Zrozumienie ataków DDoS w AWS

Atak Distributed Denial of Service (DDoS) polega na zalaniu celu ruchem pochodzącym jednocześnie z wielu źródeł, aby wyczerpać jego przepustowość i uniemożliwić połączenie prawidłowym użytkownikom. Ponieważ ruch pochodzi z tysięcy rozproszonych hostów, nie można po prostu zablokować jednego adresu IP — zalew trzeba pochłonąć lub przefiltrować.

Ataki wolumetryczne mają na celu wysycenie przepustowości sieci ogromną ilością ruchu, mierzoną w gigabitach lub terabitach na sekundę. Przykłady obejmują zalewy UDP oraz ataki odbicia lub amplifikacji, które przekierowują ruch przez otwarte serwery (DNS, NTP), zwielokrotniając jego rozmiar. Ataki te działają w warstwie 3.

Ataki protokołów (warstwa 4) wyczerpują zasoby przechowujące stan połączeń, a nie przepustowość. Klasycznym przykładem jest zalew SYN, który wysyła ogromną liczbę nieukończonych uzgodnień TCP i zajmuje tabelę połączeń celu, aż nie można ustanowić żadnych nowych sesji.

Ataki w warstwie aplikacji (warstwie 7) wysyłają wiele pozornie prawidłowych żądań, na przykład zalew żądań HTTP GET do kosztownej w obsłudze strony, aby wyczerpać procesor, pamięć lub połączenia z bazą danych. Wykorzystują znacznie mniejszą przepustowość i przypominają rzeczywisty ruch, przez co trudniej je wykryć niż zalewy wolumetryczne.

AWS pochłania ataki DDoS na swoim globalnym brzegu sieci. Usługi takie jak CloudFront, Route 53 i Global Accelerator działają w wielu lokalizacjach brzegowych o ogromnej łącznej przepustowości, dzięki czemu zalew ruchu zostaje rozproszony, zanim dotrze do źródła. Projektowanie architektury z wykorzystaniem brzegu sieci samo w sobie stanowi ochronę przed DDoS.

AWS Shield Standard jest włączony dla wszystkich klientów bez dodatkowych opłat i automatycznie chroni przed najczęstszymi atakami w warstwie sieciowej i transportowej. Nie trzeba go konfigurować — chroni każdy zasób AWS, szczególnie zasoby znajdujące się za usługami brzegowymi, przed typowymi zalewami w warstwach 3 i 4.

Shield Standard koncentruje się na warstwie sieciowej i transportowej. Zalewy w warstwie aplikacji są obsługiwane za pomocą opartych na limicie szybkości reguł AWS WAF oraz Shield Advanced. Dlatego ochrona przed DDoS łączy Shield, który chroni przed dużym wolumenem ruchu, z WAF, który filtruje żądania — jest to połączenie często sprawdzane na egzaminie.

Oprócz przestoju atak DDoS może zwiększyć koszty automatycznego skalowania i przepustowości, gdy infrastruktura próbuje obsłużyć zalew ruchu. Ten wpływ finansowy, nazywany czasem ekonomicznym zaprzeczeniem trwałości, jest jednym z powodów, dla których Shield Advanced oferuje kredyty na ochronę kosztów skalowania wywołanego atakami.

Oznakami ataku DDoS są nagłe skoki natężenia ruchu, zwiększone opóźnienia i gwałtowny wzrost liczby błędów. Metryki CloudWatch dotyczące liczby żądań oraz konsola Shield ujawniają anomalie. Shield Advanced zapewnia dodatkowo widoczność ataków niemal w czasie rzeczywistym i wysyła powiadomienia, dzięki czemu wiadomo, że trwa atak, a nie tylko że aplikacja działa wolno.

Najlepsza strategia ochrony przed DDoS jest zaprojektowana w architekturze, a nie dodana później. Umieszczenie obciążeń za CloudFront i Route 53, użycie automatycznego skalowania oraz ograniczenie eksponowanej powierzchni pozwalają AWS pochłaniać zalewy na brzegu sieci. Shield i WAF obsługują następnie to, co pozostanie. Odporność wynika z połączenia odpowiedniej architektury i tych usług.

W dalszej części porównasz Shield Standard i Shield Advanced, poznasz dodatkowe możliwości zespołu DDoS Response Team i ochrony kosztów oraz dowiesz się, jak projektować architekturę odporną na ataki. Zrozumienie przedstawionych tutaj typów ataków pomoże dobrać właściwy sposób ochrony dla każdej warstwy.

Rozpoznaj typ ataku.

DDoS polega na zalaniu celu ruchem z wielu źródeł. Ataki wolumetryczne (warstwa 3) wysycają przepustowość za pomocą zalewów UDP i amplifikacji; ataki protokołów (warstwa 4), takie jak zalewy SYN, wyczerpują stan połączeń; ataki w warstwie aplikacji (warstwa 7) wysyłają pozornie prawidłowe żądania, aby wyczerpać zasoby obliczeniowe. Usługi brzegowe AWS rozpraszają zalewy, Shield Standard automatycznie chroni warstwy 3 i 4, a reguły WAF oparte na limicie szybkości obsługują warstwę 7.