DDoS-атака

DDoS-атака (Distributed Denial of Service, розподілена атака типу «відмова в обслуговуванні») — різновид DoS-атаки, коли цільовий сервер, сервіс чи мережу перевантажують трафіком, що виходить із кількох джерел (наприклад, із групи пристроїв). Як і за будь-якої іншої DoS-атаки, мета DDoS — зробити систему жертви недоступною.

Найчастіше в DDoS-атаках використовуються ботнети - мережі віддалено керованих пристроїв, заражених шкідливим програмним забезпеченням. По команді з керуючого сервера пристрою починають надсилати запити на цільовий ресурс, викликаючи відмову в обслуговуванні. Ботнет може складатися як з персональних комп'ютерів, так і, наприклад, з пристроїв Інтернету речей (IoT).

Як виявити DDoS-атаку

При успішній DDoS-атаці цільовий ресурс виявляється недоступним або відгукується із затримкою. Однак однозначно говорити про DDoS-атаку, спираючись тільки на цей факт, не можна, оскільки уповільнення та відключення ресурсу може виникати і з інших причин, наприклад, через програмний збій або різке зростання легітимного трафіку. Тому DDoS-атаки виявляють за допомогою інструментів мережного аналізу. До ознак DDoS-атаки належать:

• підозрілий трафік, що походить від IP-адрес одного діапазону або від пристроїв зі схожими характеристиками (тип пристрою, геолокація, версія браузера і т. д.);
• безліч запитів до конкретних веб-сторінок, портів або пристроїв.

Типи DDoS-атак

Існує кілька класифікацій DDoS-атак, зокрема:

• Класифікація за протоколами, які використовують зловмисники: TCP-флуд, UDP-флуд, HTTP-флуд, ICMP-флуд та ін.
• Класифікація за рівнями моделі Open System Interconnection (OSI, модель взаємодії відкритих систем).Модель розподіляє взаємодії між різними пристроями у мережі за семи рівнями. Найчастіше DDoS-атаки відбуваються на одному з трьох рівнів OSI: мережевому (L3), транспортному (L4) та прикладному (L7, рівні додатків).
• Класифікація за механізмом дії. DDoS-атаки можна розділити на атаки, націлені на виснаження пропускного каналу, та атаки, націлені на виснаження ресурсу. До перших відносяться атаки типу флуда (перевантаження каналу великою кількістю пакетів) та атаки з ампліфікацією (Коли зловмисники відправляють запити безпосередньо до цільового ресурсу, а до якогось сервісу-посереднику, часто від імені жертви; у разі канал перевантажують відповіді від цього сервісу). До другої групи входять атаки, що експлуатують уразливості мережевих протоколів, атаки з відправкою некоректно сформованих пакетів даних і т.д.

Цілі DDoS-атак

Мотиви, якими керуються зловмисники, що здійснюють DDoS-атаки, можна умовно розділити на дві групи:

• Комерційні: вимагання, боротьба з конкурентами, продаж власних розробок захисту від DDoS і т.д.
• Некомерційні: хактивізм, помста, зрив занять у школі чи вузі, розвага та інші.

Незалежно від мети DDoS-атаки є злочином і переслідуються згідно із законом.

Захист від DDoS-атак

Для захисту веб-ресурсів від DDoS-атак існують спеціалізовані рішення, що аналізують та фільтрують трафік. Також для протидії DDoS можуть застосовуватися різні обмеження, наприклад, заборона на обробку запитів з певних регіонів, від певного списку IP-адрес, обмеження кількості запитів з одного джерела за одиницю часу тощо.

Публікації на подібні теми

• 2015: кожна шоста компанія в Росії зазнала DDoS-атаків
• Кореневий DNS-сервер під DDoS: демонстрація сили?
• DDoS-атаки у другому кварталі 2015 року: тенденції у розвитку
• Огляд загроз для IoT-пристроїв у 2023 році
• Загрози кібербезпеки: що чекає на нас у 2023 році?
• DDoS-атаки у третьому кварталі 2022 року

Що таке DDoS-атака

Інтернет давно став невід'ємною частиною нашого життя: успіх сучасного бізнесу багато в чому залежить від роботи його інформаційно-обчислювальних систем (ІТТ), представництв у мережі та онлайн-проектів. Однак з розвитком технологій також зростає і загроза з боку зловмисників, які використовують різні види кібератак для пошкодження чи відключення обладнання, ресурсів компаній. Одним з найпоширеніших і найнебезпечніших типів кібератак є DDoS-атака. Її мета — викликати відмову в обслуговуванні (DoS) частини або всієї ІТТ жертви, що завдає значної шкоди бізнесу. У статті простими словами пояснюємо, що таке DDoS-атака, чим може бути викликана і як від неї захиститися.

DDoS: що це простими словами

DDoS-атака (Distributed Denial of Service) - це напад на інформаційно-обчислювальну систему, яке ведеться одночасно з декількох джерел і націлене на виведення її з ладу. Простими словами, хакер посилає безліч запитів на ваш сайт, щоб викликати навантаження сервера, мережі або будь-якої програмної служби, які зазвичай обслуговують ваших користувачів, і зробити його (сайт) недоступним. На відміну від звичайної DoS-attack, DDoS - це розподілена атака, що означає, що вона здійснюється великою кількістю різних пристроїв. У цьому полягає головна небезпека ДДоС: просто заблокувати джерело шкідливого трафіку не вийде, адже він не один і найчастіше його досить важко відрізнити від звичайної активності користувача.Але як зловмиснику вдається контролювати сотні, а то й тисячі комп'ютерів в той самий момент? Як не дивно, для цього йому не потрібно купувати і навіть орендувати стільки обладнання.

Коли хакер запускає DDoS-атаку, він використовує ботнет — мережу пристроїв, заражених шкідливим програмним забезпеченням без відома їх власників. Наприклад, через email-розсилку. Це ПЗ може довгий час «спати» всередині комп'ютера і ніяк не проявляти себе, але в певний момент, коли його творець дасть команду, вірус змусить пристрій надсилати запити вказаній жертві, тим самим беручи участь в атаці. Такі зомбі-пристрою можуть одночасно надсилати сотні тисяч і навіть мільйони різних запитів у цільову систему, що в результаті і призводить до її відмови. Чим більше заражених пристроїв бере участь в атаці, тим складніше протистояти їй. Однак це не означає, що не треба пробувати. Довгий простий сервер дорівнює фінансовим збиткам і репутаційному збитку, тому важливо не тільки організувати ефективну систему захисту, але і заздалегідь розуміти, чому зловмисник може почати на вас атаку.

Причини DDoS-атак

Атака типу DDoS може бути викликана різними причинами, мотив може бути як корисливим, і ідеологічним. Розглянемо найпоширеніші приводи для проведення таких нападів:

1. Помста та хуліганство. Іноді DDoS-атаки запускають із особистої неприязні, щоб нашкодити конкретному сайту чи компанії. Наприклад, звільнений співробітник може помститися колишньому роботодавцю, замовивши кібератаку на стороні. Це здатне викликати значні проблеми для бізнесу, призвести до втрати клієнтів та репутації.
2. Вимагання. Часто хакери-організатори кібератак вимагають оплати за її припинення.Атака буде продовжуватися, доки ви не заплатите «викуп» за свою систему або поки зловмиснику не набридне. Ми не рекомендуємо йти у здирників, оскільки це стане прецедентом для подальших нападів.
3. Конкурентна боротьба На ринку далеко не всі грають за правилами, і замовлення DDoS-атаки для усунення конкурента — на жаль, дуже часті випадки в ринковому середовищі. Компанія-опонент може позбавити вас веб-ресурсу напередодні сезонного розпродажу або під час проведення рекламних кампаній, щоб переманити до себе клієнтів.
4. Політичний чи соціальний протест. Нерідко «хактивісти» влаштовують DDoS-напади, щоби висловити незгоду з тією чи іншою політикою компанії, держави, некомерційної організації. Вони викликають простий у системі, яка має важливе значення для роботи неугодної установи, уряду чи політичної партії.
5. Маскування іншої атаки. Буває і так, що DDoS-атака є лише маневром, що відволікає, покликаним приховати справжню мету хакера: наприклад, злом сервера заради крадіжки конфіденційних даних.
6. Розваги. Початківці кіберзлочинці можуть робити DDoS для задоволення, демонстрації або тренування своїх навичок. Декому просто подобається дивитись, як їхні дії порушують роботу чужих проектів.

