Link11 DDoS-Report Q3 2019: Gefahr durch Volumen- und Applikations-Attacken

DDoS-Attacken zeigten sich im 3. Quartal 2019 unverändert bandbreitenstark und komplex. Die Angreifer kombinierten in jeder zweiten Attacke mehrere Angriffsvektoren und trieben die Angriffsvolumen mit Reflection-Amplification-Techniken in die Höhe. Neben Volumenattacken konzentrierten sich die Angreifer auf Attacken mit geringen Bandbreiten, die dafür umso mehr Pakete enthielten.

Das Link11 Security Operation Center (LSOC) hat neue Zahlen zur Bedrohungslage durch DDoS-Attacken veröffentlicht. Im 3. Quartal 2019 blieben Volumen-Attacken weiterhin die wichtigste Angriffsform. Die bandbreitenstarken Attacken sollen die Außenanbindung des attackierten Unternehmens blockieren. Die Bandbreiten-Peak lag in diesem Quartal bei 102 Gbps.

Massive Angriffsbandbreiten durch Reflection-Amplification-Techniken

Vielfach setzten die Angreifer auf Verstärkungstechniken, um die Angriffsvolumen in die Höhe zu treiben. DNS Reflection war der mit Abstand am häufigsten eingesetzte Reflection-Amplification-Vektor (42 %). Danach folgten SNMP mit 21 % und CLDAP mit 14 %. Neue Angriffstechniken wie WS Discovery und Apple Remote, die im 2. Quartal 2019 erstmals registriert wurden, wurden mehrfach in Attacken nachgewiesen.
Jede zweite Attacke (52 %) basierte zudem auf mehreren Angriffstechniken. Am häufigsten kombinierten die Angreifer 3 Vektoren. Das bisherige Maximum an Vektoren, die das LSOC im 3. Quartal registriert hat, lag bislang bei 11.

Attacken auf Anwendungsebene blockieren Server-Ressourcen

Die neuesten Zahlen aus der Netzwerküberwachung zeigen außerdem, dass die Angreifer immer häufiger Applikations- und Protokoll-Attacken einsetzten. Die Attacken auf Anwendungsebene zielen direkt auf Anwendungsfunktionen und APIs, nicht aber auf die Internetanbindung. Sie verfolgen das Ziel, die Prozesse und Ressourcen für Layer 7 lahmzulegen. Kennzeichnend für Applikations-Attacken sind geringe Bandbreiten und hohe Paketraten.

„Die Analysen zeigen, dass es keinen Anlass für Entwarnung gibt“, so Rolf Gierhard, Vice President Marketing bei Link11. „Die Angreifer kombinieren immer häufiger mehrere Angriffstechniken bzw. erweitern ihr Angriffsset mit neuen Protokollen. Die Angriffe zeigen sich immer intelligenter und tarnen sich als legitimer Netzwerkverkehr. Das erschwert es vielen Unternehmen, sie schnell zu erkennen und wirksam abzuwehren.“

Die Daten basieren auf abgewehrten Attacken auf Webseiten und Server, die durch Link11 geschützt sind. Neben Netzwerkanalysen und der Auswertung von DDoS-Attackendaten stützt sich der Link11 DDoS-Report auch auf Open-Source-Intelligence-Analysen (OSINT).