Das OSI-Modell
Das OSI-Modell (Open Systems Interconnection) ist ein konzeptionelles Modell für die Strukturierung des Netzwerkdatenverkehrs. Zu den sieben Schichten des OSI-Modells gehören:
- Bitübertragungsschicht: Verschiebt Daten über ein physikalisches Medium über Elektronen, Licht usw.
- Datenverknüpfungsschicht: Überträgt Daten zwischen Knoten, verwaltet das physische Medium und korrigiert Fehler. Ethernet ist ein Layer-2-Protokoll.
- Netzwerk Layer: Verwaltet die Netzwerkadressierung und das Routing zum Verschieben von Daten zwischen Netzwerken. IP ist ein Layer-3-Protokoll.
- Transportschicht: Verwendet Protokolle wie TCP und UDP, um Daten zwischen Systemen zu übertragen, und bietet möglicherweise eine Fehlerkorrektur.
- Verbindungsschicht: Verwaltet Verbindungen und Sitzungen zwischen zwei Computern.
- Darstellungsschicht: Führt Datenverschlüsselung, -komprimierung und -formatierung durch, um sicherzustellen, dass die Daten ordnungsgemäß zwischen Netzwerk und Anwendung übersetzt werden.
- Anwendung Layer: Ermöglicht der Endbenutzersoftware Anwendung das Senden und Empfangen von Daten über das Netzwerk.
Bedeutung von Layer 7
Schicht 7 ist die höchste Schicht des OSI-Modells und befasst sich mit Anwendungen, die direkt mit dem Benutzer interagieren.
Bei den unteren Anwendungsebenen des OSI-Modells geht es darum, sicherzustellen, dass die Daten dorthin gelangen, wo sie benötigt werden, und dass sie angemessen formatiert sind. Schicht 7 ist der Ort, an dem Anwendungen arbeiten, die mit dem Benutzer interagieren. Wenn ein Benutzer beispielsweise im Internet surft, verwendet er das HTTPS-Webprotokoll, um mit dem Remote-Webserver zu kommunizieren.
HTTPS ist ein Layer-7-Protokoll, dessen Datenverkehr in Protokollen der unteren Schicht gekapselt ist, wie z. B.:
Diese Protokolle sind dafür verantwortlich, dass Daten von einer bestimmten Anwendung auf dem Clientcomputer zu einer bestimmten Anwendung auf dem Server gelangen, während HTTPS die eigentlichen Daten überträgt, die dafür sorgen, dass die Webbrowsersitzung funktioniert.
Lastausgleich auf Layer 7
Ein Unternehmen kann sich dafür entscheiden, den Lastausgleich auf Layer 7 des OSI-Modells zu implementieren. Das bedeutet, dass legitimer Datenverkehr für eine einzelne Anwendung auf mehrere verschiedene Server verteilt wird, um sicherzustellen, dass sie nicht überlastet werden.
Daher verbessert der Lastenausgleich die Gesamtleistung der Anwendung. Aus der Sicht eines Benutzers sind alle Server hinter einem Layer-7-Load-Balancer nicht zu unterscheiden, da sie die gleiche öffentlich zugängliche IP-Adresse und Portnummer haben. Der Load Balancer kann den Datenverkehr jedoch basierend auf der Auslastung an Server weiterleiten.
Darüber hinaus kann der Load Balancer Cookies oder andere Informationen verwenden, die in Anfragen enthalten sind, um sicherzustellen, dass der Datenverkehr aus derselben Sitzung an denselben Server geleitet wird, wodurch das Caching und die Optimierung des Dienstes ermöglicht werden.
Der Lastausgleich kann auch auf Layer 4, der Transportschicht des OSI-Modells, erfolgen. In diesem Fall würden verschiedene Upstream-Server unterschiedliche TCP/UDP-Ports verwenden, sodass ein Load Balancer schnell Datenverkehr von derselben Sitzung an denselben Server senden kann, ohne den tatsächlichen Inhalt zu überprüfen. Dieser Ansatz bietet jedoch eine weniger detaillierte Kontrolle über die Sitzungen, die an die einzelnen Backend-Server gesendet werden.
