Integration von Threat Intelligence Feeds in DDoS-Schutzsysteme Mit Threat Intelligence den DDoS-Schutz verbessern

Anbieter zum Thema

Radware GmbH – München

Mimecast Germany GmbH

TXOne Networks

Distributed Denial of Service-Angriffe sind zu einer großen Bedrohung für Unternehmen geworden, von den kleinsten bis hin zu den größten multinationalen Konzernen. Viele Security-Teams greifen deshalb zum Schutz ihrer Netzwerke jetzt vermehrt auf Threat Intelligence Feeds zurück. Um aber auch den passenden für das eigene Unternehmen zu finden, gilt es einige Punkte zu beachten.

Laut dem Global Threat Analysis Report 2022 von Radware sind bösartige DDoS-Angriffe im Vergleich zu 2021 um 150 Prozent gestiegen. Auch die Häufigkeit von DDoS-Angriffen hat deutlich zugenommen und ist besorgniserregend. Weltweit konnten Unternehmen im vierten Quartal 2022 durchschnittlich 29 Angriffe pro Tag abwehren, das sind 3,5 Mal so viele wie Ende 2021 mit etwa acht Angriffen pro Tag. Im Vergleich zu 2021 gab es nicht nur mehr DDoS-Angriffe, sondern sie waren auch stärker, häufiger und komplexer und umfassten mehr Angriffsvektoren.

Der weltweite Anstieg ist der Grund dafür, dass viele Unternehmen im Rahmen ihrer Investitionen zum Schutz ihrer Netzwerke vor DDoS-Angriffen jetzt auf Threat Intelligence Feeds zurückgreifen. Ein Threat Intelligence Feed ist eine Sammlung von Daten über bekannte und neue Bedrohungen. Im Bereich des DDoS-Schutzes liefern Threat Intelligence Feeds Informationen über bekannte DDoS-Angriffe und deren Merkmale, wie z. B. die IP-Adressen der Angreifer, die Art der gestarteten Angriffe und die Ziel-IP-Adressen. Die Struktur dieser Feeds ist breit gefächert und kann Angriffsmuster, Vorfälle, Malware, Phishing-Kampagnen und mehr umfassen.

Threat Intelligence Feeds werden in der Regel von Organisationen erstellt, die sich auf Cybersicherheit spezialisiert haben, z. B. von Sicherheitsanbietern, Anbietern von Bedrohungsdaten, Regierungsbehörden, Open-Source-Informationsplattformen und Sicherheits-Forschungsunternehmen. Diese Organisationen sammeln und analysieren Bedrohungsdaten aus einer Vielzahl von Quellen, z. B. Indikatoren für den Netzwerkverkehr, Open-Source-Informationen, Dark-Web-Foren und sogar soziale Medien.

Warum sind Threat Intelligence Feeds wichtig?

Auch wenn manche Leute denken, dass Feeds unnötig sind, weil sie bereits über einen Schutz vor Zero-Day-Angriffen verfügen, zeigt die Realität das Gegenteil. Der Vorteil von Threat Intelligence Feeds besteht darin, dass das System bei bekannten Angriffen und Angreifern den bösartigen Datenverkehr außerhalb der Grenzen eines Unternehmens hält. Außerdem bieten sie Zugang zu einer Fülle von Informationen über neue Bedrohungen, bekannte Malware-Familien und andere Indikatoren, die helfen können, Angriffe zu erkennen und zu blockieren, bevor sie Schaden anrichten. Dazu gehören Informationen über die neuesten Angriffstechniken, Malware-Muster und Schwachstellen, die zur Entwicklung neuer Angriffe genutzt werden können.

Darüber hinaus können Feeds helfen, Angriffe zu erkennen und abzuwehren, die von einer Zero-Day-Engine übersehen werden könnten. Dazu können Angriffe gehören, die auf Social Engineering oder anderen Techniken beruhen, die nicht rein technischer Natur sind. Durch die Nutzung von Feeds in Verbindung mit einer Zero-Day-Engine können Sicherheitsteams der sich entwickelnden Bedrohungslandschaft immer einen Schritt voraus sein und ihre Netzwerke und Daten besser schützen.

Arten von Threat Intelligence Feeds

Der Bereich der Threat Intelligence Feeds ist sehr vielfältig. Jeder Anbieter konzentriert sich auf verschiedene Arten von Feeds, die auf seine Produktlinien abgestimmt sind. In der Netzwerkbranche werden häufig folgende Typen verwendet:

• Indicators of Compromise (IOCs) Feeds enthalten spezifische Artefakte wie IP-Adressen, Domänennamen, Datei-Hashes und E-Mail-Adressen, die mit einem Bedrohungsakteur oder einer bösartigen Aktivität in Verbindung gebracht werden. Sie enthalten eine Liste der neuesten IOCs, die "in freier Wildbahn" beobachtet wurden, und können von Sicherheitsprodukten verwendet werden, um Angriffe zu erkennen und zu blockieren.

• Taktische Threat Intelligence Feeds liefern Informationen über spezifische Bedrohungen und deren Taktiken, Techniken und Verfahren (TTPs). Sie können Einzelheiten zu verwendeter Malware, Angriffsvektoren und der von den Bedrohungsakteuren genutzten Infrastruktur enthalten.

• Strategische Threat Intelligence Feeds liefern einen breiteren Überblick über die Bedrohungslandschaft. Sie bieten Einblicke in die Motivationen, Ziele und Taktiken der Bedrohungsakteure. Außerdem können sie als Grundlage für Sicherheitsstrategien und -richtlinien dienen und potenzielle Bedrohungen erkennen, bevor sie zu Angriffen werden.

• Operative Threat Intelligence Feeds liefern Echtzeitinformationen über Bedrohungen, die aktiv auf ein Unternehmen abzielen. Sie können genutzt werden, um Sicherheitswarnungen und -maßnahmen zu priorisieren und die Reaktion auf Zwischenfälle zu koordinieren.

• Open-Source-Intelligence-Feeds liefern Informationen über Bedrohungen, die in öffentlich zugänglichen Quellen wie sozialen Medien, Nachrichtenartikeln und Foren beobachtet wurden (OSINT). Sie können genutzt werden, um neue Bedrohungen zu erkennen und die Aktivitäten von Bedrohungsakteuren zu verfolgen.

Auswahl eines Threat Intelligence Feeds

Es gibt kein einheitliches, branchenweites Protokoll, das Threat Intelligence Feeds regelt. Es gibt jedoch mehrere Faktoren, die ein Unternehmen berücksichtigen sollte, wenn es den richtigen Feed für sein Unternehmen sucht.

• 1. Relevanz für einen Bereich: Wie bereits erwähnt, gibt es eine Vielzahl von Feeds, und jeder hat seinen eigenen Schwerpunkt. Unternehmen sollten zum Beispiel darauf achten, dass der von ihnen ausgewählte Feed Informationen enthält, die ihren Schutz verbessern können und auf ihre Bedürfnisse zugeschnitten sind, wie z. B. IP-Adressen.

• 2. Ein Bericht über die Entwicklung von Angriffen: Unternehmen sollten Feeds auswählen, die in Echtzeit aktualisiert werden und globale Daten über ein breites Spektrum von Angriffen liefern. Dynamik ist ein wesentliches Merkmal bei der Auswahl des richtigen Feeds.

• 3. Schnelle Aktualisierung: Die Relevanz der Indikatoren eines Feeds kann kurz sein und sich schnell ändern, daher sollte der Feed immer sehr zeitnah aktualisiert werden.

• 4. Kategorisierung: Je nach Art des Bedrohungsakteurs muss eine Kategorisierung vorgenommen werden; unterschiedliche Kategorien erfordern möglicherweise unterschiedliche Reaktionen. Einige Bedrohungsakteure sind zum Beispiel Konkurrenten des Unternehmens, die versuchen, geschützte Informationen zu stehlen. Andere sind vielleicht Aktivisten, die eine soziale oder politische Sache unterstützen.

• 5. Sichtbarkeit und Kontrolle: Um den Feed optimal nutzen zu können, sollte der Feed-Dienst eine hohe Benutzerfreundlichkeit bieten, die die Konfiguration von Kategorien und die Verwaltung von Informationen erleichtert.

Eine neue Ebene des Netzwerkschutzes

Cyber-Bedrohungen nehmen in alarmierendem Tempo zu. Das ist einer der vielen Gründe, warum Threat Intelligence Feeds ein unverzichtbares Tool für Unternehmen sind, die sich vor DDoS-Angriffen schützen müssen. Durch die Integration von Threat Intelligence Feeds in DDoS-Schutzsysteme können die Sicherheitslage verbessert und das Risiko von Störungen, Ausfällen und einer Beeinträchtigung des Unternehmens-Images minimiert werden. Solche ergänzen konventionelle Basis-Schutzlösungen und bieten eine zusätzliche Ebene der Netzwerksicherheit.

Über die Autorin: Shani Czyzyk ist Solutions Product Manager bei Radware.

(ID:49704117)