DDoS-beskyttelse og brannmurer

Se for Dem at mange mennesker ringer en liten butikk samtidig for å bestille varer. Hvis for mange ringer, kommer ingen gjennom, og butikken kan ikke betjene ekte kunder.

Dette ligner på et Distributed Denial of Service (DDoS)-angrep. Det er et forsøk på å gjøre en nettbasert tjeneste utilgjengelig ved å overbelaste den med trafikk fra flere kilder.

Målet er å tømme systemressursene, slik at legitime brukere nektes tilgang til tjenesten.

DDoS-angrep er ikke alle like. De kan rette seg mot ulike lag i et system:

• Volumetriske angrep: Disse forsøker å bruke opp all tilgjengelig båndbredde med enorme trafikkmengder, som en flom.
• Protokollangrep: Disse utnytter svakheter i nettverksprotokoller (som TCP/IP) for å tømme serverressurser, ofte ved å sende ugyldige eller overdrevent mange forespørsler.
• Angrep på applikasjonslaget: Disse retter seg mot bestemte sårbarheter i webapplikasjoner og forsøker å krasje servere eller bruke opp applikasjonsressurser med tilsynelatende legitime, men ressurskrevende forespørsler (for eksempel ved å søke kontinuerlig i en database).

Avanserte angrep krever spesialiserte verktøy, men noen grunnleggende forsvarstiltak kan hjelpe:

• Hastighetsbegrensning: Dette begrenser hvor mange forespørsler en bruker eller IP-adresse kan sende i løpet av en bestemt periode. Det bidrar til å hindre én enkelt kilde i å overbelaste serveren.
• Ingress-filtrering: Denne teknikken blokkerer nettverkspakker med forfalskede (falske) kilde-IP-adresser. Den bidrar til å hindre angripere i å skjule identiteten sin.

Disse metodene er et første forsvar, men er ofte utilstrekkelige mot angrep i stor skala.

For robust beskyttelse mot store DDoS-angrep er spesialiserte tjenester ofte avgjørende. Disse tjenestene fungerer som et skjold:

• De absorberer enorme mengder ondsinnet trafikk langt unna serverne Deres.
• De bruker avanserte algoritmer til å filtrere bort skadelige forespørsler, slik at bare legitim trafikk når applikasjonen.

Eksempler er skybaserte DDoS-beskyttelsestjenester (for eksempel AWS Shield og Azure DDoS Protection) og Content Delivery Networks (CDN-er) som Cloudflare, som tilbyr innebygd DDoS-beskyttelse.

En brannmur er et nettverkssikkerhetssystem som overvåker og kontrollerer innkommende og utgående nettverkstrafikk basert på forhåndsdefinerte sikkerhetsregler. Tenk på den som en sikkerhetsvakt ved inngangen til nettverket Deres.

• Den oppretter en barriere mellom et klarert internt nettverk og eksterne nettverk som ikke er klarert (for eksempel internett).
• Hovedformålet er å hindre uautorisert tilgang og blokkere skadelig trafikk.

Brannmurer finnes i ulike former:

• Brannmurer for pakkefiltrering: Disse undersøker nettverkspakker enkeltvis og tillater eller avviser dem basert på kilde- og mål-IP-adresser, porter og protokoller. De opererer på nettverkslaget.
• Brannmurer med tilstandsbasert inspeksjon: Disse er mer avanserte og følger tilstanden til aktive forbindelser. De vet om en pakke er del av en etablert, legitim sesjon.
• Proxy-brannmurer: Disse fungerer som et mellomledd mellom klienter og servere, inspiserer trafikk på applikasjonslaget og skjuler den interne nettverksstrukturen.
• Vertsbaserte brannmurer: Disse kjører på individuelle servere eller enheter og beskytter dem direkte, i stedet for å beskytte hele nettverksperimeteret.

Brannmurer fungerer basert på et sett med regler. Hver regel angir kriterier for trafikken og en handling (tillat eller avvis).

Vanlige kriterier inkluderer:

• Kilde-/mål-IP-adresse: Hvem sender eller mottar?
• Kilde-/målport: Hvilken tjeneste brukes (for eksempel port 80 for HTTP og 22 for SSH)?
• Protokoll: Er det TCP, UDP eller ICMP?

Reglene behandles i rekkefølge, og den første regelen som samsvarer, bestemmer handlingen. Et vanlig oppsett avviser all trafikk som standard og tillater bare trafikk som uttrykkelig er godkjent.

En Web Application Firewall (WAF) er en spesifikk type brannmur som er utviklet for å beskytte webapplikasjoner mot vanlige webbaserte angrep.

• I motsetning til tradisjonelle nettverksbrannmurer forstår WAF-er HTTP/HTTPS-trafikk i detalj.
• De kan oppdage og blokkere angrep som SQL-injeksjon, cross-site scripting (XSS) og andre sårbarheter fra OWASP Top 10.

WAF-er plasseres foran webservere og inspiserer innkommende forespørsler og utgående svar for å filtrere bort ondsinnede mønstre.

Brannmurer er viktige komponenter i en lagdelt sikkerhetstilnærming. De kan plasseres på ulike steder:

• Perimeterbrannmurer: Beskytter hele nettverksgrensen mot internett.
• Interne brannmurer: Segmenterer ulike deler av et internt nettverk (for eksempel ved å skille en databaseserver fra en webserver) for å begrense angriperes laterale bevegelser.
• Skybaserte brannmurer: Administrerte tjenester levert av skyleverandører, integrert med virtuelle nettverk og sikkerhetsgrupper.

Et sterkt sikkerhetsnivå innebærer ofte flere brannmurer på ulike steder.

I denne leksjonen har vi utforsket viktige aspekter ved systemsikkerhet: DDoS-beskyttelse og brannmurer.

• Vi har lært at DDoS-angrep forsøker å overbelaste systemer, og at de kan være volumetriske eller rette seg mot protokoll- eller applikasjonslaget.
• Grunnleggende forsvar som hastighetsbegrensning og ingressfiltrering hjelper, men spesialiserte DDoS-beskyttelsestjenester er avgjørende ved store angrep.
• Brannmurer fungerer som sikkerhetsvakter og filtrerer trafikk basert på regler. Ulike typer (pakkefiltrering, tilstandsbasert inspeksjon og WAF-er) gir ulike nivåer av beskyttelse.

Å forstå og implementere disse beskyttelsestiltakene er grunnleggende for å bygge robuste og sikre systemer.