DDoS-Kapazität verstehen: Gbit/s, Mpps und die entscheidenden Rückfragen

Bei der Auswahl von DDoS-Schutz begegnen Ihnen große Zahlen: Terabit pro Sekunde, Millionen Pakete oder Anfragen. Sie beschreiben unterschiedliche Belastungen. Für eine Investitionsentscheidung benötigen Sie außerdem den Bezug zu Ihrem Anschluss, Ihren Anwendungen und dem vereinbarten Schutzumfang.

Drei Kennzahlen, drei Fragen

• Gbit/s beschreibt die Datenmenge pro Sekunde. Damit lässt sich die Belastung einer Übertragungsstrecke einordnen.
• Mpps bedeutet Millionen Pakete pro Sekunde. Die Kennzahl zeigt, wie viele einzelne Pakete verarbeitet werden müssen.
• Anfragen pro Sekunde beschreibt Vorgänge einer Anwendung. Ein Anmeldeversuch und der Abruf einer kleinen statischen Datei können bei ähnlicher Datenmenge sehr unterschiedliche Arbeit auslösen.

DDoS kann Bandbreite, Paketverarbeitung oder Ressourcen der Anwendung beanspruchen. RFC 4732 beschreibt diese unterschiedlichen Engpässe. Deshalb beantwortet eine hohe Bandbreitenangabe nicht automatisch, wie ein Dienst mit vielen kleinen Paketen oder aufwendigen Anfragen zurechtkommt.

RFC 4732: unterschiedliche Ressourcen als Angriffsziel

Ein Rechenbeispiel macht den Unterschied sichtbar

Angenommen, eine Million IP-Pakete pro Sekunde sind jeweils 1.000 Byte groß. Das ergibt rechnerisch 8 Gbit/s: 1.000.000 × 1.000 × 8. Bei 100 Byte pro IP-Paket sind es mit derselben Paketrate 0,8 Gbit/s. Ethernet-Overhead und weitere Übertragungsanteile sind hier bewusst nicht eingerechnet. Das Beispiel beschreibt keine Messung von AS51202.

Für beide Fälle steht dieselbe Paketrate im Datenblatt, während sich die Datenrate um den Faktor zehn unterscheidet. Vergleichen Sie Werte daher nur mit derselben Definition der Paketgröße und des Messpunkts. RFC 2544 verwendet unterschiedliche Framegrößen zur Charakterisierung von Netzwerkgeräten; ein einzelner Testfall bildet ihre Leistung nicht vollständig ab.

RFC 2544, Abschnitt 9: Framegrößen bei Gerätemessungen

Netzweit verfügbar bedeutet nicht für einen Anschluss zugesagt

Eine aufsummierte Kapazität mehrerer Standorte, die Kapazität einer Filterplattform und die Bandbreite Ihres Anschlusses haben unterschiedliche Bezugsgrößen. Eine weltweite Summe lässt sich deshalb nicht als garantierte Schutzleistung für ein bestimmtes Präfix lesen. Ebenso ist der höchste dokumentierte Angriff eine Beobachtung unter bestimmten Bedingungen und keine Zusage für jedes künftige Ereignis.

Nehmen Sie für den Vergleich eine eigene Zeile pro Aussage auf: Kennzahl, räumlicher Bezug, Messmethode und vertragliche Bedeutung. Bleibt ein Feld leer, ist genau dort eine Rückfrage sinnvoll. So können technische und kaufmännische Verantwortliche dieselbe Zahl verwenden, ohne ihr unterschiedliche Bedeutungen zu geben.

Fünf Rückfragen für das Angebot

1. 1Auf welchen Dienst, welches Präfix und welchen Standort bezieht sich die Angabe?
2. 2Handelt es sich um installierte Gesamtkapazität, einen Messwert oder einen zugesagten Leistungsumfang?
3. 3Welche Paketgrößen, Protokolle, Zeitintervalle und gleichzeitigen Belastungen wurden berücksichtigt?
4. 4Wie wurden die weiterhin erfolgreichen Nutzeranfragen oder Sitzungen während der Belastung überprüft?
5. 5Welche Grenzen, Mitwirkungspflichten und Eskalationswege gelten für meinen konkreten Auftrag?

Nachweise am eigenen Schutzziel ausrichten

Für einen Gameserver kann entscheidend sein, ob neue Spieler beitreten und laufende Sitzungen bestehen bleiben. Für ein Kundenportal zählt der erfolgreiche Abschluss eines Anmeldevorgangs. Vereinbaren Sie solche Prüfkriterien vor der Bewertung von Ergebnissen. Ein Diagramm über verworfene Pakete liefert dazu nur einen Teil der Antwort.

RFC 6815: Grenzen von RFC-2544-Tests im Produktionsnetz

Für ein Gespräch mit AS51202 helfen eine kurze Beschreibung Ihrer Dienste, typische Lastspitzen und vorhandene Angriffsberichte. Daraus lässt sich der benötigte Schutzumfang besprechen und im Angebot festhalten.