We bevinden ons in de middeleeuwen van cyberbeveiliging, waar DDoS-aanvallen (Distributed Denial of Service) offline gaan. Zelfs de best ontworpen en best beheerde netwerken zijn nu kwetsbaar voor DDoS-aanvallen. Het lijkt erop dat we constant in een kat-en-muis-achtervolging zitten, omdat we niet in staat zijn om efficiënt te reageren op het toegenomen aantal DDoS-aanvallen.
De trend voor DDoS-aanvallen ziet er niet goed uit. Eerst werd de BBC platgelegd door een aanval van 602 Gbps, waarna DDoS-aanvallen zich opschaalden naar 1.2 Tbps en Dyn uitschakelden . De Miria- en Leet-botnets waren de twee belangrijkste boosdoeners. Deze aanvallen zullen niet snel verdwijnen en nemen maandelijks in omvang toe. De combinatie van de onbeveiligde infrastructuur van het internet met de introductie van miljoenen onbeveiligde IoT-apparaten met IP-adressen biedt een roekeloze voedingsbodem voor een nieuw tijdperk van aanvallen op terabyte-schaal.
De ernst van wat ons nog te wachten staat, zal ongetwijfeld gigantisch zijn in verhouding tot wat we al hebben meegemaakt. We zijn tot nu toe niet in staat gebleken om met dit niveau om te gaan en de bestaande oplossingsmechanismen zullen dramatisch tekortschieten.
Wat hebben we nodig
We hebben een oplossing nodig die volledig geïntegreerd is; het gaat niet alleen om detectie en mitigatie. Het laatste puzzelstukje is de end-to-end probleemoplossing . Samenwerking binnen het team is net zo belangrijk als de geavanceerde machine learning-algoritmen die worden ingezet voor geavanceerde anomaliedetectie.
Het volledige proces van het in kaart brengen van een netwerk en het oplossen van DDoS-aanvallen moet API-gestuurd zijn, zowel voor detectie als voor mitigatie, om één complete oplossing te vormen. Dit is de enige manier om DDoS-aanvallen effectief te bestrijden.
Wat is een DDoS?
De smaken van DDoS zijn er in veel verschillende vermommingen, sommige werken lager in de stapel, terwijl andere hoger op Layer 7. Veel van de nieuwere stijlen van DDoS-aanvallen werken parallel met een combinatie van aanvallen op verschillende lagen van het OSI-model.
Meer dan vaak zijn ze nooit eenzijdig en fungeren ze alleen als rook die een afzonderlijke, gevaarlijkere achterdeuraanval broeit. Een voorbeeld van zo'n aanval zou een zware volumetrische aanval kunnen zijn die de operatieteams verder in verwarring brengt, de leidingen vult en een dodelijker langzamer Hypertext Transfer Protocol (HTTP) is. aanval doet alle schade op de achtergrond.
Ongeacht het type DDoS-aanval, dienen ze allemaal hetzelfde doel: de doelservice offline halen zodat deze niet meer kan reageren op legitieme verbindingen. Aanvallen zijn altijd zichtbaar; zelfs de eerste taken van de botnets die de scan uitvoeren, kunnen detecties in het systeem signaleren.
BotNet's
Een BotNet (ook bekend als zombieleger) is een aantal gecompromitteerde apparaten die met internet zijn verbonden en die worden gebruikt om een destructieve DDoS-aanval uit te voeren. Zonder het te weten, worden de gecompromitteerde machines samengevoegd om één grote structuur van DDoS-aanvallen te vormen. Het Mirai-botnet bestaat uit duizenden onbeveiligde IoT-apparaten (Internet of Things), zoals slecht beveiligde routers en IP-camera's die megavolumes bereiken.
Botnets kunnen niets zelfstandig doen en moeten via verborgen kanalen verbinding maken met een commando en de servers (C2/C&C) besturen om een lijst met acties te verkrijgen. De geïnfecteerde clients maken verbinding met de server om een lijst met commando's te ontvangen, zoals HOLD, TCP, UDP of JUNK, en gebruiken een payloadgenerator om tussen deze commando's te schakelen, waardoor detectie moeilijk is. Onlangs lanceerde een nieuw Mirai-botnet een applicatieaanval op een onbemande server van een Amerikaanse universiteit. De gemiddelde verkeersstroom bedroeg 30,000 verzoeken per seconde (RPS), met een piek van 37,000 RPS.
Wie versterkt DDoS-aanvallen?
Wie zit er achter deze aanvallen en waarom doen ze het? Er zijn twee primaire doelen: één is voor politieke of ideologische overtuigingen die bekend staan als hacktivisme, vandalisme of cyberoorlogvoering. De andere wordt puur gemotiveerd door financiële redenen die bekend staan als DDoS-for-hire, afpersing en losgeld.