Іншими словами, жертвою ДДоС-атаки може стати будь-хто, незалежно від масштабів та напряму діяльності. Отже, вибудовувати захист теж потрібно всім.

Захист від DDoS-атак

Захиститись від розподіленої відмови в обслуговуванні повністю, раз і назавжди не можна. Але необхідно максимально зменшити можливість появи, а для цього потрібно створити багаторівневу систему безпеки.По-перше, існують спеціалізовані сервіси та пристрої, які допомагають виявляти та запобігати атакам. Вони працюють на рівні мережі та дозволяють ідентифікувати та блокувати нелегітимний трафік. Це різні системи моніторингу, фаєрволи (міжмережеві екрани), апаратно-програмні комплекси на кшталт DefensePro та Impletec iCore.

Зображення з storyset на Freepik.

Також має сенс використовувати мережі доставки контенту (CDN), щоб розподіляти трафік їх серверами, тим самим знижуючи навантаження на власну систему. До речі, всю ІТ-інфраструктуру в принципі слід робити розподіленою. Це означає, у тому числі зберігати важливі частини проекту на різних IP-адресах.

Оптимізація продуктивності може скоротити ймовірність успіху DDoS-атаки. Йдеться про збільшення ширини каналу, поліпшення мережевих налаштувань, підвищення продуктивності серверів тощо.

Велику роль у роботі веб-ресурсів відіграє система доменних імен, тому важливо убезпечити її вузли у вашій інфраструктурі. Зокрема, на DNS-серверах має бути налаштований захист від запитів на заміну адрес.

Крім того, важливим аспектом захисту від DDoS є проактивне планування. Організація повинна заздалегідь розробити план дій у разі нападу, щоб бути до нього готовою. До нього варто включити стратегію поведінки для співробітників, контакти експертів з безпеки, шляхи забезпечення безперервності бізнесу та інші заходи.

Висновок

DDoS-атаки є серйозною загрозою для компаній та організацій, які залежать від своїх онлайн-ресурсів. Ці атаки можуть завдати значної шкоди бізнесу, викликавши простої, втрату даних та погіршення репутації. У статті ми простими словами розповіли, що можна зробити для запобігання таким наслідкам.Однак важливо розуміти, що захист від DDoS-атак потребує постійного моніторингу та оновлення, оскільки зловмисники постійно розвивають свої методи атак.

DDoS-атаки - що це: походження, види та способи захисту

У статті розберемося, що відбувається при DDoS-атаці на сервер і як це впливає на сайт.

Ця інструкція є частиною курсу «Введення в мережеву безпеку».

DDoS розшифровує як Distributed Denial of Service, або «Розподілена відмова в обслуговуванні». Це перевантаження інформаційної системи надмірною кількістю запитів, що блокує обробку звернень.

Що відбувається при DDoS-атаці? Масові запити на сервер. Їхній обсяг перевищує допустимий, що робить сервер недоступним для інших користувачів.

Що таке DoS-атака

Для початку важливо зрозуміти, що DoS-і DDoS-атаки - не одне й те саме.

Denial of Service, або «Відмова в обслуговуванні», це перевантаження інформаційної системи, в якій працює сервіси, за допомогою мережевих запитів. При цьому самі запити на мережному рівні здійснюються з одного комп'ютера і орієнтовані на конкретний віртуальний сервер або домен.

У чому різниця між DoS-і DDoS-атаками

Крім того, що DoS-атаки використовують лише один хост для перевантаження системи, є непрямі ознаки, за якими їх можна відрізнити від DDoS. Вони менш ефективні і помітніші: коли запити надходять з однієї IP-адреси джерела, системному адміністратору стає очевидна їхня нелегітимність. Як наслідок – DoS-атаки набагато простіше придушити, адже достатньо використовувати брандмауер.

Причини DDoS-атак

Розберемо основні цілі зловмисників.

Особиста неприязнь

IT-фахівці можуть ініціювати обвал сервера організації з особистих мотивів: переслідування з боку закону, бажання помститися кривдникам, заздрість успіху чужого проекту та ін. Наприклад, 1999 року хакери через загрозу переслідування обрушили сервери ФБР.

