limit · invalid packets · bogus TCP flags · null scan · Christmas-tree scan · port scan · TCP ACK size-40 · WAREZ .0/.255 suffix · SMB nuke · Pepsi UDP 7/19 · Camfrog · zombie TCP · IP-reputation blacklist blocking · Land attack · and per-source connection limits on SSH, HTTP and HTTPS access to the appliance itself.
Wann es relevant ist
Volumetrische SYN-Flood — gegen Tag-Nacht-Zyklus
Die Infrastruktur einer Bank hat tagsüber hohen Traffic, nachts niedrigen. Ein Angreifer startet nachts eine SYN-Flood; ein statischer Schwellenwert für tagsüber ist für die Nacht zu groß, einer für die Nacht blockiert legitimen Traffic. TR7s adaptive Basislinie kennt das Nachtprofil; der Angriff wird in dem Moment erkannt, in dem er die normale Nacht-Linie überschreitet.
DNS-Amplifikation — grenzüberschreitendes Botnet
Ein Angreifer nutzt weltweit 10.000+ offene DNS-Resolver, um den WAN-Link der Organisation zu sättigen. Der Traffic sieht wie "normale" DNS-Antworten aus. TR7s Reflektor-Erkennung erkennt Traffic, der keiner vorherigen Anfrage entspricht; der Angriff wird am Netzwerkrand der Organisation gestoppt, nicht stromaufwärts.
Multi-Vektor-IoT-Botnet-Kampagne
Ein Angreifer betreibt eine mehrstündige Kampagne mit einem IoT-Botnet: beginnt mit SYN-Flood, wechselt zu UDP-Flood, dann kommt DNS-Amplifikation hinzu. Klassische Single-Vektor-Verteidigung benötigt bei jedem Wechsel Neuabstimmung. TR7 beobachtet den Vektor-Mix kontinuierlich; die Mitigations-Richtlinie passt sich automatisch an.
MSP-Multi-Kunden-Segmentierung
Ein MSP möchte L4-Schutz für 25 verschiedene Kunden auf demselben ADC. Das Traffic-Profil jedes Kunden ist unterschiedlich; die Basislinie eines Kunden könnte dem Angriff eines anderen ähneln. TR7 führt unabhängige Basislinie und Mitigations-Profile pro Kunde auf Route-Table-Ebene aus.
Häufig gestellt
Wie lange dauert das Basislinie-Lernen?
Ist L4-DDoS-Schutz ohne das Add-on verfügbar?
Wie unterscheidet es sich von einem Cloud-Scrubbing-Dienst?
Muss unser Operator ein DDoS-Experte sein?
Wie wird blockierter DDoS-Traffic gemeldet?
Adaptive L4-Verteidigung erleben
Lassen Sie uns den Basislinie-Lern-Fluss, Operator-Bestätigung und Multi-Vektor-Mitigation live in Ihrer Umgebung anschauen — eine Deployment-Session auf einer Pilot-Route-Table.