Атаки типа «отказ в обслуживании»

DoS (отказ в обслуживании) — это атака, направленная на то, чтобы сделать службу недоступной для законных пользователей, перегрузив её. В отличие от атак, направленных на кражу данных, DoS атакует доступность — третий столп триады CIA.

Отправляя на сервер или в сеть больше трафика или запросов, чем они могут обработать, злоумышленник исчерпывает ресурсы, пока настоящие пользователи не смогут подключиться.

Обычная атака DoS исходит из одного источника. DDoS (распределённый отказ в обслуживании) одновременно исходит из множества источников, часто из тысяч, поэтому остановить её значительно сложнее.

Заблокировать один атакующий IP-адрес легко; настоящая проблема — заблокировать трафик с десятков тысяч разрозненных адресов, многие из которых принадлежат ни в чём не повинным захваченным устройствам. Именно это делает DDoS настолько опасной.

DDoS-атаки обычно выполняются с помощью ботнета — сети компьютеров и устройств IoT, заражённых вредоносными программами и удалённо управляемых злоумышленником. Каждая заражённая машина, бот или зомби, по команде отправляет атакующий трафик.

Владельцы часто даже не знают, что их устройства участвуют в атаке. Небезопасные устройства IoT, например камеры, позволили создать огромные ботнеты, способные генерировать колоссальные объёмы атакующего трафика.

Объёмные атаки просто заливают цель огромным объёмом трафика, чтобы полностью занять её интернет-канал. Если канал заполнен мусорным трафиком, легитимные данные не смогут пройти.

К таким атакам относятся UDP-флуды и флуды ICMP (ping). Защита заключается в наличии достаточной пропускной способности или очистке трафика у вышестоящего провайдера, чтобы поглотить или отфильтровать поток до того, как он заполнит ваше соединение.

Атаки на протоколы исчерпывают ресурсы сервера или устройства, злоупотребляя особенностями работы протоколов. Классический пример — SYN-флуд: злоумышленник начинает множество TCP-соединений, отправляя пакеты SYN, но не завершает их, заполняя таблицу соединений сервера.

Сервер ждёт завершения рукопожатий, которые никогда не заканчиваются, пока не перестаёт принимать новые соединения, отказывая в обслуживании настоящим пользователям.

Атаки на уровне приложений направлены на само программное обеспечение и используют внешне обычные запросы, обработка которых требует много ресурсов, например сложный поиск или многократную загрузку страниц. Для них требуется гораздо меньше пропускной способности, поэтому они менее заметны.

Поскольку каждый запрос выглядит нормально, отличить атакующий трафик от трафика настоящих пользователей сложно. Поэтому такие атаки особенно трудно обнаруживать и фильтровать, не затрагивая законных посетителей.

Атаки с усилением многократно увеличивают мощь злоумышленника. Он отправляет небольшие запросы с поддельным исходным адресом — адресом жертвы — серверам, которые отвечают гораздо более крупными ответами, например неправильно настроенным серверам DNS или NTP.

Крошечный запрос вызывает огромный ответ, направленный жертве, поэтому злоумышленник многократно усиливает свой трафик, скрываясь за подменой адреса.

Признаки DoS включают внезапные скачки трафика, замедление служб или истечение времени ожидания, необычно высокое потребление ресурсов и поток соединений с множества адресов. Мониторинг и базовые показатели помогают быстро заметить аномальный всплеск.

Быстрое обнаружение имеет большое значение: чем раньше Вы отличите атаку от обычного всплеска трафика, тем раньше начнётся противодействие и тем меньше будет простой.

Защита строится из нескольких уровней:

• Ограничение частоты ограничивает число запросов от одного источника.
• Брандмауэры и IPS фильтруют известные шаблоны атак.
• Службы облачной очистки от DDoS-трафика поглощают огромные потоки на вышестоящем уровне.
• Сети доставки содержимого (Content Delivery Networks) распределяют нагрузку между множеством серверов.

Фильтрация поддельных адресов в интернете также уменьшает количество атак с усилением у самого источника.

DoS особенно трудно остановить, потому что атакующий трафик может выглядеть как обычный и поступать из бесчисленного множества источников. Нельзя просто заблокировать всё — иначе Вы сами откажете в обслуживании.

Самая устойчивая защита объединяет достаточную пропускную способность, очистку трафика на вышестоящем уровне, качественную фильтрацию и план реагирования на инциденты. Нужно признать, что абсолютное предотвращение невозможно, поэтому реалистичная цель — устойчивость.

DoS атакует доступность, перегружая цель; DDoS делает то же самое из множества источников с помощью ботнета. К типам таких атак относятся объёмные, протокольные (например, SYN-флуды), атаки на уровне приложений и атаки с усилением. Защита объединяет ограничение частоты, брандмауэры, сети доставки содержимого и облачную очистку, а также защиту от подмены для сдерживания атак с усилением.

Проверьте свои знания о DoS.

DoS перегружает службу, лишая пользователей доступности; DDoS использует множество источников из ботнета. Типы атак включают объёмные флуда, атаки на протоколы, например SYN-флуды, скрытные атаки на уровне приложений и атаки с усилением через подмену. Многоуровневая защита включает ограничение частоты, брандмауэры, сети доставки содержимого и облачную очистку от DDoS-трафика.