Fors meer DDoS-aanvallen

Dit blijkt uit een nieuw rapport van F5 Labs. De afgelopen jaren daalde het aantal DDoS-aanvallen, maar vorig jaar werden ze weer vaker toegepast. Het 2024 DDoS Attack Trends rapport van F5 Labs registreerde 2.127 aanvallen in 2023. In 2022 waren het er 1.003. Uit analyse van de incidenten die zijn geregistreerd via het F5 Distributed Cloud-platform - gecombineerd met inzichten van F5's Security Incident Response- en Threat Analytics and Reporting-teams - bleek dat organisaties in 2023 te maken hadden met gemiddeld elf aanvallen. De organisatie die het meest onder vuur lag, kreeg gedurende het jaar 187 afzonderlijke aanvallen te verduren, waaronder de grootste aanval die door F5 Labs is geregistreerd.

“Door een combinatie van geopolitieke onrust, uitgebuite kwetsbaarheden en de opkomst van nieuwe botnets zijn denial of service-incidenten geëxplodeerd sinds ons laatste rapport in februari 2023”, zegt David Warburton, directeur van F5 Labs. “Het is duidelijk dat de dreiging van DDoS-aanvallen voortdurend in ontwikkeling is, en zoals dit rapport laat zien, neemt deze ook weer toe.”

Veel aanvallen van meer dan 500 Gbps

Volgens de analyse van F5 Labs bleven de aanvalsgroottes gedurende 2023 hoog, constant boven de 100Gbps en veel boven de 500Gbps. Februari was opvallend kalm met de grootste aanval van minder dan 10Gbps.

“De eerste maanden van 2023 werden beïnvloed door een grote ingreep van Europol en internationale partners in december 2022,” legt Warburton uit. “Ze schakelden servers uit die verantwoordelijk waren voor veel DDoS-activiteit, waaronder één die 30 miljoen aanvallen had gefaciliteerd. De impact hiervan was aanzienlijk, maar van korte duur. Na een opvallend rustige februarimaand, zagen we in maart de grootste geregistreerde aanval van het jaar. In de loop van 2023 zagen we DDoS-aanvallen terugkomen naar hogere activiteitsniveaus dan voorheen.”

Soort DDoS-aanval varieert en verschuift continu

DDoS-aanvallen varieerden niet alleen in grootte, maar vielen ook verschillende lagen aan. Aanvallen variëren van volume-aanvallen die erop gericht zijn netwerkbandbreedte te verbruiken tot protocolaanvallen gericht op netwerkapparaten en applicatieaanvallen om beschikbaar geheugen of CPU-cycli te verbruiken.

Vanaf 2022 nam het aantal aanvallen op de applicatielaag (waaronder HTTP(S)-overflows en DNS-query's) toe, met een piek van bijna 40 procent van alle aanvallen in het eerste kwartaal van het kalenderjaar 2023. Later dat jaar keerde die verschuiving echter om, waarbij aanvallen gericht op de applicatielaag terugvielen naar ongeveer 25 procent van alle aanvallen, terwijl zowel de volume-aanvallen als protocolaanvallen hun aandeel vergrootten.

Softwaresector blijft belangrijkste doelwit

De sterke toename van DDoS-activiteit trof bepaalde sectoren harder dan andere in 2023. Software en services bleven het belangrijkste doelwit en kregen meer dan twee keer zoveel aanvallen te verduren als het jaar daarvoor. De sector was het doelwit van 37 procent van alle aanvallen, hoewel deze relatief klein van omvang waren met een piek van 200Gbps in november.

De telecom-sector was de op één na meest aangevallen sector en zag de grootste toename in aanvallen. Bedrijven in deze sector rapporteerden vorig jaar een toename van het aantal aanvallen met 655 procent, goed voor bijna een kwart (23 procent) van alle DDoS-aanvallen die F5 Labs in 2023 registreerde.

Op de derde plek staat de sector voor support services, goed voor 11 procent van alle aanvallen. In deze sector werd ook de grootste aanval geregistreerd die plaatsvond in maart en goed was voor 1Tbps. In dit geval probeerden aanvallers de getroffen organisatie uit te schakelen met een stortvloed aan TCP SYN-pakketten.

Diverse Europese landen zijn populair doelwit

Naast sectoren zagen de onderzoekers ook bepaalde regio’s als populair doelwit. De top zes landen, de Verenigde Staten, Frankrijk, Saoedi-Arabië, Italië, België en het Verenigd Koninkrijk - waren vorig jaar het doelwit van 80 procent van alle DDoS-aanvallen. De VS alleen al was goed voor 38 procent van het totaal, en organisaties in de VS kregen te maken met meer dan het dubbele aantal incidenten dan die in Frankrijk, het op één na meest getroffen land.

Voor organisaties die niet volledig kunnen vertrouwen op een beheerde DDoS-dienst raadt F5 Labs aan DNS-firewalls in te zetten, ervoor te zorgen dat schadelijke IP-adressen worden geblokkeerd en dat er oplossingen zijn om bots en niet-menselijk verkeer te identificeren. Daarnaast benadrukt het rapport het belang van bescherming tegen nieuwe DoS-aanvalsvectoren die vaak terugvallen op ongepatchte software- of hardwareoplossingen. Er is ook een voortdurende noodzaak om op de hoogte te blijven van geopolitieke gebeurtenissen. Het rapport van F5 Labs benadrukt ook dat robuuste informatie over cyberbedreigingen de sleutel is tot een beter inzicht in de activiteiten van aanvallers en hun intenties om DDoS- en andere cyberaanvallen uit te voeren.

Meer informatie is beschikbaar in het rapport van F5, dat hier beschikbaar is.