Отказ в обслуживании и DDoS

Атака отказа в обслуживании (DoS) пытается сделать систему или сетевой ресурс недоступным для законных пользователей, перегружая его трафиком или используя уязвимости, из-за которых служба прекращает работу.

Атака DoS исходит из одного источника. Атака DDoS (распределённый DoS) использует тысячи или миллионы скомпрометированных устройств (ботнеты) либо усиление, чтобы создать атакующий трафик. DDoS гораздо сложнее блокировать, поскольку источники распределены по всему миру.

Объёмные атаки заполняют пропускную способность цели обычным трафиком:

• потоки UDP-пакетов — поддельные пакеты UDP перегружают пропускную способность
• потоки ICMP-пакетов — пакеты ping перегружают цель
• усиление DNS — небольшие запросы DNS возвращают жертве большие ответы

Атаки измеряются в Гбит/с — некоторые из них превышают 1 Тбит/с.

Атаки на протоколы используют слабые места сетевых протоколов:

• лавина SYN-пакетов — отправляет тысячи пакетов TCP SYN и исчерпывает таблицы соединений сервера
• «Пинг смерти» — отправляет слишком большие пакеты ICMP, из-за которых уязвимые системы прекращают работу
• атака «Смурф» — поддельные пакеты ICMP отправляются на широковещательный адрес сети, и все узлы отвечают жертве

Атаки на уровне приложений (уровень 7) нацелены на определённые функции приложения и используют запросы, похожие на легитимные:

• лавина HTTP-запросов — отправляет миллионы запросов GET/POST
• Slowloris — медленно отправляет неполные заголовки HTTP, занимая все соединения сервера
• исчерпание ресурсов SSL — использует высокую загрузку CPU при рукопожатии TLS

Атаки с усилением используют протоколы, которые возвращают гораздо больше данных, чем было запрошено:

• усиление DNS: коэффициент усиления 60x
• усиление NTP: коэффициент усиления 556x
• усиление Memcached: коэффициент усиления 51 000x (в 2018 году атака достигла 1,7 Тбит/с)

Злоумышленники подменяют IP жертвы в качестве адреса источника — отражатели отправляют жертве огромные ответы.

Центры очистки трафика — это специализированная инфраструктура, которая принимает и фильтрует трафик DDoS до того, как он достигнет цели. Крупные провайдеры (Cloudflare, Akamai, AWS Shield) располагают совокупной пропускной способностью очистки в сотни Тбит/с.

Средства защиты на уровне приложения:

• ограничение скорости для каждого IP/пользователя
• проверки CAPTCHA при подозрительных шаблонах трафика
• регулирование скорости соединений
• блокировка по репутации IP (известных IP ботнетов)

Anycast распределяет атакующий трафик между несколькими центрами обработки данных по всему миру. Вместо того чтобы одна цель принимала весь трафик, нагрузка распределяется между ними. Cloudflare и другие CDN используют Anycast для обработки массивных объёмных атак.

DDoS часто используется как инструмент кибервойны. Крупные инциденты:

• Эстония, 2007 год — сайты государственных органов и банков были выведены из строя во время политического кризиса
• Украина, 2022 год — сайты украинских государственных органов стали целью атак во время российского вторжения
• хактивисты используют DDoS для политических заявлений

Организации могут проверять устойчивость с помощью разрешённых инструментов нагрузочного тестирования:

• siege — нагрузочное тестирование HTTP
• ab (Apache Bench) — простое тестирование производительности HTTP
• коммерческие услуги стресс-тестирования (с разрешения)

Никогда не тестируйте системы, которыми вы не владеете или на тестирование которых у вас нет письменного разрешения.

Какая разновидность атаки очень медленно отправляет неполные заголовки HTTP, чтобы занять все доступные соединения сервера?

Атаки DoS/DDoS нарушают работу служб, перегружая цели трафиком или используя слабые места протоколов. К разновидностям атак относятся объёмные атаки (потоки UDP-пакетов и DNS), атаки на протоколы (лавина SYN-пакетов) и атаки на уровне приложений (Slowloris и лавины HTTP-запросов). Для защиты используются центры очистки трафика, Anycast, ограничение скорости и CAPTCHA. Атаки с усилением увеличивают мощь атаки за счёт использования отражателей.