DDoS geht offline

Vor einigen Jahren begannen Forschungsagenturen und Anbieter von Informationssicherheitsdiensten bereits, von einem Rückgang der Anzahl der DDoS-Angriffe zu berichten. Doch bereits im ersten Quartal 2019 meldeten dieselben Forscher einen erstaunlichen Anstieg um 84 %. Und dann ging es nur noch bergauf. Sogar die Pandemie förderte nicht eine Atmosphäre des Friedens — im Gegenteil, Cyberkriminelle und Spammer sahen dies als ein hervorragendes Signal für Angriffe, und das Volumen der DDoS-Angriffe stieg. verdoppelt.

Wir sind überzeugt, dass die Zeiten einfacher und leicht erkennbarer DDoS-Angriffe (und einfacher Werkzeuge, die sie verhindern können) vorbei sind. Cyberkriminelle haben gelernt, diese Angriffe besser zu verbergen und sie immer raffinierter durchzuführen. Die dunkle Industrie hat sich von brutalen Angriffen zu Angriffen auf Anwendungsebene gewandelt. Sie erhält ernsthafte Aufträge zur Zerstörung von Geschäftsprozessen, einschließlich durchaus offline.

Eindringen in die Realität

Im Jahr 2017 führte eine Reihe von DDoS-Angriffen auf Transportdienste in Schweden zu langen Verspätungen bei den Zügen. Im Jahr 2019 berichtete der nationale Eisenbahnbetreiber Dänemarks Danske Statsbaner Die Vertriebssysteme wurden abgeschaltet. Infolgedessen funktionierten an den Stationen die Ticketautomaten und automatischen Türen nicht, und mehr als 15.000 Passagiere konnten nirgendwohin fahren. Im Jahr 2019 führte ein massiver Cyberangriff zu einem Stromausfall in Venezuela.

Die Auswirkungen von DDoS-Angriffen spüren jetzt nicht nur Online-Nutzer, sondern auch Menschen, wie man so schön sagt, im echten Leben. Historisch gesehen zielten die Angreifer nur auf Online-Dienste ab, doch jetzt besteht ihre Aufgabe oft darin, jegliche Geschäftsabläufe zu stören. Nach unseren Schätzungen haben heute über 60 % dieser Angriffe ein solches Ziel — sei es zur Erpressung oder für unlauterem Wettbewerb. Besonders anfällig sind dabei Transaktionen und Logistik.

Intelligenter und teurer

DDoS gilt nach wie vor als eine der häufigsten und am schnellsten wachsenden Formen der Cyberkriminalität. Experten prognostizieren, dass ihre Anzahl seit 2020 nur noch zunehmen wird. Dies wird mit verschiedenen Gründen in Verbindung gebracht — einerseits mit dem zunehmenden Online-Übergang von Unternehmen aufgrund der Pandemie und andererseits mit der Entwicklung der Schattenwirtschaft der Cyberkriminalität, und sogar mit der Verbreitung von 5G.

„Beliebte“ DDoS-Angriffe wurden einst wegen ihrer einfachen Bereitstellung und geringen Kosten populär: Vor ein paar Jahren konnten sie für 50 $ pro Tag initiiert werden. Heute haben sich sowohl die Ziele als auch die Angriffsmethoden verändert, was zu einer Erhöhung ihrer Komplexität und folglich der Kosten geführt hat. Es gibt immer noch Preise ab 5 $ pro Stunde (ja, Cyberkriminelle haben Preisl Listen und Tarife), aber für eine Website mit Schutz werden bereits mindestens 400 $ pro Tag verlangt, und die Kosten für „maßgeschneiderte“ Aufträge für große Unternehmen können mehrere tausend Dollar betragen.

Aktuell gibt es zwei Haupttypen von DDoS-Angriffen. Der erste zielt darauf ab, einen Online-Ressource für einen bestimmten Zeitraum unzugänglich zu machen. Die Bezahlung dafür verlangen die Angreifer für die Dauer des Angriffs. In diesem Fall interessiert den DDoS-Betreiber kein spezifisches Ergebnis, der Kunde leistet faktisch eine Vorauszahlung für den Beginn des Angriffs. Solche Methoden sind relativ kostengünstig.

