Хостинг с пълна защита срещу DDoS атаки - мит или реалност

През първите две тримесечия на 2020 г. броят на DDoS атаките почти се е утроил, като 65% от тях са примитивни опити за „тестове за натоварване“, които лесно „дезактивират“ беззащитни сайтове на малки онлайн магазини, форуми, блогове и медии.

Как да избера хостинг, защитен от DDoS? На какво трябва да обърнете внимание и за какво да се подготвите, за да не изпаднете в неприятна ситуация?

(Ваксинация срещу „сив“ маркетинг вътре)

Наличието и разнообразието от инструменти за извършване на DDoS атаки принуждава собствениците на онлайн услуги да предприемат подходящи мерки за противодействие на заплахата. Трябва да помислите за DDoS защита не след първия отказ и дори не като част от набор от мерки за повишаване на устойчивостта на грешки на инфраструктурата, а на етапа на избор на сайт за поставяне (хостинг доставчик или център за данни).

DDoS атаките се класифицират в зависимост от протоколите, чиито уязвимости се използват до нивата на модела за взаимодействие на отворени системи (OSI):

• канал (L2),
• мрежа (L3),
• транспорт (L4),
• прилага (L7).

От гледна точка на системите за сигурност те могат да бъдат обобщени в две групи: атаки на ниво инфраструктура (L2-L4) и атаки на ниво приложение (L7). Това се дължи на последователността на изпълнение на алгоритмите за анализ на трафика и изчислителната сложност: колкото по-дълбоко се вгледаме в IP пакета, толкова повече изчислителна мощност е необходима.

Като цяло проблемът с оптимизирането на изчисленията при обработка на трафик в реално време е тема за отделна поредица от статии. Сега нека просто си представим, че има някакъв доставчик на облак с условно неограничени изчислителни ресурси, който може да защити сайтовете от атаки на ниво приложение (включително бесплатно).

3 основни въпроса за определяне на степента на сигурност на хостинг срещу DDoS атаки

Нека разгледаме условията на услугата за защита срещу DDoS атаки и Споразумението за ниво на обслужване (SLA) на хостинг доставчика. Съдържат ли отговори на следните въпроси:

• какви технически ограничения са посочени от доставчика на услугата??
• какво се случва, когато клиентът надхвърли ограниченията?
• Как един хостинг доставчик изгражда защита срещу DDoS атаки (технологии, решения, доставчици)?

Ако не сте намерили тази информация, тогава това е причина или да помислите за сериозността на доставчика на услугата, или да организирате основна DDoS защита (L3-4) сами. Например, поръчайте физическа връзка към мрежата на специализиран доставчик на сигурност.

Важно! Няма смисъл да осигурявате защита срещу атаки на ниво приложение с помощта на обратен прокси, ако вашият хостинг доставчик не е в състояние да осигури защита срещу атаки на ниво инфраструктура: мрежовото оборудване ще бъде претоварено и ще стане недостъпно, включително за прокси сървърите на облачния доставчик (Фигура 1).

Фигура 1. Директна атака срещу мрежата на хостинг доставчика

И не им позволявайте да се опитват да ви разказват приказки, че истинският IP адрес на сървъра е скрит зад облака на доставчика на сигурност, което означава, че е невъзможно да го атакувате директно. В девет от всеки десет случая за нападателя няма да е трудно да намери истинския IP адрес на сървъра или поне мрежата на хостинг доставчика, за да „унищожи“ цял център за данни.

Как действат хакерите в търсене на истински IP адрес

Под спойлерите има няколко метода за намиране на истински IP адрес (дадени за информационни цели).

Метод 1: Търсете в отворени източници

Можете да започнете търсенето си с онлайн услугата Интелигентност X: Търси в тъмната мрежа, платформи за споделяне на документи, обработва Whois данни, изтичане на публични данни и много други източници.

Ако въз основа на някои признаци (HTTP заглавки, Whois данни и т.н.) е било възможно да се определи, че защитата на сайта е организирана с помощта на Cloudflare, тогава можете да започнете да търсите истинския IP от списъка, който съдържа около 3 милиона IP адреса на сайтове, разположени зад Cloudflare.

Използване на SSL сертификат и услуга цензури можете да намерите много полезна информация, включително реалния IP адрес на сайта. За да генерирате заявка за вашия ресурс, отидете в раздела Сертификати и въведете:

_parsed.names: имесайт И тагове.raw: надежден

За да търсите IP адреси на сървъри, използващи SSL сертификат, ще трябва ръчно да преминете през падащия списък с няколко инструмента (раздела „Изследване“, след това изберете „IPv4 хостове“).

Метод 2: DNS

Търсенето в историята на промените в DNS записите е стар, доказан метод. Предишният IP адрес на сайта може да покаже на кой хостинг (или център за данни) се намира. Сред онлайн услугите по отношение на лекотата на използване се открояват следните: Преглед на DNS и SecurityTrails.

Когато промените настройките, сайтът няма да използва незабавно IP адреса на доставчика на облачна сигурност или CDN, но ще работи директно за известно време. В този случай съществува възможност онлайн услугите за съхраняване на историята на промените на IP адресите да съдържат информация за адреса на източника на сайта.

Ако няма нищо друго освен името на стария DNS сървър, тогава с помощта на специални помощни програми (dig, host или nslookup) можете да поискате IP адрес чрез името на домейна на сайта, например:

_dig @old_dns_server_name имесайта

Метод 3: имейл

Идеята на метода е да използвате формата за обратна връзка/регистрация (или всеки друг метод, който ви позволява да инициирате изпращането на писмо), за да получите писмо на имейла си и да проверите заглавките, по-специално полето „Получено“ .

Заглавката на имейла често съдържа действителния IP адрес на MX записа (сървър за обмен на имейл), който може да бъде отправна точка за намиране на други сървъри на целта.

Инструменти за автоматизация на търсенето

Софтуерът за IP търсене зад щита Cloudflare най-често работи за три задачи:

• Сканирайте за неправилна конфигурация на DNS с помощта на DNSDumpster.com;
• Сканиране на база данни Crimeflare.com;
• търсене на поддомейни с помощта на метод за търсене в речник.

Намирането на поддомейни често е най-ефективният вариант от трите - собственикът на сайта може да защити основния сайт и да остави поддомейните да работят директно. Най-лесният начин да проверите е да използвате CloudFail.

Освен това има помощни програми, предназначени само за търсене в поддомейни чрез търсене в речник и търсене в отворени източници, например: Подсписък3r или dnsrecon.

Как се случва търсенето на практика

Например, нека вземем сайта seo.com с помощта на Cloudflare, който ще намерим с помощта на добре позната услуга построен с (позволява както да определите технологиите / двигателите / CMS, на които работи сайтът, така и обратното - да търсите сайтове по използваните технологии).

Когато щракнете върху раздела „IPv4 Hosts“, услугата ще покаже списък с хостове, използващи сертификата. За да намерите този, от който се нуждаете, потърсете IP адрес с отворен порт 443. Ако той пренасочва към желания сайт, тогава задачата е изпълнена, в противен случай трябва да добавите името на домейна на сайта към заглавката „Хост“ на HTTP заявка (например *curl -H "Host: site_name" *https://IP_адрес).

В нашия случай търсенето в базата данни на Censys не даде нищо, така че продължаваме нататък.

Ние ще извършим DNS търсене чрез услугата https://securitytrails.com/dns-trails.

Чрез търсене в адресите, споменати в списъците с DNS сървъри с помощта на помощната програма CloudFail, намираме работещи ресурси. Резултатът ще бъде готов след няколко секунди.

Използвайки само отворени данни и прости инструменти, ние определихме истинския IP адрес на уеб сървъра. Останалото за нападателя е въпрос на техника.

Да се ​​върнем към избора на хостинг доставчик. За да оценим ползата от услугата за клиента, ще разгледаме възможните методи за защита срещу DDoS атаки.

Как един хостинг доставчик изгражда своята защита

1. Собствена система за защита с филтриращо оборудване (Фигура 2).
   Изисква:
   1.1. Оборудване за филтриране на трафик и софтуерни лицензи;
   1.2. Щатни специалисти за поддръжката и експлоатацията му;
   1.3. Канали за достъп до интернет, които ще бъдат достатъчни за получаване на атаки;
   1.4. Значителна честотна лента на предплатен канал за получаване на „нежелан“ трафик.
   
   Фигура 2. Собствена система за сигурност на хостинг доставчика
   Ако разгледаме описаната система като средство за защита срещу модерни DDoS атаки от стотици Gbps, тогава такава система ще струва много пари. Хостинг доставчикът има ли такава защита? Готов ли е да плаща за „нежелана“ трафик? Очевидно такъв икономически модел е неизгоден за доставчика, ако тарифите не предвиждат допълнителни плащания.
2. Обратно прокси (само за уебсайтове и някои приложения). Въпреки номер ползи, доставчикът не гарантира защита срещу директни DDoS атаки (вижте Фигура 1). Хостинг доставчиците често предлагат подобно решение като панацея, прехвърляйки отговорността на доставчика на сигурност.
3. Услуги на специализиран облачен доставчик (използване на неговата филтрираща мрежа) за защита срещу DDoS атаки на всички нива на OSI (Фигура 3).
   
   Фигура 3. Комплексна защита срещу DDoS атаки с помощта на специализиран доставчик
   Решение предполага дълбока интеграция и високо ниво на техническа компетентност на двете страни. Възлагането на услуги за филтриране на трафик позволява на хостинг доставчика да намали цената на допълнителните услуги за клиента.

Важно! Колкото по-подробно са описани техническите характеристики на предоставяната услуга, толкова по-голям е шансът да поискате тяхното изпълнение или обезщетение в случай на престой.

В допълнение към трите основни метода има много комбинации и комбинации. При избора на хостинг е важно клиентът да помни, че решението ще зависи не само от размера на гарантирано блокираните атаки и точността на филтриране, но и от скоростта на реакция, както и информационното съдържание (списък на блокираните атаки, обща статистика и др.).

Не забравяйте, че само няколко хостинг доставчици в света са в състояние сами да осигурят приемливо ниво на защита; в други случаи сътрудничеството и техническата грамотност помагат. По този начин разбирането на основните принципи на организиране на защита срещу DDoS атаки ще позволи на собственика на сайта да не се поддава на маркетингови трикове и да не купува „прасе в джоба“.

Източник: www.habr.com