For a couple of years now, research agencies and information security service providers have been reporting on in the number of DDoS attacks. However, by the first quarter of 2019, the same researchers reported an astonishing of 84%. And then it only went uphill from there. Even the pandemic did not contribute to a peaceful atmosphereâinstead, cybercriminals and spammers saw it as a great signal to attack, and the volume of DDoS attacks doubled .
We are sure that the time of simple and easily detectable DDoS attacks (and simple tools that can prevent them) is over. Cybercriminals have learned to better conceal these attacks and carry them out in increasingly sophisticated ways. The dark industry has shifted from brute force to application-level attacks. It is receiving serious orders to disrupt business processes, including completely offline ones.
Breaking into reality
In 2017, a series of DDoS attacks targeting transport services in Sweden led to prolonged . In 2019, the national railway operator in Denmark, experienced a sales system outage. As a result, ticket vending machines and automatic gates at stations were inoperable, leaving over 15,000 passengers unable to travel. In the same year, a powerful cyberattack caused a power outage in .
The consequences of DDoS attacks are now being felt not only by online users but also by people, as they say, IRL (in real life). Historically, attackers targeted only online services, but now their goal is often to disrupt any business operations. According to our estimates, today over 60% of attacks have such a targetâfor extortion or unscrupulous competitive practices. Transactions and logistics are particularly vulnerable in this regard.
Smarter and more expensive
DDoS continues to be considered one of the most common and rapidly growing types of cybercrime. Experts predict that their number will only increase from 2020 onward. This is attributed to various factorsâincluding an even greater shift of businesses online due to the pandemic and the development of the shadow cybercrime industry, and even to .
âPopulĂŠreâ DDoS-angrep ble populĂŠre pĂ„ grunn av hvor enkelt de var Ă„ sette i gang og den lave kostnaden: for bare et par Ă„r siden kunne de startes for $50 per dag. I dag har bĂ„de mĂ„lene og metodene for angrep endret seg, noe som har fĂžrt til Ăžkt kompleksitet og, som et resultat, hĂžyere kostnader. Ja, priser fra $5 per time finnes fortsatt i prislistene (ja, cyberkriminelle har pris- og takstoversikter), men for nettsteder med beskyttelse kreves det allerede fra $400 per dag, og kostnaden for âtilpassedeâ bestillinger for store selskaper kan nĂ„ flere tusen dollar.
I dag finnes det to hovedtyper DDoS-angrep. Den fÞrste typen har som mÄl Ä gjÞre en online ressurs utilgjengelig over et bestemt tidsrom. Betalingen for disse tas av angriperne for tiden angrepet pÄgÄr. I dette tilfellet bryr ikke DDoS-operatÞren seg om noe spesifikt resultat, og kunden betaler faktisk pÄ forhÄnd for starten av angrepet. Slike metoder er relativt billige.
Den andre typen er angrep som bare betales nÄr et bestemt resultat er oppnÄdd. Disse er langt mer interessante. De er mye mer kompliserte Ä gjennomfÞre og derfor betydelig dyrere, ettersom angriperne mÄ velge de mest effektive metodene for Ä oppnÄ sine mÄl. Hos Variti gjennomfÞrer vi noen ganger hele sjakkspill med cyberkriminelle, der de raskt endrer taktik og verktÞy og prÞver Ä bryte seg inn i flere sÄrbarheter pÄ flere nivÄer samtidig. Dette er Äpenbart teamangrep, der hackerne godt vet hvordan de skal reagere og motvirke handlingene til forsvaret. à kjempe mot dem er ikke bare vanskelig, men ogsÄ svÊrt kostbart for selskapene. For eksempel har en av kundene vÄre, en stor netthandler, hatt et team pÄ 30 personer i nesten tre Är som har hatt som oppgave Ä bekjempe DDoS-angrep.
IfÞlge Variti utgjÞr enkle DDoS-angrep, som utelukkende utfÞres av kjedsomhet, trolling eller misnÞye med et bestemt selskap, nÄ mindre enn 10 % av alle DDoS-angrep (selvfÞlgelig kan det vÊre annen statistikk for usikrede ressurser; vi ser pÄ dataene fra vÄre kunder). Alt annet er arbeidet til profesjonelle team. Tre fjerdedeler av alle "dÄrlige" roboter er imidlertid avanserte roboter som er vanskelige Ä oppdage med de fleste moderne markedslÞsninger. De imiterer oppfÞrselen til virkelige brukere eller nettlesere og implementerer mÞnstre som kompliserer forskjellene mellom "gode" og "dÄrlige" forespÞrselen. Dette gjÞr angrepene mindre synlige og dermed mer effektive.
Data fra GlobalDots
Nye mÄl for DDoS
Rapport ifÞlge analytikere fra GlobalDots, viser at roboter nÄ genererer 50 % av all nettsidetrafikk, hvorav 17,5 % er nettopp skadelige roboter.
