DDoS става офлайн

Преди няколко години изследователските агенции и доставчиците на услуги за информационна сигурност започнаха да докладват упадък брой DDoS атаки. Но до 1-вото тримесечие на 2019 г. същите изследователи съобщиха за зашеметяващите си растеж с 84%. И тогава всичко тръгна от сила на сила. Дори пандемията не допринесе за атмосферата на мир - напротив, киберпрестъпниците и спамерите сметнаха това за отличен сигнал за атака и обемът на DDoS се увеличи два пъти.

Ние вярваме, че времето за прости, лесно откриваеми DDoS атаки (и прости инструменти, които могат да ги предотвратят) свърши. Киберпрестъпниците са станали по-добри в скриването на тези атаки и извършването им с нарастваща сложност. Тъмната индустрия премина от груба сила към атаки на ниво приложение. Тя получава сериозни поръчки за разрушаване на бизнес процеси, включително и доста офлайн.

Проникване в реалността

През 2017 г. поредица от DDoS атаки, насочени към шведски транспортни услуги, доведоха до продължително закъснения на влаковете. През 2019 г. националният железопътен оператор на Дания Дански Статсбанер Системите за продажби паднаха. В резултат на това автоматите за билети и автоматичните портали не работеха на гарите и повече от 15 хиляди пътници не успяха да напуснат. Също през 2019 г. мощна кибератака причини прекъсване на електрозахранването в Венецуела.

Последствията от DDoS атаките вече се изпитват не само от онлайн потребители, но и от хора, както се казва, IRL (в реалния живот). Докато нападателите в миналото са били насочени само към онлайн услуги, сега тяхната цел често е да нарушат всякакви бизнес операции. По наши изчисления днес повече от 60% от атаките имат такава цел – за изнудване или нелоялна конкуренция. Транзакциите и логистиката са особено уязвими.

По-умни и по-скъпи

DDoS продължава да се счита за един от най-често срещаните и най-бързо развиващите се видове киберпрестъпления. Според експерти от 2020 г. техният брой само ще се увеличава. Това е свързано с различни причини – и с още по-голямото преминаване на бизнеса онлайн поради пандемията, и с развитието на сенчестата индустрия на киберпрестъпленията, и дори с 5G разпространение.

DDoS атаките станаха „популярни“ по едно време поради лекотата им на внедряване и ниската цена: само преди няколко години те можеха да бъдат стартирани за $50 на ден. Днес както целите, така и методите на атака са се променили, увеличавайки тяхната сложност и, като резултат, цената. Не, цените от $5 на час все още са в ценоразписите (да, киберпрестъпниците имат ценови списъци и тарифни графици), но за уебсайт със защита те вече изискват от $400 на ден и цената на „индивидуалните“ поръчки за големи компании достига няколко хиляди долара.

В момента има два основни вида DDoS атаки. Първата цел е да направите онлайн ресурс недостъпен за определен период от време. Нападателите ги таксуват по време на самата атака. В този случай DDoS операторът не се интересува от конкретен резултат и клиентът всъщност плаща предварително, за да започне атаката. Такива методи са доста евтини.

Вторият тип са атаки, които се плащат само при постигане на определен резултат. С тях е по-интересно. Те са много по-трудни за изпълнение и следователно значително по-скъпи, тъй като нападателите трябва да изберат най-ефективните методи за постигане на целите си. Във Variti понякога играем цели шахматни партии с киберпрестъпници, където те незабавно променят тактики и инструменти и се опитват да проникнат в множество уязвимости на няколко нива наведнъж. Това явно са екипни атаки, при които хакерите знаят отлично как да реагират и да противодействат на действията на защитниците. Справянето с тях е не само трудно, но и много скъпо за компаниите. Например, един от нашите клиенти, голям онлайн търговец на дребно, почти три години поддържаше екип от 30 души, чиято задача беше да се бори с DDoS атаките.

Според Variti обикновените DDoS атаки, извършени чисто от скука, тролене или недоволство от определена компания, в момента представляват по-малко от 10% от всички DDoS атаки (разбира се, незащитените ресурси може да имат различна статистика, ние разглеждаме данните на нашите клиенти) . Всичко останало е дело на професионални екипи. Въпреки това, три четвърти от всички „лоши“ ботове са сложни ботове, които са трудни за откриване с помощта на повечето съвременни пазарни решения. Те имитират поведението на реални потребители или браузъри и въвеждат модели, които затрудняват разграничаването между „добри“ и „лоши“ заявки. Това прави атаките по-малко забележими и следователно по-ефективни.

Данни от GlobalDots

Нови DDoS цели

Доклад Доклад за лош бот от анализатори от GlobalDots казва, че сега ботовете генерират 50% от целия уеб трафик, а 17,5% от тях са злонамерени ботове.

Ботовете знаят как да съсипват живота на компаниите по различни начини: в допълнение към факта, че те „сриват“ уебсайтове, сега те се занимават и с увеличаване на разходите за реклама, кликване върху реклами, анализиране на цените, за да ги направят с една стотинка по-малко и примамват купувачи и крадат съдържание за различни лоши цели (например наскоро ние писали за сайтове с откраднато съдържание, които принуждават потребителите да решават чужди captcha). Ботовете силно изкривяват различни бизнес статистики и в резултат на това решенията се вземат въз основа на неверни данни. DDoS атаката често е димна завеса за дори по-сериозни престъпления като хакерство и кражба на данни. И сега виждаме, че е добавен цял нов клас киберзаплахи - това е прекъсване на работата на определени бизнес процеси на компанията, често офлайн (тъй като в наше време нищо не може да бъде напълно „офлайн“). Особено често виждаме, че логистичните процеси и комуникациите с клиентите се нарушават.

„Не е доставено“

Логистичните бизнес процеси са ключови за повечето компании, така че те често са атакувани. Ето възможните сценарии за атака.

Не е налично

Ако работите в онлайн търговията, тогава вероятно вече сте запознати с проблема с фалшивите поръчки. Когато бъдат атакувани, ботовете претоварват логистичните ресурси и правят стоките недостъпни за други купувачи. За да направят това, те правят огромен брой фалшиви поръчки, равен на максималния брой продукти на склад. След това тези стоки не се заплащат и след известно време се връщат на сайта. Но делото вече е направено: те бяха маркирани като „изчерпани“ и някои купувачи вече са отишли ​​при конкуренти. Тази тактика е добре известна в индустрията за продажба на самолетни билети, където ботовете понякога незабавно „разпродават“ всички билети почти веднага щом станат налични. Например, един от нашите клиенти, голяма авиокомпания, пострада от такава атака, организирана от китайски конкуренти. Само за два часа техните ботове поръчаха 100% от билетите до определени дестинации.

Кецове ботове

Следващият популярен сценарий: ботовете незабавно купуват цяла линия продукти, а техните собственици ги продават по-късно на завишена цена (средно 200% надценка). Такива ботове се наричат ​​ботове за маратонки, защото този проблем е добре известен в индустрията на модните маратонки, особено в лимитираните колекции. Ботовете купиха нови линии, които току-що се появиха за почти минути, като същевременно блокираха ресурса, така че реалните потребители да не могат да преминат през него. Това е рядък случай, когато за ботове се пише в модни лъскави списания. Въпреки че като цяло прекупвачите на билети за готини събития като футболни мачове използват същия сценарий.

Други сценарии

Но това не е всичко. Има още по-сложна версия за атаки срещу логистиката, която заплашва със сериозни загуби. Това може да стане, ако в услугата има опция „Плащане при получаване на стока“. Ботовете оставят фалшиви поръчки за такива стоки, като посочват фалшиви или дори истински адреси на нищо неподозиращи хора. И компаниите поемат огромни разходи за доставка, съхранение и откриване на подробности. По това време стоките не са достъпни за други клиенти и също заемат място в склада.

Какво друго? Ботовете оставят масивни фалшиви лоши отзиви за продукти, блокират функцията „връщане на плащане“, блокират транзакции, крадат данни на клиенти, изпращат спам на истински клиенти – има много опции. Добър пример е неотдавнашната атака срещу DHL, Hermes, AldiTalk, Freenet, Snipes.com. Хакери преструваше се, че те „тестват системи за защита от DDoS“, но в крайна сметка те премахнаха портала за бизнес клиенти на компанията и всички API. В резултат на това имаше големи прекъсвания в доставката на стоки до клиентите.

Обади се утре

Миналата година Федералната търговска комисия (FTC) съобщи за удвояване на оплакванията от фирми и потребители относно спам и измамни обаждания от телефонни ботове. Според някои оценки те възлизат на почти 50% всички обаждания.

Както при DDoS, целите на TDoS – масивни бот атаки срещу телефони – варират от „измама“ до безскрупулна конкуренция. Ботовете могат да претоварят контактните центрове и да предотвратят пропускането на реални клиенти. Този метод е ефективен не само за кол центрове с „живи“ оператори, но и там, където се използват AVR системи. Ботовете могат също масово да атакуват други канали за комуникация с клиенти (чат, имейли), да нарушат работата на CRM системите и дори до известна степен да повлияят негативно на управлението на персонала, тъй като операторите са претоварени, опитвайки се да се справят с кризата. Атаките могат също да бъдат синхронизирани с традиционна DDoS атака срещу онлайн ресурсите на жертвата.

Наскоро подобна атака попречи на работата на спасителната служба 911 в САЩ - обикновените хора, които имат остра нужда от помощ, просто не могат да преминат. Приблизително по същото време зоологическата градина в Дъблин претърпя същата съдба, като най-малко 5000 души получиха нежелана SMS текстови съобщения, насърчаващи ги спешно да се обадят на телефонния номер на зоологическата градина и да поискат фиктивно лице.

Няма да има Wi-Fi

Киберпрестъпниците също могат лесно да блокират цяла корпоративна мрежа. IP блокирането често се използва за борба с DDoS атаките. Но това е не само неефективна, но и много опасна практика. IP адресът е лесен за намиране (например чрез наблюдение на ресурси) и лесен за замяна (или подправка). Имали сме клиенти, преди да дойдем във Variti, където блокирането на конкретен IP просто изключваше Wi-Fi в собствените им офиси. Имаше случай, когато клиент беше „подхлъзнат“ с необходимия IP и той блокира достъпа до ресурса си за потребители от цял ​​регион и не забеляза това дълго време, защото в противен случай целият ресурс функционираше перфектно.

Какво ново?

Новите заплахи изискват нови решения за сигурност. Тази нова пазарна ниша обаче тепърва започва да се заражда. Има много решения за ефективно отблъскване на прости бот атаки, но със сложните не е толкова просто. Много решения все още практикуват техники за блокиране на IP. Други се нуждаят от време, за да съберат първоначалните данни, за да започнат, и тези 10-15 минути могат да се превърнат в уязвимост. Има решения, базирани на машинно обучение, които ви позволяват да идентифицирате бот по поведението му. И в същото време екипи от „другата“ страна се хвалят, че вече имат ботове, които могат да имитират реални модели, неразличими от човешките. Все още не е ясно кой ще спечели.

Какво да направите, ако трябва да се справите с професионални екипи от ботове и сложни, многоетапни атаки на няколко нива едновременно?

Нашият опит показва, че трябва да се съсредоточите върху филтрирането на нелегитимни заявки, без да блокирате IP адреси. Сложните DDoS атаки изискват филтриране на няколко нива едновременно, включително транспортно ниво, ниво на приложение и API интерфейси. Благодарение на това е възможно да се отблъснат дори нискочестотни атаки, които обикновено са невидими и следователно често пропускани. И накрая, всички реални потребители трябва да бъдат допуснати, дори когато атаката е активна.

На второ място, компаниите се нуждаят от възможността да създават свои собствени многостепенни системи за защита, които освен инструменти за предотвратяване на DDoS атаки, ще имат вградени системи срещу измами, кражба на данни, защита на съдържанието и т.н.

Трето, те трябва да работят в реално време от първата заявка - способността за мигновено реагиране на инциденти със сигурността значително увеличава шансовете за предотвратяване на атака или намаляване на нейната разрушителна сила.

Близко бъдеще: управление на репутацията и събиране на големи данни с помощта на ботове
Историята на DDoS еволюира от проста към сложна. Първоначално целта на нападателите е била да спрат работата на сайта. Сега те смятат, че е по-ефективно да се насочват към основните бизнес процеси.

Усъвършенстването на атаките ще продължи да нараства, това е неизбежно. Плюс това, което лошите ботове правят сега - кражба и фалшифициране на данни, изнудване, спам - ботовете ще събират данни от голям брой източници (Big Data) и ще създават „стабилни“ фалшиви акаунти за управление на влияние, репутация или масов фишинг.

В момента само големи компании могат да си позволят да инвестират в DDoS и защита от ботове, но дори те не винаги могат напълно да наблюдават и филтрират трафика, генериран от ботове. Единственото положително нещо във факта, че бот атаките стават все по-сложни е, че това стимулира пазара да създава по-интелигентни и по-модерни решения за сигурност.

Какво мислите - как ще се развива индустрията за защита от ботове и какви решения са необходими на пазара в момента?

Източник: www.habr.com