Blockieren von DoS- und DDoS-Angriffen mithilfe von Traffic-Filterregeln

Letzte Aktualisierung: 27. März 2025
  • Gilt für:
  • Experience Manager as a Cloud Service
  • Themen:

Erstellt für:

  • Fortgeschrittener
  • Admin
  • Entwickler

Erfahren Sie, wie Sie Denial of Service (DoS)- und Distributed Denial of Service (DDoS)-Angriffe mithilfe von Ratenbegrenzungs-Traffic-Filterregeln und anderen Strategien im von AEM as a Cloud Service (AEMCS) verwalteten CDN blockieren können. Diese Angriffe führen zu Traffic-Spitzen beim CDN und möglicherweise beim AEM-Publish-Service (auch bekannt als Ursprung) und können die Reaktionsfähigkeit und Verfügbarkeit der Website beeinträchtigen.

Dieses Tutorial dient als Anleitung zur Analyse Ihres Traffic-Musters und zur Konfiguration von Ratenbegrenzungs-Traffic-Filterregeln, um diese Angriffe zu entschärfen. In diesem Tutorial wird auch beschrieben, wie Sie Warnhinweise konfigurieren können, damit Sie benachrichtigt werden, wenn ein Verdacht auf einen Angriff besteht.

Grundlegendes zum Schutz

Im Folgenden werden die standardmäßigen DDoS-Schutzmaßnahmen für Ihre AEM-Website beschrieben:

  • Caching: Bei guten Caching-Richtlinien sind die Auswirkungen eines DDoS-Angriffs geringer, da das CDN die meisten Anfragen daran hindert, an den Ursprung zu gehen und die Leistung zu beeinträchtigen.
  • Automatische Skalierung: Die Author- und Publish-Services von AEM verwenden die automatische Skalierung, um Traffic-Spitzen zu bewältigen, können aber immer noch durch einen plötzlichen, massiven Anstieg des Traffics beeinträchtigt werden.
  • Blockieren: Das Adobe-CDN blockiert den Traffic zum Ursprung, wenn er eine von Adobe definierte Rate von einer bestimmten IP-Adresse pro CDN PoP (Point of Presence) überschreitet.
  • Warnhinweis: Das Aktionszentrum sendet eine Benachrichtigung zu einer Traffic-Spitze, wenn der Traffic eine bestimmte Rate überschreitet. Dieser Alarm wird ausgelöst, wenn der Traffic zu einem bestimmten CDN PoP eine von Adobe definierte Anfragerate pro IP-Adresse überschreitet. Weitere Informationen finden Sie unter Warnhinweise zu Traffic-Filterregeln.

Diese integrierten Schutzmechanismen sollten als Grundlage für die Fähigkeit eines Unternehmens betrachtet werden, die Auswirkungen eines DDoS-Angriffs auf die Leistung zu minimieren. Da jede Website unterschiedliche Leistungsmerkmale aufweist und es zu einer Leistungsverschlechterung kommen kann, bevor die von Adobe definierte Ratenbegrenzung erreicht wird, wird empfohlen, die Standardschutzmaßnahmen über die Kundenkonfiguration zu erweitern.

Sehen wir uns einige zusätzliche, empfohlene Maßnahmen an, die kundenseitig ergriffen werden können, um ihre Websites vor DDoS-Angriffen zu schützen:

  • Deklarieren von Ratenbegrenzungs-Traffic-Filterregeln, um Traffic zu blockieren, der eine bestimmte Rate von einer einzelnen IP-Adresse pro PoP überschreitet. Dieser Schwellenwert liegt in der Regel unter dem von Adobe festgelegten Ratenlimit.
  • Konfigurieren von Warnhinweisen für Ratenbegrenzungs-Traffic-Filterregeln durch eine „Warnhinweisaktion“, sodass bei Auslösung der Regel eine Benachrichtigung an das Aktionszentrum gesendet wird.
  • Erhöhen der Cache-Abdeckung, indem Sie Anfrageumwandlungen so deklarieren, dass sie Abfrageparameter ignorieren.

Varianten von Ratenbegrenzungs-Traffic-Regeln

Es gibt zwei Varianten von Traffic-Regeln für Ratenbegrenzungen:

  1. Edge: blockiert Anfragen basierend auf der Rate des gesamten Traffics (einschließlich der Anfragen, die aus dem CDN-Cache bereitgestellt werden können) für eine bestimmte IP-Adresse pro PoP.
  2. Herkunft: blockiert Anfragen basierend auf der Rate des für die Herkunft bestimmten Datenverkehrs für eine bestimmte IP pro PoP.

