Europa heeft meer internetaanvallen vanuit de eigen landen te verduren dan elke andere regio. Dit blijkt uit onderzoek van F5 Labs dat het aanvalsverkeer tussen 1 december 2018 en 1 maart 2019 onderzocht. De overgrote meerderheid van dit verkeer kwam van IP-adressen in Nederland, gevolgd door de VS, China, Rusland en Frankrijk.
Europese systemen liggen onder vuur vanuit de hele wereld. Op basis van een wereldwijde heatmap blijkt dat de bronnen ervan vergelijkbaar zijn met Australië en Canada, maar verschillend van de VS. De VS krijgt veel minder aanvallen vanuit Europa te verduren dan Europa zelf.
Nederland voert de ranglijst aan van aanvallende landen. De top tien bestaat verder uit VS, China, Rusland, Frankrijk, Iran, Vietnam, Canada, India, en Indonesië. Nederland was verantwoordelijk voor 1,5 keer zoveel aanvallen als de VS en Canada samen, en 6 keer zoveel als Indonesië.
Aanvalsnetwerken
Het Nederlandse HostPalace Web Solutions (ASN 133229) lanceerde de meeste aanvallen, gevolgd door het Franse Online SAS (ASN 12876), en het Nederlandse NForce Entertainment (ASN 43350). De drie web hosting providers komen regelmatig terug in de ‘threat actor networks’-lijsten van F5 Labs.
72 procent van alle gelogde ASN’s zijn internet service providers. 28 procent zijn web hosting providers. F5 Labs identificeerde ook de 50 belangrijkste aangevallen IP-adressen*. Bedrijven worden opgeroepen te controleren of ze verbindingen hebben met deze netwerken. De eigenaren van de netwerken worden opgeroepen hun IP-adressen te controleren op misbruik.
Poorten onder vuur
In Europa wordt met name poort 5060 aangevallen, gebruikt door het Sessions Initiation Protocol (SIP) voor Voice over IP (VoIP) zoals telefonie en videoconferencing. Deze poort is ook het doelwit geweest bij hoogwaardige events zoals de summits tussen Trump en Kim Jung Un en Vladimir Putin. De tweede populaire poort is de Microsoft Server Message Block (SMB) poort 445, gevolgd door 2222 die gebruikt wordt als niet-standaard Secure Shell (SSH) poort.
Beveiligingsmaatregelen
Gebaseerd op het onderzoek adviseert F5 organisaties continue kwetsbaarheidstesten te draaien om te ontdekken welke systemen open staan, via welke poorten. Als deze in verband staan met de populaire aanvalspoorten moeten ze met prioriteit worden afgeschermd, bijvoorbeeld door middel van firewall-technologie of kwetsbaarheidmanagement. Verkeer van web-applicaties op poort 80 moet afgeschermd worden door een web applicatie firewall, continu gescand worden op kwetsbaarheden en prioriteit krijgen met bijvoorbeeld patching en bug-reparatie.
Veel van de aanvallen op poorten die SSH ondersteunen, worden ook door middel van brute force aangevallen. Alle publieke login pagina’s moeten daarom bescherming hebben hiertegen.
“Netwerkbeheerders en securityspecialisten moeten netwerk-logs controleren op verbindingen met de belangrijkste aanvals-IPs. Als er hiervandaan aanvallen plaatsvinden, moeten de bedrijven een klacht indienen bij de eigenaren van de ASN’s en ISP’s zodat ze die systemen hopelijk afsluiten”, aldus Sara Boddy, Threat Research Director, F5 Labs. “IP blocking is riskant, omdat je mogelijk ook services blokkeert die klanten legitiem gebruiken. In deze gevallen is het aanvallend systeem waarschijnlijk een IoT-apparaat waarvan de gebruiker niet weet dat het geïnfecteerd is, en dus ook niet snel zal worden opgeschoond.”
“Verkeer blokkeren van een ASN of een ISP is problematisch om dezelfde redenen: klanten kunnen weglopen omdat ze onderbrekingen kunnen ondervinden in de dienstverlening. Tenzij de ISP uit een land komt waar geen zaken wordt gedaan; dan is geo-blocking te overwegen", zegt Boddy.
F5 Labs data Europa attacks.pdf
147.35 KB
Over F5
F5 (NASDAQ: FFIV) geeft ‘s werelds grootste bedrijven, service providers, overheden en consumentenmerken de gelegenheid om elke app, waar dan ook, veilig aan te bieden aan de gebruikers. F5 levert cloud en security applicatieservices die organisaties in staat stelt een infrastructuur te kiezen die het beste bij hen past, zonder concessies te doen op snelheid en controle. Meer informatie op
f5.com. Volg
@f5networks op Twitter of bekijk de
LinkedIn en
Facebook pagina’s voor de laatste ontwikkelingen.
F5 is a trademark or service mark of F5 Networks, Inc., in the U.S. and other countries. All other product and company names herein may be trademarks of their respective owners.
This press release may contain forward looking statements relating to future events or future financial performance that involve risks and uncertainties. Such statements can be identified by terminology such as "may," "will," "should," "expects," "plans," "anticipates," "believes," "estimates," "predicts," "potential," or "continue," or the negative of such terms or comparable terms. These statements are only predictions and actual results could differ materially from those anticipated in these statements based upon a number of factors including those identified in the company's filings with the SEC.