Typer DDoS-angrep forklart: L3, L4, L7, Amplifisering og mer

Av Ingrid Haugen

Spesialister i ytelsesmarkedsføring Gjennomgått av Senior Media Buyers

AI Hurtigsvar

Behandle betalte medier, annonsekontoer, infrastruktur og on-page SEO som ett operativsystem i stedet for fire separate leverandører. Unled Network opererer hele stabelen, leverer på 18 språk og svarer på Telegram eller WhatsApp innen 24 timer.

Publisert 1. juni 2023Oppdatert 5. april 2026

Å forstå de ulike typene DDoS-angrep er avgjørende for å bygge effektivt forsvar. Hver angrepstype utnytter forskjellige sårbarheter, retter seg mot ulike infrastrukturlag og krever forskjellige mottiltak. Et angrep som overvelder båndbredden din krever en helt annen respons enn et som tømmer nettjenerens tilkoblingspool.

Denne guiden bryter ned alle større DDoS-angrepskategorier, forklarer hvordan hver enkelt fungerer, og kartlegger de spesifikke forsvarsmekanismene som trengs for å stoppe dem.

Oversikt over DDoS-angrepskategorier

Volumetriske angrep (lag 3)

Volumetriske angrep har som mål å forbruke all tilgjengelig båndbredde mellom målet og internett. De genererer massive trafikkmengder målt i Gbps (gigabit per sekund) eller Tbps (terabit per sekund).

UDP-flom

Sender et massivt antall UDP-pakker til tilfeldige porter på målet. Serveren må sjekke etter lyttende applikasjoner på hver port og svare med ICMP «destinasjon utilgjengelig», noe som forbruker båndbredde og prosesseringsressurser. UDP er forbindelsesløst, noe som gjør det enkelt å forfalske kilde-IP-er og vanskelig å filtrere.

ICMP (Ping)-flom

Sender overveldende antall ICMP ekko-forespørsel (ping)-pakker. Målet må behandle hver forespørsel og sende ekko-svar, noe som forbruker både båndbredde og CPU. Også kjent som en «Ping of Death» når overstore pakker brukes.

IP-fragmenteringsflom

Sender fragmenterte IP-pakker som målet må sette sammen igjen. Reassembleringsprosessen forbruker minne og CPU. Overlappende fragmenter kan krasje sårbare systemer. Spesielt effektivt mot brannmurer som må sette sammen pakker for inspeksjon.

Amplifiseringsangrep

Amplifiseringsangrep utnytter tredjepartsservere til å multiplisere angrepstrafikk. Angriperen sender små forespørsler med en forfalsket kilde-IP (offerets IP) til sårbare servere. Disse serverne svarer med mye større svar rettet mot offeret.

Protokollangrep (lag 4)

Protokollangrep utnytter svakheter i nettverksprotokollimplementeringer for å tømme serverressurser, tilkoblingstabeller, brannmurer, lastbalanserere og sporing av sesjonstilstand.

SYN-flom

Det vanligste protokollangrepet. Utnytter TCP-treveishåndtrykket: angriperen sender millioner av SYN-pakker med forfalskede kilde-IP-er. Serveren svarer med SYN-ACK og venter på den endelige ACK-en som aldri kommer. Hver halvåpne tilkobling forbruker minne i serverens tilkoblingstabell til den er full, noe som blokkerer legitime tilkoblinger.

ACK-flom

Sender massive mengder TCP ACK-pakker. Selv om serveren raskt kan fastslå at disse ACK-pakkene ikke tilhører noen aktiv tilkobling, forbruker behandlingen fortsatt CPU. Spesielt effektivt mot stateful brannmurer som må spore hver pakke mot tilkoblingstabellene sine.

RST-flom

Sender forfalskede TCP RST (tilbakestill)-pakker for å avslutte aktive tilkoblinger mellom målet og dets legitime brukere. Hvis angriperen kan gjette aktive tilkoblingsparametere, kan de koble fra ekte brukere.

TCP-tilkoblingsflom

Fullfører hele TCP-håndtrykk, og etablerer tusenvis av tilkoblinger som aldri brukes. I motsetning til SYN-flommer er dette fullstendige tilkoblinger som overlever SYN-cookie-forsvar. Hver tilkobling forbruker serverminne og filbeskrivere til grensene er nådd.

Applikasjonslagsangrep (lag 7)

Applikasjonslagsangrep er de mest sofistikerte og vanskeligst å dempe fordi hver forespørsel ser legitim ut.

HTTP GET-flom

Sender massive antall HTTP GET-forespørsler til målnettstedet. Hver forespørsel er gyldig HTTP, noe som gjør det vanskelig å skille fra legitim trafikk. Angripere målretter ressurskrevende sider: søkesider, produktlister, dynamisk innhold som krever databasespørringer.

HTTP POST-flom

Ligner på GET-flommer, men bruker POST-forespørsler, typisk rettet mot innloggingsskjemaer, registreringsendepunkter, kontaktskjemaer eller API-er. POST-behandling er generelt mer ressurskrevende enn GET, noe som gjør dette mer effektivt per forespørsel.

Slowloris

Åpner mange tilkoblinger til målet og sender delvise HTTP-forespørsler veldig sakte, uten å fullføre dem. Hver tilkobling holder en servertråd åpen på ubestemt tid. Med nok sakte tilkoblinger tømmer serveren tilkoblingspoolen sin og kan ikke betjene nye forespørsler. Ødeleggende effektivt mot Apache-servere.

Slow POST (R.U.D.Y.)

«R U Dead Yet», sender HTTP POST-forespørsler med en legitim innholdslengde-header, men overfører kroppsdataene én byte om gangen, veldig sakte. Serveren holder tilkoblingen åpen mens den venter på hele kroppen, og forbruker en tråd/arbeider for hver sakte forespørsel.

HTTP/2 Rapid Reset

Et nyere angrep som utnytter HTTP/2s strømmultipleksing. Angriperen åpner og tilbakestiller umiddelbart strømmer i høy hastighet, og tvinger serveren til å behandle hver strømoppsett og -nedrivning. Oppdaget i oktober 2023, genererte det det daværende største DDoS-angrepet på 398 millioner forespørsler per sekund.

WordPress XML-RPC

Utnytter Wordpress sin pingback-funksjon for å forsterke L7-angrep. Angripere sender pingback-forespørsler fra tusenvis av WordPress-nettsteder til offeret, og skaper en distribuert L7-flom som ser ut til å komme fra legitime WordPress-installasjoner.

Multi-vektor-angrep

Moderne DDoS-angrep bruker sjelden en enkelt vektor. Sofistikerte angripere kombinerer flere angrepstyper samtidig:

• Volumetrisk + L7: DNS-amplifisering for å overvelde båndbredde mens HTTP oversvømmer nettjeneren
• SYN-flom + Slowloris: Tøm tilkoblingstabeller mens du holder åpne gjenværende tilkoblinger
• Teppebombing: Angripe hele IP-områder med varierende vektorer for å omgå per-IP-dempingsterskler
• Pulsangrep: Korte, intense støt som gjentatte ganger utløser og frigjør demping, noe som forårsaker ustabilitet

Løsepenge-DDoS (RDoS)

RDoS kombinerer DDoS-angrep med utpressing. Angripere sender et løsepengekrav (vanligvis ber om kryptovaluta) og truer med et vedvarende DDoS-angrep hvis betaling ikke skjer. Noen grupper demonstrerer kapasitet med et kort innledende angrep før de krever betaling.

Mottiltak etter angrepstype

Eksempler på virkelige angrep

Bygge omfattende beskyttelse

Ingen enkeltløsning håndterer alle DDoS-angrepstyper. Bygg et lagdelt forsvar:

1. Nettverkslag: DDoS-beskyttet hosting med anycast-nettverk og skrubbesentre for volumetriske/protokollangrep
2. CDN/Proxy-lag: Cloudflare, Akamai eller AWS Shield for å absorbere og filtrere trafikk globalt
3. Applikasjonslag: WAF-regler for å oppdage og blokkere L7-angrepsmønstre
4. Botdeteksjon: Bot-håndtering med fingeravtrykk for sofistikerte L7-angrep
5. Hastighetsbegrensning: