VERISIGN DAĞITILMIŞ HİZMET REDDİ TREND RAPORU SAYI 'ÜN 4. ÇEYREĞİ

Transkript

1 VERISIGN DAĞITILMIŞ HİZMET REDDİ TREND RAPORU SAYI 'ÜN 4. ÇEYREĞİ

2 VERISIGN DAĞITILMIŞ HİZMET İÇERİKLER YÖNETİCİ ÖZETİ 3 VERISIGN TARAFINDAN GÖZLENEN DDOS SALDIRI TRENDLERİ: 4 Saldırı Boyutuna göre Azaltmalar 4 MÜŞTERİ ODAKLI SEKTÖRE GÖRE AZALTMALAR 5 Özelliği: KİRALAMA USULÜ DDoS HİZMETLERİ İŞLETMELER İÇİN DAHA BÜYÜK TEHDİT ANLAMINA GELİYOR 7 SONUÇ 8 2 2

3 VERISIGN DAĞITILMIŞ HİZMET YÖNETİCİ ÖZETİ Ortalama saldırı boyutu: 7,39 Gbps %14 Ç/Ç %245 Y/Y Bu rapor, Verisign DDoS Protection s'in müşterileri adına ve onlarla işbirliği yaparak gerçekleştirilen dağıtılmış hizmet reddi (DDoS) saldırı azaltma işlemlerine ilişkin gözlemleri ve bilgileri ve Verisign idefense Security Intelligence s'in güvenlik araştırmasını içermektedir. Rapor, önceki çeyrekte çevrimiçi yayılan saldırı trendlerine yönelik olarak saldırı istatistikleri ve davranış trendlerini içeren benzersiz bir görüş yansıtmaktadır. 1 Ekim 2014'ten başlayıp 31 Aralık 2014'e kadar süren dönemde Verisign, aşağıdaki önemli trendleri gözlemledi: Kullanıcı Veri Birimi Protokolü (UDP) saldırılarına yönelik saniyede 60 Gbps/16 Milyon pakete (Mpps) ve İletim Denetimi Protokolü (TCP) tabanlı saldırılara yönelik 55 Gbps/60 Mpps'ye ulaşan saldırılarla devamlı hacimsel DDoS aktivitesi. Ortalama saldırı boyutu, 2014'ün 3. Çeyreğine kıyasla yüzde 14 ve 2013'ün 4. Çeyreğine kıyasla yüzde 245 artarak saniyede 7,39 gigabit (Gbps) oldu. 4. Çeyrekte en sık hedeflenen sektör, tüm azaltma faaliyetlerinin üçte birini kapsayan ve 60 Gbps'nin üzerindeki boyutuyla IT Hizmetleri/Bulut Bilişim/SaaS oldu. En sık hedeflenen sektör: IT HİZMETLERİ/ BULUT BİLİŞİM/SAAS Kamu Sektörü kuruluşlarına karşı saldırı sayısında, 4. Çeyrekteki tüm Verisign azaltma işlemlerinin yüzde 15'ini kapsayarak önemli ölçüde bir artış meydana geldi. Finans Hizmetleri sektörüne karşı saldırılar, tüm azaltma işlemlerinin yüzde 15'ini kapsayarak çeyrekteki toplam saldırıların yüzdelik oranı açısından son çeyreğe kıyasla iki katına çıktı. Saldırıların yüzde 42'si, 10 Gbps DDoS trafiğinden daha fazlasından yararlanan yüzde 17'lik oranla 1 Gbps'yi aşarak tepe noktasına ulaşmıştır. Ağ Zaman Protokolü (NTP), aslen 3. çeyrekte gözlenen Basit Hizmet Algılama Protokolü (SSDP) saldırı vektörünün kullanımındaki sürekli artışla birlikte, yansıtılan UDP saldırı trafiğini çoğunluğunu oluşturmaya devam ediyor. Ç4'ün Özelliği: Kiralama Usulü DDoS Hizmetleri İşletmeler için Daha Büyük Tehdit Anlamına Geliyor "Booter" olarak da bilinen kiralama usulü DDoS hizmetlerine yönelik kullanımın gittikçe artması, güvenlik çalışanları için büyük bir risk oluşturur. Bunun nedeni, saat başına 2 ABD Doları kadar küçük bir ücret karşılığında hedeflenen bir DDoS saldırısı başlatmak için herhangi birinin yetenekli siber suçluları sanal olarak kiralamasına olanak tanımasıdır. Bu çeyreğin konusu bu zararlı pazarın nasıl işlediği hakkındadır ve sadece birkaç dolarla kiralama usulü bir DDoS saldırısının nasıl olduğuna dair bazı önemli ayrıntılar sunmaktadır. 3 3

4 VERISIGN DAĞITILMIŞ HİZMET VERISIGN TARAFINDAN GÖZLENEN DDoS SALDIRI TRENDLERİ: Saldırı Boyutuna göre Azaltmalar 2014'ün dördüncü çeyreğinde Verisign tarafından azaltılan saldırıların boyutu 7,39 Gbps değerinde ortalama maksimum bir boyuta ulaştı (bkz. Şekil 1). Bu, 2014'ün üçüncü çeyreğine göre ortalama saldırı boyutunda yüzde 14 (6,46 Gbps), 2013 yılının dördüncü çeyreğine kıyasla ise yüzde 245'lik (2,14 Gbps) bir artışı ifade ediyor. 2,14 3,92 4,60 Şekil 1: Çeyreğe göre Ortalama Maksimum Saldırı Boyutu "10 Gbps ve üzeri" kategorisindeki DDoS saldırısı etkinliği, üçüncü çeyrekte yüzde 23'ten biraz gerilese de tüm saldırıların yüzde 17'sini oluşturarak yüksek bir yüzdede olmaya devam etti (bkz. şekil 2). Toplamda saldırıların yüzde 42'si DDoS saldırılarına hazırlıklı ağa dayalı bir kuruluş için bugün bile önemli miktarda bir bant genişliği olmaya devam eden 1 Gbps'den fazla saldırı trafiğiyle gerçekleşmiştir. Şekil 2: 2014 Kategoriye göre Maksimum Azaltmalar 6,46 7, Ç Ç Ç Ç4 >10 Gbps >5<10 Gbps >1<5 Gbps >1 Gbps Gbps 2014 Ç Ç Ç Ç Yüzde 4 4

5 VERISIGN DAĞITILMIŞ HİZMET 4. çeyrekte Verisign tarafından azaltılan en büyük hacimsel UDB tabanlı DDoS saldırısı bir IT Hizmetleri/Bulut Bilişim/SaaS müşterisini hedeflemiştir. Bu öncelikle 443 numaralı portu hedefleyen ve 60 Gbps ve 16 Mpps ile tepe noktasına ulaşan bir NTP yansıtma saldırısıydı. Saldırı 24 saatten fazla 60 Gbps oranında sürdü ve botnet kapasitesi ve saldırı sürekliliğinin bazı kuruluşların kendi başlarına yönetebileceklerinden daha fazla olabileceğinin başka bir örneğini gösterdi. En büyük TCP tabanlı saldırı bir Medya ve Eğlence müşterisine karşı bir SYN saldırısı oldu. Saldırı bir bahis portu müşterisini hedefledi ve 55 Gbps ve 60 Mpps ile tepe noktasına ulaştı. MÜŞTERİ ODAKLI SEKTÖRE GÖRE AZALTMALAR DDoS saldırıları global bir tehdittir ve Şekil 3'te gösterildiği gibi müşteri odaklı herhangi bir sektörle sınırlı değildir. Ayrıca, Verisign bu belgede raporlanan müşteri odaklı sektörlere yapılan saldırıların sadece Verisign'ın korumasında olan müşteri tabanını yansıttığını bilmektedir; bununla birlikte bu veriler sektörünüzün gözlemlenen DDoS saldırılarına maruz kalma yoğunluğuna göre güvenlik harcamaları önceliğinin belirlenmesine yardımcı olabilir. 4. çeyrekte IT Hizmetleri/Bulut Bilişim/SaaS müşterileri tüm saldırıların üçte birine karşılık gelen ve büyüklük olarak 60 Gbps'den fazla değeriyle tepe noktasına ulaşan saldırıların (bkz. Şekil 3) en büyük kısmıyla karşı karşıya kalmıştır. Verisign IT Hizmetleri/Bulut Bilişim/SaaS sektörüne karşı yapılan saldırılardaki trendin devam etmesini bekliyor, bu nedenle bu kuruluşlar kamusal ve özel bulutlarda saldırı alanlarını etkili şekilde genişleterek IP varlıklarını bulut tabanlı hizmetlere ve altyapıya taşıyorlar. E-Ticaret/ Çevrimiçi Reklamcılık IT Hizmetleri/Bulut Bilişim/SaaS %33 Medya ve Eğlence/İçerik %23 Finansal %15 0 Kamu Sektörü %15 Telekomünikasyon %8 %6 100 Şekil 3: 2014'ün 4. Çeyreğinde Müşteri Odaklı Sektörlere Göre Azaltmalar 5 5

6 VERISIGN DAĞITILMIŞ HİZMET Kamu Sektörüne karşı saldırılar 2014 yılının 4. çeyreğindeki saldırıların YÜZDE 15'İNİ oluşturdu Kamu sektörü müşterileri 4. çeyrekte toplam azaltmaların yüzde 15'ini oluşturarak saldırılardaki en büyük artışı yaşadı. Verisign, kamu sektörünü hedef alan DDoS saldırılarındaki bu büyük artışın, saldırıyı yapanların DDoS saldırılarını çeşitli uluslararası yönetim kuruluşlarına karşı ve Hong Kong ve Ferguson, MO'daki protestolar da dahil olmak üzere çeyrek boyunca geniş anlamda yankı bulan çeşitli etkinliklerin sonucunda politik nedenli aktivizm veya internet korsancılığına yönelik yöntemler olarak daha fazla kullanmalarına neden olabileceğini düşünüyor. idefense in 2015 Siber Tehditler ve Trendler raporunda belirtildiği gibi çevrimiçi yakınsama ve fiziki protesto hareketleri, 2014 yılı boyunca kamu sektörü de dahil olmak üzere kuruluşlara karşı bir taktik olarak DDoS'un daha çok kullanılmasında pay sahibi olmuştur. Ayrıca Verisign, DDoS araç setlerinin ve siber yer altında bir hizmet olarak DDoS tekliflerinin hazır ve artan kullanılabilirliğinin de kamu sektörüne saldırılardaki artışta pay sahibi olduğunu düşünüyor ve bu trendin 2015 yılında devam edeceğini tahmin ediyor. Saldırı sayısındaki bir sonraki en büyük artış toplam azaltmaların yüzde 15'ini oluşturarak ikiye katlandığı finans sektörüne karşıydı. Ç Verisign DDoS Trendleri Raporunda belirtildiği gibi 2014 tatil sezonu 4. çeyrekte en yoğun dönemindeydi ve Verisign her yılın bu döneminde müşterilerinin kuruluşlarına karşı DDoS faaliyetinde önceki yıllara göre bir artış gözlemlemektedir. Verisign, Aralık ayında 2014 yılının diğer aylarına göre daha fazla DDoS saldırısını azalttı. DDoS SALDIRI VEKTÖRLERİ VE AZALTMA NTP Sorgulaması 2014 yılının 4. çeyreğinde Verisign tarafından gözlemlenen en yaygın saldırı vektörü Ağ Zaman Protokolünü (NTP) hedef alan UDP sorgulama saldırıları olmaya devam etti. Önceki raporlarda ele alındığı gibi, çoğu kuruluş NTP'leri için dış sistemleri kullanmaz veya bu sistemlere güvenmez, bu yüzden bu durumda çözüm gelen/giden NTP portlarını sadece yetkili/ bilinen ana makineleri kısıtlamak veya oran limiti koymak kadar kolay olabilir. SSDP Sorgulaması Ayrıca, Verisign 4. çeyrekteki DDoS sorgulama saldırılarında kullanılan Basit Hizmet Algılama Protokolünü (SSDP) gözlemlemeye devam etti. Verisign, SSDP tabanlı DDoS saldırılarında farkında olmadan kullanmamalarını sağlamak için okurlarına şirket içi varlıkların denetlenmesini tavsiye eder. Çoğu işletmede, SSDP uygulamalarının İnternete açık olmasına gerek yoktur. Bu durumda bir kuruluşun ağ kapasitesine kadar bu belirli vektörden korumak için protokol ağ aşamasında engellenmelidir. 6 6

7 VERISIGN DAĞITILMIŞ HİZMET Özelliği: KİRALAMA USULÜ DDoS HİZMETLERİ İŞLETMELER İÇİN DAHA BÜYÜK TEHDİT ANLAMINA GELİYOR 2014 boyunca DDoS saldırılarının başlıca özelliklerinden biri kişilerin, stratejilerin ve araçların etkinlikte ve yoğunlukta sürekli olarak değişerek ve gelişerek yer almış olmasıdır. Aslında daha önceki bültenlerde görebileceğiniz gibi bazı siber suçlular, başarılı DDoS saldırıları başlatmada o kadar yetenekliler ki artık profesyonel hale gelmiş durumdalar. "Booter" olarak da bilinen kiralama usulü DDoS hizmetlerine yönelik kullanımın gittikçe artması, güvenlik çalışanları için büyük bir risk oluşturur. Bunun nedeni, hedeflenen bir DDoS saldırısı başlatmak için herhangi birinin yetenekli siber suçluları sanal olarak kiralamasına olanak tanımasıdır. Verisign idefense Security Intelligence s araştırmasına göre 2010 yılından bu yana kiralama usulü DDoS saldırısı uzmanları şaşırtıcı bir şekilde hem başarı hem de popülerlik kazanmaya devam ediyor ve bu kişiler bugün son derece az bir ücret karşılığında kiralanabiliyor; bunların birçoğu saat başına 5 ABD Dolarına, hatta bazıları 2 ABD Doları kadar az bir ücretle kiralanabiliyor (bkz. Şekil 41). Ayrıca, yoğun ve uzun süre devam eden saldırılar aylık 800 ABD Doları kadar az bir ücretle gerçekleştirilebiliyor. Belki de son birkaç yılda kiralama usulü DDoS hizmetlerinin radar altında çalışma konusunda kayda değer şekilde başarılı olması ve yetkililer tarafından ifşa edilememeleri daha da can sıkıcı bir durum. Hizmet Adı Hizmet Fiyatlandırması (ABD) Xakepy.cc 1 saat 5 ABD Dolarından başlayan fiyatlarla 24 saat 30 ABD Dolarından başlayan fiyatlarla 1 hafta 200 ABD Dolarından başlayan fiyatlarla 1 ay 800 ABD Dolarından başlayan fiyatlarla World DDoS 1 gün 50 ABD Dolarından başlayan fiyatlarla 1 hafta 300 ABD Dolarından başlayan fiyatlarla 1 ay 1200 ABD Dolarından başlayan fiyatlarla King s DDoS 1 saat 5 ABD Dolarından başlayan fiyatlarla 12 saat 25 ABD Dolarından başlayan fiyatlarla 24 saat 50 ABD Dolarından başlayan fiyatlarla 1 hafta 500 ABD Dolarından başlayan fiyatlarla 1 ay 1500 ABD Dolarından başlayan fiyatlarla MAD DDoS 1 gece 35 ABD Dolarından başlayan fiyatlarla 1 hafta 180 ABD Dolarından başlayan fiyatlarla 1 ay 500 ABD Dolarından başlayan fiyatlarla Gwapo s Professional DDoS 1-4 saat, saat başına 2 ABD Doları 5-24 saat, saat başına 4 ABD Doları saat, saat başına 5 ABD Doları 1 ay sabit 1000 ABD Doları PsyCho DDoS 1 saat 6 ABD Doları 1 gece 60 ABD Doları 1 hafta 380 ABD Doları 1 ay 900 ABD Doları DDoS gece 50 ABD Doları Blaiz DDoS 1 gün 70 ABD Doları 1 hafta 450 ABD Dolarından başlayan fiyatlarla Critical DDoS 1 gün 50 ABD Dolarından başlayan fiyatlarla 1 hafta 300 ABD Dolarından başlayan fiyatlarla 1 ay 900 ABD Dolarından başlayan fiyatlarla No. 1* DDoS_ SERVICE 1 gün 50 ABD Dolarından başlayan fiyatlarla 1 hafta 300 ABD Dolarından başlayan fiyatlarla 1 ay 1000 ABD Dolarından başlayan fiyatlarla Şekil 4: Kiralama Usulü DDoS Hizmetleri Seçmek Üzere Fiyat Listesi 1 Verisign idefense Security Intelligence s,

8 VERISIGN DAĞITILMIŞ HİZMET Yasa dışı niteliği bilinen kiralama usulü DDoS hizmetleri daima gizlilik içinde yürütülmektedir. Tahmin edebileceğiniz gibi açık şekilde reklamı yapılan DDoS hizmetlerinin sayısı az ve bunlara da çoğunlukla müdahale ediliyor. Botnet operatörleri bu durumdan kaçınmak için DDoS hizmetlerinin reklamını çoğunlukla özel hizmetlerini, fiyatlarını ve performans garantilerini ayrıntılı şekilde anlattıkları gizli forumlarda yapıyor. Elbette booter kiralamak riskli bir iş. Esas itibarıyla kiralayan taraf kendisiyle birlikte suç işleyecek bir ortak arıyor; kimlerin güvenilir ve yetenekli olduğuna karar vermek gerçekten de kolay değil. Bu forumlarda genel başarıyı yansıtan bir hizmet itibarı karar verme aşamasında büyük bir etkiye sahiptir. Bununla birlikte bazen, daha küstah aktörlerin reklam işine yönelik daha yaratıcı yaklaşımları oluyor: Örneğin; Gwapo DDoS hizmeti operatörleri DDoS hizmetini açıklamak için bir yazıyı okuyan ve potansiyel alıcıların e-posta aracılığıyla operatörlerle iletişime geçmesini isteyen ve böylece şüphe çekmeyen kişilerin bulunduğu videoları yayınlamak için YouTube'u kullandı yılında bir DDoS hizmetine yönelik daha yüksek profilli reklam çalışmalarından biri Lizard Squad DDoS grubundan geldi. Grup, Ağustos 2014'ten beri Sony Corp.'un PlayStation Ağı (PSN) ve Microsoft Inc.'in Xbox Live ağı dahil olmak üzere çoklu çevrimiçi oyun hizmetlerine karşı yapılan saldırıları üstleniyor. PSN ve Xbox Live 25 Aralık 2014 tarihindeki DDoS saldırıları sırasında önemli bir süre çevrimdışı kaldı. Lizard Squad Christmas sırasındaki başarılı saldırılarından sonra aylık 5,99 ila 119,99 ABD Doları çalışma maliyetiyle kendine ait LizardStresser DDoS hizmetinin işleyişine dair reklamlar yapmaya başladı. Grubun sözde üyelerinden biri bir röportajda, DailyDot teknik sitesine yapılan kayda değer saldırıların grubun DDoS hizmetine olan talebi yönlendirdiği anlamına geldiğini söyledi.2 Para aktarımı, kiralama usulü DDoS hizmetleri ve müşterileri için fazladan engel ve risk sunar, çünkü çoğu çek ve kart ödemesinin taraflardan birine geri dönebilen bir kayıt oluşturur. Bunun yerine bu finansal işlemlerin çoğunda Bitcoin dahil olmak üzere ilgili tarafların anonimliği koruyarak iş yapmasını ve gözetlenme riskini azaltmasını sağlayan çeşitli çevrimiçi para birimleri kullanılır. SONUÇ Bir hizmet olarak DDoS tekliflerinin hazır kullanılabilirliği ve her büyüklükteki ve sektördeki bu tür hizmetlerin ve kuruluşların artan satın alınabilirliği göz önünde bulundurulduğunda ağ kullanılabilirliğine ve verimliliğine zarar verebilen ve sadece çevrimiçi gelir değil, paha biçilemez itibar kaybı ve müşteri güveni bakımından da pahalıya mal olabilecek bir DDoS saldırısının kurbanı olma riski geçmişe göre daha büyük bir risktir. Bu hizmetlerin kapasitelerinin farkında olma ve bunları bilme, bu hizmetleri satan ve sunan kişilerin birlikte gösterecekleri çaba bugün ve yarın DDoS tehdidine karşı mücadele etmede kesinlikle kilit rol oynayacaktır. 2 Turton, William. "Lizard Squad'ın Xbox Live ve PSN saldırıları yeni DDoS hizmetleri için bir 'pazarlama hilesidir'." DailyDot. 30 Aralık VerisignInc.com 2015 VeriSign, Inc. Tüm hakları saklıdır. VERISIGN, VERISIGN logosu ve diğer ticari markalar, hizmet markaları ve tasarımlar, VeriSign, Inc.'in ve Amerika Birleşik Devletleri ve dış ülkelerdeki bağlı kuruluşlarının tescilli veya tescilli olmayan ticari markalarıdır. Diğer tüm ticari markalar ilgili sahiplerinin mülkiyetidir. Verisign Public