NTP-Amplification
DDoS-Variante, die alte NTP-Server mit aktiviertem monlist-Befehl missbraucht. Der Angreifer schickt eine 234-Byte-Anfrage mit gefälschter Quelladresse = Opfer; der Server antwortet mit einer 48-KB-Liste der letzten 600 Clients. Verstärkungsfaktor 200x.
2014: ein 400-Gbit/s-Angriff auf Cloudflare via NTP — damals die größte DDoS-Attacke der Geschichte. Der Patch: NTP 4.2.7p26+ (2010) entfernte monlist. Betreiber, die nicht aktualisierten, blieben jahrelang Munition. Das Open-NTP-Projekt kartierte tausende verwundbare Server öffentlich. Modernes NTP-Deployment setzt auf pool.ntp.org (gut gepflegt) oder Serverversionen ohne monlist. NTPsec, der Sicherheits-Fork von NTP, entfernte den gesamten Mode-7-Stack. Symptom als Opfer: 100 % der Bandbreite verbraucht durch UDP-123-Antworten, um die niemand gebeten hat.