Der zweite Typ sind Angriffe, die nur bezahlt werden, wenn ein bestimmtes Ergebnis erreicht wird. Diese sind bereits interessanter. Sie sind wesentlich komplexer in der Ausführung und daher deutlich teurer, da die Angreifer die effektivsten Methoden auswählen müssen, um ihre Ziele zu erreichen. Bei Variti führen wir manchmal regelrechte Schachpartien mit Cyberkriminellen, bei denen diese sofort ihre Taktik und Werkzeuge ändern und versuchen, gleichzeitig mehrere Schwachstellen auf mehreren Ebenen auszunutzen. Dies sind eindeutig Teamangriffe, bei denen die Hacker genau wissen, wie sie auf die Maßnahmen der Verteidiger reagieren und sich dagegen wehren. Der Kampf gegen sie ist nicht nur schwierig, sondern auch sehr kostspielig für Unternehmen. Ein Beispiel ist einer unserer Kunden, ein großer Einzelhändler, der fast drei Jahre lang ein Team von 30 Personen beschäftigt hatte, dessen Aufgabe es war, DDoS-Angriffe abzuwehren.

Laut Variti machen einfache DDoS-Angriffe, die ausschließlich aus Langeweile, Trollerei oder Unzufriedenheit mit einem bestimmten Unternehmen erfolgen, derzeit weniger als 10 % aller DDoS-Angriffe aus (es ist natürlich möglich, dass ungeschützte Ressourcen andere Statistiken aufweisen; wir betrachten die Daten unserer Kunden). Alles Weitere ist die Arbeit professioneller Teams. Dabei sind drei Viertel aller "schlechten" Bots komplexe Bots, die mit den meisten modernen Marktlösungen nur schwer zu erkennen sind. Sie imitieren das Verhalten realer Benutzer oder Browser und implementieren Muster, die die Unterscheidung zwischen "guten" und "schlechten" Anfragen erschweren. Dies macht Angriffe weniger auffällig und folglich effektiver.

Daten von GlobalDots

Neue DDoS-Ziele

Bericht Bad Bot Report Analysen von GlobalDots zeigen, dass Bots mittlerweile 50 % des gesamten Web-Traffics erzeugen, wobei 17,5 % davon schädliche Bots sind.

Bots können Unternehmen auf unterschiedliche Weise das Leben schwer machen: Neben der Tatsache, dass sie Websites lahmlegen, treiben sie jetzt auch die Werbekosten in die Höhe, klicken auf Anzeigen, kratzen Preise zusammen, um sie um ein paar Cent zu senken und Käufer abzuwerben, und stehlen Inhalte zu verschiedenen, unangemessenen Zwecken (zum Beispiel haben wir kürzlich über Websites mit gestohlenem Inhalt gehört, die Nutzer dazu zwingen, die Captchas anderer zu lösen). Bots verzerren zahlreiche Geschäftsdaten erheblich, und letztendlich werden Entscheidungen auf Basis falscher Informationen getroffen. Ein DDoS-Angriff dient häufig als Ablenkung für noch ernstere Verbrechen wie Hacking und Datendiebstahl. Und jetzt sehen wir, dass eine neue Klasse von Cyberbedrohungen hinzukommt — die Störung bestimmter Geschäftsprozesse von Unternehmen, oft auch im Offline-Bereich (da heutzutage nichts völlig „außerhalb des Netzwerks“ sein kann). Besonders häufig beobachten wir, dass logistische Prozesse und die Kommunikation mit Kunden betroffen sind. schrieben „Nicht zugestellt“

Logistische Geschäftsprozesse sind für die meisten Unternehmen entscheidend, weshalb sie oft angegriffen werden. Hier sind einige Angriffszenarien, die dabei auftreten können.

Logistische Geschäftsprozesse sind für die meisten Unternehmen entscheidend, daher sind sie häufig Ziel von Angriffen. Hier sind einige Angriffszenarien, die dabei auftreten können.

Nicht verfügbar

Wenn Sie im Bereich des Online-Handels tätig sind, kennen Sie sicherlich das Problem von Fake-Bestellungen. Bei Angriffen überlasten Bots die logistischen Ressourcen und machen die Produkte für andere Käufer unzugänglich. Sie platzieren eine große Anzahl an Fake-Bestellungen, die der maximalen Anzahl an verfügbaren Produkten entsprechen. Diese Produkte werden dann nicht bezahlt und nach einer gewissen Zeit zurück auf die Website gebracht. Aber der Schaden ist bereits angerichtet: Sie wurden als „nicht verfügbar“ markiert, und einige Käufer sind bereits zu Mitbewerbern gewechselt. Diese Taktik ist in der Luftfahrtbranche bekannt, wo Bots manchmal alle Tickets sofort nach ihrem Erscheinen „aufkaufen“. Beispielsweise wurde einer unserer Kunden – eine große Fluggesellschaft – Opfer eines solchen Angriffs, der von chinesischen Konkurrenten organisiert wurde. Innerhalb von zwei Stunden bestellten ihre Bots 100 % der Tickets für bestimmte Strecken.

