DDoS-hyökkäysten ymmärtäminen AWS:ssä

Distributed Denial of Service (DDoS) -hyökkäyksessä kohde tulvitetaan samanaikaisesti monista lähteistä tulevalla liikenteellä. Tarkoituksena on kuluttaa kohteen kapasiteetti niin, etteivät oikeat käyttäjät voi muodostaa yhteyttä. Koska liikenne tulee tuhansista hajautetuista isännistä, yhtä IP-osoitetta ei voi vain estää, vaan tulva on vastaanotettava tai suodatettava.

Volumetristen hyökkäysten tavoitteena on kyllästää verkon kaistanleveys valtavalla liikennemäärällä, jota mitataan gigabitteinä tai terabitteinä sekunnissa. Esimerkkejä ovat UDP-tulvat sekä reflection- eli amplification-hyökkäykset, joissa liikenne heijastetaan avoimien palvelinten (DNS, NTP) kautta suuremmaksi. Nämä hyökkäykset toimivat tasolla 3.

Protokollahyökkäykset (taso 4) kuluttavat yhteyksien tilanhallintaan tarvittavia resursseja kaistanleveyden sijaan. Klassinen esimerkki on SYN-tulva, jossa lähetetään suuri määrä keskeneräisiä TCP-kättelyjä. Ne kuluttavat kohteen yhteystaulukon, kunnes uusia istuntoja ei voida enää muodostaa.

Sovelluskerroksen (tason 7) hyökkäyksissä lähetetään paljon näennäisesti kelvollisia pyyntöjä, kuten HTTP GET -tulva raskaalle sivulle, jotta suorittimen, muistin tai tietokantayhteyksien kapasiteetti kulutetaan loppuun. Ne käyttävät paljon vähemmän kaistanleveyttä ja sulautuvat oikeaan liikenteeseen, joten niitä on vaikeampi havaita kuin volumetrisia tulvia.

AWS absorboi DDoS-hyökkäykset maailmanlaajuisella reunalla. CloudFrontin, Route 53:n ja Global Acceleratorin kaltaiset palvelut toimivat useissa reunasijainneissa, joiden yhteenlaskettu kapasiteetti on valtava. Näin tulvat laimenevat ennen kuin ne saavuttavat origin-palvelimesi. Reunaan perustuva arkkitehtuuri on itsessään DDoS-suojauskeino.

AWS Shield Standard on käytössä kaikilla asiakkailla ilman lisämaksua ja suojaa automaattisesti yleisimmiltä verkko- ja siirtokerroksen hyökkäyksiltä. Sitä ei määritetä erikseen, vaan se suojaa kaikkia AWS-resursseja, erityisesti reunapalveluiden takana olevia resursseja, tavanomaisilta tason 3 ja 4 tulvilta.

Shield Standard keskittyy verkko- ja siirtokerroksiin. Sovelluskerroksen tulvia torjutaan AWS WAF:n rate-based-säännöillä ja Shield Advancedilla. Siksi DDoS-suojauksessa yhdistetään Shield liikennemäärän hallintaan ja WAF pyyntökohtaiseen suodatukseen. Tätä yhdistelmää käsitellään kokeessa usein.

Käyttökatkon lisäksi DDoS-hyökkäys voi kasvattaa automaattisen skaalauksen ja kaistanleveyden kustannuksia, kun infrastruktuurisi yrittää palvella tulvaa. Tätä taloudellista vaikutusta kutsutaan joskus taloudelliseksi kestävyyden estämiseksi. Se on yksi syy siihen, miksi Shield Advanced tarjoaa kustannussuojaushyvityksiä hyökkäysten käynnistämän skaalauksen perusteella.

DDoS-hyökkäyksen merkkejä ovat äkilliset liikennepiikit, kasvanut viive ja nopeasti lisääntyvät virhemäärät. CloudWatchin pyyntömäärämittarit ja Shield-konsoli paljastavat poikkeamat. Shield Advanced lisää lähes reaaliaikaisen näkyvyyden hyökkäyksiin ja ilmoitukset, joten tiedät hyökkäyksen olevan käynnissä etkä vain sitä, että sovellus on hidas.

Paras DDoS-suojaus suunnitellaan osaksi arkkitehtuuria, eikä lisätä jälkikäteen. Kun työkuormat asetetaan CloudFrontin ja Route 53:n eteen, käytetään automaattista skaalausta ja minimoidaan altistuva pinta-ala, AWS voi absorboida tulvat reunalla. Shield ja WAF käsittelevät sen, mikä jää jäljelle. Kestävyys syntyy arkkitehtuurista ja näistä palveluista yhdessä.

Seuraavaksi vertailet Shield Standardia ja Shield Advancedia, opit, mitä DDoS Response Team ja kustannussuojaus tuovat lisää, sekä tutkit, miten kestävä arkkitehtuuri suunnitellaan. Näiden hyökkäystyyppien ymmärtäminen auttaa valitsemaan oikean puolustuksen kullekin tasolle.

DDoS tulvittaa kohteen monista lähteistä. Volumetriset (taso 3) hyökkäykset kyllästävät kaistanleveyden UDP-tulvilla ja amplification-hyökkäyksillä; protokollahyökkäykset (taso 4), kuten SYN-tulvat, kuluttavat yhteyksien tilanhallinnan resurssit; sovelluskerroksen (taso 7) hyökkäykset lähettävät aidon näköisiä pyyntöjä laskentakapasiteetin kuluttamiseksi. AWS:n reunapalvelut laimentavat tulvia, Shield Standard puolustaa automaattisesti tasoja 3 ja 4, ja WAF:n rate-based-säännöt käsittelevät tason 7 hyökkäyksiä.