Політичні мотиви

Атакуючи сервери органів влади, хакери у такий спосіб висловлюють свій протест діям уряду. Наприклад, у 2007 році через загрозу знесення Пам'ятника Воїну-визволителю в Таллінні хакери почали атакувати сервери держустанов.

Розвага

DDoS стає популярним у сучасній IT-спільноті, тому новачки можуть проводити їх не так з серйозних спонукань, як для забави.

Вимагання

Хакер може шантажувати власників ресурсу для викупу під загрозою DDoS.

Конкуренція

Інфраструктура організації може бути атакована представниками фірми, що конкурує.

Чим загрожує бізнесу DDoS-атака

DDoS-атаки призводять до простоїв, через які компанії несуть матеріальні та нематеріальні витрати. Наприклад, якщо через перевантаження нелегітимним трафіком інтернет-магазин стає недоступним, компанія втрачає гроші, які потенційно можна було заробити на продажах. А також витрачає кошти на відновлення систем.

Подібні інциденти спричиняють також репетиційні втрати: люди банально можуть віддати перевагу купити товару в іншому інтернет-магазині, який працює стабільніше. Крім того, через простої веб-ресурси можуть здати позиції в пошукових видачах і, як наслідок, втратити потенційний трафік і нових клієнтів.

Потенційні жертви

Як правило, жертвами великих DDoS атак стають:

• Корпорації та державні установи: агрегатори (маркетплейси), сайти великих компаній, галузевих міністерств та ін.
• Фінансові установи: сайти та сервери, портали банків, бірж, керуючих та інвестиційних компаній.
• Медичні установи: лікарні, медичні центри та ін.
• IoT пристрої: онлайн-каси, системи «Розумний дім» та ін.

Організація DDoS-атак

Сервери мають обмеження на одночасну обробку запитів. Також для оптимізації навантаження передбачено обмеження пропускної спроможності каналу зв'язку, що з'єднує мережу та сервер. Для обходу обмежень зловмисники організують спеціальну мережу зі шкідливим програмним забезпеченням («ботнет»). Для наочності її схема наведена нижче.

Комп'ютери, що входять в інфраструктуру «ботнет», не пов'язані між собою. Вони використовуються для генерації надлишкового трафіку, здатного перевантажити систему, що атакується. І тому на комп'ютери ставиться троян, який запускається віддалено. Атаку піддається DNS сервер, пропускний канал та інтернет-з'єднання.

Ознаки DDoS-атаки

Розпізнати атаку можна за такими ознаками:

• Некоректна робота серверного ПЗ та операційних систем: зависання, довільні завершення сесій та ін.
• Пікове навантаження за запитами на сервер: навантаження на ЦП, оперативну пам'ять, диск та інші компоненти сервера, що перевищує середні значення
• Зростання кількості запитів на порти.
• Однакова модель поведінки: зловмисники намагаються маскувати шкідливий трафік, закладаючи в алгоритми симуляцію дій користувачів (завантаження файлів, перегляди сторінок, використання пошуку тощо). Виявлення масового здійснення однотипних процесів може послужити сигналом.
• Однотипні запити до портів та сервісів: виявити зростання навантаження, однотипні запити до служб сервера можна з аналізу логів. Масові запити, якщо користувачі, що їх генерують, не схожі на типову аудиторію, є хорошим маркером.

Чотири варіанти захисту від DDoS-атак

Від безкоштовного базового захисту до рішень із захистом веб-додатків.

Види DDoS-атак

Атаки транспортного рівня

Атака спрямована на навантаження брандмауера, центральної мережі чи системи, що розподіляє навантаження. При атаках такого виду поширене використання флуду, при якому генерується маса однотипних запитів-пустушок, що перевантажують канал. Основний акцент тут робиться на методику обробки клієнтських запитів до сервера.

Як правило, мережева служба працює за методом FIFO, згідно з яким у пріоритеті перше звернення. Однак при флуді генерується такий обсяг запитів, що апаратних ресурсів сервера не вистачає для завершення обробки першого запиту.

HTTP-флуд

Сервер отримує надмірний обсяг HTTP-запитів клієнтів, у результаті всі вузли зв'язку стають недоступними.

