Internett-apokalypse nå? eksperter sier nei

Det forsterkede DDoS-angrepet fra webhotellleverandøren CyberBunker mot antispamantrekk SpamHaus Project er store nyheter. New York Times veide inn, det samme gjorde BBC. Internett-beskyttelsesbyrå CloudFlare rapporterte at angrepet eskalerte opp til leverandører av båndbredde i Tier 1, og at et 300 Gbps DDoS-angrep bremset forbindelsene for mange Internett-brukere. Men vent litt. Opplevde du en avmatning? Det gjorde heller ikke I. Faktisk rapporterer nå ganske mange eksperter at selv dette største DDoS-angrepet noensinne ikke påvirket internett generelt nevneverdig.

Bare en blip?

Keynote Systems overvåker kontinuerlig responstiden til 40 "viktige amerikanske forretningsnettsteder", og kobler dem til dem fra en rekke viktige steder rundt om i verden. Gjennomsnittlig responstid varierer, men har en tendens til å holde seg omtrent i samme område. Og Keynote Performance Index viser bare en mild "blip" under angrepet.

Keynote-ekspert Aaron Rudger sa: "Tallene lyver ikke - og det er et faktum." Han refererte til en graf over resultatene de siste fire ukene, og bemerket at "de europeiske agentene rapporterer om ganske konsistent og normal ytelse gjennom… DDoS-hendelsen. Det er imidlertid en liten blipp som dukker opp."

"Vi ser, " sa Rudger, "at de europeiske agentene opplevde langsommere responstid - opptil 40% saktere enn gjennomsnittet - mellom kl. 08.30 og 14.30 (PST) 26. mars. Det er mulig at Spamhaus-angrepet kan være relatert til denne nedgangen, men vi kan ikke være sikre. " Rudger bemerket at tusenvis av mennesker som streamet den store fotballkampen som skjedde på samme tid, kunne forklare avmatningen. "Han avviser påstanden om at angrepet forårsaket dager med forstyrrelse og sa:" Vi ser rett og slett ikke fra våre data."

Bare Hype?

I et omfattende blogginnlegg går Gizmodos Sam Biddle et skritt lenger, og beskylder CloudFlare for å overdrive problemet til egen fordel. CloudFlare, sier Biddle, er "ansvarlig for den himmelfallende værmeldingen om internett, partiet som vil tjene direkte på at du er bekymret for at Internett slik vi kjenner det er under beleiring."

Biddles artikkel viser grafer fra uavhengige kilder (ligner Keynote) og viser ingen pigger i trafikk eller fall i responstid. En rapport fra Amazon om Netflix hosting viste null strømbrudd i løpet av uken. En talsperson for NTT, "en av grunnleggende operatører av Internett, " uttalte at mens et angrep på 300 Gbps er enormt, har de fleste regioner kapasiteter i Tbps-området, og konkluderte med at "jeg er med deg i tvil om det rystet det globale internett."

Biddle konkluderer med at CloudFlare prøvde å skremme internettets innbyggere og tro at de var innbyggerne i Dresden for å tromme opp virksomheten. "Hvis produktet ditt er verdt, " sa Biddle, "du burde ikke måtte lyve på internett for å selge det." Sterke ord.

Å belyse problemet

Adam Wosotowsky, Messaging Data Architect ved McAfee Labs, føles som å kutte CloudFlare litt slakk. Selv om de overhypet situasjonen, "er det ingen skade i den." Han påpeker at det å trekke oppmerksomhet til problemet kan hjelpe "mindre forberedte steder der ute som ikke er klare for denne typen situasjoner ganske enkelt fordi de ikke pirker i hornets reir hele dagen." Å få ordet ut betyr at disse selskapene "kan ha fordel av å vite at problemet ikke er unikt, og at det faktisk er selskaper som spesialiserer seg på å hjelpe dem å avverge angrepene."

Når det gjelder den rapporterte nedgangen, bekreftet Wosotowsky at McAfee fant noen nettsteder "betydelig påvirket." Han bemerket at på grunn av størrelsen på angrepet, kan det godt påvirke "tangentielle tjenester som er på et tidspunkt i deres vei ved å bruke den samme båndbredden."

Det faktum at det ikke er berettiget å foreta en kolossal freak-out, sa Wosotowsky, "reduserer ikke viktigheten av analysen… Fra perspektivet om å utrotte trygge havner for malware-forfattere og botmasters er historien virkelig verdig."

Penger og kraft

Kaspersky Labs globale forsknings- og analyseteam uttrykte ingen tvil om angrepens alvorlighetsgrad, og bemerket at "dataflyten som genereres av et slikt angrep kan påvirke mellomliggende nettverksnoder når den passerer dem, og dermed hindrer drift av normale webtjenester som har ikke noe forhold til Spamhaus eller Cyberbunker. " De fortsatte med å observere at "DDoS-angrep av denne typen vokser både når det gjelder mengde og størrelse."

Hvorfor denne økningen? Teamet bemerket to store (og noen ganger overlappende) motivasjoner. "Cybercriminals utfører DDoS-angrep for å forstyrre selskaper i et forsøk på å presse ut penger fra dem, " sa teamet. De kan også "DDoS-angrep som et våpen for å forstyrre organisasjoner eller selskaper i jakten på sine egne ideologiske, politiske eller personlige interesser." Uansett kan massive DDoS-angrep som dette forstyrre tjenesten for mer enn bare angrepens mål.

Følg med!

CyberBunker-angrepet brukte DNS-refleksjon, en teknikk som lar dem sende en bitteliten datapakke som igjen får en DNS-server til å spy en mye større pakke på målet. I virkeligheten forsterker det angrepet hundre ganger. Ja, det er andre måter å implementere et DDoS-angrep på, men dette er BFG9000 til gjengen. Å gjøre DNS-refleksjon umulig ville være en god ting.

Open DNS Resolver Project viser over 25 millioner servere som testene deres viser "utgjør en betydelig trussel." DET fyrene, vær oppmerksom! Er bedriftens DNS-servere på den listen? Gjør litt research og sikre dem mot angrep som forfalskning av IP-adresser. Vi takker alle sammen.