DDoS-aanvallen via NTP-protocol met 371 procent toegenomen in 30 dagen tijd

Prolexic Technologies, nu onderdeel van Akamai, heeft vandaag een ‘high alert threat advisory’ uitgegeven over de sterke toename in DDoS-aanvallen die gebruikmaken van de ‘NTP amplification’-techniek. Het gebruik van deze aanvalsmethode neemt sterk toe, onder andere dankzij de beschikbaarheid van nieuwe DDoS-toolkits waarmee heel gemakkelijk DDoS-aanvallen met een hoog verkeersvolume en met een grote bandbreedte kunnen worden uitgevoerd.

“In februari is het aantal NTP amplification-aanvallen tegen onze klanten met 371 procent toegenomen”, zegt Stuart Scholly, senior VP & general manager security bij Akamai. “Bij de grootste aanvallen die we dit jaar tot nu toe hebben waargenomen, ging het iedere keer om NTP amplification-aanvallen.”

Network Time Protocol

Een NTP amplification-aanval maakt misbruik van een kwetsbaarheid in het NTP network time protocol). Dit protocol wordt gebruikt om de tijd tussen verschillende systemen in een netwerk te synchroniseren. Bij deze aanvalsmethode wordt het IP-adres van een doelwit vervalst, waarbij zogenaamd vanaf dat adres een verzoek naar een NTP-server wordt verzonden. Vervolgens wordt door de NTP-server een antwoord naar het doelwit teruggestuurd dat ruim 200 keer zo groot kan zijn als het verzoek.

Hoewel NTP amplification-aanvallen al sinds jaren plaatsvinden, is er nu een aantal nieuwe DDoS-toolkits beschikbaar waarmee het voor kwaadwillenden gemakkelijker is om met slechts enkele servers een aanval uit te voeren. Met de huidige generatie NTP amplification aanvalstoolkits zijn aanvallen met een datavolume van 100Gbps of meer mogelijk, via slechts enkele kwetsbare NTP-servers.

Cijfers

Binnen slechts een maand (februari 2014 versus januari 2014) is:

• Het aantal NTP amplification-aanvallen met 371,43 procent toegenomen;
• Is de gemiddelde bandbreedte van DDoS-aanvallen met 217,97 procent toegenomen;
• Is het gemiddelde piekvolume van DDoS-aanvallen met 807,48 procent toegenomen.

In tegenstelling tot de grootste aanvallen van de afgelopen jaren, richtten de NTP amplification-aanvallen zich niet op een bepaalde industriesector. In februari werden organisaties uit de financiële, gaming, e-commerce, internet en telecom, media, educatie, Software-as-a-Service providers en beveiligingssector met deze methode aangevallen.

Bandbreedte versterken

In het lab van het Prolexic Security Engineering & Response Team (PLXsert) is aangetoond dat met NTP amplification-aanvallen de bandbreedte van een aanval zelfs met een factor 300 kan worden versterkt, terwijl het aanvalsvolume met een factor 50 kan worden vergroot. Dit laat zien dat deze aanvalsmethode zeer gevaarlijk is.

De NTP Amplification Attack Threat Advisory bevat een gedetailleerde analyse van de dreiging en aanbevelingen voor het beschermen tegen en het verzachten van de effecten van DDoS-aanvallen. Ook zijn er case studies van twee NTP amplification aanvalscampagnes die gericht waren tegen klanten van Prolexic. Deze Threat Advisory is hier te vinden.