Sneaker Bots

Ein beliebtes Szenario: Bots kaufen sofort die gesamte Produktreihe, während ihre Besitzer sie später zu überhöhten Preisen weiterverkaufen (im Durchschnitt liegt der Aufschlag bei 200 %). Diese Bots werden als Sneakers Bots bezeichnet, da die Branche für modische Sneaker, insbesondere bei limitierten Kollektionen, gut mit diesem Problem vertraut ist. Bots haben innerhalb von Minuten die neu eingeführten Linien aufgekauft und dabei die Seite so blockiert, dass echte Nutzer keinen Zugang hatten. Es ist selten, dass in Modezeitschriften über Bots berichtet wird. Obwohl im Allgemeinen Ticket-Reseller für angesagte Veranstaltungen wie Fußballspiele dasselbe Szenario nutzen.

Andere Szenarien

Doch das ist noch nicht alles. Es gibt eine noch komplexere Art von Angriffen auf die Logistik, die erhebliche Verluste verursachen können. Dies geschieht häufig, wenn der Dienst eine Option "Zahlung bei Lieferung" anbietet. Roboter hinterlassen gefälschte Bestellungen für solche Produkte und geben falsche oder sogar reale Adressen ahnungsloser Personen an. Unternehmen tragen immense Kosten für Lieferung, Lagerung und Klärung der Einzelheiten. In der Zwischenzeit sind die Produkte für andere Kunden nicht verfügbar und nehmen Platz im Lager ein.

Was noch? Bots hinterlassen massenhaft gefälschte negative Bewertungen zu Produkten, missbrauchen die Funktion "Rückzahlung", blockieren Transaktionen, stehlen Kundendaten und spammen echte Käufer — es gibt zahlreiche Möglichkeiten. Ein gutes Beispiel ist der kürzliche Angriff auf DHL, Hermes, AldiTalk, Freenet, Snipes.com. Hacker gaben vor, dass sie "DDoS-Schutzsysteme testen", und legten letztendlich das Portal für Geschäftskunden des Unternehmens und alle APIs lahm. Dies führte zu erheblichen Lieferunterbrechungen für die Kunden.

Rufen Sie morgen an

Im vergangenen Jahr berichtete die Federal Trade Commission (FTC) von einer Verdopplung der Beschwerden von Unternehmen und Nutzern über Spam- und betrügerische Anrufe von Telefonbots. Schätzungen zufolge machen sie nearly 50% fast 50% aller Anrufe aus.

Wie bei DDoS-Attacken variieren auch bei TDoS die Ziele – massiven Bot-Angriffen auf Telefone – von "Gewinnspielen" bis hin zu unlauteren Wettbewerbsmethoden. Bots sind in der Lage, Kontaktzentren zu überlasten und echte Kunden abzufangen. Diese Methode ist nicht nur für Call-Center mit "lebenden" Bedienern effektiv, sondern auch dort, wo AVR-Systeme eingesetzt werden. Bots können auch massiv andere Kommunikationskanäle mit Kunden (Chats, E-Mails) angreifen, die Funktionsweise von CRM-Systemen stören und sogar in gewissem Maße das Personalmanagement negativ beeinflussen, da die Bediener überlastet sind, während sie versuchen, mit der Krise umzugehen. Angriffe können auch mit traditionellen DDoS-Angriffen auf die Online-Ressourcen des Opfers synchronisiert werden.

Kürzlich störte ein solcher Angriff den Betrieb der Rettungsdienste. 911 In den USA konnten gewöhnliche Menschen, die dringend Hilfe benötigten, einfach nicht durchkommen. Ungefähr zur gleichen Zeit hatte der Zoo in Dublin das gleiche Schicksal erlitten: Mindestens 5000 Personen erhielten Spam in Form von Text-SMS, die sie aufforderten, dringend die Telefonnummer des Zoos anzurufen und nach einer fiktiven Person zu fragen.

Wi-Fi wird nicht verfügbar sein.

Cyberkriminelle können auch problemlos das gesamte Unternehmensnetzwerk blockieren. Häufig wird die Blockierung von IP-Adressen als Gegenmaßnahme gegen DDoS-Angriffe eingesetzt. Aber das ist nicht nur ineffektiv, sondern auch sehr gefährlich. Eine IP-Adresse ist leicht zu finden (zum Beispiel durch Ressourcenüberwachung) und kann einfach geändert (oder gefälscht) werden. Vor dem Wechsel zu Variti hatten unsere Kunden Fälle, in denen die Blockierung einer bestimmten IP einfach Wi-Fi in ihren eigenen Büros abgeschaltet hat. In einem Fall wurde einem Kunden die benötigte IP 'untergejubelt', und er sperrte den Zugang zu seinem Dienst für Benutzer aus einer ganzen Region, ohne es lange zu bemerken, da der gesamte Dienst ansonsten einwandfrei funktionierte.

Was ist neu?

Neue Bedrohungen erfordern neue Lösungen für den Schutz. Doch dieses neue Segment auf dem Markt beginnt erst zu entstehen. Es gibt viele Lösungen, um einfache Bot-Angriffe abzuwehren, aber bei komplexen Angriffen sieht es nicht so einfach aus. Viele Lösungen setzen weiterhin auf IP-Blockierungsmethoden. Andere benötigen Zeit, um erste Daten zu sammeln, bevor sie arbeiten können, und diese 10-15 Minuten können eine Schwachstelle darstellen. Es gibt Lösungen, die auf Maschinenlernen basieren und es ermöglichen, Bots anhand ihres Verhaltens zu identifizieren. Gleichzeitig prahlen die Teams auf 'der' Seite damit, dass sie bereits Bots besitzen, die reale, nicht von menschlichen Mustern zu unterscheidende Verhalten nachahmen können. Wer hier die Oberhand hat, ist noch unklar.

Was tun, wenn man gegen professionelle Bot-Teams und komplexe, mehrstufige Angriffe auf mehreren Ebenen gleichzeitig ankämpfen muss?

Unsere Erfahrung zeigt, dass der Fokus auf der Filterung illegitimer Anfragen liegen sollte, ohne IP-Adressen zu blockieren. Bei komplexen DDoS-Angriffen ist eine Filterung auf mehreren Ebenen erforderlich, einschließlich der Transportebene, der Anwendungsebene und der API-Schnittstellen. Dadurch können selbst niedrigfrequente Angriffe abgewehrt werden, die normalerweise unbemerkt bleiben und daher oft weitergeleitet werden. Schließlich müssen alle echten Benutzer auch während der aktiven Phase eines Angriffs durchgelassen werden.

Zweitens benötigen Unternehmen die Möglichkeit, eigene mehrstufige Schutzsysteme zu erstellen, in die neben den DDoS-Abwehrmaßnahmen auch Systeme gegen Betrug, Datendiebstahl, Inhaltschutz und so weiter integriert werden.

Drittens sollten sie in Echtzeit von der ersten Anfrage an funktionieren – die Möglichkeit, sofort auf Sicherheitsvorfälle zu reagieren, erhöht erheblich die Chancen, einen Angriff zu verhindern oder seine Zerstörungskraft zu verringern.

Die nahe Zukunft: Reputationsmanagement und große Datenanalysen mithilfe von Bots.
Die Geschichte der DDoS-Angriffe hat sich von einfach zu komplex entwickelt. Anfangs war das Ziel der Angreifer, die Website außer Betrieb zu setzen. Heute halten sie es für effektiver, die wesentlichen Geschäftsprozesse ins Visier zu nehmen.

Die Komplexität der Angriffe wird weiterhin zunehmen, das ist unvermeidlich. Neben dem, was schadhafte Bots derzeit tun — Datendiebstahl und -fälschung, Erpressung, Spam — werden Bots Daten aus einer Vielzahl von Quellen (Big Data) sammeln und „zuverlässige“ gefälschte Konten erstellen, um Einfluss, Reputation oder Massenphishing zu steuern.

Derzeit können sich nur große Unternehmen den Investitionsaufwand zum Schutz vor DDoS und Bots leisten, aber selbst sie können nicht immer den von Bots generierten Traffic vollständig verfolgen und filtern. Der einzige positive Aspekt, dass Bot-Angriffe komplexer werden, ist, dass der Markt gezwungen wird, „intelligente“ und ausgeklügelte Schutzlösungen zu entwickeln.

Was denken Sie — wie wird sich die Branche des Bot-Schutzes entwickeln und welche Lösungen werden bereits jetzt auf dem Markt benötigt?

Quelle: habr.com