Roboter kan pĂ„ forskjellige mĂ„ter Ăždelegge livet til selskaper: i tillegg til at de "legger ned" nettsteder, tar de nĂ„ ogsĂ„ seg av Ă„ Ăžke annonsekostnadene, klikke pĂ„ annonseannonser, hente priser for Ă„ gjĂžre dem en Ăžre billigere og lokke til seg kjĂžpere, samt stjele innhold med forskjellige dĂ„rlige hensikter (for eksempel har vi nylig om nettsteder med stjĂ„let innhold, som tvinger brukere til Ă„ lĂžse fremmede captchaer). Roboter forvrenger betydelig diverse forretningsstatistikk, og som et resultat tas beslutninger basert pĂ„ feil data. DDoS-angrep er ofte et rĂžykteppe for enda mer alvorlige forbrytelser som hacking og datatyveri. NĂ„ ser vi at en helt ny klasse av cybertrusler har blitt lagt til â dette er forstyrrelsen av bestemte forretningsprosesser i selskapet, ofte offline (i vĂ„r tid kan ingenting vĂŠre helt "utenfor nettet"). Spesielt ser vi ofte at logistikkprosesser og kommunikasjon med kunder blir brutt.
"Ikke levert"
Logistiske forretningsprosesser er sentrale for de fleste selskaper, sÄ de blir ofte angrepet. Her er hva slags angrepsscenarier som kan skje i den forbindelse.
Ikke pÄ lager
Hvis du jobber innen e-handel, er du nok kjent med problemet med falske bestillinger. Under angrep overbelaster botene logistiske ressurser og gjĂžr produkter utilgjengelige for andre kunder. De legger inn et stort antall falske bestillinger, lik det maksimale antallet varer pĂ„ lager. Disse varene blir deretter ikke betalt for og returneres til nettstedet etter en stund. Men skaden er allerede skjedd: de har blitt merket som «ikke tilgjengelig», og noen kunder har allerede gĂ„tt til konkurrentene. Denne taktikken er godt kjent i flybilletindustrien, hvor botene noen ganger âkjĂžper oppâ alle billetter nesten umiddelbart etter at de blir tilgjengelige. For eksempel ble en av vĂ„re kunder â et stort flyselskap â rammet av et slikt angrep organisert av kinesiske konkurrenter. PĂ„ bare to timer bestilte botene deres 100 % av billettene til bestemte destinasjoner.
Sneaker-boter
Det neste populÊre scenariet er at botene umiddelbart kjÞper opp hele produktlinjer, og eierne selger dem senere til overpris (den gjennomsnittlige pÄslag er 200 %). Slike bots kalles sneaker-boter, fordi dette problemet er godt kjent i sneaker-industrien, spesielt med begrensede kolleksjoner. Bots kjÞpte nÊrmest pÄ minutter opp de nyeste linjene som nettopp ble tilgjengelige, samtidig som de blokkerte ressursen slik at ekte brukere ikke kunne slippe inn. Dette er et sjeldent tilfelle hvor det har blitt skrevet om botene i motemagasiner. Selv om pÄ mange mÄter, omsettere av billetter til kulturerte arrangementer som fotballkamper bruker det samme scenariet.
Andre scenarier
Men dette er ikke alt. Det finnes enda mer sofistikerte angrepsvarianter pĂ„ logistikk som kan fĂžre til store tap. Dette kan skje hvis tjenesten har et alternativ for âBetaling ved mottak av varerâ. Bots legger inn falske bestillinger pĂ„ slike produkter, oppgir falske, eller til og med ekte adresser til intetanende mennesker. Bedriftene pĂ„drar seg enorme kostnader til frakt, lagring og avklaring av detaljer. I mellomtiden er varene utilgjengelige for andre kunder, og opptar plass pĂ„ lageret.
Hva mer? Roboter legger igjen massevis av falske negative anmeldelser av produkter, forstyrrer funksjonen for "tilbakebetaling", blokkerer transaksjoner, stjeler kundedata, og spammer ekte kjĂžpere â det er mange alternativer. Et godt eksempel er det nylige angrepet pĂ„ DHL, Hermes, AldiTalk, Freenet, Snipes.com. Hackere , at de "tester systemene for DDoS-beskyttelse", men endte opp med Ă„ legge ned portalen for bedriftskunder og alle API-er. Som et resultat oppsto det store forstyrrelser i leveringen av varer til kundene.
Ring i morgen
I fjor rapporterte Federal Trade Commission (FTC) om en dobling av klager fra virksomheter og brukere angÄende spam- og svindeltelefonanrop. IfÞlge noen estimater utgjÞr de av alle anrop.
Som i tilfeller med DDoS, varierer mĂ„lene for TDoS â masseangrep av roboter mot telefoner â fra "lotterier" til uĂŠrlig konkurrentkjemping. Roboter kan overbelaste kontaktsentre og hindre ekte kunder. Denne metoden er effektiv ikke bare for call-sentre med "live" operatĂžrer, men ogsĂ„ der hvor det brukes AVR-systemer. Roboter kan ogsĂ„ massivt angripe andre kommunikasjonskanaler med kunder (chatter, e-poster), forstyrre CRM-systemers funksjon, og til og med i en viss grad negativt pĂ„virke personalledelse, ettersom operatĂžrene blir overbelastet med Ă„ forsĂžke Ă„ hĂ„ndtere krisen. Angrepene kan ogsĂ„ synkroniseres med tradisjonelle DDoS-angrep pĂ„ offerets nettressurser.
