Website wird von Zugriffen geflutet. Was nun tun?

=Skippy=

Hallo!

Ich betreibe eine kleine private Website, die im Schnitt so zwischen 150 und 300 Besucher am Tag hat. Seit ein paar Tagen wird sie leider von "Besuchern" geflutet. Ich weiß nicht, ob man das als DoS-/DDoS-Attacke bezeichnen kann.
Es ist ein Besucherzähler eingebaut, der die bisherige Gesamtbesucherzahl anzeigt. Seit etwa fünf Tagen habe ich ihn aber deaktiviert und nur zum Testen aktiviere ich ihn zwischendurch mal für eine halbe Stunde. Und wenn ich danach den Zählerstand kontrolliere, dann sind in dieser Zeit jeweils wieder ca. 300 Besucher hinzugekommen, also etwa 100 pro 10 Minuten. Auf einen Tag hochgerechnet kommt so dann schon eine ganze Menge zusammen …

An den dazugehörigen IP-Adressen kann ich sehen, dass sie alle über Amazon/AWS kommen und über die Website anti-hacker-alliance.com kann ich erkennen, dass der Übeltäter in Ashburn/USA sitzt.
Gestern habe ich auf der htaccess-Seite sehr viele einzelne IP-Adressen sowie auch IP-Gruppen eingetragen, die nun gesperrt werden sollen.
Beispiele:
121.343.565.78
123.456.
123.456.0.0/25

Ich hatte die Hoffnung, dass die Flutung dadurch vielleicht deutlich zurückgehen würde, aber sie war danach genauso stark wie vorher. Deren Verursacher gehören wohl noch eine ganze Menge anderer IP-Adressen (Es heißt im Net, dass eine aktuelle Analyse ergab, dass Amazon rund 132 Millionen IPv4-Adressen besitzt).

Nach dieser langen Einleitung nun meine Frage:
Was kann ich tun, damit diese Massenzugriffe aufhören oder wenigstens nicht mehr mitgezählt werden?
Könnte ich in der htaccess anstelle von IP-Adressen auch Namen wie "Amazon" oder "AWS" eintragen? Falls dieses gehen sollte, wie muss solch ein Eintrag dann aussehen?

Grüße
Skippy

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress, WoltLab & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Imstell

Amazon sowie Google und MiSo sind leider die größten Ärgernisse, wenn es um Spam odg geht.

Zitat von =Skippy=

betreibe eine kleine private Website

Muss ich davon ausgehen, das Du diese Website über ein vorgefertigtes Script erstellt hast? Bsp: Wordpress, Jomla etc.?
Bei selbsterstellten Scripts, könntest Du Dir einen eigenen; erweiterbaren Filter mit Namen oder IP+Bereichen erstellen, welche schon vor den Counter unerwünschte Besuche ausklammert; ins leere schickt; auf ein anderes Script weiterleitet und die restlichen Schritte unterbindet

Das ist nicht nur für die Sicherheit erfreulich in dem so die Schwachstellen des jeweiligen CMS ausgehebelt werden können, sondern bietet Dir auch die Möglichkeit mit einem entsprechendem Hinweis die "Angreifer" "freundlich" zu blocken.

Noch ein Tip: Amazon; Google; und wie sie sich alle Nennen, haben einen riesigen IP-Pool. Da kommt es besser, wenn wie Webseiten beim Namen benannt werden. Lässt sich zwar auch jeder Zeit erweitern, wenn die dann noch selber als Registratur (bsp: Denic) fungieren, aber auch das Script kann so schnell angepasst werden.

=Skippy=

Nein, es ist keine mit einem CMS-System erstellte Website. Ich habe aber eine andere Vorlage verwendet. Vor Jahre gabe es ja viele Anbieter, die so etwas anboten.
Da bestand so eine Vorlagen-Website dann aus einer Homepage und ein paar weiteren Webseiten. Bei diesen weiteren Webseiten gab es dann z.B. eine die eine Fotogalerie enthielt, eine mit einem E-Mail-Formular, eine die eine Tabelle enthielt und eine mit normalem Text.