Schutz vor DDoS-Angriffen
Layer 7 ist auch im Zusammenhang mit Distributed-Denial-of-Service-Angriffen (DDoS) relevant. Bei Angriffen auf die DDoS-Anwendungsschicht versucht ein vom Angreifer kontrolliertes Botnet, einen Zieldienst für Benutzer und Kunden unverfügbar zu machen. DDoS-Angriffe können auf mehreren verschiedenen Ebenen des OSI-Modells auftreten. Ein Ansatz besteht darin, zu versuchen, ein System mit der schieren Menge an Anfragen zu überfordern.
Diese Angriffe werden auf den Schichten 3 (Netzwerk) und 4 (Transport) des OSI-Modells durchgeführt. Ein SYN-Flood-Angriff erschöpft beispielsweise die Anzahl der TCP-Sitzungen, die ein Server gleichzeitig offen hält.
SYN-Flut
Eine SYN-Flood ist eine Art von DDoS-Angriff, bei dem ein Server mit Verbindungsanfragen überlastet wird, sodass der Server für legitime Kunden nicht mehr verfügbar ist.
- Normalerweise sendet ein Client eine SYN-Nachricht (Synchronisieren) an einen Server, um eine Verbindung zu einem Server anzufordern.
- Der Server bestätigt diese Anforderung, indem er eine SYN-ACK-Nachricht an den Client zurücksendet.
- Dann antwortet der Client normalerweise mit einem ACK (Acknowledgment), und die Verbindung wird hergestellt.
Im Falle von SYN-Flood-Angriffen sendet der DDoS-Angreifer jedoch eine Flut von SYN-Anfragen an den Server, antwortet aber absichtlich nicht mit einer abschließenden Bestätigung auf eine der vom Server gesendeten SYN-ACK-Nachrichten. Dies hat zur Folge, dass der Server auf eine große Anzahl von ACK-Antworten warten muss, die nie vom Client eintreffen.
Dieser Prozess überfordert die begrenzten Rechenressourcen der Server, da sie mit dem Versuch beschäftigt sind, eine große Menge an halboffenen Verbindungen zu verwalten. Aus diesem Grund werden SYN-Flood-Angriffe auch als "halboffene Angriffe" bezeichnet.
Layer-7-DDoS-Angriff
Layer-7-DDoS-Angriffe sind darauf ausgelegt, Schwachstellen und Engpässe insbesondere bei Anwendungen oder Diensten auszunutzen. HTTP-Flood-Angriffe versuchen beispielsweise, einem Webserver mehr HTTP-Anfragen zu senden, als er verarbeiten kann. Dies kann wesentlich geringer sein als die Anzahl gleichzeitiger TCP-Sitzungen, die er verarbeiten kann, was diesen Angriff zu einem effizienteren Angriff macht.
Unterschiedliche Arten von DDoS-Angriffen müssen auf verschiedenen OSI-Ebenen behandelt werden. Während viele Anwendungs-Firewalls Layer-3/4-Angriffe verarbeiten können, erfordert der Schutz vor Layer-7-Angriffen eine Layer-7-Firewall, die Daten auf Anwendungsebene überprüft und versteht.
Check Point Solutions und das OSI-Modell
Unternehmen können Cyberangriffen ausgesetzt sein, die auf mehreren verschiedenen Ebenen des OSI-Modells ablaufen. DDOS-Angriffe können beispielsweise auf den Schichten 3, 4 oder 7 durchgeführt werden. Jede dieser Arten von Angriffen funktioniert anders, und eine Netzwerk-Sicherheitslösung , die nur Schutz auf den Schichten 3 und 4 bietet, ist blind für Angriffe, die auf Schicht 7 auftreten.
Check Point Firewall der nächsten Generation (NGFWs) bieten Schutz auf mehreren Ebenen des OSI-Modells, einschließlich der Möglichkeit, Netzwerk-Paketnutzlasten zu untersuchen und zu verstehen, um Schutz auf Anwendungsebene zu bieten. Erfahren Sie mehr über den Layer-7-Schutz, den Check Point Quantum Force NGFWs bietet, indem Sie sich für eine kostenlose Demo anmelden.
Feedback