Customer Journey

Die folgenden Schritte veranschaulichen den wahrscheinlichen Prozess, den Kundinnen und Kunden durchlaufen, um ihre Websites zu schützen.

  1. Erkennen der Notwendigkeit einer Ratenbegrenzungs-Traffic-Filterregel. Dies kann das Ergebnis einer sofortigen Benachrichtigung durch Adobe über eine Traffic-Spitze sein oder eine proaktive Entscheidung, Vorsichtsmaßnahmen zu ergreifen, um das Risiko eines erfolgreichen DDoS-Angriffs zu verringern.
  2. Analysieren des Traffic-Musters mithilfe eines Dashboards, wenn Ihre Site bereits live ist, um die optimalen Schwellenwerte für Ihre Ratenbegrenzungs-Traffic-Filterregeln zu ermitteln. Wenn Ihre Site noch nicht live ist, wählen Sie Werte basierend auf Ihren Traffic-Erwartungen aus.
  3. Verwenden der Werte aus dem vorherigen Schritt, um die Ratenbegrenzungs-Traffic-Filterregeln zu konfigurieren. Stellen Sie sicher, dass Sie die entsprechenden Warnhinweise aktivieren, damit Sie benachrichtigt werden, wenn der Schwellenwert erreicht ist.
  4. Lassen Sie sich Warnhinweise zu Traffic-Filterregeln zusenden, sobald es zu Traffic-Spitzen kommt. So erhalten Sie wertvolle Einblicke darüber, ob Ihr Unternehmen potenziell von böswilligen Personen ins Visier genommen wird.
  5. Reagieren Sie auf den Warnhinweis, wenn nötig. Analysieren Sie den Datenverkehr, um festzustellen, ob es sich bei der Spitze um legitime Anfragen und nicht um einen Angriff handelt. Erhöhen Sie die Schwellenwerte, wenn der Verkehr legitim ist, oder senken Sie sie, wenn nicht.

Der Rest dieses Tutorials führt Sie durch diesen Prozess.

Wie Sie erkennen, wann es notwendig ist, Regeln zu konfigurieren

Wie bereits erwähnt, blockiert das Adobe standardmäßig den Traffic beim CDN, der eine bestimmte Rate überschreitet. Allerdings können einige Websites schon unterhalb dieses Schwellenwerts eine verschlechterte Leistung aufweisen. Daher sollten Ratenbegrenzungs-Traffic-Filterregeln konfiguriert werden.

Idealerweise sollten Sie die Regeln konfigurieren, bevor Sie in die Produktion gehen. In der Praxis deklarieren viele Unternehmen erst dann reaktive Regeln, wenn sie auf eine Traffic-Spitze aufmerksam gemacht werden, die auf einen wahrscheinlichen Angriff hindeutet.

Adobe sendet eine Traffic-Spitzen-Warnung als Aktionszentrums-Benachrichtigung, wenn ein Standardschwellenwert für den Traffic von einer einzelnen IP-Adresse für einen bestimmten PoP überschritten wird. Wenn Sie einen solchen Warnhinweis erhalten haben, wird empfohlen, eine Ratenbegrenzungs-Traffic-Filterregel zu konfigurieren. Dieser Standardwarnhinweis unterscheidet sich von den Warnhinweisen, die auf Kundenseite bei der Definition von Traffic-Filterregeln explizit aktiviert werden müssen. Dies wird in einem späteren Abschnitt erläutert.

Analysieren von Traffic-Mustern

Wenn Ihre Site bereits live ist, können Sie die Traffic-Muster anhand der CDN-Protokolle und der von Adobe bereitgestellten Dashboards analysieren.

  • CDN-Traffic-Dashboard: Bietet Einblicke in den Traffic anhand von CDN- und Ursprungsanfragen, die Fehlerraten von 4xx und 5xx sowie nicht zwischengespeicherte Anfragen. Außerdem erhalten Sie maximal viele CND- und Ursprungsanfragen pro Sekunde pro Client-IP-Adresse und weitere Informationen zur Optimierung der CDN-Konfigurationen.

  • CDN-Cache-Trefferverhältnis: Bietet Einblicke in die Gesamtanzahl der Cache-Treffer und die Gesamtanzahl der Anfragen nach HIT-, PASS- und MISS-Status. Enthält außerdem die Top-URLs für HIT, PASS und MISS.

Konfigurieren Sie die Dashboard-Tools mit einer der folgenden Optionen: