RELATÓRIO SOBRE AS TENDÊNCIAS DO ATAQUE DISTRIBUÍDO DE NEGAÇÃO DE SERVIÇO DA VERISIGN 4A EDIÇÃO, 4O TRIMESTRE DE 2014

Transcrição

1 RELATÓRIO SOBRE AS TENDÊNCIAS DO ATAQUE DISTRIBUÍDO DE NEGAÇÃO DE 4A EDIÇÃO, 4O TRIMESTRE DE 2014

2 RELATÓRIO SOBRE AS TENDÊNCIAS DO CONTEÚDO RESUMO EXECUTIVO 3 TENDÊNCIAS DE ATAQUE DDoS OBSERVADAS PELA VERISIGN: 4 Mitigações por tamanho do ataque 4 MITIGAÇÕES POR SETOR VERTICAL 5 SERVIÇOS DE CONTRATAÇÃO DE DDoS SIGNIFICAM MAIOR AMEAÇA PARA AS EMPRESAS 7 CONCLUSÃO 8 2 2

3 RELATÓRIO SOBRE AS TENDÊNCIAS DO RESUMO EXECUTIVO Tamanho médio do ataque: 7,39 Gbps 14% T/T 245% A/A Este relatório contém as observações e conhecimentos derivados de mitigações de ataque distribuído de negação de serviço (DDoS) em nome dos clientes do DDoS Protection s da Verisign, ou em colaboração com os mesmos, além da pesquisa de segurança do Verisign idefense Security Intelligence s. Representa uma visão única sobre as tendências dos ataques on-line referentes ao trimestre anterior, inclusive estatísticas de ataque e tendências de comportamento. No período de 1o de outubro de 2014 a 31 de dezembro de 2014, a Verisign observou as seguintes tendências: Atividade de DDoS volumétrica sustentada, com ataques de até 60 Gbps/16 milhões de pacotes por segundo (Mpps) para inundações de Protocolo de Datagrama do Usuário (UDP) e 55 Gbps/60 Mpps para ataques baseados em Protocolo de Controle de Transmissão (TCP). O tamanho médio do ataque aumentou para 7,39 gigabits por segundo (Gbps), um aumento de 14% comparado com o T3 de 2014 e de 245% comparado com o T4 de O setor que sofreu o maior número de ataques no T4 foi o de serviços de TI/nuvem/SaaS, com um terço de toda a atividade de mitigação e pico de mais de 60 Gbps. O setor que é alvo com mais frequência: SERVIÇOS DE TI/ NUVEM/SAAS O número de ataques contra organizações do setor público aumentou consideravelmente e representou 15% de todas as mitigações da Verisign no T4. O número de ataques contra o setor de serviços financeiros dobrou em relação ao trimestre anterior, na forma de porcentagem do total de ataques no trimestre, e representou 15% de todas as mitigações. 42% dos ataques tiveram pico de mais de 1 Gbps, e 17% chegaram a mais de 10 Gbps de tráfego de DDoS. O Protocolo de Tempo de Rede (NTP) continua representando a maioria do tráfego de ataques refletidos de UDP, com um aumento contínuo no uso do vetor de ataque do Protocolo de Descoberta de Serviço Simples (SSDP) observado pela primeira vez no T3. Destaque do T4: Serviços de contratação de DDoS significam maior ameaça para as empresas A crescente disponibilidade de serviços de contratação de DDoS também conhecidos como "booters" representa um grande risco para os profissionais de segurança, pois esses serviços permitem que quase todas as pessoas contratem criminosos cibernéticos habilidosos para lançar um ataque DDoS direcionado por apenas US$ 2 por hora. O artigo em destaque deste trimestre ressalta como esse mercado malicioso funciona e apresenta alguns detalhes preocupantes sobre como é barato contratar um ataque DDoS hoje em dia. 3 3

4 RELATÓRIO SOBRE AS TENDÊNCIAS DO TENDÊNCIAS DE ATAQUE DDoS OBSERVADAS PELA VERISIGN: Mitigações por tamanho do ataque O tamanho dos ataques mitigados pela Verisign no quarto trimestre de 2014 teve um pico médio de 7,39 Gbps (veja a Figura 1). Isso representa um aumento médio de 14% no tamanho do ataque, comparado com o T3 de 2014 (6,46 Gbps), e um aumento de 245% comparado com o T4 de 2013 (2,14 Gbps) ,46 7,39 3,92 4,60 2,14 T4 de 2013 T1 de 2014 T2 de 2014 T3 de 2014 T4 de Gbps Figura 1: Tamanho médio de pico do ataque por trimestre A atividade de ataques DDoS na categoria de "10 Gbps ou mais" ficou em 17% de todos os ataques. Esse número diminuiu, pois chegava a 23% no T3 (ver Figura 2). De maneira geral, 42% dos ataques apresentaram mais de 1 Gbps do tráfego de ataque, o que ainda representa uma quantidade significativa de largura de banda para qualquer organização que dependa de redes para lidar com ataques DDoS em excesso. >10 Gbps >5<10 Gbps >1<5 Gbps >1 Gbps T1 de 2014 T2 de 2014 T3 de 2014 T4 de por cento Figura 2: Picos de mitigação por categoria em

5 RELATÓRIO SOBRE AS TENDÊNCIAS DO O maior ataque DDoS volumétrico baseado em UDP mitigado pela Verisign no T4 tinha como alvo um cliente do setor de serviços de TI/nuvem/SaaS. Foi, principalmente, um ataque refletivo de NTP que tinha como alvo a porta 443 e apresentou um pico de 60 Gbps e 16 Mpps. O ataque se manteve na taxa de 60 Gbps por mais de 24 horas e é outro exemplo de como a capacidade de botnet e a sustentabilidade do ataque podem ser mais fortes do que algumas organizações podem suportar. Os ataques baseados em TCP eram uma inundação de SYN contra um cliente do setor de mídia e entretenimento. O ataque tinha como alvo um portal de jogos personalizado e apresentou um pico de 55 Gbps e 60 Mpps. MITIGAÇÕES POR SETOR VERTICAL Os ataques DDoS são uma ameaça global e não se limitam a um setor vertical específico, conforme mostra a Figura 3. Além disso, a Verisign reconhece que os ataques por setor vertical relatados nesse documento apenas refletem a base de clientes protegidos da Verisign. No entanto, esses dados podem ser úteis para priorizar os gastos com segurança, com base na exposição observada do seu setor a ataques DDoS. No T4, os clientes de serviços de TI/nuvem/SaaS sofreram o maior volume de ataques (ver Figura 3), o que representou um terço de todos os ataques, com pico de tamanho acima de 60 Gbps. A Verisign espera que a tendência de ataques contra o setor de serviços de TI/nuvem/SaaS continue, à medida que essas organizações migram de ativos de IP para serviços e infraestrutura baseados na nuvem, ampliando sua superfície de ataque em dispositivos locais e em nuvens públicas e privadas. Serviços de TI/Nuvem/SaaS 33% Mídia e entretenimento/ Conteúdo 23% 0 Financeiro 15% Setor público 15% Comércio eletrônico/ Propaganda on-line Telecomunicações 8% 6% 100 Figura 3: Mitigações verticais no T4 de

6 RELATÓRIO SOBRE AS TENDÊNCIAS DO Os ataques ao setor público representaram 15 POR CENTO dos ataques no T4 de 2014 Os clientes do setor público sofreram o maior aumento no número de ataques e representam 15% do total de mitigações no T4. A Verisign acredita que o aumento excessivo no número de ataques DDoS direcionados ao setor público pode ser atribuído ao maior uso dos ataques DDoS como tática para o ativismo motivado pela política, ou hacktivismo, contra várias organizações reguladoras internacionais, e como reação a vários eventos bem divulgados durante o trimestre, inclusive protestos em Hong Kong e Ferguson, no estado norte-americano de Missouri. Conforme resumido no documento de Tendências e ameaças cibernéticas de 2015 do idefense, a convergência de movimentos de protestos físicos e on-line contribuiu para aumentar o uso do DDoS como uma tática contra as organizações, inclusive as do setor público, durante o ano de A Verisign também acredita que a disponibilidade crescente e imediata de kits de ferramentas de DDoS e as ofertas de DDoS como serviço no submundo cibernético também podem ter contribuído para o aumento dos ataques ao setor público. Prevê-se que essa tendência continue em O segundo maior aumento no número de ataques foi contra o setor financeiro, que foi duas vezes maior e agora representa 15% do total de mitigações. Conforme descrito no Relatório de tendências de DDoS da Verisign do T3 de 2014, com a temporada de fim de ano de 2014 em pleno andamento no T4, a Verisign normalmente observa um aumento na atividade de DDoS contra organizações de clientes durante esse período do ano. A Verisign mitigou mais ataques DDoS em dezembro do que em qualquer outro mês de VETORES E MITIGAÇÃO DE ATAQUES NO Amplificação de NTP No T4 de 2014, o vetor de ataque mais comum observado pela Verisign continuou a ser ataques de amplificação de UDP que aproveitaram o Protocolo de Tempo de Rede (NTP). Conforme descrito em relatórios anteriores, muitas empresas não utilizam nem confiam em sistemas externos para seu NTP. Nesse caso, a solução pode ser restringir ou limitar as portas NTP de entrada/saída apenas para os hosts autenticados/conhecidos. Amplificação de SSDP Além disso, a Verisign continuou a observar a exploração do Protocolo de Descoberta de Serviço Simples (SSDP) nos ataques de amplificação de DDoS no T4. A Verisign recomenda que os leitores façam uma auditoria de ativos internos para garantir que sua empresa não seja aproveitada, sem seu conhecimento, em ataques DDoS baseados em SSDP. Para a maioria das empresas, as implementações de SSDP não devem ser abertas para a Internet. Nesse caso, o protocolo deve ser bloqueado na extremidade da rede para oferecer proteção contra esse vetor específico até a capacidade da rede da empresa. 6 6

7 RELATÓRIO SOBRE AS TENDÊNCIAS DO Destaque: SERVIÇOS DE CONTRATAÇÃO DE DDoS SIGNIFICAM MAIOR AMEAÇA PARA AS EMPRESAS Um dos temas mais comuns sobre os ataques DDoS durante o ano de 2014 é que os agentes, as estratégias e as ferramentas envolvidas se desenvolveram constantemente e melhoraram sua eficácia e intensidade. Aliás, como você deve ter visto nas notícias, alguns criminosos cibernéticos se tornaram tão adeptos ao lançamento de ataques DDoS de sucesso que viraram profissionais. A crescente disponibilidade de serviços de contratação de DDoS também conhecidos como "booters" representa um grande risco para os profissionais de segurança, pois esses serviços permitem que quase todas as pessoas contratem criminosos cibernéticos habilidosos para lançar um ataque DDoS direcionado. Desde seus primórdios em 2010, os recursos de contratação de DDoS avançaram em termos de sucesso e popularidade e, para nossa surpresa, podem ser utilizados hoje por um valor extremamente baixo. Muitos podem ser contratados por apenas US$ 5 por hora, outros por US$ 2 por hora (veja a Figura 41), de acordo com a pesquisa do Verisign idefense Security Intelligence s. Além disso, ataques intensos e duradouros podem ser implementados por apenas US$ 800 por mês. Talvez seja ainda mais preocupante o fato de que, nos últimos anos, os serviços de contratação de DDoS tenham se tornado muito habilidosos para trabalhar de maneira discreta e evitar que as autoridades os detectem. Nome do serviço Preço do serviço (USD) Xakepy.cc 1 hora a partir de US$ 5 24 horas a partir de US$ 30 1 semana a partir de US$ mês a partir de US$ 800 World DDoS 1 dia a partir de US$ 50 1 semana a partir de US$ mês a partir de US$ King s DDoS 1 hora a partir de US$ 5 12 horas a partir de US$ horas a partir de US$ 50 1 semana a partir de US$ mês a partir de US$ MAD DDoS 1 noite a partir de US$ 35 1 semana a partir de US$ mês a partir de US$ 500 Gwapo s Professional DDoS 1 a 4 horas a partir de US$ 2 por hora 5 a 24 horas a partir de US$ 4 por hora 24 a 72 horas a partir de US$ 5 por hora 1 mês a partir de US$ fixos PsyCho DDoS 1 hora por US$ 6 1 noite por US$ 60 1 semana por US$ mês por US$ 900 fixos DDoS noite por US$ 50 Blaiz DDoS 1 dia por US$ 70 1 semana a partir de US$ 450 Critical DDoS 1 dia a partir de US$ 50 1 semana a partir de US$ mês a partir de US$ 900 No. 1* DDoS_ SERVICE 1 dia a partir de US$ 50 1 semana a partir de US$ mês a partir de US$ Figura 4: Lista de preços de alguns serviços de contratação de DDoS 1 Verisign idefense Security Intelligence s,

8 RELATÓRIO SOBRE AS TENDÊNCIAS DO Devido à sua natureza ilegal, os serviços de contratação de DDoS normalmente são realizados em segredo. Conforme esperado, os serviços de DDoS raramente são anunciados de maneira aberta e muitas vezes são desabilitados. Assim, os operadores de botnet geralmente anunciam seus serviços de DDoS em fóruns do submundo cibernético e, muitas vezes, proporcionam detalhes dos seus serviços específicos, preços e garantias de desempenho. Contratar booters é um negócio arriscado. No fundo, a parte contratante procura um parceiro para cometer um crime. Decidir quem é digno de confiança e capaz de seguir o plano não é nada fácil. Portanto, nesses fóruns, a reputação de um serviço tem um impacto enorme no seu sucesso em geral. Assim, às vezes alguns agentes atrevidos utilizam abordagens mais criativas nos anúncios: os operadores do serviço de DDoS Gwapo, por exemplo, subiram vídeos no YouTube, com atores confiantes que liam um roteiro para explicar o serviço de DDoS e pediam aos potenciais compradores que entrassem em contato com os operadores por . Um dos esforços de propaganda mais notórios para um serviço de DDoS em 2014 foi do grupo de DDoS Lizard Squad. Desde agosto de 2014, o grupo assumiu a responsabilidade por ataques realizados contra vários serviços de jogos on-line, inclusive do PlayStation Network (PSN), da Sony Corp., e do Xbox Live, da Microsoft, Inc. O PSN e o Xbox Live ficaram offline por um bom tempo devido aos ataques DDoS de 25 de dezembro de Após os ataques bem-sucedidos no Natal, o Lizard Squad começou a anunciar a operação do seu próprio serviço de DDoS, o LizardStresser, cuja implementação custa de US$ 5,99 a US$ 119,99 por mês. Em uma entrevista, um suposto membro do grupo disse ao site de tecnologia DailyDot que esses ataques notáveis tinham o objetivo de impulsionar a demanda pelo serviço de DDoS do grupo.2 A transferência de dinheiro representa riscos e obstáculos adicionais para os serviços de contratação de DDoS e seus clientes, pois a maioria dos pagamentos com cheque ou cartão deixam registros que podem levar a qualquer uma das partes. No entanto, a maioria dessas transações financeiras utiliza várias moedas on-line, inclusive a Bitcoin, que permite que as partes envolvidas façam negócios de maneira anônima e reduz o risco de uma investigação. CONCLUSÃO Devido à disponibilidade imediata da oferta de contratação de DDoS e à crescente possibilidade de pagar por esses serviços, empresas de todos os tamanhos e setores sofrem um risco maior do que nunca de se tornarem vítimas de um ataque DDoS que pode afetar sua disponibilidade e produtividade. Isso sairia caro às empresas, não apenas em termos de receita on-line, mas também em relação à incalculável reputação da empresa e à confiança do cliente. A conscientização e o entendimento das capacidades desses serviços, além dos esforços conjuntos de agentes que os vendem e utilizam, provavelmente sejam a chave para combater a ameaça de DDoS agora e no futuro. 2 Turton, William. Lizard Squad s Xbox Live, PSN attacks were a marketing scheme for new DDoS service. DailyDot. 30 de dezembro de VerisignInc.com 2015 VeriSign, Inc. Todos os direitos reservados. VERISIGN, o logotipo VERISIGN e outras marcas comerciais, marcas de serviços e designs são marcas comerciais registradas ou não registradas da VeriSign, Inc. e de suas subsidiárias nos Estados Unidos e em outros países. Todas as outras marcas comerciais pertencem a seus respectivos proprietários. Material público da Verisign