Microsoft wehrt bisher größte DDoS-Attacke mit 2,4 Terabit/s ab

@Spacerat: Auch dann hast du eine vorgeschaltete Instanz, die die eingehenden Pakete sortieren muss. Klar, wenn du allen Traffic durch Cloudflare pumpst, dann braucht nicht dein Rechenzentrum die Bandbreite, sondern Cloudflare.

Aber was meinst du "das nächstgelegene Rechenzentrum des Anfragenden" ? Wenn der Botnet-Client an time.window.com reflectet willst du die Daten in das nächste Microsoft-Rechenzentrum pumpen?

@DRMfan^^: es wird an diesen Knotenpunkt/DC wo es ins Microsoft DC eintrudelt, "vernichtet". Also jeder Knotenpunkt von Microsofts DC wird solch eine Detection und "Vernichtungsinstanz" haben (kürzester möglicher Weg). Logisch, da sie ja sonst den evil-traffic erst um den globus zum "nächsten Vernichter" senden müssten und somit die ganze Infrastruktur belasten.

@KinCH: Das war auf den Kommentar von Spacerat bezogen.

@DRMfan^^: genau, ich habs versucht zu beantworten:)

@KinCH: Ich sehe nicht, wo du "werden an das nächstgelegene Rechenzentrum des *Anfragenden* geleitet" erklärt hättest?!

@DRMfan^^: des nächst gelegenen Knoten von MS zwischen Anfragenden und Microsoft DC. So war die Aussage von spacerat gemeint. Eben der kürzeste Weg. Er meinte damit, dass der Traffic vom Anfragenden beim ersten kontakt mit der MS Infrastruktur/DC "gelöscht wird" und nicht kontinetal geroutet wird. Ggf wird noch verteilt um die Last stämmen zu können, aber pauschal wird der kürzeste Weg zur "Löschung" verwendet, dies wurde gemeint.

@KinCH: Das lese ich beim besten Willen und auch in der jetzigen Kenntnis, was es bedeuten soll, nicht aus dem Text heraus.

@DRMfan^^: Nein, Du hast ein falsches technisches Verständnis. Es gibt nicht das MS-Rechenzentrum oder eine einzelne Instanz. Wir reden hier von geographisch verteilten Netzen. Wenn in Russland ein DOS-Angriff erkannt wird, dann wird der bestenfalls bereits dort geblockt. Wenn es ein Teil eines DDOS-Angriffs ist, dann werden auch Angriffe aus Deutschland bereits dort geblockt, aus Thailand bereits dort geblockt, ... Das Netzwerk von Microsoft wird nicht über einen zentralen Punkt versorgt, sondern ist sehr verteilt. 2,4 Terabyte pro Sekunde würde einen einzelnen Netzübergangspunkt in die Knie zwingen. Microsoft nutzt auch Akamai als Dienstleister und ist darüber sehr breit aufgestellt. Siehe zum Beispiel: https://www.akamai.com/de/solutions/security/ddos-protection

@Nunk-Junge: Natürlich kommt das nicht alles über einen Kanal. Am Ende wird aber ein System angegriffen, dass in einem Rechenzentrum steht, das wiederum Inbounds hat. Natürlich leitet DC Frankfurt nicht erst an DC USA weiter, bevor es den über Frankfurt auf US-Server laufenden Angriffs(teil) verwirft, sondern am Inbound in Frankfurt. Das Prinzip bleibt dasselbe.

@xxMSIxx: Ne. Aber wenn du die Bandbreite hast, kannst du eben stumpf IP blacklisten und gut. Das dann als "Abwehrerfolg" zu bezeichnen finde ich schon sehr hochtrabend.

@DRMfan^^: um das hier einmal zu beenden, du hälst dich jetzt aber auch ein einem deutschen Wort fest, welches von Winfuture so gewählt wurde. Microsoft hat nie behauptet, dass sie etwas abgewehrt hätten. Sie sprechen von abmildern, Schutz und Kontinuität gewährleisten.
Hier der Blogpost:
https://azure.microsoft.com/en-us/blog/business-as-usual-for-azure-customers-despite-24-tbps-ddos-attack/

@bigrandalo: Guter Hinweis - denoch: Wir diskutieren doch in den Kommentaren eines WinFuture-Artikels hier über den Winfuture-Artikel und nicht über die Primärquelle, oder?

@DRMfan^^: DDOS-Angriffe können von Hunderttausenden IPs kommen. Deine Vorstellung ist nicht geeignet und denkt in Home-Dimensionen. Große Konzerne und ihre Netze funktionieren komplett anders.

@Nunk-Junge: Stimmt, die magischen Quanten-Magic-Systeme von Magicsoft können natürlich auf überlastetem Layer 2 stabile Layer 4 Dienste bereitstellen, ganz klar. Natürlich sind die IP-Filter entsprechend lang bzw. Ranges statt einzelner Adressen, am Ende bleibt es aber dieselbe Technik. Die Bandbreiten sind natürlich höher und die Rechenpower der Router auch - halt eine andere Größenordnung, aber eigentlich dasselbe.

@DRMfan^^: Nein. Du setzt zu spät an, viel zu spät. Deine Vorstellung ist mit Strohballen eine Atombombe eindämmen zu wollen. Das geht nicht!!! Die Netzte müssen solch große Angriffe lange vorher abfangen. Es gibt keinen Micrososft-Server und keinen Microsoft-Router! Es gibt ganz viele davon, weltweit verteilt. Wenn Du www.microsoft.com aufrufst, dann landest Du nicht in Redmond, sondern nur ganz in Deiner Nähe. Wie geschrieben nutzt Microsoft den Anbieter Akamai. "Akamai stellt ein breit gefächertes und flächendeckendes Content Delivery Network (CDN) mit etwa 325.000 Servern in über 135 Ländern und fast 1.435 Netzwerken weltweit bereit." Und Microsoft selber hat mehrere Millionen Server in weltweit verteilten Rechenzentren.

@Nunk-Junge: Natürlich werden Millionen von Windows-PCS nicht von einem Server mit Updates versorgt. Auch ein Angriff auf ein CDN ist am Ende ein Angriff auf einzelne Systeme - ja, koordiniert zur selben Zeit, aber dennoch einzelne Systeme, die du hoffentlich überwachst und wenn ein Alarm kommt, dann filtert halt erstmal der vorgeschaltete Inbound. Dann kannst du deinen Dienstleister anklingeln und schaun, dass der das in seinem Netz schon filtert usw. - alles völlig offensichtlich. Warum das aber "etwas ganz anderes" sein soll, das sehe ich weiterhin nicht.

Natürlich kann man vorsorglich die Blacklist im ganzen CDN oder in allen DCs übernehmen und mit Partnern teilen, das ist sicher sinnvoll.