Tvrtka Cloudflare, zahvaljujući svojim više od 200 podatkovnih centara koji štite više od 3 milijuna korisnika, pružila je vrlo zanimljivu statistiku DDoS napada i njihovih trendova.
Prije nego što detaljnije predstavimo te trendove, prikladno je podsjetiti se što su DoS i DDoS napadi, kako nastaju i što napadači njima žele postići. DoS (Denial of Service), odnosno uskraćivanje usluge, sastoji se od taktike napadača da ograniči ili onemogući rad određene usluge, primjerice web-stranice, API sučelja ili poslužitelja e-pošte. Napad se može odvijati na različitim slojevima OSI modela, a kao primjer možemo navesti ICMP ili SYN flood.
Standardni DoS napad provodi se s jednog uređaja i stoga nije toliko razoran. Međutim, njegova izvedenica DDoS (Distributed Denial of Service) provodi se s velikog broja kontroliranih uređaja ili opreme, a njegove posljedice mogu biti katastrofalne. Napadači svoju mrežu kontroliranih uređaja grade pomoću dodatnih napada i infekcija. Ne ograničavaju se samo na klasična računala, već njihovi robovi mogu postati i drugi uređaji, poput IP kamera, baby monitora i drugih IoT uređaja povezanih s internetom. Nažalost, vrlo često sa slabom ili nikakvom zaštitom.
Postoje različiti načini mjerenja veličine L3/4 DDoS napada. Jedan od njih je količina prometa koju generira, odnosno njegov „bitrate” (mjeren u gigabitima u sekundi). Drugi je broj isporučenih paketa, odnosno „brzina paketa” (mjerena u paketima u sekundi). Napadi s visokim brzinama prijenosa podataka pokušavaju zasićiti mrežne veze cilja na posljednjoj milji, a napadi s velikim brojem paketa nastoje svladati usmjerivače ili druge hardverske uređaje na putu. Dodatna veličina koja nas zanima jest trajanje napada. Zanimljivo je da je najdulji zabilježeni napad trajao 509 sati, odnosno gotovo 21 dan.
DDoS napadi u Q4 2020
- Broj napada: Prvi put u 2020. godini ukupan broj napada zabilježenih u 4. tromjesečju smanjio se u usporedbi s prethodnim tromjesečjem.
- Trajanje napada: 73 % promatranih napada trajalo je manje od jednog sata, što je pad u odnosu na 88 % u 3. tromjesečju.
- Vektori napada: SYN, ACK i RST flood i dalje su dominantni, a zanimljiv je porast NetBIOS napada za teško povjerljivih 5 400 %.
- Globalna DDoS aktivnost: Najveći omjer napadačkih aktivnosti u usporedbi s normalnim prometom zabilježili su podatkovni centri na Mauricijusu, u Rumunjskoj i Bruneju.
- Nova taktika napadača: Pojavljuju se pokušaji ucjene prijetnjom DDoS napada (Ransom DDoS) uz zahtjev za otkupninom u Bitcoinima.
Globalne DDoS aktivnosti
Kako bi se razumjelo odakle napadi dolaze, potrebno je pogledati statistiku rubnih podatkovnih centara tvrtke Cloudflare. Razlog je činjenica da napadač u slučaju L3/L4 napada može krivotvoriti izvornu IP adresu kako bi prikrio počinitelja napada.
U ovom se izvješću mjeri omjer napadačkog prometa u usporedbi s normalnim prometom na određenoj geografskoj lokaciji. Cloudflare može osigurati visoku točnost tih podataka zahvaljujući više od 200 podatkovnih centara u više od 100 zemalja diljem svijeta.
U 4. tromjesečju može se uočiti vrlo zanimljiva činjenica – najveći omjer napadačke komunikacije zabilježili su podatkovni centri na Mauricijusu, u Rumunjskoj i Bruneju. Konkretno, radilo se o 4,4 % – 4,9 % cjelokupnog prometa u pojedinoj državi. Za bolju predodžbu, gotovo 5 od svakih 100 bajtova dio je napadačkog prometa. Te činjenice ukazuju na povećanu aktivnost botneta u tim zemljama.
Možda se pitate zašto baš te 3 države? Objašnjenje bi moglo biti iznenađujuće, pogledajmo pobliže prva dva mjesta na ljestvici:
Mauricijus – U toj otočnoj državi u kolovozu 2020. došlo je do goleme ekološke katastrofe nakon nasukavanja tankera, pri čemu je u ocean iscurilo približno 4 000 tona nafte i uništen je jedinstveni ekosustav. Budući da je time izravno ugrožen turizam, koji je glavni izvor prihoda za većinu stanovništva, situacija je rezultirala prosvjedima protiv vlade s pozivima na ostavku premijera. Situacija je i nakon nekoliko mjeseci i dalje vrlo nejasna, što predstavlja pogodno tlo za hakerske aktivnosti.
Rumunjska – u slučaju ove europske države u pozadini mogu biti dva događaja koja su se odvila krajem 2020. godine. Prvi su bili parlamentarni izbori, koji su završili 6. prosinca. Osim toga, 9. prosinca EU je objavio da će Rumunjska biti domaćin novog europskog istraživačkog centra za kibernetičku sigurnost (European Cybersecurity Industrial, Technology and Research Competence Centre – ECCC). Drugo moguće objašnjenje jest činjenica da je Rumunjska zemlja s najjeftinijom superbrzom internetskom vezom, što omogućuje provođenje napada s golemom količinom podataka iz te zemlje.
Sažetak
DDoS napadi i dalje predstavljaju značajnu prijetnju i opasnost za internetsku infrastrukturu. Njihov prividni pad između trećeg i četvrtog tromjesečja prošle godine vjerojatnije je bio uzrokovan znatnim porastom na početku pandemije bolesti Covid-19. Razumijevanje razvoja i razvojnih trendova takvih napada omogućit će nam pravodobno poduzimanje obrambenih mjera koje ih mogu djelomično ili potpuno eliminirati.
Autor članka: Uredništvo ZEBR.ai
