Die Botnet-Landschaft als sozialer Graph
Der Blick in den Abgrund
Über die Bedrohung durch DDoS-Attacken wurde bereits hinlänglich berichtet. Was noch nicht versucht wurde, ist eine veranschaulichende Darstellung des DDoS-Ökosystems. Die folgende Analyse von Forschungsdaten bietet einen interessanten Überblick.
Das Erforschen dieser Verbindungen hilft dabei, die Aktivität typischer Angreifer sowie die Ressourcen, die sie in verschiedenen Angriffsszenarien einsetzen, begrifflich zu fassen. Diese Informationen sind wertvoll sowohl beim Betreiben eines Netzwerkes, als auch für die jeweiligen Sicherheitsteams. Diese versuchen die Bedrohungen durch DDoS, denen sie ausgesetzt sind, besser zu verstehen.
Das Bild malen
Um die Beziehungen zwischen den Botnet-Geräten zu kartographieren, wurde eine Probe von 57.034 Botnet-IPs genutzt, die an DDoS-Angriffen gegen 580 Kunden in einem Zeitraum von 60 Tagen (vom 01.01.2016 bis 01.03.2016) beteiligt waren. Die Analyse wurde von Imperva durchgeführt.
Diese Stichprobe wurde nach Gephi exportiert. Dabei handelt es sich um ein hilfreiches Open-Source-Programm, mit dem im Allgemeinen Zentralitätsanalysen durchgeführt werden. Diese Analysemethode benutzt man beispielsweise, um die einflussreichste(n) Person(en) in einer sozialen Gruppe zu identifizieren oder Beziehungen zwischen Netzwerkknoten auszuwerten.
In diesem Fall wurden die Verbindungen zwischen IP-Zielen und angreifenden IPs gesucht, die an DDoS Angriffsszenarien beteiligt waren (Bild 1).
Dieser fremdartig erscheinende „Nebel“ ist in Wahrheit ein Schnappschuss von Angriffen gegen die Kunden von Imperva. Von weitem ist das Bild faszinierend, aber aus der Nähe ist es noch weit interessanter.
Um die Grafik zu verstehen, sollte Folgendes bekannt sein:
• Die roten Punkte sind Ziel-IPs
• Die blauen Punkte sind Angreifer-IPs
• Die violetten Linien sind der Fluss des Angriffs-Traffic
Außerdem ist es wichtig, die Distanz zwischen Objekten zu beachten, denn sie spiegelt Ähnlichkeiten im Verhalten wider. Angreifende IPs mit vergleichbaren Angriffsmustern sind nah beieinander angeordnet, während sehr ähnlich eng verbunden in Clustern gruppiert sind.
- Der Blick in den Abgrund
- Genauer hinsehen
- Drei verschiedene Arten von Angriffsszenarien
- Wenn es persönlich wird
Lesen Sie mehr zum Thema
