Какво е какво и кой кой е на пазара за защита срещу DDoS

„Човекът, който направи нашия уебсайт, вече е настроил DDoS защита.“
„Имаме DDoS защита, защо сайтът падна?“
„Колко хиляди иска Qrator?“

За да отговорим коректно на подобни въпроси от клиент/шеф, би било хубаво да знаем какво се крие зад името „DDoS защита“. Изборът на услуги за сигурност е по-скоро като избор на лекарство от лекар, отколкото избор на маса в IKEA.

Поддържам уебсайтове от 11 години, преживях стотици атаки срещу услугите, които поддържам, и сега ще ви разкажа малко за вътрешната работа на защитата.

Редовни атаки. 350k req общо, 52k req легитимни

Първите атаки се появиха почти едновременно с интернет. DDoS като явление стана широко разпространено от края на 2000-те (вижте www.cloudflare.com/learning/ddos/famous-ddos-attacks).
От около 2015-2016 г. почти всички хостинг доставчици са защитени от DDoS атаки, както и повечето известни сайтове в конкурентни зони (направете whois по IP на сайтовете eldorado.ru, leroymerlin.ru, tilda.ws, ще видите мрежите на операторите за защита).

Ако преди 10-20 години повечето атаки можеха да бъдат отблъснати на самия сървър (оценете препоръките на системния администратор на Lenta.ru Максим Мошков от 90-те години: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), но сега задачите за защита са станали по-трудни.

Видове DDoS атаки от гледна точка на избор на оператор за защита

Атаки на ниво L3/L4 (според OSI модела)

— UDP наводнение от ботнет (много заявки се изпращат директно от заразени устройства към атакуваната услуга, сървърите са блокирани с канала);
— Усилване на DNS/NTP/и т.н. (много заявки се изпращат от заразени устройства към уязвими DNS/NTP/и т.н., адресът на изпращача е фалшифициран, облак от пакети, отговарящи на заявки, наводнява канала на лицето, което е атакувано; ето как най-много масирани атаки се извършват в съвременния интернет);
— SYN / ACK наводнение (много заявки за установяване на връзка се изпращат до атакуваните сървъри, опашката за връзка препълва);
— атаки с фрагментиране на пакети, ping of death, ping flood (гугъл, моля);
- и така нататък.

Тези атаки имат за цел да „запушат“ канала на сървъра или да „убият“ способността му да приема нов трафик.
Въпреки че наводняването и усилването на SYN/ACK са много различни, много компании се борят еднакво добре с тях. Проблеми възникват при атаки от следващата група.

Атаки срещу L7 (приложен слой)

— http flood (ако уебсайт или някой http api е атакуван);
— атака срещу уязвими зони на сайта (тези, които нямат кеш, които натоварват много силно сайта и т.н.).

Целта е сървърът да "работи здраво", да обработва много "привидно реални заявки" и да остане без ресурси за реални заявки.

Въпреки че има и други атаки, тези са най-честите.

Сериозните атаки на ниво L7 се създават по уникален начин за всеки атакуван проект.

Защо 2 групи?
Тъй като има много хора, които знаят как да отблъскват добре атаки на ниво L3 / L4, но или изобщо не предприемат защита на ниво приложение (L7), или все още са по-слаби от алтернативите в справянето с тях.

Кой кой е на пазара за защита срещу DDoS

(лично мое мнение)

Защита на ниво L3/L4

За отблъскване на атаки с усилване („блокиране“ на сървърния канал) има достатъчно широки канали (много от услугите за защита се свързват с повечето големи доставчици на опорни мрежи в Русия и имат канали с теоретичен капацитет над 1 Tbit). Не забравяйте, че много редки атаки на усилване продължават повече от час. Ако сте Spamhaus и всички не ви харесват, да, може да се опитат да затворят каналите ви за няколко дни, дори с риск от по-нататъшното оцеляване на използвания глобален ботнет. Ако просто имате онлайн магазин, дори и да е mvideo.ru, няма да видите 1 Tbit в рамките на няколко дни много скоро (надявам се).

За да отблъснете атаки със SYN/ACK наводняване, фрагментиране на пакети и т.н., имате нужда от оборудване или софтуерни системи за откриване и спиране на такива атаки.
Много хора произвеждат такова оборудване (Arbor, има решения от Cisco, Huawei, софтуерни реализации от Wanguard и т.н.), много опорни оператори вече са го инсталирали и продават услуги за защита от DDoS (знам за инсталации от Rostelecom, Megafon, TTK, MTS , всъщност всички големи доставчици правят същото с хостери със собствена защита a-la OVH.com, Hetzner.de, аз самият срещнах защита в ihor.ru). Някои компании разработват свои собствени софтуерни решения (технологии като DPDK ви позволяват да обработвате десетки гигабита трафик на една физическа x86 машина).

От добре познатите играчи всеки може да се бори с L3/L4 DDoS повече или по-малко ефективно. Сега няма да кажа кой има по-голям максимален капацитет на канала (това е вътрешна информация), но обикновено това не е толкова важно и единствената разлика е колко бързо се задейства защитата (незабавно или след няколко минути прекъсване на проекта, както при Hetzner).
Въпросът е колко добре е направено това: атака с усилване може да бъде отблъсната чрез блокиране на трафик от страни с най-голямо количество вреден трафик или може да бъде изхвърлен само наистина ненужен трафик.
Но в същото време, въз основа на моя опит, всички сериозни играчи на пазара се справят с това без проблеми: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (преди SkyParkCDN), ServicePipe, Stormwall, Voxility и др.
Не съм срещал защита от оператори като Rostelecom, Megafon, TTK, Beeline; според прегледите на колеги те предоставят тези услуги доста добре, но досега липсата на опит периодично се отразява: понякога трябва да промените нещо чрез поддръжката на оператора на защитата.
Някои оператори имат отделна услуга „защита срещу атаки на ниво L3/L4“ или „защита на канала“, струва много по-малко от защитата на всички нива.

Защо основният доставчик не отблъсква атаки от стотици Gbits, след като няма собствени канали?Операторът за защита може да се свърже с всеки от основните доставчици и да отблъсне атаки „за своя сметка“. Ще трябва да платите за канала, но всички тези стотици Gbits не винаги ще бъдат използвани; в този случай има опции за значително намаляване на цената на каналите, така че схемата остава работеща.

Това са докладите, които редовно получавах от защита от по-високо ниво L3/L4, докато поддържах системите на хостинг доставчика.

Защита на ниво L7 (ниво на приложение)

Атаките на ниво L7 (ниво на приложение) са в състояние да отблъскват единици последователно и ефективно.
Имам доста голям реален опит с
— Qrator.net;
— DDoS-Guard;
- G-Core Labs;
— Касперски.

Те таксуват за всеки мегабит чист трафик, един мегабит струва около няколко хиляди рубли. Ако имате поне 100 Mbps чист трафик - о. Защитата ще бъде много скъпа. Мога да ви кажа в следващите статии как да проектирате приложения, за да спестите много от капацитета на каналите за сигурност.
Истинският „цар на хълма“ е Qrator.net, останалите изостават от тях. Qrator засега са единствените според моя опит, които дават процент фалшиви положителни резултати близо до нула, но в същото време са няколко пъти по-скъпи от другите играчи на пазара.

Други оператори също осигуряват висококачествена и стабилна защита. Много услуги, поддържани от нас (включително много известни в страната!) са защитени от DDoS-Guard, G-Core Labs и са доста доволни от получените резултати.

Атаките са отблъснати от Qrator

Също така имам опит с малки оператори за сигурност като cloud-shield.ru, ddosa.net, хиляди от тях. Определено няма да го препоръчам, защото... Нямам много опит, но ще ви разкажа за принципите на тяхната работа. Цената им за защита често е с 1-2 порядъка по-ниска от тази на основните играчи. Като правило, те купуват услуга за частична защита (L3/L4) от един от по-големите играчи + правят собствена защита срещу атаки на по-високи нива. Това може да бъде доста ефективно + можете да получите добро обслужване за по-малко пари, но това все пак са малки компании с малък персонал, моля, имайте това предвид.

Каква е трудността при отблъскване на атаки на ниво L7?

Всички приложения са уникални и трябва да разрешите трафик, който е полезен за тях, и да блокирате вредните. Не винаги е възможно недвусмислено да отсеете ботовете, така че трябва да използвате много, наистина МНОГО степени на пречистване на трафика.

Имало едно време модулът nginx-testcookie беше достатъчен (https://github.com/kyprizel/testcookie-nginx-module), и все още е достатъчно, за да отблъсне голям брой атаки. Когато работех в хостинг индустрията, L7 защитата беше базирана на nginx-testcookie.
За съжаление атаките станаха по-трудни. testcookie използва базирани на JS проверки на ботове и много съвременни ботове могат успешно да ги преминат.

Атакуващите ботнети също са уникални и трябва да се вземат предвид характеристиките на всяка голяма ботнет.
Усилване, директно наводняване от ботнет, филтриране на трафик от различни държави (различно филтриране за различните държави), SYN/ACK наводняване, фрагментиране на пакети, ICMP, http наводняване, докато на ниво приложение/http можете да излезете с неограничен брой различни атаки.
Общо на нивото на защита на канала, специализирано оборудване за изчистване на трафика, специален софтуер, допълнителни настройки за филтриране за всеки клиент може да има десетки и стотици нива на филтриране.
За да управлявате правилно това и правилно да настроите настройките за филтриране за различни потребители, имате нужда от много опит и квалифициран персонал. Дори голям оператор, който е решил да предостави услуги за защита, не може да „хвърли глупаво пари за проблема“: ще трябва да се натрупа опит от лъжливи сайтове и фалшиви положителни резултати за легитимен трафик.
Няма бутон „отблъскване на DDoS“ за оператора по сигурността; има голям брой инструменти и трябва да знаете как да ги използвате.

И още един бонус пример.

Незащитен сървър беше блокиран от хостера по време на атака с капацитет 600 Mbit
(„Загубата“ на трафик не се забелязва, защото само 1 сайт беше атакуван, той беше временно премахнат от сървъра и блокирането беше премахнато в рамките на час).

Същият сървър е защитен. Нападателите се „предадоха” след ден на отблъснати атаки. Самата атака не беше от най-силните.

Атаката и защитата на L3/L4 са по-тривиални, те зависят главно от дебелината на каналите, алгоритмите за откриване и филтриране на атаки.
L7 атаките са по-сложни и оригинални, те зависят от атакуваното приложение, възможностите и въображението на нападателите. Защитата от тях изисква много знания и опит, а резултатът може да не е мигновен и не стопроцентов. Докато Google не измисли друга невронна мрежа за защита.

Източник: www.habr.com