DDoS digitale kaart
De DDoS-digitale kaart toont de DDoS-aanvallen die op dit moment in realtime plaatsvinden. Aanvallen worden gekleurd op basis van het type – TCP-verbinding, volumetrisch, fragmentatie en volumetrisch. Ook worden de meest betrokken landen weergegeven op basis van bron en bestemming, weergegeven als stippellijnen.
Primaire oorzaken?
Een verloren strijd?
Als we goed kijken, vinden we overal kuilen in de beveiliging. De problemen liggen in de fundamenten van netwerken en hoe het is beveiligd. Het internet is gebaseerd op wereldwijde toegankelijkheid en de protocollen waaruit het bestaat, zijn oorspronkelijk ontworpen zonder het oog op veiligheid.
Wereldwijde toegankelijkheid betekent toegang hebben tot het IP-adres van iemand die zich op een verre locatie bevindt. Dit is de basis van communicatie en helaas, als je het IP-adres van iemand hebt, kun je ook een aanval op hun systeem sturen. Dit plaatst de aanvalsoppervlakken op een zeer groot wereldwijd platform waar iedereen een aanval kan plannen als men dat wil.
De beveiligingsmechanismen die later zijn toegevoegd, fungeren alleen als kludges voor het netwerk, waardoor de complexiteit toeneemt. IPsec is een Zwitsers leger boordevol functies die gepaard gaan met veel bagage die kan worden geabstraheerd.
Hoe gaan we ermee om?
Dus wat zijn de veranderingen die kunnen worden aangebracht in zowel het netwerk als de beveiliging om de pijn van deze storingen te verzachten? Welnu, er zijn veel nieuwe interessante mechanismen op het gebied van DDoS-detectie en -beperking die de leemte kunnen opvullen. Laten we een paar mechanismen bekijken die zijn bedacht om aanvallen te beperken.
Vooruitgang in DDoS-mitigatie
Op het gebied van mitigatie introduceren nieuwe concepten, zoals desaggregatie van beveiliging, nieuwe technieken om de status van mitigatieapparaten te verwijderen. Het verwijderen van de status maakt adequate bescherming mogelijk voor deze schaal en daarbuiten. Het hebben van een status in een mitigatieapparaatapparaat verslechtert de prestaties tot een niveau waarop het niet in staat is om te beschermen.
Om ergens in het netwerk een status te hebben, remt de prestaties, maar vooral om het in een apparaat te hebben dat het niet nodig heeft om pakketten door te sturen, heeft geen zin. Beveiligingsdesaggregatie verplaatst de status buiten het apparaat naar buiten de daadwerkelijke doorzending.
Vooruitgang in DDoS-detectie
Op het gebied van detectie helpen geavanceerde machine learning-technieken bij snelle opsporing. De huidige op anomalie gebaseerde detectiesystemen zijn beperkt en niet in staat om de nieuwere soorten aanvallen te detecteren. Machine learning-technieken zoals Naive, Bayes, C4.5, SVM, KNN, K-means en Fuzz bieden een geavanceerde manier om aanvallen te detecteren. Zullen deze veranderingen in oplossingen voldoende zijn?
De behoefte aan efficiënte probleemoplossing
Al deze nieuwe mechanismen zijn interessant maar nutteloos als je het probleem niet op tijd effectief kunt oplossen. Problemen oplossen is niet alleen een technische handeling; het is een bedrijfsbrede hulpbron die veel teams combineert tot een gestroomlijnd proces.
De meest geavanceerde detectieoplossing kan een gebeurtenis binnen enkele seconden signaleren, maar als het een paar uur duurt om het probleem op te lossen, kunt u net zo goed geen detectiesysteem hebben. Evenzo, in het geval van een krachtige mitigatieoplossing, als u het probleem niet kunt oplossen, heeft het geen zin om al het vermogen in uw netwerk te hebben.
De vooruitgang in DDoS-detectie en -mitigatie is cruciaal, maar we moeten ook afstappen van handmatige methoden voor netwerkmapping en probleemoplossing om te voorkomen dat de gehele DDoS-oplossing wordt lamgelegd.
Closing Comments
We verliezen de DDoS-strijd en we zullen blijven verliezen, tenzij we alle componenten aan elkaar knopen. Een complete oplossing moet de beveiliging vanuit alle hoeken aanpakken. Het is niet alleen vanuit het oogpunt van de mitigatie- of detectie-appliance, maar ook het probleemoplossingsproces van het bedrijf is vereist om een DDoS-aanval efficiënt te stoppen.