Informed Clearly stoppt DDoS, Service wieder da

Was geschah

Am 27. Juli 2026 erlitt Informed Clearly einen Distributed-Denial-of-Service (DDoS)-Angriff, der einen anhaltenden Strom automatisierter Anfragen an die Website sendete. Der Vorfall beeinträchtigte die Verfügbarkeit unserer Test-, Vorproduktions- und Produktionsdienste und verursachte vorübergehend HTTP-500-Antworten.

Was wir beobachteten

Am höchsten gemessenen Punkt vor der Wiederherstellung verarbeitete der Reverse Proxy 2.328 Anfragen in einer Minute. In einem repräsentativen Zeitraum von 60 Minuten generierten zwei in der Cloud gehostete /24-Netzwerke 47.762 der 63.728 Anfragen – etwa 75 % des gesamten Datenverkehrs. Davon waren 44.361 abgelehnte POST-Anfragen an den CSP-Meldeendpunkt.

Nachdem die beiden dominanten Netzwerke blockiert wurden, verlagerte sich der Verkehr auf ein verteilteres Crawl-Muster. Eine Stichprobe von fünf Minuten enthielt 1.000 Anfragen von 867 eindeutigen IP-Adressen, darunter 883 seitenähnliche GET-Anfragen. Dies bestätigte, dass der Vorfall rotierende Quellen betraf statt einer einzelnen Adresse.

Auswirkungen und Reaktion

Während des Vorfalls führten ein zu großer Redis-Cache und erschöpfter Host-Arbeitsspeicher dazu, dass Redis in eine Neustartschleife geriet, was die sichtbaren Serverfehler verursachte. Wir blockierten die beiden dominanten Netzwerkbereiche am Router vor dem Connection Tracking und dem Reverse Proxy. Bei der letzten Überprüfung hatte der Router 57.706 Pakete aus diesen Bereichen verworfen.

Wir behielten den vorherigen Redis-Datensatz als Rollback-Kopie, löschten den Live-Cache und starteten Redis mit einem leeren Datensatz neu. Der verfügbare Host-Arbeitsspeicher erholte sich von etwa 1,5 GB auf über 9 GB, und Test-, Vorproduktions-, Produktions-, die veröffentlichte Vorfallseite und deren Bilder gaben nach der Wiederherstellung alle HTTP 200 zurück.

Aktueller Status

Der durch den konzentrierten Angriff verursachte Ausfall wurde abgewendet und die Verfügbarkeit wiederhergestellt. Missbräuchlicher automatisierter Datenverkehr ist weiterhin aktiv und volatil. In der letzten Stichprobe nach der Wiederherstellung trafen 1.000 Anfragen in 55 Sekunden von 268 eindeutigen IP-Adressen ein; 794 waren CSP-Melde-POST-Anfragen. Dieselbe Stichprobe enthielt keine HTTP-500-, 502- oder 503-Antworten.

Aktive Filterung und Überwachung bleiben bestehen. Wir arbeiten auch weiterhin an früheren Ratenbegrenzungen am Rand, strengeren Cache-Speicherrichtlinien und verbesserter Dienstüberwachung. Diese Änderungen zielen darauf ab, die Auswirkungen zukünftiger Verkehrsspitzen zu verringern und zu verhindern, dass ein Anwendungs-Cache den gesamten verfügbaren Host-Arbeitsspeicher verbraucht.

Transparenz

Die Zahlen in diesem Update stammen aus dem Produktions-Reverse-Proxy-Zugriffsprotokoll, MikroTik-Firewall-Zählern, Docker-Container-Status und öffentlichen Endpunktprüfungen. Das Update kann überarbeitet werden, wenn die laufende Untersuchung wesentliche neue Informationen zutage fördert.