title: DDoS Equilibrium: Internet Measurement Perspective on Attacks and Mitigation
Creators: name: Kopp, Daniel
Publisher: name: KOBRA Universität Kassel
Year: 2024
Subjects: subject: Distributed Denial of Service (DDoS)
subject: Large-Scale Internet Measurements
classificationCode: 004
subject: 004
classificationCode: DoS-Attacke
subject: DoS-Attacke
classificationCode: Internetkriminalität
subject: Internetkriminalität
classificationCode: Computersicherheit
subject: Computersicherheit
classificationCode: Strafverfolgung
subject: Strafverfolgung
classificationCode: Maschinelles Lernen
subject: Maschinelles Lernen

description: <p>Distributed Denial of Service (DDoS) attacks remain among the most significant threats to Internet services and infrastructures. Their targets can be affected by substantial financial and reputational risks. Despite their existence for decades, the DDoS landscape continues to evolve since cybercriminals employ and adapt DDoS as an attack tool. Effectively understanding and countering these attacks requires multidisciplinary efforts, where security research provides insights into the latest technologies, tactics, and tools attackers employ. Security research enables the development of innovative detection, protection, and mitigation approaches and ensures to stay ahead of this evolving threat. 
This thesis first examines one of the sources of DDoS attacks: the emergence of DDoS- as-a-Service platforms, which enable anyone without technical knowledge to carry out DDoS attacks with the click of a button. We specifically examine the capabilities of these so-called booter services and the impact of law enforcement interventions on both the booter service ecosystem and DDoS attack trends. While we observe a temporary decline in attack traffic following takedown operations, our findings indicate that booter services quickly resume operations. Cybercriminal activities, like booter services, often rely on so- called Bullet Proof Hosting (BPH) infrastructures. Understanding and identifying these infrastructures is crucial for a comprehensive understanding of the DDoS phenomenon. Our study includes an analysis of a prominent BPH that was seized in 2019. Our findings provide valuable insights that can contribute to future detection methods by examining distinct domain and traffic characteristics. 
Understanding DDoS attack characteristics and techniques is essential for effective defense and the development of mitigation tools. To achieve these objectives, we analyze the DDoS landscape from the perspective of a major Internet Exchange Point (IXP). From this vantage point, we develop and implement detection approaches based on large-scale Internet flow measurements. This allows us to map the current landscape of employed amplification vectors and attack techniques. While we confirm the widespread use of well-known amplification attack protocols, we additionally identify the emergence of DDoS attacks exploiting newly discovered amplification protocols. Furthermore, we focus on attack strategies, particularly by examining the characteristics and prevalence of pulse wave DDoS attacks. Despite historical references, no prior study has quantified these attacks on the Internet. Our analysis demonstrates that pulse wave DDoS attacks account for a significant proportion of the overall DDoS attack landscape, comprising 27% of all observed attacks. 
Leveraging large-scale and distributed Internet infrastructures offers substantial potential and benefits for mitigating DDoS attacks effectively. In this context, we evaluate the advantage of a distributed perspective on DDoS attacks across different platforms. Based on these findings, we design and evaluate an architecture that facilitates the exchange of information about ongoing attacks. Our evaluation demonstrates the feasibility and benefits of collaborative DDoS detection and mitigation. Furthermore, we present IXP Scrubber, a Machine Learning (ML)-based system for detecting and filtering DDoS traffic at the Internet’s core, specifically IXP. This system continuously learns DDoS traffic properties from neighboring Autonomous Systems (ASes), by utilizing BGP signals, indicating unwanted traffic for specific routes (blackholing). In this way, IXP Scrubber autonomously adapts to new attack vectors without requiring manual intervention, thus enabling automatic detection and mitigation at the Internet’s core.</p>
description: <p>Distributed Denial of Service (DDoS)-Angriffe gelten als eine der größten Bedrohungen für Internetdienste und -infrastrukturen und verursachen erhebliche finanzielle Schäden und Reputationsverluste für die betroffenen Organisationen. Trotz jahrzehntelanger Existenz entwickelt sich die DDoS-Landschaft ständig weiter. Um diese Angriffe zu verstehen und wirksam zu bekämpfen, sind multidisziplinäre Ansätze erforderlich. Die IT-Sicherheitsforschung analysiert fortlaufend neue Angriffstechniken und entwickelt innovative Abwehrstrategien. Durch kontinuierliche Forschung werden innovative Erkennungs- und Schutzmaßnahmen entwickelt, um der fortwährenden Bedrohung durch DDoS-Angriffe effektiv zu begegnen.
In dieser Arbeit werfen wir zunächst einen Blick auf das Aufkommen krimineller Aspekte als eine Quelle von DDoS-Angriffen. Hierzu zählen Booter-Dienste, diese bieten DDoS-Angriffe als Dienstleistung (DDoS-as-a-Service) an, wodurch Angriffe für technisch unerfahrene Nutzer zugänglich werden. In unserer Analyse fokussieren wir uns zunächst auf die Eigenschaften von Angriffen aus dieser Quelle und dem Einfluss von Strafverfolgungsmaßnahmen. Unsere Analyse zeigt, dass Strafverfolgungsmaßnahmen zu einem kurzfristigen Rückgang des Angriffsaufkommens führen, viele Booter-Dienste jedoch schnell wieder aktiv werden. Booter-Dienste werden häufig durch sogenannte „Bulletproof Hosting“-Infrastrukturen (BPH) unterstützt. Für ein umfassendes Verständnis des DDoS-Phänomens identifizieren und untersuchen wir daher exemplarisch eine bekannte BPH-Infrastruktur, die 2019 beschlagnahmt wurde. Durch die Analyse von Domain- und Netzwerkverkehrsmerkmalen identifizieren wir Muster, die zur Entwicklung künftiger Erkennungsmethoden beitragen können.
Um DDoS-Angriffe effektiv zu erkennen und neue Abwehrmethoden zu entwickeln, ist eine detaillierte Analyse von Merkmalen und Techniken der Angriffe erforderlich. Mit diesem Ziel untersuchen wir die DDoS-Landschaft aus der Perspektive eines großen Internet Exchange Points (IXP). In unserer Studie entwickeln wir spezifische Erkennungsansätze, um den aktuellen Stand der genutzten Angriffsvektoren und -techniken im Internet systematisch zu erfassen. Dabei entdecken wir die weit verbreitete Nutzung bekannter Amplifikationsangriffsprotokolle und identifizieren das Aufkommen neuer Angriffstechniken. Darüber hinaus fokussieren wir uns auf eine spezielle Angriffstaktik, sogenannte Pulse-Wave-DDoS-Angriffe, und untersuchen deren Eigenschaften und Verbreitung. Unsere Analyse zeigt, dass Pulse-Wave-DDoS-Angriffe mit 27% aller beobachteten Angriffe einen bedeutenden Teil der DDoS-Landschaft ausmachen.
Die Nutzung von verteilten Internet-Infrastrukturen bietet erhebliche Vorteile, DDoS-Angriffe zu erkennen und abzuwehren. In diesem Zusammenhang untersuchen wir die gesamtheitliche Sicht einer verteilten Infrastruktur auf DDoS-Angriffe. Auf Grundlage dieser Erkenntnisse entwerfen und evaluieren wir eine Architektur, die den Austausch von Informationen über laufende Angriffe ermöglicht. Unsere Evaluierung verdeutlicht die Vorteile einer kollaborativen DDoS-Erkennung und -Abwehr. Darüber hinaus entwickeln wir „IXP Scrubber“, ein auf maschinellem Lernen (ML) basierendes System zur Erkennung und Filterung von DDoS-Verkehr in zentralen Infrastrukturen des Internets, IXPs. Dabei lernt das System kontinuierlich die Eigenschaften des DDoS-Verkehrs von benachbarten Autonomen Systemen (ASes) und nutzt BGP-Signale, die den Verkehr für bestimmte Routen unterbinden (Blackholing). Auf diese Weise passt sich das System selbstständig an neue Angriffsvektoren an, ohne dass ein manuelles Eingreifen erforderlich ist. Dadurch ermöglicht IXP Scrubber eine automatische DDoS-Erkennung und -Abwehr im Kern des Internets.</p>