So eine habe ich mir dann geholt und alle Seiten ziemlich umgeändert sowie auch einige weitere Seiten hinzugefügt. Das ist nun schon viele Jahre her und bisher hatte ich noch nie so eine Zugriffsflut wie jetzt erlebt.

Zitat von Imstell

Noch ein Tip: Amazon; Google; und wie sie sich alle Nennen, haben einen riesigen IP-Pool. Da kommt es besser, wenn wie Webseiten beim Namen benannt werden. Lässt sich zwar auch jeder Zeit erweitern, wenn die dann noch selber als Registratur (bsp: Denic) fungieren, aber auch das Script kann so schnell angepasst werden.

Ähm, was meinst du damit genau?
Meine Website hat eine Domain wie etwa "Meine-supertolle-Website.de" und die einzelnen Seiten haben dann URLs wie https://www.meine-supertolle-website.de/aktuelles.php .
Im Quellcode steht für diese Seite dann als Titel <title>Aktuelle Neuigkeiten</title> und wenn man im Net googelt und die Seite bei den Funden angezeigt wird, hat sie dort dann auch den Titel/die Überschrift Aktuelle Neuigkeiten und darunter folgt noch eine Beschreibung mit ein oder zwei Sätzen.

Tunarus

Hallo zusammen,
ich betreibe seit einigen Jahren nebenberuflich mein Webdesign-Studio appareas webdesign und habe immer wieder ähnliche Erfahrungen mit den Websites meiner Kundschaft. Lasst uns hier mal zunächst die Fakten und einige wichtige Maßnahmen klären. Ich vereinfache dabei hier sehr stark, um möglichst viele Mitlesende mitzunehmen - los geht´s...

Zunächst handelt es sich hier mit ausgesprochen hoher Wahrscheinlichkeit nicht um eine DDOS-Attacke, also den Versuch, mit einer Fülle von Zugriffen bewusst deinen Webserver lahmzulegen. Hättest du eine solche Attacke, wäre deine Website schlicht down, also von außen - und auch von dir selbst in der Administration - nicht mehr zu erreichen, da der Webserver keinerlei Ressourcen mehr hat, um Anfragen zu bedienen, auch deine eigenen nicht.

Es ist also mit sehr hoher Wahrscheinlichkeit kein Angriff, sondern das, was wir im Webdesign als "Hype-Peak" bezeichnen. Du bist mit deinen Inhalten, mit Schlagworten oder auch nur durch ein wirksames SEO ("Search Engine Optimization" = Suchmaschinenoptimierung) mehr oder weniger zufällig in einen - in der Regel nur kurzzeitigen - Interessenssturm von Suchenden geraten. Die Prozesse, die dazu führen, dass Suchanfragen deine Domain (Internetadresse) präsentiert bekommen, sind heutzutage vollautomatisiert und werden in der Hauptsache über sogenannte "crawler" erledigt - das sind kleine "Suchbots", welche das Netz durchforsten und Inhalte verschlagworten. So weit so gut...

Was heißt das nun für dich als Webmaster? Nun, in erster Linie solltest du dich freuen und nicht ärgern. Du stellst deine Seiten doch ins Netz, um genau das zu erreichen - viele Menschen sehen, was du da machst - du bist sichtbar. Und Webdesign macht genau das - es macht Inhalte sichtbar. Mein Firmenname "appareas" ist folgerichtig die lateinische Bezeichnung für "werde sichtbar".
Und die Sichtbarkeit - also das Auffallen mit deinen Inhalten - ist offenbar zumindest zurzeit sehr gut gelungen. Das ist doch etwas positives.

Wichtig ist dabei, dass dein Providerpaket ausreichend leistungsfähig ist, um die Anfragen auch zu bedienen. Ich möchte dir hier keinesfalls zu nahe treten und versteh´ mich bitte richtig - einige hundert Aufrufe pro 10 Minuten sind für eine rein private Website wirklich gut aber sollten selbst billigen und schmalbandigen Webhosting-Paketen keinerlei Probleme bereiten. Die Standard-Pakete für private Websites liegen in Bereich zwischen 6 und 15 Euro monatlich und sind sicherlich allesamt in der Lage, eine solche überschaubare Menge an Anfragen zu beantworten, ohne auch nur ins Schwitzen zu kommen. Nur um das mal einzuordnen... heftige Anfragezahlen liegen, beispielsweise bei Webshops, im Bereich von mehreren 10.000 Anfragen pro Minute. Dafür braucht man dann schon ordentlich Performance, insbesondere, wenn komplexe Datenbankfunktionen verwendet werden.

Was solltest du nun also tun?
Wenn deine Website läuft, also alle Aufrufe - möglicherweise etwas langsamer als gewohnt, aber dennoch schnell genug - beantwortet werden schlicht gar nichts. Deine Analysen führen übrigens dabei nur zu noch mehr Serverlast.
Warte einfach mal zwei, drei Wochen ab. In der Regel ist der Spuk dann schon vorbei und die Zahlen sinken wieder. Was ja eigentlich nicht so schön ist, denn du willst doch sicher... sichtbar sein.

Lieben Gruß
Tunarus

=Skippy=

Danke für diese ausführlichen Erklärungen.
In meinem gebuchten Tarif (der eher noch zu den einfacheren gehört) habe ich sogar einen unlimitierten Datentransfer. Die Website ist nun etwa 12 Jahre online und so rasant waren die Besucherzahlen in der Vergangenheit bei Weitem noch nie gestiegen.

Ich lasse die Zugriffe zusätzlich auch noch von Matomo auswerten und dort wird für die vergangenen Tage jeweils nur ein winziger Bruchteil der Zugriffe gemeldet. Wobei ich aber auch glaube, dass Matomo manche Besuche gar nicht erfasst, weil ich in dem eingebauten Code eventuell einen Fehler drin habe.
Einige Besuche kommen vielleicht auch über einen VPN-Server und ich habe das Gefühl, dass Matomo diese bei mir gar nicht erkennt. Wenn das so ist, dann werden durch dieses wohl aber höchstens so 60 Besuche am Tag verloren gehen.

Ich habe den Counter vor vier Stunden wieder aktiviert und lasse nun einfach mal alles geschehen. Seitdem sind 1.582 neue Besuche erfasst worden …
Die angezeigte Zahl des Counters kann ich leicht selber verändern. Ruckzuck könnte ich ihn auf 3 Besucher stellen - oder auch auf 3 Millionen.

Ich warte nun mal ab, ob die Besucherflut in zwei oder drei Wochen (oder vorher schon) wieder aufhört und wenn ja, dann werde ich die Counter-Zahl vielleicht auf eine realistischere kleinere Zahl zurückändern.

Tunarus

...counter sind aus den 90er Jahren.

=Skippy=

Joo, ich weiß. Mir gefällt er aber und darum lasse ich diese vorsintflutliche Spielerei weiter anzeigen.

cx01

Zitat von =Skippy=

Wobei ich aber auch glaube, dass Matomo manche Besuche gar nicht erfasst, weil ich in dem eingebauten Code eventuell einen Fehler drin habe.

Matomo nutzt wahrscheinlich Javascript, um die Besucher zu zählen. Viele Bots führen das Javascript aber gar nicht aus. Vermutlich kommt daher die Abweichung.

=Skippy=

Stimmt, Matomo nutzt Javascript. Dann wird deine Vermutung wegen der Abweichung wohl richtig sein.

Website wird von Zugriffen geflutet. Was nun tun?

Jetzt mitmachen!

Tags