Mehr als 9.513 DDoS-Attacken im 3. Quartal 2016

DDoS-Gefahr in Deutschland, Österreich und Schweiz Mehr als 9.513 DDoS-Attacken im 3. Quartal 2016

06.12.2016Redakteur: Peter Schmitz

In Deutschland, Österreich und der Schweiz wächst die Anzahl der DDoS-Attacken erneut und erreichte im 3. Quartal 2016 einen neuen Höchstwert von 9.515 Attacken. Nach Messungen des DDoS-Schutzspezialisten Link11 lag die Zahl um 37,5 Prozent über der gemessenen Summe aus dem 1. Quartal 2016. Die durchschnittliche Intensität der Einzelangriffe ist dabei leicht gesunken.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

TXOne Networks

Link11 GmbH

9.513 DDoS-Attacken richteten sich von Juli bis September gegen Unternehmen in Deutschland, Österreich und der Schweiz. Das entspricht einer Zunahme um 37,5 Prozent gegenüber dem 1. Quartal 2016.
(Bild: Link11)

Das Link11 Security Operation Center (LSOC) hat in diesen Tagen seinen DDoS-Report für das dritte Quartal 2016 veröffentlicht. Die wichtigste Zahl des vierteljährlichen Lagebildes für die DACH-Region: 9.513 DDoS-Attacken richteten sich von Juli bis September gegen Unternehmen in Deutschland, Österreich und der Schweiz. Diese Zahl markiert das vierte Quartal in Folge einen Höchstwert und entspricht einer Zunahme um 37,5 Prozent gegenüber dem 1. Quartal 2016.

Attackenspitzen von über 80 Gbps

Der vom LSOC registrierte größte Angriff erreichte ein Volumen von 84,3 Gbps. Außerdem verzeichneten die DDoS-Schutzspezialisten 62 weitere Attacken mit Bandbreiten zwischen 20 und 80 Gbps. Bei 2 von 3 Attacken setzten die Täter wie schon im vorherigen Quartal auf die Angriffsvektoren UDP Floods und TCP SYN Floods. Bei den beiden größten gemessenen Attacken mit 84,3 Gbps und 71,8 Gbps arbeiteten die Angreifer ausschließlich mit TCP SYN Floods. Die drittstärkste Attacke mit 65,5 Gbps basierte hingegen zu 100 Prozent auf UPD Floods.

Weitere Zahlen und Analysen zu DDoS-Attacken in der DACH-Region finden sich in der untenstehenden Bildergalerie.

Bildergalerie

Am häufigsten starteten die Angreifer ihre DDoS-Attacken zwischen 16.00 und 24.00 Uhr.

Der Juli war der angriffsstärkste Monat im 3. Quartal. Die 3.807 registrierten Attacken erreichten eine Gesamtdauer von 23.296 Minuten.

Den größten Anteil an den abgewehrten DDoS-Attacken hatten Angriffe mit weniger als 5 Gbps Bandbreite. Ihre Zahl lag bei 9.108 Angriffen.

Eine Hyper-Attacke erreichte im 3. Quartal eine Stärke von 84,3 Gpbs. Die Spitzenbandbreite der Hyper-Attacke baute sich in weniger als 3 Minuten auf.

Bildergalerie mit 8 Bildern

Angriffsvektoren: HTTPS Floods und TFTP Reflection auf dem Vormarsch

Der DDoS-Report für das 3. Quartal zeigt aber auch Veränderungen bei den Angriffstechniken. Im Vergleich zum vorherigen Quartal haben HTTPS Floods stark zugenommen und sind mit einem Anteil von 16,4 Prozent inzwischen der dritthäufigste Vektor. Von Juli bis September zeigte sich außerdem der steigende Missbrauch des TFTP Protokolls für DDoS-Attacken. Im 2. Quartal wurden 3 Attacken mit TFTP registriert, während allein im September 257 Angriffe beobachtet wurden.

Klassische Reflection-Attacken immer seltener

Bei Reflection-Attacken unter Verwendung von DNS- und NTP-Servern sowie SSDP-kontrollierten Geräten (IoT) stellte das LSOC einen Rückgang der Angriffszahlen fest. Die Anteile bei allen drei Angriffsvektoren haben sich seit dem 2. Quartal nahezu halbiert: DNS Reflection sank von 6,5 Prozent auf 3,6 Prozent. Wie Werte für SSDP Reflection fielen von 3,5 Prozent auf 1,7 Prozent. NTP Reflection liegt nur noch bei 1,4 Prozent (Q2 2016: 3,7 Prozent).

Multivektor-Attacken mit bis zu 10 Vektoren

Bei 2 von 5 Attacken kombinierten die Angreifer mindestens 2 unterschiedliche Vektoren. Dabei fällt der hohe Anteil von Dreivektor-Attacken (69 Prozent) auf. Angriffe mit zwei, vier oder fünf Vektoren waren seltener als im vorherigen Quartal registriert worden. Bei einer Multivektor-Attacke reicht meist ein erfolgreicher Vektor, um das Ziel offline zu nehmen.

Ein Hoster aus dem Gaming-Bereich war von den zwei Attacken mit den meisten Einzelvektoren getroffen worden: einer Neunvektor- und einer 10-Vektor-Attacke. Die Zusammensetzung der Vektoren ähnelte sich bei beiden Angriffen so sehr, dass das LSOC denselben IP-Stresser-Service vermutet. Auffällig war u. a. der mit 36,8 Prozent und mit 35,5 Prozent hohe Anteil an SSDP Reflection.