DoS (från engelska. Denial of Service - denial of service) - en attack mot ett datorsystem (vanligtvis begås av hackare) för att få det att misslyckas, det vill säga skapa sådana förhållanden under vilka legitima användare av systemet kan inte komma åt de tillhandahållna systemresurserna (servrarna), eller så är åtkomsten svår.
För närvarande är DoS- och DDoS-attacker de mest populära, eftersom de låter dig få nästan alla system att misslyckas utan att lämna juridiskt viktiga bevis. Kostnaden för att organisera en attack är försumbar. En 10Gbit/s attack som varar i en timme kostar cirka $50/€ och kan organiseras av alla som besöker en speciell hackertjänst på Internet. Om en attack utförs samtidigt från ett stort antal datorer talar man om en DDoS-attack (från engelska Distributed Denial of Service, en distribuerad denial of service-attack). I moderna förhållanden involverar DDoS-attacker inte bara datorer utan även andra konsumentenheter med tillgång till Internet.
Först och främst skannar angriparen nätverket med hjälp av speciellt förberedda skript som identifierar potentiellt svaga noder. De utvalda värdarna attackeras och angriparen får administrativa rättigheter på dem. Trojaner installeras på infångade värdar och körs i bakgrunden. Nu kallas dessa datorer för zombiedatorer: deras användare misstänker inte ens att de är potentiella deltagare i en DDoS-attack.
Därefter skickar angriparen vissa kommandon till de fångade datorerna, och de utför i sin tur en kraftfull DoS-attack på målinternettjänsten. I vissa fall leder en oavsiktlig åtgärd till den faktiska DDoS-attacken, till exempel placera en länk på en populär internetresurs till en webbplats som ligger på en inte särskilt produktiv server (slash dot-effekt). En stor tillströmning av användare leder till att den tillåtna belastningen på servern överskrids och följaktligen en överbelastning för vissa av dem.
Enligt metoden för påverkan skiljer de:
Nätverkslager DDoS-attacker (L3-4), som begränsar driften av serverhårdvara eller stör driften av programvara på grund av protokollsårbarheter.
Applikationslager DDoS-attacker (L7), som attackerar de "svaga" platserna på webbplatsen, agerar målinriktat, kännetecknas av minimal resursförbrukning, råder i antal och kräver ett komplext och dyrt "motgift".
Att skydda mot DDoS-attacker med SSL-kryptering påminner en del om säkerhetsarbetet på flygplatser i Mellanöstern: det finns alltid många kvinnor med ansikten täckta, som inte bara behöver undersökas noggrant, utan också för att analysera sitt beteende. Annars kommer någon av dem förr eller senare att spränga planet. Tekniskt sett används specifika tillvägagångssätt för att skydda mot sådana attacker, men med adekvata inställningar kommer dekryptering av HTTPS-meddelanden inte att kräva så många resurser. Problemet är annorlunda: inte alla klienter är redo att ge full åtkomst till sina krypterade kanaler. Är det möjligt att effektivt analysera trafik utan nycklar?
"Idag, med hjälp av HTTPS-meddelanden, attackeras många skyddade resurser, och SSL används också för att kringgå säkerhetsverktyg," förklarar Alexander Lyamin, chef för Qrator Labs, kärnan i problemet. – Till skillnad från direkta DDoS-attacker på krypteringsmekanismer som sker på L5- och L6-nivåerna, är SSL-attacker på L7-nivå. Därför är de väldigt lika legitima användares handlingar.”
Många skadliga program syftar till att göra en sårbar dator till en del av ett nätverk av infekterade maskiner – ett botnät med ett enda kontrollcenter. Ett sådant botnät kan på ett fjärrkommando utföra nätverksattacker utan vetskapen från ägarna till de komprometterade datorerna. Om tidigare botnät främst användes för att skicka skräppost, bryta kryptovalutor och utföra primitiva DDoS-attacker, har de idag blivit ett allvarligare säkerhetshot.
Till exempel kan ett botnät imitera en krypterad anslutning och utföra en SSL-attack. Att kryptera varje kommunikationskanal kan dölja förekomsten av skadlig aktivitet från säkerhetssystem och webbplatsadministratörer under en tid. Som ett resultat kan detta leda till läckage av konfidentiell data eller avbrott på webbplatsen.
