Ddos трафик. Защита от DDoS: как своими силами отбить атаку – руководство

DDoS обходится бизнесу в 40000 долларов в час .

SUCURI

Защита от DDoS-атак включена в пакет антивируса и файрвола. В случае если вам нужна комплексная защита сайта , то в таком случае вам подойдет Website Antivirus, который оберегает от угроз в сети, в том числе от DDoS-атак, а также включает следующие услуги:

• выявление и удаление вредоносного кода;
• контроль безопасности;
• оптимизация скорости;
• защита от брутфорса;
• защита от уязвимости нулевого дня;
• защита от нежелательных ботов.

Alibaba

Anti-DDoS можно использовать не только в случае размещения на Alibaba, но и для AWS, Azure, Google Cloud и пр.

MYRA

MYRA размещается в Германии, так что данные обрабатываются в соответствии с федеральным законом Германии о защите данных.

DoS и DDoS-атака — это агрессивное внешнее воздействие на вычислительные ресурсы сервера или рабочей станции, проводимое с целью доведения последних до отказа. Под отказом мы понимаем не физический выход машины из строя, а недоступность ее ресурсов для добросовестных пользователей — отказ системы в их обслуживании (D enial o f S ervice, из чего и складывается аббревиатура DoS).

Если такая атака проводится с одиночного компьютера, она классифицируется как DoS (ДоС), если с нескольких — DDoS (ДиДоС или ДДоС), что означает «D istributed D enial o f S ervice» — распределенное доведение до отказа в обслуживании. Далее поговорим, для чего злоумышленники проводят подобные воздействия, какими они бывают, какой вред причиняют атакуемым и как последним защищать свои ресурсы.

Кто может пострадать от DoS и DDoS атак

Атакам подвергаются корпоративные сервера предприятий и веб-сайты, значительно реже — личные компьютеры физических лиц. Цель подобных акций, как правило, одна — нанести атакуемому экономический вред и остаться при этом в тени. В отдельных случаях DoS и DDoS атаки являются одним из этапов взлома сервера и направлены на кражу или уничтожение информации. По сути, жертвой злоумышленников может стать предприятие или сайт, принадлежащие кому угодно.

Схема, иллюстрирующая суть DDoS-атаки:

DoS и DDoS-атаки чаще всего проводят с подачи нечестных конкурентов. Так, «завалив» веб-сайт интернет-магазина, который предлагает аналогичный товар, можно на время стать «монополистом» и забрать его клиентов себе. «Положив» корпоративный сервер, можно разладить работу конкурирующей компании и тем самым снизить ее позиции на рынке.

Масштабные атаки, способные нанести существенный урон, выполняются, как правило, профессиональными киберпреступниками за немалые деньги. Но не всегда. Атаковать ваши ресурсы могут и доморощенные хакеры-любители — из интереса, и мстители из числа уволенных сотрудников, и просто те, кто не разделяет ваши взгляды на жизнь.

Иногда воздействие проводится с целью вымогательства, злоумышленник при этом открыто требует от владельца ресурса деньги за прекращение атаки.

На сервера государственных компаний и известных организаций нередко нападают анонимные группы высококвалифицированных хакеров с целью воздействия на должностных лиц или вызова общественного резонанса.

Как проводятся атаки

Принцип действия DoS и DDoS-атак заключается в отправке на сервер большого потока информации, который по максимуму (насколько позволяют возможности хакера) загружает вычислительные ресурсы процессора, оперативной памяти, забивает каналы связи или заполняет дисковое пространство. Атакованная машина не справляется с обработкой поступающих данных и перестает откликаться на запросы пользователей.

Так выглядит нормальная работа сервера, визуализированная в программе Logstalgia :

Эффективность одиночных DOS-атак не слишком высока. Кроме того, нападение с личного компьютера подвергает злоумышленника риску быть опознанным и пойманным. Гораздо больший профит дают распределенные атаки (DDoS), проводимые с так называемых зомби-сетей или ботнетов.

Так отображает деятельность ботнета сайт Norse-corp.com:

Зомби-сеть (ботнет) — это группа компьютеров, не имеющих физической связи между собой. Их объединяет то, что все они находятся под контролем злоумышленника. Контроль осуществляется посредством троянской программы, которая до поры до времени может никак себя не проявлять. При проведении атаки хакер дает зараженным компьютерам команду посылать запросы на сайт или сервер жертвы. И тот, не выдержав натиска, перестает отвечать.

Так Logstalgia показывает DDoS-атаку:

Войти в состав ботнета может абсолютно любой компьютер. И даже смартфон. Достаточно подхватить троянца и вовремя его не обнаружить. Кстати, самый крупный ботнет насчитывал почти 2 млн машин по всему миру, а их владельцы понятия не имели, чем им приходится заниматься.

Способы нападения и защиты

Перед началом атаки хакер выясняет, как провести ее с максимальным эффектом. Если атакуемый узел имеет несколько уязвимостей, воздействие может быть проведено по разным направлениям, что значительно усложнит противодействие. Поэтому каждому администратору сервера важно изучить все его «узкие места» и по возможности их укрепить.

Флуд

Флуд, говоря простым языком, это информация, не несущая смысловой нагрузки. В контексте DoS/DDoS-атак флуд представляет собой лавину пустых, бессмысленных запросов того или иного уровня, которые принимающий узел вынужден обрабатывать.

Основная цель использования флуда — полностью забить каналы связи, насытить полосу пропускания до максимума.

Виды флуда:

• MAC-флуд — воздействие на сетевые коммуникаторы (блокировка портов потоками данных).
• ICMP-флуд — заваливание жертвы служебными эхо-запросами с помощью зомби-сети или рассылка запросов «от имени» атакуемого узла, чтобы все члены ботнета одновременно отправили ему эхо-ответ (атака Smurf). Частный случай ICMP-флуда — ping-флуд (отправка на сервер запросов ping).
• SYN-флуд — отправка жертве многочисленных SYN-запросов, переполняя очередь TCP-подключений путем создавая большого количества полуоткрытых (ожидающих подтверждения клиента) соединений.
• UDP-флуд — работает по схеме Smurf-атак, где вместо ICMP-пакетов пересылаются датаграммы UDP.
• HTTP-флуд — заваливание сервера многочисленными HTTP-сообщениями. Более изощренный вариант — HTTPS-флуд, где пересылаемые данные предварительно шифруются, и прежде чем атакуемый узел их обработает, ему предстоит их расшифровать.

Как защититься от флуда

• Настроить на сетевых коммутаторах проверку на валидность и фильтрацию MAC-адресов.
• Ограничить или запретить обработку эхо-запросов ICMP.
• Блокировать пакеты, приходящие с определенного адреса или домена, который дает повод подозревать его в неблагонадежности.
• Установить лимит на количество полуоткрытых соединений с одним адресом, сократить время их удержания, удлинить очередь TCP-подключений.
• Отключить сервисы UDP от приема трафика извне или ограничить количество UDP-соединений.
• Использовать CAPTCHA, задержки и другие приемы защиты от ботов.
• Увеличить максимальное количество HTTP-подключений, настроить кэширование запросов с помощью nginx.
• Расширить пропускную способность сетевого канала.
• По возможности выделить отдельный сервер для обработки криптографии (если используется).
• Создать резервный канал для административного доступа к серверу в аварийных ситуациях.

Перегрузка аппаратных ресурсов

Существуют разновидности флуда, которые воздействуют не на канал связи, а на аппаратные ресурсы атакуемого компьютера, загружая их по полной и вызывая зависание или аварийное завершение работы. Например:

• Создание скрипта, который разместит на форуме или сайте, где у пользователей есть возможность оставлять комментарии, огромное количество бессмысленной текстовой информации, пока не заполнится всё дисковое пространство.
• То же самое, только заполнять накопитель будут логи сервера.
• Загрузка сайта, где выполняется какое-либо преобразование введенных данных, непрерывной обработкой этих данных (отправка так называемых «тяжелых» пакетов).
• Загрузка процессора или памяти выполнением кода через интерфейс CGI (поддержка CGI позволяет запускать на сервере какую-либо внешнюю программу).
• Вызов срабатывания системы безопасности, что делает сервер недоступным извне и т. д.

Как защититься от перегрузки аппаратных ресурсов

• Увеличить производительность оборудования и объем дискового пространства. При работе сервера в штатном режиме свободными должны оставаться не менее 25-30% ресурсов.
• Задействовать системы анализа и фильтрации трафика до передачи его на сервер.
• Лимитировать использование аппаратных ресурсов компонентами системы (установить квоты).
• Хранить лог-файлы сервера на отдельном накопителе.
• Рассредоточить ресурсы по нескольким независимым друг от друга серверам. Так, чтобы при отказе одной части другие сохраняли работоспособность.

Уязвимости в операционных системах, программном обеспечении, прошивках устройств

Вариантов проведения такого рода атак неизмеримо больше, чем с использованием флуда. Их реализация зависит от квалификации и опыта злоумышленника, его умения находить ошибки в программном коде и использовать их во благо себе и во вред владельцу ресурса.

После того как хакер обнаружит уязвимость (ошибку в программном обеспечении, используя которую можно нарушить работу системы), ему останется лишь создать и запустить эксплойт — программу, которая эксплуатирует эту уязвимость.

Эксплуатация уязвимостей не всегда имеет цель вызвать только отказ в обслуживании. Если хакеру повезет, он сможет получить контроль над ресурсом и распорядиться этим «подарком судьбы» по своему усмотрению. Например, использовать для распространения вредоносных программ, украсть и уничтожить информацию и т. д.

Методы противодействия эксплуатации уязвимостей в софте

• Своевременно устанавливать обновления, закрывающие уязвимости операционных систем и приложений.
• Изолировать от стороннего доступа все службы, предназначенные для решения административных задач.
• Использовать средства постоянного мониторинга работы ОС сервера и программ (поведенческий анализ и т. п.).
• Отказаться от потенциально уязвимых программ (бесплатных, самописных, редко обновляемых) в пользу проверенных и хорошо защищенных.
• Использовать готовые средства защиты систем от DoS и DDoS-атак, которые существуют как в виде аппаратных, так и программных комплексов.

Как определить, что ресурс подвергся нападению хакера

Если злоумышленнику удалось достичь цели, не заметить атаку невозможно, но в отдельных случаях администратор не может точно определить, когда она началась. То есть от начала нападения до заметных симптомов иногда проходит несколько часов. Однако во время скрытого воздействия (пока сервер не «лег») тоже присутствуют определенные признаки. Например:

• Неестественное поведение серверных приложений или операционной системы (зависание, завершение работы с ошибками и т. д.).
• Нагрузка на процессор, оперативную память и накопитель по сравнению с исходным уровнем резко возрастает.
• Объем трафика на один или несколько портов увеличивается в разы.
• Наблюдаются многократные обращения клиентов к одним и тем же ресурсам (открытие одной страницы сайта, скачивание одного и того же файла).
• Анализ логов сервера, брандмауэра и сетевых устройств показывает большое количество однообразных запросов с различных адресов, часто направленных на конкретный порт или сервис. Особенно если сайт ориентирован на узкую аудиторию (например, русскоязычную), а запросы идут со всего мира. Качественный анализ трафика при этом показывает, что обращения не имеют практического смысла для клиентов.

Всё перечисленное не является стопроцентным признаком атаки, но это всегда повод обратить на проблему внимание и принять надлежащие меры защиты.

DDoS расшифровывается как Distributed denial of service, что в переводе означает «Распределённая атака типа «отказ в обслуживании»». Количество таких атак растёт, и хотя они больше квалифицируются как мелкая неприятность, нежели серьёзная угроза, они могут вывести из строя сайты различных компаний и заставить IT-специалистов разбираться с существующей угрозой.

Угрозы в виде DDoS-атак могут привести к серьёзным последствиям, если они происходят (к примеру) во время чрезвычайных ситуаций, так что абсолютно всем организациям нужно быть готовым к подобным вещам.

Степень опасности DDoS атак и методы борьбы с ними кардинально отличаются от других угроз безопасности. Сайты организаций могут иметь сложнейшую систему безопасности, но всё ещё быть уязвимыми для DDoS атак , т.к. подобного рода угрозы по существу блокируют весь трафик. В таких случаях должен быть найден альтернативный метод борьбы с подобной угрозой и способы уменьшить потенциальный ежедневный риск.

Большинство учреждений не смогут без особых усилий справиться с начавшейся DDoS атакой. Но они способны найти способ избежать последствий атаки. Мы же предоставим несколько идей о том, как повысить уровень безопасности вашего сайта при возникновении подобных проблем.

12 Приемов защититься от DDoS атаки:

1. Попросите провайдера изменить лимит трафика , проходящий через канал соединения с интернетом каждого отдельно взятого пользователя. Возможно, некоторые будут против такого решения, но данный способ поможет обнаружить заражённую компьютерную единицу в случае того, если этот компьютер будет потреблять больше трафика, чем он обычно. Возможно, это потребует больших усилий и чётко скоординированных действий, но подобный способ основан на лучших решениях в данной области.

2. Попробуйте заставить ISP быть более ответственным и продвинутым. Подобная цель является превосходным решением, но также является и очень трудной задачей. Возможно, настало время изменить правила мониторинга, с пониманием того, что ISP будет отключен от соседних сетей при условии, что провайдер будет уделять недостаточно внимания своей безопасности. Подобные решения в любом случае приведут к мелким междоусобным конфликтам, так что данный вопрос должен быть предварительно обговорён со всеми участвующими сторонами.

3. Критически важные для работы бизнеса системы должны быть разработаны с учётом возможного излишка данных, а также быть устойчивыми к внешним воздействиям. Подобные правила включают в себя возможность наличия запасного сервера — к примеру, наличие дополнительных баз данных и сервера, где хранится копия всего портала, но этот сервер будет скрыт от посторонних глаз и иметь другие IP-адреса.

4. Список отзыва сертификатов (CRL) должен быть создан для того, чтобы отслеживать сертификаты, которые были просрочены и более не действуют. Любому (будь то программа, или же человек), предоставившему подобный сертификат, больше не будут доверять. Альтернативой ему является сетевой протокол статус сертификата или Online Certificate Status Protocol (OCSP), используемый для обнаружения аннулированных цифровых сертификатов типа X.509.

Необходимость работы с подобными сервисами заключается в том, что просроченные сертификаты могут быть использованы для установления связи злоумышленниками и получения возможности начать один из видов DoS-атаки на саму инфраструктуру открытых ключей. На данный момент ведётся множество обсуждений на тему поиска решений для веб-браузеров, которые помогли бы решить данную проблему. Организациям государственного и публичного сектора не мешало бы следить за новостями в данной теме, и возможно, у них найдутся идеи, как улучшить безопасность своих сайтов.

5. Рассмотрите вариант установки Системы Обнаружения Вторжений , которая также включает в себя возможность блокировки определённых портов, протоколов и т.п. Подобные продукты существуют давно, но с течением времени появляется всё больше и больше новых систем защиты против угроз безопасности веб-сайтов в сети интернет. В большинстве случаев они просто перехватывают передаваемые пакеты данных в беспорядочном режиме и сообщают об обнаруженных аномалиях.

Система IPS может блокировать или перенаправлять трафик в зависимости от того, что именно было обнаружено. Несмотря на то, что на данный момент всё ещё трудно выявить быстро передающийся и неопознанный пакет трафика, подобные решения позволяют предотвратить попадание большого объёма трафика в определённые части сети.

6. Помните , что при ведении бизнеса нельзя ограничиваться лишь одним из существующих видов связи (наземная линия, беспроводная сеть, интернет). Тактика непрерывности бизнес-процессов должна включать в себя использование всех трёх типов подключений к сети интернет.

7. Берите под контроль ситуации , при которых цифровые системы связи могут быть полностью отключены. Разработали запасной план связи с клиентами при возникновении непредвиденных ситуаций? Подключите другие доступные каналы связи и удостоверьтесь в том, что ваши коллеги и клиенты знают, как при необходимости можно немедленно подключиться к резервному серверу.

8. Передача пакета данных с малым объёмом имеет больше шансов дойти до адресата, чем передача данных в режиме реального времени. Если вдруг ваша система не сможет работать в штатном режиме, исследуйте возможности ваших резервных серверов, — смогут ли они передавать короткие автономные сообщения и распознает ли их различная правительственная или частная техника. К примеру, сможет ли светофор переключиться с зеленого на красный цвет, или же ваша система дать команду гидроэлектростанции на открытие или закрытие клапанов, отвечающих за движение воды.

9. Электронная почта и обмен текстовыми сообщениями являются одним из альтернативных вариантов связи. Они не используют много трафика (по крайней мере до того момента, пока в письма не добавляют дополнительные файлы в виде документов или же архивов) и в большинстве случаев имеется возможность добавить их в очередь. Это значит, что подобного рода сообщения будут автоматически доставлены адресату при появлении стабильно работающего канала связи.

10. Блокировка доступа (Blackholing) является одним из лучших решений, но временным. При использовании такого подхода, весь трафик — включая даже легальный деловой оборот информации, -уходит в никуда. Данное решение полностью закрывает доступ к ресурсу (что не очень радует), но предотвращает проникновение большого объёма трафика и аннулирует огромное количество запросов, которые могут навредить и другим сайтам. Конечно же, лучше всего избегать подобных мер, но, тем не менее, порой бывает так, что они действительно необходимы.

11. Обзаводитесь скрытым форумом , доступ к которому имеют лишь служащие. Он может послужить местом встречи в сети, где вы можете обговорить определённые вопросы, в то время как доступ ко всему остальному закрыт.

12. Настройте брандмауэры и другое фильтрующее трафик ПО на блокировку доступа через неразрешённые порты и протоколы.

Сами по себе ни один из вариантов выше не смогут полностью избавить сайты государственных организаций от последствий DDoS атаки во время возникновения чрезвычайных ситуаций. Но тем не менее, вместе они помогут уменьшить риск, подскажут владельцам сайтов, как разобраться с возникшей ситуацией, увеличат ваши знания по данному вопросу и помогут развить дискуссию, посвященную поиску альтернативных способов работы их сайтов. Гораздо сложнее добиться ответственности от региональных провайдеров сети интернет. Это очень сложный вопрос, но оставить данную тему без внимания никак нельзя.

Заголовки новостей сегодня пестрят сообщениями о DDoS-атаках (Distributed Denial of Service). Распределенным атакам «отказ в обслуживании» подвержены любые организации, присутствующие в интернете. Вопрос не в том, атакуют вас, или нет, а в том, когда это случится. Государственные учреждения, сайты СМИ и электронной коммерции, сайты компаний, коммерческих и некоммерческих организаций – все они являются потенциальными целями .

Кого атакуют?

При этом DDoS-атаки существенного ущерба банкам не принесли – они неплохо защищены, поэтому такие атаки, хотя и доставляли неприятности, но не носили критический характер и не нарушили ни одного сервиса. Тем не менее, можно констатировать, что антибанковская активность хакеров значительно увеличилась.

В феврале 2017 года технические службы Минздрава России отразили самую масштабную за последние годы DDoS-атаку, которая в пиковом режиме достигала 4 миллионов запросов в минуту. Предпринимались и DDoS-атаки на государственные реестры, но они также были безуспешны и не привели к каким-либо изменениям данных.

Однако жертвами DDoS-атак становятся как многочисленные организации и компании, на обладающие столь мощной «обороной». В 2017 году ожидается рост ущерба от киберугроз – программ-вымогателей, DDoS и атак на устройства интернета вещей.

Она была осуществлена против французского хостинг-провайдера OVH. Это была мощнейшая DDoS-атака – почти 1 Тбит/с. Хакеры с помощью ботнета задействовали 150 тыс. устройств IoT, в основном камеры видеонаблюдения. Атаки с использованием ботнета Mirai положили начало появлению множества ботнетов из устройств IoT. По мнению экспертов, в 2017 году IoT-ботнеты по-прежнему будут одной из главных угроз в киберпространстве.

Примечательная тенденция DDoS-атак – расширения «списка жертв». Он включает теперь представителей практически всех отраслей. Кроме того, совершенствуются методы нападения.
По данным Nexusguard, в конце 2016 года заметно выросло число DDoS-атак смешанного типа - с использованием сразу нескольких уязвимостей. Чаще всего им подвергались финансовые и государственные организации. Основной мотив кибепреступников (70% случаев) – кража данных или угроза их уничтожения с целью выкупа. Реже – политические или социальные цели. Вот почему важна стратегия защиты. Она может подготовиться к атаке и минимизировать ее последствия, снизить финансовые и репутационные риски.

Последствия атак

Средние убытки от DDoS-атак оцениваются по миру в 50 тыс. долларов для небольших организаций и почти в 500 тыс. долларов для крупных предприятий. Устранение последствий DDoS-атаки потребует дополнительного рабочего времени сотрудников, отвлечения ресурсов с других проектов на обеспечение безопасности, разработки плана обновления ПО, модернизации оборудования и пр.

Типы DDoS-атак

Организация DDoS-атак заметно упростилась: сейчас есть широко доступные автоматизированные инструменты, практически не требующие от киберпреступников специальных знаний. Существуют и платные сервисы DDoS для анонимной атаки цели. Например, сервис vDOS предлагает свои услуги, не проверяя, является ли заказчик владельцем сайта, желающим протестировать его «под нагрузкой», или это делается с целью атаки.

Ежегодный рост количества DDoS-атак оценивается в 50% (по сведениям www.leaseweb.com), но данные разных источников расходятся, на и не все инциденты становятся известными. Средняя мощность DDoS-атак Layer 3/4 выросла в последние годы с 20 до нескольких сотен Гбайт/с. Хотя массовые DDoS-атаки и атаки на уровне протоколов уже сами по себе – штука неприятная, киберпреступники все чаще комбинируют их с DDoS-атаками Layer 7, то есть на уровне приложений, которые нацелены на изменение или кражу данных. Такие «многовекторные» атаки могут быть очень эффективными.

В случае массовой DDoS-атаки (volume based) используется большое количество запросов, нередко направляемых с легитимных IP-адресов, чтобы сайт «захлебнулся» в трафике. Цель таких атак – «забить» всю доступную полосу пропускания и перекрыть легитимный трафик.

В случае атаки на уровне протокола (например, UDP или ICMP) целью является исчерпание ресурсов системы. Для этого посылаются открытые запросы, например, запросы TCP/IP c поддельными IP, и в результате исчерпания сетевых ресурсов становится невозможной обработка легитимных запросов. Типичные представители - DDoS-атаки, известные в узких кругах как Smurf DDos, Ping of Death и SYN flood. Другой вид DDoS-атак протокольного уровня состоит в отправке большого числа фрагментированных пакетов, с которыми система не справляется.

DDoS-атаки Layer 7 – это отправка безобидных на вид запросов, которые выглядят как результат обычных действий пользователей. Обычно для их осуществления используют ботнеты и автоматизированные инструменты. Известные примеры - Slowloris, Apache Killer, Cross-site scripting, SQL-injection, Remote file injection.

В 2012–2014 годах большинство массированных DDoS-атак были атаками типа Stateless (без запоминания состояний и отслеживания сессий) – они использовали протокол UDP. В случае Stateless в одной сессии (например, открытие страницы) циркулирует много пакетов. Кто начал сессию (запросил страницу), Stateless-устройства, как правило, не знают.

Протокол UDP подвержен спуфингу – замене адреса. Например, если нужно атаковать сервер DNS по адресу 56.26.56.26, используя атаку DNS Amplification, то можно создать набор пакетов с адресом отправителя 56.26.56.26 и отправить их DNS-серверам по всему миру. Эти серверы пришлют ответ по адресу 56.26.56.26.

Тот же метод работает для серверов NTP, устройств с поддержкой SSDP. Протокол NTP – едва ли не самый популярный метод: во второй половине 2016 года он использовался в 97,5% DDoS-атак.
Правило Best Current Practice (BCP) 38 рекомендует провайдерам конфигурировать шлюзы для предотвращения спуфинга – контролируется адрес отправителя, исходная сеть. Но такой практике следуют не все страны. Кроме того, атакующие обходят контроль BCP 38, переходя на атаки типа Stateful, на уровне TCP. По данным F5 Security Operations Center (SOC), в последние пять лет такие атаки доминируют. В 2016 году TCP-атак было вдвое больше, чем атак с использованием UDP.

К атакам Layer 7 прибегают в основном профессиональные хакеры. Принцип следующий: берется «тяжелый» URL (с файлом PDF или запросом к крупной БД) и повторяется десятки или сотни раз в секунду. Атаки Layer 7 имеют тяжелые последствия и трудно распознаются. Сейчас они составляют около 10% DDoS-атак.

Нередко DDoS-атаки приурочивают к периодам пикового трафика, например, к дням интернет-распродаж. Большие потоки персональных и финансовых данных в это время привлекают хакеров.

DDoS-атаки на DNS

DDoS-атаки трудно обнаружить, особенно вначале, когда трафик выглядит нормальным. Инфраструктура DNS может подвергаться различным типам DDoS-атак. Иногда это прямая атака на серверы DNS. В других случаях используют эксплойты, задействуя системы DNS для атаки на другие элементы ИТ-инфраструктуры или сервисы.

При этом достигается двойной эффект. Целевую систему бомбардируют тысячи и миллионы ответов DNS, а DNS-сервер может «лечь», не справившись с нагрузкой. Сам запрос DNS – это обычно менее 50 байт, ответ же раз в десять длиннее. Кроме того, сообщения DNS могут содержать немало другой информации.

Предположим, атакующий выдал 100 000 коротких запросов DNS по 50 байт (всего 5 Мбайт). Если каждый ответ содержит 1 Кбайт, то в сумме это уже 100 Мбайт. Отсюда и название – Amplification (усиление). Комбинация атак DNS Reflection и Amplification может иметь очень серьезные последствия.

Как защититься от DDoS-атак?

1. Безопасность программного кода. При написании ПО должны приниматься во внимание соображения безопасности. Рекомендуется следовать стандартам «безопасного кодирования» и тщательно тестировать программное обеспечение, чтобы избежать типовых ошибок и уязвимостей, таких как межсайтовые скрипты и SQL-инъекции.
2. Разработайте план действий при обновлении программного обеспечения. Всегда должна быть возможность «отката» в том случае, если что-то пойдет не так.
3. Своевременно обновляйте ПО. Если накатить апдейты удалось, но при этом появились проблемы, см. п.2.
4. Не забывайте про ограничение доступа. Аккаунты admin и/или должны быть защищены сильными и регулярно сменяемыми паролями. Необходим также периодический аудит прав доступа, своевременное удаление аккаунтов уволившихся сотрудников.
5. Интерфейс админа должен быть доступен только из внутренней сети или через VPN. Своевременно закрывайте VPN-доступ для уволившихся и тем более уволенных сотрудников.
6. Включите устранение последствий DDoS-атак в план аварийного восстановления. План должен предусматривать способы выявления факта такой атаки, контакты для связи с интернет- или хостинг-провайдером, дерево «эскалации проблемы» для каждого департамента.
7. Сканирование на наличие уязвимостей поможет выявить проблемы в вашей инфраструктуре и программном обеспечении, снизить риски. Простой тест OWASP Top 10 Vulnerability выявит наиболее критичные проблемы. Полезными также будут тесты на проникновение – они помогут найти слабые места.
8. Аппаратные средства защиты от DDoS-атак могут быть недешевы. Если ваш бюджет такого не предусматривает, то есть хорошая альтернатива – защита от DDoS «по требованию». Такую услугу можно включать простым изменением схемы маршрутизации трафика в экстренной ситуации, либо находится под защитой постоянно.
9. Используйте CDN-партнера. Сети доставки контента (Content Delivery Network) позволяют доставлять контент сайта посредством распределенной сети. Трафик распределяется по множеству серверов, уменьшается задержка при доступе пользователей, в том числе географически удаленных. Таким образом, хотя основное преимущество CDN – это скорость, она служит также барьером между основным сервером и пользователями.
10. Используйте Web Application Firewall – файрвол для веб-приложений. Он мониторит трафик между сайтом или приложением и браузером, проверяя легитимность запросов. Работая на уровне приложений, WAF может выявлять атаки по хранимым шаблонам и выявлять необычное поведение. Атаки на уровне приложений нередки в электронной коммерции. Как и в случае CDN, можно воспользоваться сервисами WAF в облаке. Однако конфигурирование правил требует некоторого опыта. В идеале защитой WAF должны быть обеспечены все основные приложения.

Защита DNS

1. Мониторинг DNS-серверов на предмет подозрительной деятельности является первым шагом в деле защиты инфраструктуры DNS. Коммерческие решения DNS и продукты с открытым исходным кодом, такие как BIND, предоставляют статистику в реальном времени, которую можно использоваться для обнаружения атак DDoS. Мониторинг DDoS-атак может быть ресурсоемкой задачей. Лучше всего создать базовый профиль инфраструктуры при нормальных условиях функционирования и затем обновлять его время от времени по мере развития инфраструктуры и изменения шаблонов трафика.
2. Дополнительные ресурсы DNS-сервера помогут справиться с мелкомасштабными атаками за счет избыточности инфраструктуры DNS. Ресурсов сервера и сетевых ресурсов должно хватать не обработку большего объема запросов. Конечно, избыточность стоит денег. Вы платите за серверные и сетевые ресурсы, которые обычно не используются в нормальных условиях. И при значительном «запасе» мощности этот подход вряд ли будет эффективным.
3. Включение DNS Response Rate Limiting (RRL) снизит вероятность того, что сервер будет задействован в атаке DDoS Reflection – уменьшится скорость его реакции на повторные запросы. RRL поддерживают многие реализации DNS.
4. Используйте конфигурации высокой доступности. Можно защититься от DDoS-атак путем развертывания службы DNS на сервере высокой доступности (HA). Если в результате атаки «упадет» один физический сервер, DNS-служба может быть восстановлена на резервном сервере.

В случае Unicast каждый из серверов DNS вашей компании получает уникальный IP-адрес. DNS поддерживает таблицу DNS-серверов вашего домена и соответствующих IP-адресов. Когда пользователь вводит URL, для выполнения запроса выбирается один из IP-адресов в случайном порядке.

При схеме адресации Anycast разные серверы DNS используют общий IP-адрес. При вводе пользователем URL возвращается коллективный адрес серверов DNS. IP-сеть маршрутизирует запрос на ближайший сервер.

Anycast предоставляет фундаментальные преимущества перед Unicast в плане безопасности. Unicast предоставляет IP-адреса отдельных серверов, поэтому нападавшие могут инициировать целенаправленные атаки на определенные физические серверы и виртуальные машины, и, когда исчерпаны ресурсы этой системы, происходит отказ службы. Anycast может помочь смягчить DDoS-атаки путем распределения запросов между группой серверов. Anycast также полезно использовать для изоляции последствий атаки.

Средства защиты от DDoS-атак, предоставляемые провайдером

Поставщики услуг Managed DNS эксплуатируют крупномасштабные Anycast-сети и имеют точки присутствия по всему миру. Эксперты по безопасности сети осуществляют мониторинг сети в режиме 24/7/365 и применяют специальные средства для смягчения последствий DDoS-атак.

Еще один вариант – защита IP-адресов. Провайдер помещает IP-адрес, который клиент выбрал в качестве защищаемого, в специальную сеть-анализатор. При атаке трафик к клиенту сопоставляется с известными шаблонами атак. В результате клиент получает только чистый, отфильтрованный трафик. Таким образом, пользователи сайта могут и не узнать, что на него была предпринята атака. Для организации такого создается распределенная сеть фильтрующих узлов так, чтобы для каждой атаки можно было выбрать наиболее близкий узел и минимизировать задержку в передаче трафика.

Результатом использования сервисов защиты от DDoS-атак будет своевременное обнаружение и предотвращение DDoS-атак, непрерывность функционирования сайта и его постоянная доступность для пользователей, минимизация финансовых и репутационных потерь от простоев сайта или портала.

Учитывая, что DDoS-атаки становятся все более частыми, настало время, чтобы рассмотреть основные способы защиты и борьбы с ними.

DDoS – это метод нападения, используемый, чтобы запретить доступ для легитимных пользователей онлайн-сервиса. Атака может производиться на банк или сайт электронной коммерции, приложения SaaS, или любой другой тип сетевого сервиса. Некоторые атаки могут быть направлены даже на VoIP инфраструктуры.

Атакующий использует нетривиальный объем вычислительных ресурсов, который он либо построил сам, или, чаще, получил от уязвимых компьютеров по всему миру, чтобы отправить поддельный трафик на выбранный для атаки сайт.

Например, если сайт банка может обслуживать одновременно 1000 человек, а злоумышленник отправляет 10000 ложных запросов в секунду. При этом ни один из реальных пользователей зайти на сайт не смогут. Существует множество причин осуществления DDoS атак: вымогательство, активизм, соперничество конкурентов бренда, а также простая скука.

DDoS-атаки различаются по своей сложности и размеру. Злоумышленник может сделать так, что поддельный запрос будет выглядеть как случайный мусор в сети. Также можно осуществить более хлопотное, но эффективное нападение – послать данные, которые выглядят в точности также, как настоящий веб-трафик. Кроме того, если у злоумышленника есть достаточное количество вычислительных ресурсов в своем распоряжении, он может пустить столько трафика, чтобы полностью перегрузить полосу пропускания сайта-жертвы.

Простейшими типами атак считаются DDOS атаки Layer 3 и 4 (IP и udp/TCP в стеке OSI). Получается, что на сервер поступает столько “флуда”, что он просто не может больше обрабатывать реальный сетевой трафик, так как нападение посылает множество данных через сетевое подключение к цели. Более сложной считается атака из 7 layer, которая “имитирует” реальных пользователей, и пытается использовать веб-приложения, искать контент на сайте или производить другие сложные действия (использовать кнопку “Добавить на карту” или другие функции ресурса).

Существует четыре основных вида защиты от DDoS нападений:

Делать защиту от DDoS самостоятельно.

Это самый простой и наименее эффективный метод. Как правило, кто-то пишет несколько скриптов Python, которые пытаются отфильтровать плохой трафик или предприятие попытается использовать свой существующий брандмауэр для блокировки трафика. Еще в начале 2000-х годов, когда атаки были довольно простыми, это могло сработать. Но сегодня, когда атаки слишком сильные, большие и сложные для этого типа защиты. Брандмауэр не выдержит нагрузки даже самой простой атаки.

Специализированное оборудование.

Это похоже на «Do It Yourself» в том, что предприятие делает всю работу, чтобы остановить атаку, но вместо того, чтобы полагаться на скрипты или существующий брандмауэр, они приобретают и развертывают специализированные устройства для предотвращения DDoS. Это специализированные аппаратные средства, которые расположены в центре обработки данных предприятия перед обычными серверами и маршрутизаторами и специально созданы для обнаружения и фильтрации вредоносного трафика. Однако есть некоторые фундаментальные проблемы с этими устройствами:

Они являются дорогостоящими продуктами, которые могут не работать до того момента, пока вы не подвергнетесь нападению. Они также могут быть дорогими в эксплуатации. Для работы этих устройств нужны квалифицированные инженеры по сети и безопасности, ведь у них нет волшебной кнопки « ».

Они должны постоянно обновляться оперативной группой, чтобы быть в курсе последних угроз. Тактика DDoS меняется почти ежедневно. Ваша команда должна быть готова обновить эти устройства до последних версий атак.

Они не могут справиться с объемными атаками. Маловероятно, что у предприятия будет достаточно пропускной способности для обработки очень больших DDoS-атак, происходящих сегодня. Эти аппаратные средства не приносят пользы, когда атака превышает емкость сети.

Интернет-провайдер (ISP).

Некоторые предприятия используют своего провайдера для обеспечения DDoS-смягчения. У этих провайдеров пропускная способность выше, чем у предприятия, что может помочь в крупных объемных атаках, но есть три ключевые проблемы с этими сервисами:

Недостаток основной компетенции: провайдеры занимаются продажей полосы пропускания и не всегда инвестируют необходимый капитал и ресурсы, чтобы опережать последние атаки DDoS. Это может стать повышением затрат на те услуги, которые они должны предоставить, поэтому они делают это как можно дешевле.

Одиночная защита провайдера: Большинство предприятий сегодня имеют несколько хостов в двух или более сетевых провайдерах, чтобы удалить единую точку отказа провайдера. Наличие двух или больше провайдеров – лучшая практика для увеличения времени безотказной работы. Решения по предотвращению DDoS-решений для ISP защищают только их сетевые ссылки, а не другие ссылки, которые у вас есть, поэтому теперь вам нужны службы по отражению DDoS от разных провайдеров, удваивая ваши затраты.

Отсутствие защиты от Облака. Как и в вышеперечисленном случае, многие веб-приложения в наши дни разделены между центрами данных, принадлежащими предприятиям, и облачными службами, такими как Amazon AWS, GoGrid, Rackspace и т. д. Поставщики услуг Интернета не могут защитить трафик от этих облачных сервисов.

Провайдер защиты Облачных серверов.

Поставщики таких услуг – это эксперты по обеспечению устранения DDoS-атак из Облака. Это означает, что они накопили огромное количество пропускной способности сети и пропускной способности на нескольких сайтах по всему Интернету. Эти ресурсы могут принимать сетевой трафик любого типа, независимо от того, используете ли вы несколько провайдеров, собственный центр обработки данных или любое количество поставщиков облачных услуг. Они могут вычищать трафик для вас и отправлять только «чистый» в ваш центр обработки данных.

Провайдеры защиты Облачных серверов имеют следующие преимущества:

Экспертиза: как правило, у этих провайдеров есть инженеры и исследователи в области сетей и безопасности, которые отслеживают новейшую тактику DDoS, чтобы лучше защитить своих клиентов.

Большая пропускная способность: у этих провайдеров гораздо больше пропускной способности, чем у предприятий, которые могут самостоятельно обеспечить прекращение самых объемных атак.

Несколько типов оборудования для предотвращения DDoS атаки чрезвычайно сложны. Существует потребность в нескольких уровнях фильтрации, чтобы быть в состоянии идти в ногу с последними угрозами. Облачные провайдеры должны использовать множество технологий, как коммерческих (COTS), так и собственных запатентованных методов защиты от нападения.

Провайдеры защиты Облачных серверов являются логичным выбором для предприятий в отношении их потребностей в защите DDoS. Это наиболее эффективное с точки зрения затрат и масштабируемое решение, позволяющее не отставать от быстрых достижений в инструментах и методах DDoS-атакующего.