DDoS-Flut
Die DDoS-Flut ist der erste Vorfall in SysAdmin Crisis: Traffic von Nicht-Kunden-Adressen und ein rot werdender Bandbreitenbalken. Lerne ihre Signatur.
Zuletzt aktualisiert:
Eine Flut ist der erste Vorfall, den das Spiel beibringt, und der einzige, der schon in der ersten Nacht auftreten kann. Traffic kommt von Adressen, die keine Kunden sind, der Bandbreitenbalken füllt sich, und alles dahinter beginnt zu leiden.
Was sie tut
Der Angriff baut sich über etwa fünfzehn Sekunden echte Zeit auf, statt auf einmal zu kommen, sodass du ein Fenster zwischen der ersten merkwürdigen Zeile und dem ersten roten Balken hast. Auf dem Höhepunkt zielt er knapp unter die gesamte Bandbreitenkapazität des Serverparks – das heißt, Kapazität zählt, und ein größerer Serverpark fängt tatsächlich mehr auf.
Sobald die Nachfrage etwa das 1,35-Fache der Kapazität übersteigt, geraten die Maschinen dahinter in die Sättigung: Die CPU steigt auf 99 %, die Latenz wächst, und etwa alle fünfzehn Sekunden fällt ein weiteres Ziel auf DOWN.
Die Log-Signatur
Eine Flut kündigt sich nicht mit Namen an; du siehst das Symptom als Kernel- und monit-Zeilen auf den Edge-Maschinen. Die folgenden Zeilen sind Beispiele, und die Werte ändern sich jede Nacht:
03:11:42 web-02 kernel: TCP: request_sock_TCP: Possible SYN flooding on port 443. Sending cookies. Check SNMP counters.
03:11:45 web-02 monit[612]: 'web-02' cpu usage of 94% matches resource limit [cpu usage > 90.0%]
03:11:49 web-02 kernel: nf_conntrack: nf_conntrack: table full, dropping packet
Diese Zeilen verraten dir die Quelle nicht. netstat und das Web-Zugriffslog zeigen, wer Anfragen sendet; das Log mit grep, awk und sort | uniq -c zusammenzufassen, ist die eigentliche Arbeit bei diesem Vorfall. Jede Adresse im Spiel stammt aus den RFC-5737-Dokumentationsblöcken – 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 –, eine Adresse außerhalb dieser Blöcke ist also nie ein Angreifer.
Wenn du sie in Ruhe lässt
Zuerst sättigt sich die Bandbreite, dann die CPU, dann fallen die Maschinen eine nach der anderen aus. Ein ausgefallener Server bleibt unten: Er kommt nicht von selbst zurück. Und weil ein ungelöster Vorfall SLA-Schuld anhäuft, sobald seine Karenzzeit abgelaufen ist, kostet dich eine ignorierte Flut doppelt Verfügbarkeit – einmal durch die Maschinen, die sie lahmlegt, einmal durch die Uhr. Siehe Eskalation und SLA.
Abgrenzung
| Sieht ähnlich aus | Was unterscheidet |
|---|---|
| Runaway-Prozess | Der CPU-Druck einer Flut betrifft den ganzen Serverpark und kommt mit SYN-Warnungen vom Kernel; ein Runaway-Prozess ist ein einzelner benannter Prozess auf einer einzelnen Maschine. |
| Speicherleck | Ein Leck lässt den RAM steigen, nicht die Bandbreite, und zeigt keine Traffic-Signatur. |
| Überhitzung | Hitze kann nach einer Flut als Nebeneffekt auftreten. Laufen beide, ist die Temperatur ein Symptom, nicht die Ursache. |
Wann sie auftaucht
| Früheste Nacht | 1 – sie ist zugleich die zweite Lektion des Tutorials |
| Voraussetzung | mindestens eine web-Maschine im Serverpark |
| Gleichzeitig | eine Flut, nie zwei |
| Variante | ab Nacht 6 kann eine Flut verteilt auftreten: fünf Quellen, gestreut über die drei RFC-5737-Blöcke statt einer einzelnen Adresse |
Die verteilte Variante wird vom Seeded-PRNG entschieden, sodass derselbe Seed jedes Mal dieselbe Nacht erzeugt – siehe Determinismus und Seeds.