ICMP-флуд

Перевантажує сервер жертви службовими командами, на які машина повинна давати відлуння. Класичний приклад DDoS-атаки – Ping-флуд, коли на сервер безперервно відправляються ICMP-пакети для перевірки доступності вузла.

SYN-флуд

На сервер надсилається надлишковий обсяг SYN-запитів на підключення TCP. Згідно з алгоритмом «потрійного рукостискання», сервер повинен відповісти на SYN-запит клієнта пакетом із прапором ACK (Acknowledge). Після цього буде встановлено з'єднання. У випадку з SYN-флудом черга SYN-пакетів на сервері переповнюється.

При цьому заголовки SYN-пакетів підробляються таким чином, щоб пакети у відповідь з сервера йшли на неіснуючі адреси. Таким чином, зловмисник створює ланцюжок наполовину відкритих з'єднань, що забивають канал і унеможливлюють доступ рядових користувачів до сервера та його служб.

UDP-флуд

Пристрій, що атакується, отримує множинні UDP-запити зі зміненими IP-адресами джерел. Так зловмисник зберігає анонімність паразитної мережі, забиваючи смугу пропускання сервера. Суть атаки в наступному: зі шкідливої ​​мережі на жертву спрямовується потік запитів протоколом UDP. Сервер повинен обробити запит, розібравши пакет, що приходить, і визначивши для нього відповідний додаток (сервіс, порт).

Потім потрібно перенаправити запит туди та у разі успіху повернути відповідь служби. У разі відсутності активності буде надіслано повідомлення "Адресат недоступний" за протоколом ICMP. Оскільки в пакетах було змінено адресу джерела ініціатора запиту, ICMP-отказы йдуть інші вузли. Тим часом, шкідливий алгоритм продовжує підтримувати чергу переповнених запитів.

MAC-флуд

На порти сервера надходить потік порожніх пакетів із порожніми MAC-адресами.

Атаки рівня інфраструктури

Атаку рівня програми L7 моделі OSI піддаються оперативна пам'ять, процесорний час, а також підсистема зберігання даних на сервері. При цьому пропускний канал не перевантажується.

Існує кілька видів таких атак.

Обчислення

Процесор отримує запити на "важкі" обчислення. Через надлишок запитів сервер починає збоїти і користувачі не отримують доступ до сервера, його служб та ресурсів.

Переповнення диска

Дисковий простір сервера починає заповнюватись «сміттєвим» вмістом за допомогою шкідливого коду зловмисників. Переповнення диска порушує роботу веб-серверів, функціонал яких побудований на активній роботі з файловою системою (зберігання, доступ та відтворення мультимедіа та іншого контенту). Для заповнення використовуються лог-файли (дані про запити та сесії, що формуються на стороні сервера).Запобігти умисному заповненню диска можна обмеживши розмір лог-файлів.

Обхід системи квотування

Зловмисник отримує доступ до CGI-інтерфейсу сервера та за його допомогою використовує апаратні ресурси машини у своїх інтересах.

Неповна перевірка користувача

Зловмисник може використовувати ресурси сервера нескінченно довго.

Атака другого роду

На сервері викликається помилковий сигнал про перевантаження, або її загрозу, в результаті мережевий вузол на якийсь час стає недоступним.

Атаки рівня додатків

При таких атаках використовуються закладені в серверне програмне упущення, що створюють уразливості. Класичний приклад — атака «Пінг смерті», коли на машину, що атакується, направляється надмірний обсяг ICMP-пакетів, що переповнюють буфер пам'яті.

DNS-атаки

Атаки цього виду спрямовані на:

• Використання вразливостей ПЗ DNS-серверів: "уразливість нульового дня", "Швидкий потік", "DNS-спуфінг".
• Обвалення DNS-серверів: через відключення DNS користувач не зможе зайти на сторінку сайту, оскільки його браузер не знайде IP-адресу потрібного вузла.

Запобігання та захист від DDoS-атак

Найбільш ефективний спосіб захисту від DDoS-атак на сайт – це фільтрація підозрілої мережевої активності на рівні хостингу або інтернет-провайдера. Причому це може виконуватися як засобами мережевих маршрутизаторів, так і за допомогою спеціального обладнання.

Власник сайту, веб-сервісу або іншого мережевого проекту, зі свого боку, для мінімізації ризиків і втрат від DDoS повинен:

• Ретельно обстежити логіку свого продукту: ще на етапі розробки та тестування можна виключити помилки та вразливості.
• Вести контроль версій ПЗ та мережевих служб: необхідно своєчасно оновлювати програмне забезпечення мережевих служб (СУБД, PHP та ін.).Також потрібно підтримувати код продукту в актуальному і стабільному стані. Рекомендується навіть розгортати проект на кількох серверах - продуктовому (бойовому), тестовому (для обкатки нового функціоналу) та бекап-сервері (для зберігання резервних копій та архівів вихідних файлів). Також рекомендується використовувати системи контролю версій (Git) для можливості відкату проекту до попереднього стабільного складання.
• Слідкувати за доступом до мережевих служб: делегування прав на операції вимагає опрацювання Необхідно забезпечити кілька рівнів доступу (майстер, гостьовий та ін.) до мережевих служб сервера та архіву версій проекту. Список осіб, які мають доступ до ресурсів сервера, необхідно підтримувати в актуальному стані - наприклад, своєчасно відключати доступ співробітникам, що звільнилися. Також потрібно скидати паролі та облікові записи за будь-якої підозри на компрометацію.
• Контролювати панель адміністратора: рекомендується обмежити доступ до внутрішньої панелі або VPN-мережі.
• Сканувати систему на наявність уразливостей: у цьому допоможуть публічні рейтинги (наприклад, OWASP Top 10) або інструменти розробника.
• Використати брандмауер програм: автоматизуйте перевірку мережного трафіку та валідацію запитів до портів та служб сервера.
• Розподіляти трафік за допомогою CDN: за рахунок розподіленого зберігання контенту навантаження на ресурси сервера оптимізується, що прискорює обробку трафіку та запитів.
• Вести списки контролю доступу (ACL): для обмеження доступу до мережних вузлів.
• Очищати кеш DNS: для захисту від спуфінгу
• Використовувати захист від спаму: одне з джерел уразливостей - форми зворотного зв'язку. Зловмисники можуть направити своїх роботів масово заповнювати їх надсилати однотипні дані на сервер.Для фільтрації такого трафіку форми потрібно перекладати на JS-компоненти чи оснащувати їх капчами та іншими інструментами перевірки;
• Використовувати контратаку: шкідливий трафік можна перенаправити на мережу атакуючого. В результаті це не тільки збереже доступність вашого сервера, але й тимчасово виведе зловмисника з гри.
• Використовувати розподілене зберігання та бекапірування: у разі відмови одного або декількох серверів Вашої мережі Ви зможете відновити роботу ресурсу на іншій машині. До цього часу там вже буде розгорнуто функціональну копію Вашого проекту.
• Використовувати апаратні засоби захисту: Impletec iCore, DefensePro та ін.
• Ретельно обирати хостинг-провайдера: необхідно вибирати постачальника, який дає гарантії захисту від усіх сучасних загроз. Також важливо мати цілодобову лінію підтримки, панель адміністратора з необхідними інструментами аналітики з конкурентних умов.

Захист DNS

Брандмауери та системи запобігання вторгненням на сервери самі по собі вразливі і розраховувати тільки на їхню надійність не варто.

Для TCP-трафіку рекомендується використовувати хмарні послуги для фільтрації підозрілих запитів. Також рекомендується:

• Проводити моніторинг DNS: підозрілу мережну активність можна відстежити Для цього рекомендується використовувати комерційні DNS-рішення, або open source-продукти (наприклад, BIND). Ви зможете відстежувати мережний трафік і запити до DNS в режимі реального часу. Для економії часу також рекомендується побудувати базовий профіль мережної інфраструктури та оновлювати його у міру масштабування бізнесу.
• Розширювати апаратні ресурси DNS: компромісне рішення, що дозволяє захистити інфраструктуру від дрібномасштабних атак Закупівля додаткових потужностей також пов'язана з вкладеннями.
• Використовувати DNS Response Rate Limiting (RRL): це знижує можливість використання Вашого DNS-сервера в атаці DDoS Reflection. RRL знижує швидкість обробки повторних запитів. Цей параметр підтримується більшістю DNS;
• Будувати конфігурації високої доступності: DNS-служба розгортається на HA-сервері, що дозволяє відновити роботу сервісу на резервній машині, якщо основна виявиться недоступною.

Географічно розподілена мережа також може стати засобом захисту від DDoS. Існує два підходи до побудови такої мережі:

• Anycast: різні сервери DNS використовують спільну IP-адресу, а при обробці трафіку запити надсилаються на найближчий сервер. Такий підхід порівняно з описаним нижче є більш оптимальним, оскільки трафік і навантаження розподіляються між декількома машинами. Це робить інфраструктуру більш стійкою до DDoS.
• Unicast: за кожним сервером DNS закріплюється унікальна IP-адреса. Служба DNS підтримує таблицю серверів та відповідних адрес ресурсу. При обробці запитів для балансування трафіку та навантажень IP-адреса вибирається у випадковому порядку. Такий підхід до організації DNS-мережі простіше в реалізації, проте при цьому страждає на стійкість інфраструктури. Зловмисники можуть ініціювати ланцюжок спрямованих атак на DNS-сервери, послідовно виводячи їх із ладу.

Що робити після DDoS-атаки

Немає срібної кулі, яка може повністю захистити від DDoS. Тому важливо розробити всередині компанії чек-лист із відпрацювання подібних інцидентів.

Найголовніше – не приймайте поспішних рішень, масштабуйте системи грамотно.Якщо ви запустите додатковий сервіс, але він буде без захисту, зловмисники можуть скористатися цим.

Також важливо оперативно зв'язатися із провайдером, щоб обговорити способи блокування DDoS-трафіку. Попередньо краще налаштувати резервне копіювання, щоб підготуватися до різних результатів.

Після атаки - зберіть логи по атаці, аналізуйте її та слабкі місця своєї інформаційної системи, налаштуйте файрволи, щоб уникнути повторних інцидентів. Підключіть фахівців з інформаційної безпеки та DevOps-інженерів, які допоможуть посилити інфраструктуру.

Найбільші DDoS-атаки в історії

Вперше серйозний напад стався 2000 року. Жертвами стали сервери та сайти eBay, Amazon, CNN та Yahoo. Винуватцем стала самописна програма, створена 16-річним хакером-ентузіастом. Шкідливий алгоритм під назвою Sinkhole зафлудив машини жертв і обрушив їх.

Колись популярний «Пінг смерті» використав ping-команду для флуду. Щоб викликати DDoS сервера, розмір пакета штучно збільшувався до 65535 байт. Пік популярності такої атаки припадає на 90-і роки — тоді в серверному програмному забезпеченні ще не була поширена перевірка розміру пакетів, що приходять. Внаслідок цього пропускний канал забивався і ресурс ставав недоступним.

У 2013 році внаслідок конфлікту між голландським хостинг-провайдером Cyberbunker та Spamhaus (організація займається складанням списків спамерів) перші розпочали атаку на останніх. Перший удар на себе прийняла CDN CloudFlare, далі шкідливий трафік переключився на її провайдерів. Навантаження на канал склало 300 Гбіт/с.

При атаці використовувався метод DNS amplification. Суть методу – розсилка рекурсивних запитів із підробленими зворотними адресами.При довжині вихідного запиту в кілька байт пакет у відповідь може перевищувати кілька кілобайт. При цьому, для посилення ефекту пакет у відповідь направляється на сервер жертви. Такий підхід дозволяє досягти більшої ефективності, ніж при використанні ботнет, оскільки як «зомбі»-комп'ютерів виступають не пристрої з обмеженим каналом, а сервери.

У 2016 році було зафіксовано атаку з навантаженням на канал у 1 Тбіт/с. Тим не менш, атакований ресурс встояв і зміг відбити атаку.

Інші типи кібератак

DDoS – не єдиний спосіб атаки інформаційних систем. На практиці зустрічаються також APT-, MITM- багатовекторні та APDoS-атаки, IP-спуфінг, а також атаки нульового дня. Кожен із типів кібератак – окрема тема для статті. Хочете дізнатися більше – стежте за оновленнями в Академії Selectel.

Що таке і для чого потрібний протокол SSH