"I alla fall kommer L7-attacker in i företagsnätverket", kommenterar Alexander Lyamin. – Eftersom de första paketen i en HTTPS-förfrågan från en angripare är rena servicepaket ser de alltid legitima ut. Det är i grunden omöjligt att förstå avsikterna med fjärrklienten i detta skede.”
Vanligtvis börjar skadliga aktiviteter i det andra eller efterföljande stadiet. För att upptäcka dem måste du släppa in användaren i nätverket. Därför är huvuduppgiften för skyddsverktyg inte så mycket att förhindra SSL DDoS-attacker som att minimera eventuell skada. Eftersom en privat kanal skapas för varje användare är det helt acceptabelt att lägga ytterligare tid på att analysera åtgärder innan man fattar ett beslut att blockera en viss användare.
Alla skydd mot en DDoS-attack med SSL-kryptering innebär användning av verktyg som kan analysera användarbeteende baserat på dess krypterade förfrågningar. De kan direkt eller indirekt ta emot information om vad som händer i den krypterade kanalen. Samtidigt är det dessutom nödvändigt att tillhandahålla automatisk filtrering på användarnivå för att upptäcka attacker i realtid.
med nyckel
I allmänhet, för att skydda mot en DDoS-attack med SSL-kryptering, krävs alltid en eller annan nivå av dekryptering av kanalinnehållet. I vissa fall kan dekryptering utföras av klienten - då bestämmer denne vilken data som ska tillåtas för överföring. För detta måste dock skydd mot trojaner, bakdörrar, rootkits och andra skadliga program som i hemlighet kan ta kontroll över en dator eller göra den till en del av ett botnät installeras på klientsidan.
Därför är den vanligaste och mest praktiska skyddsmetoden den ständiga interaktionen av säkerhetsverktyg med företagets server. I ett sådant schema räcker det att göra nya inställningar på servern, och det kommer att ge all nödvändig information om vad som händer i den krypterade kanalen. Om det finns oro för beteendet hos en viss klient, överför servern sin session till kontroll av leverantören av skyddsverktyg eller hård- och mjukvarusystem på klientsidan.
Nyckellös
I praktiken väljer många detaljhandels- och mediekunder att lämna ut krypteringsnycklar till säkerhetsleverantören. Detta anses vara en acceptabel risk, eftersom de bara använder SSL-kryptering för att isolera klienter från varandra och förhindra avlyssning av data från svagt skyddade nätverkssegment - till exempel via Wi-Fi. Finansiella institutioner, å andra sidan, föredrar att konfigurera servrar på ett sådant sätt att endast indirekt information är tillgänglig för leverantören.
Idag är DDoS-attacker fortfarande ett av de viktigaste konkurrensmedlen inom politik, näringsliv och finanssektorn. Liksom tidigare förlamar de driften av sajter och nyckeltjänster och orsakar skador för flera miljoner dollar. Skillnaden är att moderna denial-of-service-attacker har blivit tekniskt mer komplexa och kraftfulla. De är svårare att känna igen i tid med traditionella säkerhetsverktyg, så utvecklare måste hela tiden leta efter och optimera nya algoritmer, använda molnteknik och metoder för big data-analys.
När du väljer lösningar för att skydda mot DDoS-attacker bör du se till att de kan filtrera trafik på L7-nivå och har en verklig förmåga att skilja legitima användares handlingar från aktiviteten hos ett avancerat botnät. En ytterligare fördel kommer att vara möjligheten att arbeta med krypterad trafik utan att avslöja hemliga nycklar, men än så länge kan bara ett fåtal göra detta med hjälp av indirekt information om klientens beteende i kanalen.
Med tanke på att DDoS-attacker blir allt vanligare är det dags att titta på de viktigaste sätten att skydda och bekämpa dem.
DDoS är en attackteknik som används för att neka legitima användare av en onlinetjänst åtkomst. En attack kan göras mot en bank eller e-handelsplats, SaaS-applikationer eller någon annan typ av nätverkstjänst. Vissa attacker kan till och med rikta in sig på VoIP-infrastrukturer.
Angriparen använder en icke-trivial mängd datorresurser, som han antingen byggt själv, eller, oftare, fått från sårbara datorer runt om i världen, för att skicka falsk trafik till webbplatsen som valts att attackera.
Till exempel, om en banksajt kan betjäna 1 000 personer samtidigt och en angripare skickar 10 000 falska förfrågningar per sekund. Samtidigt kommer ingen av de riktiga användarna att kunna komma åt sidan. Det finns många anledningar till DDoS-attacker: utpressning, aktivism, konkurrens från varumärkeskonkurrenter, såväl som enkel tristess.
DDoS-attacker varierar i komplexitet och storlek. En angripare kan få en falsk begäran att se ut som slumpmässigt skräp på nätverket. Det är också möjligt att utföra en mer besvärlig men effektiv attack – att skicka data som ser exakt ut som riktig webbtrafik. Dessutom, om en angripare har tillräckligt med datorresurser till sitt förfogande, kan de skicka tillräckligt med trafik för att fullständigt överbelasta offrets bandbredd.
Lager 3 och 4 DDOS-attacker (IP och udp/TCP i OSI-stacken) anses vara de enklaste typerna av attacker. Det visar sig att servern tar emot så mycket "översvämning" att den helt enkelt inte kan behandla riktig nätverkstrafik längre, eftersom attacken skickar mycket data via nätverksanslutningen till målet. En 7-lagersattack anses vara mer komplex, som "imiterar" riktiga användare och försöker använda webbapplikationer, söka efter innehåll på webbplatsen eller utföra andra komplexa åtgärder (använd knappen "Lägg till i karta" eller andra resursfunktioner).
Det finns fyra huvudtyper av skydd mot DDoS-attacker:
Gör ditt eget DDoS-skydd.
Detta är den enklaste och minst effektiva metoden. Vanligtvis skriver någon några Python-skript som försöker filtrera bort dålig trafik, eller så kommer ett företag att försöka använda sin befintliga brandvägg för att blockera trafik. Tillbaka i början av 2000-talet, när attacker var ganska enkla, kunde detta fungera. Men idag, när attackerna är för starka, stora och komplexa för den här typen av försvar. Brandväggen kommer inte att motstå belastningen av ens den enklaste attacken.
Specialiserad utrustning.
Det liknar "Do It Yourself" genom att företaget gör allt arbete för att stoppa attacken, men istället för att förlita sig på skript eller en befintlig brandvägg köper och distribuerar de specialiserade DDoS-förebyggande enheter. Dessa är specialiserad hårdvara som finns i ett företags datacenter framför vanliga servrar och routrar och är specialbyggd för att upptäcka och filtrera skadlig trafik. Det finns dock några grundläggande problem med dessa enheter:
Det är dyra produkter som kanske inte fungerar förrän du blir attackerad. De kan också vara dyra i drift. Dessa enheter kräver kvalificerade nätverks- och säkerhetsingenjörer för att fungera, eftersom de inte har en magisk " "-knapp.
De måste ständigt uppdateras av arbetsgruppen för att hålla sig uppdaterade med de senaste hoten. DDoS-taktiken ändras nästan dagligen. Ditt team måste vara berett att uppdatera dessa enheter till de senaste attackerna.
De kan inte hantera bulkattacker. Det är osannolikt att ett företag kommer att ha tillräckligt med bandbredd för att hantera de mycket stora DDoS-attacker som sker idag. Denna hårdvara är till ingen nytta när attacken överskrider nätverkets kapacitet.
Internetleverantör (ISP).
Vissa företag använder sin ISP för att ge DDoS-reducering. Dessa leverantörer har högre genomströmning än företaget, vilket kan hjälpa till vid attacker med stora volymer, men det finns tre huvudproblem med dessa tjänster:
Brist på kärnkompetens: Leverantörer säljer bandbredd och investerar inte alltid nödvändigt kapital och resurser för att ligga steget före de senaste DDoS-attackerna. Detta kan vara en kostnadsökning för de tjänster de ska tillhandahålla, så de gör det så billigt som möjligt.
Enskild ISP-skydd: De flesta företag har idag flera värdar på två eller flera nätverksleverantörer för att ta bort en enda leverantörsfel. Att ha två eller flera leverantörer är bästa praxis för att öka drifttiden. DDoS-förebyggande lösningar för Internetleverantörer skyddar bara deras nätverkslänkar och inte andra länkar du har, så nu behöver du DDoS-avledningstjänster från olika leverantörer, vilket fördubblar dina kostnader.
Brist på skydd från molnet. Som i fallet ovan är många webbapplikationer idag uppdelade mellan företagsägda datacenter och molntjänster som Amazon AWS, GoGrid, Rackspace, etc. Internetleverantörer kan inte säkra trafik från dessa molntjänster.
Cloud Server Security Provider.
Dessa tjänsteleverantörer är experter på att tillhandahålla DDoS-reducering från molnet. Detta betyder att de har samlat på sig en enorm mängd nätverksbandbredd och bandbredd över flera webbplatser över hela Internet. Dessa resurser kan acceptera vilken typ av nätverkstrafik som helst, oavsett om du använder flera leverantörer, ditt eget datacenter eller valfritt antal molntjänsteleverantörer. De kan skrubba trafik åt dig och bara skicka den "rena" trafiken till ditt datacenter.
Cloud Server Security Providers har följande fördelar:
Expertis: Dessa leverantörer har vanligtvis nätverks- och säkerhetsingenjörer och forskare som håller reda på den senaste DDoS-taktiken för att bättre skydda sina kunder.
Högre bandbredd: Dessa leverantörer har mycket mer bandbredd än företag som kan stoppa de mest omfattande attackerna på egen hand.
Flera typer av utrustning för att förhindra DDoS-attacker är extremt komplexa. Det finns ett behov av flera nivåer av filtrering för att kunna hålla jämna steg med de senaste hoten. Molnleverantörer måste använda en mängd olika tekniker, både kommersiella (COTS) och sina egna proprietära metoder för att skydda mot attacker.
Cloud Server Security Providers är det logiska valet för företag när det gäller deras DDoS-skyddsbehov. Det är den mest kostnadseffektiva och skalbara lösningen för att hålla jämna steg med snabba framsteg inom DDoS-angriparverktyg och -tekniker.
Den är avsedd för användare av tjänsterna "Dedikerad server" och "Serverhosting", samt för kunder som hyr serverrack.
Vi kommer att beskriva i detalj hur skydd kommer att tillhandahållas i den här artikeln.
DDoS-attacker: En snabbreferens
Förkortningen DDoS står för Distributed Denial of Service – en distribuerad denial of service-attack. En DDoS-attack är en kränkning av den attackerade maskinen genom att skicka förfrågningar till den från flera värdar.
Som regel utförs DDoS-attacker via ett botnät - ett nätverk av datorer där skadlig programvara är installerad (detta kallas zombifiering).
Vissa typer av attacker kan utföras utan ett botnät (till exempel en UDP-flod).
Vi kommer inte att uppehålla oss vid frågorna om att klassificera DDoS-attacker mer i detalj - en intresserad läsare kan enkelt hitta många material om detta ämne på Internet. Av mycket större intresse för oss är de befintliga metoderna för skydd mot DDoS. Vi kommer att överväga dem nedan.
DDoS-skyddsmetoder
Metoder för skydd mot DDoS-attacker är indelade i två stora grupper: förebyggande metoder och svarsmetoder.
För att förhindra DDoS-attacker används vanligtvis hårdvarumetoder för att skydda nätverksperimetern - en brandvägg i kombination med ett intrångsdetekteringssystem (Intrusion Detection Systems, IDS). De ger dock inget skydd i ordets strikta bemärkelse.
Det är fullt möjligt att organisera en DDoS-attack inom ramarna för paket som tillåts av brandväggen. När det gäller IDS fungerar de vanligtvis inom ramen för signatur och statistisk analys, och jämför inkommande paket med befintliga trafikmönster. Om attacken utförs genom att sända vanliga nätverkspaket som inte är skadliga individuellt, kommer inte alla IDS att kunna upptäcka det.
Dessutom är både brandväggar och IDS ofta sessionskontrollerade enheter, så de själva kan attackeras.
Ett effektivt sätt att minimera driftstopp under DDoS-attacker är multipel redundans - organisationen av kluster av servrar som finns i olika datacenter och kopplade till olika kommunikationskanaler. Om en av komponenterna i ett sådant system misslyckas kommer klienter att omdirigeras till fungerande servrar. Denna metod har bara en nackdel: att bygga ett distribuerat kluster med multipel redundans kräver mycket stora ekonomiska kostnader.
Svarsmetoder används i en situation där en attack redan har börjat och den måste stoppas (eller åtminstone minimera dess konsekvenser).
Om målet för attacken är en enda maskin kan du helt enkelt ändra dess IP-adress. Den nya adressen kan då endast ges till de mest betrodda externa användarna. En sådan lösning kan knappast kallas idealisk, men den är ganska effektiv.
I vissa fall hjälper filtreringstekniker. Genom att analysera skadlig trafik kan du upptäcka en viss signatur i den. Baserat på resultaten av analysen kan du bygga en router ACL eller brandväggsregler.
Dessutom kommer den mesta attacktrafiken ofta från en specifik ISP eller stamnätsrouter. I en sådan situation är en möjlig lösning att blockera riktningen från vilken misstänkt trafik kommer (dock bör man ta hänsyn till att legitim trafik kommer att blockeras även i detta fall).
Om ingen av metoderna som listas ovan hjälper och inget mer kan göras, används den så kallade blackholing - omdirigering av trafik till ett obefintligt gränssnitt (in i ett "svart hål"). Som regel leder detta till att den attackerade servern är otillgänglig från det externa nätverket under en tid. Bara av denna anledning kan svartholing knappast kallas en fullvärdig skyddsmetod: i själva verket hjälper det bara organisatörerna av attacken att nå sitt mål snabbare – att göra den attackerade resursen otillgänglig.
På senare år har komplexa mjukvaru- och hårdvarulösningar för DDoS-skydd blivit utbredda. Deras fördel är att de kan blockera skadlig trafik utan att skapa problem med tillgängligheten av den attackerade tjänsten för legitima användare. Det finns hård- och mjukvarusystem för DDoS-skydd från Cisco, Arbor Networks, F5, Juniper och andra på marknaden.
Vår DDoS-skyddstjänst implementeras också på basis av ett specialiserat program- och hårdvarukomplex. Den tillhandahålls tillsammans med våra partners - Servicepipe-företaget.
DDoS-skyddssystem
Det använda DDoS-skyddssystemet inkluderar inte ett utan flera hård- och mjukvarusystem, inklusive Arbor Pravail och F5. Rengöring och analys av trafiken utförs direkt på nätverket med hjälp av specialiserade mjukvaruverktyg.
Detta system ger skydd mot följande typer av attacker:
- TCP översvämning;
- SYN översvämning;
- illegitima kombinationer av TCP-flaggor;
- attacker på TCP-sessioner som TCP Idle, Slow TCP och andra;
- attacker på HTTP-sessioner (Slowloris, Pyloris, etc.);
- HTTP-översvämning;
- DNS-översvämning;
- DNS-cacheförgiftning;
- UDP översvämning;
- ICMP översvämning;
- attacker med IP-, TCP- och UDP-fragment;
- attacker mot VoIP och SIP.
Om attacker upptäcks kan följande motåtgärder användas:
- Ogiltig paketlista - filtrerar paket som inte överensstämmer med RFC;
- skapande av svarta och vita listor med IPv4- och IPv6-adresser;
- GeoIP-filterlistor - filtrerar trafik efter land (blockerar trafik från länder där det största antalet DDoS-attacker kommer ifrån).
GeoIP Policing - trafikövervakning per land (övervakning av inkommande trafik och begränsning av trafik från länder där det största antalet DDoS-attacker kommer ifrån); - Flexibel zombiedetektering - zombiedetektering och skapande av legitima trafikprofiler;
- TCP SYN-autentisering - motverka TCP-översvämningar genom klientautentisering;
- DNS-autentisering - motverka DNS-översvämningar genom klientautentisering;
- DNS Scoping - DNS-förfrågevalidering med hjälp av reguljära uttryck;
- DNS felaktigt - kontrollerar DNS-förfrågningar för RFC-efterlevnad;
- DNS Rate Limiting - begränsa antalet DNS-förfrågningar från en IP-adress (lämplig endast för resurser med låg trafik: i vårt land använder leverantörer mycket ofta NAT. Det är ganska typiskt när det "grå" subnätet /16 kommer åt Internet via en IP , och alla DNS-frågor kommer från samma adress);
- DNS NXDomain Rate Limiting - DNS-svarsvalidering. Denna motåtgärd är avsedd för attacker där cachen för DNS-servrar svämmar över med ogiltiga poster; det syftar till att spåra förfrågningar med ett icke-existerande DNS-namn;
- DNS Regular Expression - filtrering av DNS-förfrågningar efter reguljära uttryck;
- Återställ TCP-anslutningen - förhindra för långa TCP-anslutningar;
- Payload Regular Expression - filtrering av trafik med ett reguljärt uttryck för Payload-paket;
- HTTP Felaktigt - blockerar HTTP-trafik som inte följer RFC;
- HTTP-hastighetsbegränsning - begränsa antalet HTTP-förfrågningar från en IP-adress;
- HTTP Scoping - validering av HTTP-förfrågningar med hjälp av reguljära uttryck;
- SSL Negotiation - blockerar SSL-trafik som inte följer RFC;
- AIF och HTTP/URL Regular Expression - överlagring av AIF-signaturer på den analyserade trafiken;
- SIP Malformed - blockerar SIP-trafik som inte överensstämmer med RFC;
- SIP Request Limiting - begränsa antalet SIP-förfrågningar från en IP-adress.
Hur det fungerar
För kunder som beställer DDoS-skyddstjänst tillhandahåller vi säkra IP-adresser (en adress ingår i grundtaxan, ytterligare adresser kan beställas via kontrollpanelen). Vi tilldelar även ett speciellt band för säker trafik. Trafiken från Internet går till säkra adresser genom våra partners nätverk, där den går genom städningsprocessen.
All illegitim trafik släpps på partnerns nätverk. Klienter får endast rensad trafik. Utgående trafik kommer sedan in på Internet via Selectel-infrastrukturen.
Rutten för den rensade trafiken visas i följande diagram:
Fördelar
Bland fördelarna med vårt DDoS-skyddssystem bör följande belysas först och främst:
- snabb anslutning: fullständig installation av DDoS-skydd tar 1 - 2 arbetsdagar;
- överkomliga priser och ett öppet faktureringssystem: endast inkommande godkänd trafik är föremål för betalning;
- inget behov av komplex konfiguration på klientsidan: tilldela bara en säker IP-adress som ett alias eller loopback-gränssnitt;
Tjänsten finns redan tillgänglig för beställning i kontrollpanelen (avsnittet "Nätverkstjänster").
Vid beställning måste du fylla i ett särskilt frågeformulär och ange följande:
- huvudsyftet med att använda servern;
- antalet IP-adresser som ska skyddas;
- önskade DDoS-skyddsåtgärder.
Baserat på den information som tillhandahålls kommer vi att bygga en optimal skyddsstrategi, med hänsyn till specifika projekts särdrag.
För de mest populära serveranvändningsfallen (webserver, applikationsserver, DNS-server) har vi förberett speciella skyddsmallar som passar de flesta klienter.
DDoS Protection är en ny tjänst och för dess vidareutveckling är det mycket viktigt för oss att få feedback från kunder. Vi kommer att vara tacksamma för alla kommentarer, förslag och önskemål. Vi kommer att försöka ta hänsyn till de mest intressanta idéerna i det fortsatta arbetet.
Om du inte vet vad DDoS-attacker är, föreslår vi att du läser sidan om DDoS-attacker först.
DDoS-skyddet vi erbjuder består av en proxy som sitter mellan din server och resten av världen. Dina besökare interagerar inte längre med din server direkt, bara genom vårt trafikfiltreringscenter. Vårt system omdirigerar legitima förfrågningar till din server på ett helt transparent sätt. Ingen kommer att märka hennes arbete.
I praktiken får du efter köpet en säker IP-adress som du ger till dina användare, medan den riktiga IP-adressen ska hållas hemlig.
Baserat på en specialiserad hårdvaruplattform kommer vårt filtreringscenter endast att omdirigera ren trafik från dina användare till din server, vilket blockerar skadlig trafik.
Du kommer inte ens att märka en attack på din sida, skyddet aktiveras automatiskt så fort systemet upptäcker onormal trafik.
Vi tillhandahåller skydd från två datacenter åtskilda geografiskt. Du kan använda navet i Europa eller USA:s östkust. Vi råder dig att välja det datacenter som ligger närmast dina servrar för att minimera förseningar och ge kvalitetsservice.
Försök att arbeta med oss och köp en av våra DDoS-skyddsplaner genom att klicka på knappen nedan.