Nylig forstyrret et slikt angrep nĂždetatene i USA â vanlige mennesker som var i akutt behov for hjelp klarte bare ikke Ă„ komme gjennom. Rundt samme tid ble Dublin Zoo rammet av samme skjebne: minst 5000 personer mottok spam i form av tekst-SMS-meldinger som oppfordret dem til Ă„ ringe zoo-telefonnummeret og be om en oppdiktet person.
Wi-Fi vil ikke vĂŠre tilgjengelig
Kybberkriminelle kan ogsÄ lett blokkere hele bedriftsnettverket. Ofte brukes blokkering av IP som et tiltak mot DDoS-angrep. Men dette er ikke bare ineffektivt, det er ogsÄ en veldig farlig praksis. IP-adressen er lett Ä finne (for eksempel ved hjelp av ressursovervÄking) og lett Ä bytte ut (eller forfalske). FÞr de kom til Variti, hadde vÄre kunder tilfeller der blokkering av en bestemt IP bare frakoblet Wi-Fi i egne kontorer. Det var en situasjon hvor en kunde fikk «servert» den «riktige» IP-adressen, og han blokkerte tilgangen til ressursen sin for brukere fra en hel region, og han la lenge ikke merke til det, fordi ellers fungerte hele ressursen helt fint.
Hva er nytt?
Nye trusler krever nye lĂžsninger for beskyttelse. Men dette nye segmentet pĂ„ markedet begynner bare Ă„ ta form. Det finnes mange lĂžsninger for effektivt Ă„ avverge enkle bot-angrep, men nĂ„r det kommer til de mer komplekse, er det ikke sĂ„ enkelt. Mange lĂžsninger praktiserer fortsatt metoder for blokkering av IP. Andre trenger tid til Ă„ samle inn primĂŠrdata for Ă„ komme i gang, og disse 10-15 minuttene kan vĂŠre en sĂ„rbarhet. Det finnes lĂžsninger som er basert pĂ„ maskinlĂŠring, som kan identifisere en bot etter atferden dens. Samtidig skryter teamene pĂ„ «den andre siden» av at de allerede har roboter som kan imitere ekte, menneskelige mĂžnstre. Hvem som er smartest â er ennĂ„ uklart.
Hva skal man gjÞre hvis man mÄ kjempe mot profesjonelle bot-team og komplekse, flertrinnsangrep som skjer pÄ flere nivÄer samtidig?
VÄr erfaring viser at fokuset bÞr vÊre pÄ filtrering av illegitime forespÞrsel uten Ä blokkere IP-adresser. For komplekse DDoS-angrep er det nÞdvendig med filtrering pÄ flere nivÄer, inkludert transportlag, applikasjonslag og API-grensesnitt. Dette gjÞr det mulig Ä avverge selv lavfrekvente angrep som vanligvis er usynlige og derfor ofte slipper gjennom. Til slutt er det nÞdvendig Ä slippe inn alle ekte brukere selv nÄr det pÄgÄr en aktiv angrepsfase.
For det andre trenger selskaper muligheten til Ă„ lage sine egne flertrinnssystemer for beskyttelse, som, i tillegg til verktĂžy for Ă„ forhindre DDoS-angrep, vil inneholde systemer mot svindel, datatyveri, beskyttelse av innhold og lignende.
For det tredje mĂ„ de fungere i sanntid fra det fĂžrste forespĂžrselen â evnen til Ă„ reagere umiddelbart pĂ„ sikkerhetsincidens Ăžker sjansene for Ă„ forhindre et angrep eller redusere deres Ăždeleggende kraft.
Den nÊrmeste fremtiden: omdÞmmehÄndtering og innsamling av big data med hjelp av roboter
Historien om DDoS har utviklet seg fra enkelt til komplekst. I begynnelsen var mÄlet for angriperne Ä stoppe nettstedet. NÄ anser de det som mer effektivt Ä mÄlrette mot kjerneforretningsprosesser.
Angrepets kompleksitet vil fortsette Ă„ vokse, det er uunngĂ„elig. I tillegg til det dĂ„rlige roboter gjĂžr nĂ„ â datatyveri og forfalskning, utpressing, spam â vil robotene samle data fra et stort antall kilder (Big Data) og lage "pĂ„litelige" falske konti for Ă„ manipulere innflytelse, omdĂžmme eller masse phishing.
For tiden kan bare store selskaper ha rÄd til Ä investere i beskyttelse mot DDoS og roboter, men selv de kan ikke alltid helt fÞlge med og filtrere trafikken generert av roboter. Den eneste positive siden ved at robotangrepene blir mer kompliserte, er at det stimulerer markedet til Ä utvikle "smarte" og mer sofistikerte beskyttelseslÞsninger.
Hva mener du â hvordan vil bransjen for beskyttelse mot roboter utvikle seg, og hvilke lĂžsninger er nĂždvendige pĂ„ markedet allerede nĂ„?
Kilde: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish