DDoS-Trends 2017 Europa ist Hauptziel von DDoS-Angriffen

F5 Networks hat ermittelt, dass im Jahr 2017 die registrierten IT-Sicherheitsvorfälle um 64 Prozent angestiegen sind. Das zeigen Kundendaten aus dem F5 Security Operations Center (SOC) in Polen. Dabei steht das Gebiet Europa, Naher Osten und Afrika (EMEA) im Brennpunkt: 51 Prozent der weltweit gemeldeten DDoS-Angriffe trafen Unternehmen aus dieser Region.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

Keeper Security EMEA Ltd.

F5 Networks GmbH

Die deutliche Veränderung der DDoS-Angriffe auf europäische Unternehmen zeigt sich nicht nur in der Zahl der Angriffe, sondern auch darin, dass die Heftigkeit einzelner Angriffe relativ abgenommen hat. Für 2016 registrierte das SOC mehrere Attacken mit einem Volumen von über 100 Gb/s, einige überstiegen sogar 400 Gb/s. 2017 erreichte dagegen der schwerste Angriff nur 62 Gb/s. Das deutet darauf hin, dass es auf Layer 7 gibt, die potenziell wirksamer sind und geringere Bandbreite erfordern. 66 Prozent der gemeldeten DDoS-Angriffe waren Multi-Vektor-Attacken, deren Schadensbegrenzung umfangreiches Know-how erfordert.

Kamil Wozniak, F5 SOC Manager, erklärt: „Angesichts dieser Verschiebung müssen Unternehmen sicherstellen, dass sie über die richtigen Lösungen zur Abwehr von DDoS-Angriffen verfügen, bevor diese ihre Anwendungen erreichen und den Betrieb beeinträchtigen. EMEA ist definitiv ein Hotspot für Angriffe auf globaler Ebene. Entscheider in der Region dürfen deshalb in ihrer Aufmerksamkeit nicht nachlassen.“ Dass die Entscheider dieses Problem verstanden haben, zeigt sich auch in einer Erhöhung der Abwehrmaßnahmen: Laut F5 verdoppelte sich die Zahl der neu implementierten Web Application Firewalls (WAFs) im EMEA-Raum im letzten Jahr. Die Einführung von Lösungen gegen Betrugsversuche stieg um 76 Prozent und gegen DDoS um 58 Prozent.

Ergebnisse aus den vier Quartalen 2017

Das 1. Quartal 2017 begann mit einem Paukenschlag: Die Kunden von F5 waren mit dem bis dahin breitesten Spektrum an disruptiven Angriffen konfrontiert. Insbesondere UDP Floods, also Überflutungsangriffe über das UDP-Protokoll (User Diagram Protocol), stachen mit einem Anteil von 25 Prozent aller Angriffe heraus. Hier werden meist große UDP-Pakete an ein einzelnes Ziel oder an zufällig gewählte Ports gesendet. Sie tarnen sich als vertrauenswürdige Einheiten, dienen aber dem Diebstahl sensibler Daten. An zweiter und dritter Stelle folgten DNS-Reflection-Angriffe (18 Prozent) und SYN-Flood-Angriffe (16 Prozent).

In das 1. Quartal 2017 fiel auch der Höhepunkt der ICMP-Angriffe (Internet Control Message Protocol), bei denen Cyberkriminelle Unternehmen mit einer Flut an schnellen Echo-Request-Paketen (Pings) überfallen, ohne auf Antwort zu warten. Im 1. Quartal 2016 dagegen hatten sich die Angriffe gleichmäßig auf UDP und SSDP Floods (Simple Service Discover Protocol) verteilt.

Im 2. Quartal 2017 schoben sich SYN Floods in den Vordergrund (25 Prozent Anteil), gefolgt von NTP Floods (Network Time Protocol) und UDP Floods (jeweils 20 Prozent).

Im 3. Quartal lagen UDP Floods mit einem Anteil von 26 Prozent vorne. Es folgten NTP Floods mit 22 Prozent (ein deutlicher Anstieg um 8 Prozent gegenüber dem gleichen Zeitraum 2016) und DNS Reflection (17 Prozent).

Auch im 4. Quartal 2017 dominierten UDP Floods (25 Prozent aller Angriffe). DNS Reflection kam auf 20 Prozent. Das war der bisher höchste Anteil dieser Angriffsart.

Dass Cyberkriminelle ihre Methoden schnell weiterentwickeln, zeigt die Art, wie der Trojaner Ramnit im 4. Quartal seine Reichweite deutlich ausdehnte. Ursprünglich wurde er entwickelt, um Banken anzugreifen. F5 Labs stellte fest, dass 64 Prozent seiner Ziele während der Weihnachtssaison E-Commerce-Anbieter in den USA waren. Weitere neue Ziele waren Sites, die mit Reisen, Unterhaltung, Lebensmitteln, Dating und Pornografie zu tun hatten. Auch andere Banking-Trojaner vergrößerten ihre Reichweite. Dazu zählt Trickbot, der seine Opfer mit Social Engineering angreift und beispielsweise per Phishing oder Malvertising (gefälschten Anzeigen) versucht, leichtgläubige Nutzer zu verleiten, auf Malware-Links zu klicken oder Malware-Dateien herunterzuladen.

Wozniak ergänzt: „2017 zeigte sich auch, dass immer mehr Internet-Traffic per SSL/TLS verschlüsselt wird. Deshalb ist es unerlässlich, dass Lösungen zur DDoS-Abwehr diese zunehmend ausgefeilten Angriffe genau unter die Lupe nehmen. Vollständige Transparenz und höhere Kontrolle auf allen Ebenen sind für Unternehmen zwingend erforderlich. Nur dann können sie ihren Kunden gegenüber glaubwürdig bleiben. Das wird noch wesentlich wichtiger, wenn 2018 die Datenschutz-Grundverordnung (DSGVO) der EU in Kraft tritt.“

(ID:45154734)