Kompanija Cloudflare, zahvaljujući svojim više od 200 podatkovnih centara koji štite više od 3 miliona korisnika, pružila je vrlo zanimljivu statistiku DDoS napada i njihovih trendova.
Prije nego što detaljnije predstavimo ove trendove, potrebno je ponoviti šta su DoS i DDoS napadi, kako nastaju i šta napadači njima žele postići. DoS (Denial of Service), odnosno uskraćivanje usluge, sastoji se od taktike napadača da ograniči ili onemogući funkcionisanje neke konkretne usluge, na primjer web stranice, API interfejsa ili mail servera. Napad se može odvijati na različitim slojevima OSI modela, a kao primjer možemo navesti ICMP ili SYN flood.
Standardni DoS napad odvija se s jednog računara i zato nije toliko razoran. Međutim, njegova izvedenica DDoS (Distributed Denial of Service) odvija se s velikog broja kontrolisanih računara ili uređaja, a njegove posljedice mogu biti katastrofalne. Napadači svoju mrežu kontrolisanih uređaja grade pomoću dodatnih napada i infekcija. Ne ograničavaju se samo na klasične računare, već njihovi robovi mogu postati i drugi uređaji, kao što su IP kamere, baby monitori i drugi IoT uređaji povezani na internet. Nažalost, vrlo često sa slabom ili potpuno nepostojećom zaštitom.
Postoje različiti načini mjerenja veličine L3 / 4 DDoS napada. Jedan od njih je obim prometa koji generiše, odnosno njegov „bitrate“ (mjeren u gigabitima u sekundi). Drugi je broj isporučenih paketa, odnosno „brzina paketa“ (mjerena u paketima u sekundi). Napadi s visokim brzinama prijenosa bitova pokušavaju zasićiti mrežne veze cilja na posljednjoj milji, dok napadi s visokim brzinama paketa nastoje nadvladati rutere ili druge hardverske uređaje na putu. Još jedna veličina koja nas zanima je trajanje napada. Zanimljivo je da je najduži zabilježeni napad trajao 509 sati, što je skoro 21 dan.
DDoS napadi u Q4 2020
- Broj napada: Prvi put u 2020. godini ukupan broj napada zabilježenih u 4. kvartalu smanjio se u poređenju s prethodnim kvartalom.
- Trajanje napada: 73 % posmatranih napada trajalo je manje od jednog sata, što je pad sa 88 % u 3. kvartalu.
- Vektori napada: SYN, ACK i RST flood i dalje su dominantni, a zanimljiv je porast NetBIOS napada za teško vjerovatnih 5 400 %.
- Globalna DDoS aktivnost: Najveći omjer napadačkih aktivnosti u poređenju s normalnim prometom zabilježili su podatkovni centri na Mauricijusu, u Rumuniji i Bruneju.
- Nove taktike napadača: Pojavljuju se pokušaji ucjene prijetnjom DDoS napada (Ransom DDoS), uz zahtjev za otkupninom u Bitcoinima.
Globalne DDoS aktivnosti
Za razumijevanje odakle napadi dolaze potrebno je pogledati statistike rubnih podatkovnih centara kompanije Cloudflare. Razlog je činjenica da u slučaju L3/L4 napada napadač može falsifikovati izvornu IP adresu kako bi sakrio počinioca napada.
U ovom izvještaju mjeri se omjer napadačkog prometa u poređenju s normalnim prometom na određenoj geografskoj lokaciji. Cloudflare može osigurati veliku tačnost ovih podataka zahvaljujući više od 200 podatkovnih centara u više od 100 zemalja širom svijeta.
U 4. kvartalu može se uočiti veoma zanimljiva činjenica – najveći omjer napadačke komunikacije zabilježili su podatkovni centri na Mauricijusu, u Rumuniji i Bruneju. Konkretno, radilo se o 4,4 % – 4,9 % ukupnog prometa u datoj državi. Za bolju ilustraciju, gotovo 5 od svakih 100 bajtova dio je napadačkog prometa. Ove činjenice ukazuju na povećanu aktivnost botneta u tim zemljama.
Možda se pitate zašto baš ove 3 države? Objašnjenje je možda iznenađujuće, pogledajmo detaljnije prva dva mjesta na rang-listi:
Mauricijus – U ovoj otočnoj državi u augustu 2020. godine, nakon nasukavanja tankera, došlo je do velike ekološke katastrofe pri kojoj je u okean iscurilo približno 4 000 tona nafte i uništen je jedinstveni ekosistem. Budući da je time direktno ugrožen turizam, koji je glavni izvor prihoda za većinu stanovništva, situacija je rezultirala protestima protiv vlade koji su pozivali na ostavku premijera. Situacija je i nakon nekoliko mjeseci i dalje vrlo nejasna, što predstavlja plodno tlo za hakerske aktivnosti.
Rumunija – u slučaju ove evropske države u pozadini mogu biti dva događaja koja su se odigrala krajem 2020. godine. Prvi su bili parlamentarni izbori, koji su završili 6. decembra. Osim toga, 9. decembra EU je objavila da će Rumunija biti domaćin novog evropskog istraživačkog centra u oblasti kibernetičke sigurnosti (European Cybersecurity Industrial, Technology and Research Competence Centre – ECCC). Drugo moguće objašnjenje je činjenica da je Rumunija zemlja s najjeftinijom superbrzom internet vezom, što omogućava izvođenje napada iz te zemlje s ogromnom količinom podataka.
Sažetak
DDoS napadi i dalje ostaju značajna prijetnja i opasnost za internetsku infrastrukturu. Njihov prividni pad između trećeg i četvrtog kvartala prošle godine vjerovatnije je bio uzrokovan značajnim porastom na početku pandemije Covid-19. Razumijevanje razvoja i razvojnih trendova takvih napada omogućit će nam da pravovremeno poduzmemo odbrambene mjere koje ih mogu djelimično ili potpuno eliminisati.
Autor članka: Redakcija ZEBR.ai
