Was ist was und wer ist wer auf dem DDoS-Schutzmarkt

„Der Junge, der unsere Website gemacht hat, hat bereits einen Schutz gegen DDoS eingerichtet.“
„Wir haben doch einen Schutz gegen DDoS, warum ist die Website abgestürzt?“
„Wie viele Tausend möchte Qrator?“

Um auf solche Fragen von Kunden/Vorgesetzten angemessen zu antworten, wäre es gut zu wissen, was hinter dem Begriff „Schutz gegen DDoS“ steckt. Die Auswahl an Schutzdiensten erinnert mehr an die Auswahl von Medikamenten durch einen Arzt als an die Auswahl eines Tischs bei IKEA.

Ich unterstütze seit 11 Jahren Websites, habe Hunderte von Angriffen auf die von mir betreuten Dienste erlebt und werde jetzt ein wenig über die internen Abläufe des Schutzes erzählen.

Regelmäßige Angriffe. 350.000 Anfragen insgesamt, 52.000 legitime Anfragen

Die ersten Angriffe traten praktisch gleichzeitig mit dem Internet auf. DDoS wurde ab den späten 2000er Jahren ein Massenphänomen (sehen Sie sich an www.cloudflare.com/learning/ddos/famous-ddos-attacks).
Seit etwa 2015-2016 haben fast alle Hosting-Anbieter Schutzmaßnahmen gegen DDoS-Angriffe ergriffen, ebenso die meisten prominenten Websites in wettbewerbsintensiven Bereichen (führen Sie eine Whois-Abfrage für die IPs von eldorado.ru, leroymerlin.ru, tilda.ws durch, Sie werden die Netzwerke der Schutzanbieter sehen).

Wenn man vor 10-20 Jahren die meisten Angriffe direkt am Server abwehren konnte (bewerten Sie die Empfehlungen des Systemadministrators von Lenta.ru, Maxim Moshkov aus den 90ern: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), so sind die Aufgaben zum Schutz jetzt komplizierter geworden.

Arten von DDoS-Angriffen aus der Sicht der Auswahl des Schutzanbieters

Angriffe auf L3/L4 Ebene (nach OSI-Modell)

— UDP Flood von einem Botnet (viele Anfragen werden direkt von infizierten Geräten an den angegriffenen Dienst gesendet, sodass die Server durch die Überlastung des Kanals in Bedrängnis geraten);
— DNS/NTP/etc. Amplifikation (von infizierten Geräten werden viele Anfragen an verwundbare DNS/NTP/etc. gesendet, die Absenderadresse wird gefälscht, eine Flut von Paketen mit Antworten auf die Anfragen überflutet den Kanal des Angegriffenen; so werden die massiven Angriffe im modernen Internet durchgeführt);
— SYN/ACK Flood (es werden viele Anfragen zur Verbindungserstellung an die angegriffenen Server gesendet, sodass die Verbindungswarteschlange überläuft);
— Angriffe mit Fragmentierung von Paketen, Ping of Death, Ping Flood (bitte googeln);
— usw.

Diese Angriffe haben das Ziel, den Kanal des Servers „zuvor zu überlasten“ oder seine Fähigkeit, neuen Traffic zu akzeptieren, „zu eliminieren“.
Obwohl SYN/ACK Flood und Amplifikation stark unterschiedlich sind, bekämpfen viele Unternehmen sie gleich gut. Probleme treten bei Angriffen der folgenden Gruppe auf.

Angriffe auf L7 (Anwendungsebene)

— HTTP Flood (wenn eine Website oder eine HTTP-API angegriffen wird);
— Angriff auf verwundbare Bereiche der Website (ohne Cache, die Website stark belastend usw.).

Ziel ist es, den Server "hart arbeiten" zu lassen, viele "anscheinend echte Anfragen" zu bearbeiten und ohne Ressourcen für echte Anfragen zu bleiben.

Obwohl es auch andere Angriffe gibt, sind dies die häufigsten.

Schwere Angriffe auf der L7-Ebene werden auf einzigartige Weise für jedes angegriffene Projekt erstellt.

Warum 2 Gruppen?
Weil es viele gibt, die Angriffe auf der L3 / L4-Ebene gut abwehren können, sich jedoch entweder gar nicht um den Schutz auf der Anwendungs-ebene (L7) kümmern oder diese vorerst schwächer abwehren als die Alternativen.

Wer ist wer auf dem Markt für DDoS-Schutz

(meine persönliche Ansicht)

Schutz auf der L3 / L4-Ebene

Um Angriffe mit Amplifikation ("Überlastung" des Serverkanals) abzuwehren, genügen breite Kanäle (viele der Schutzdienste sind mit den meisten großen Backbone-Anbietern in Russland verbunden und verfügen über Kanäle mit einer theoretischen Kapazität von über 1 Tbit). Vergessen wir nicht, dass sehr seltene Angriffe mit Amplifikation länger als eine Stunde dauern. Wenn Sie Spamhaus sind und alle Sie nicht mögen — ja, man könnte versuchen, die Kanäle für mehrere Tage abzuschalten, selbst mit dem Risiko für das zukünftige Überleben des verwendeten weltweiten Botnets. Wenn Sie einfach einen Online-Shop haben, auch wenn es mvideo.ru ist — 1 Tbit über mehrere Tage werden Sie sehr spät sehen (hoffe ich).

Um Angriffe mit SYN / ACK-Flooding, Fragmentierung von Paketen usw. abzuwehren, sind Hardware oder Software-Systeme zur Erkennung und Abwehr solcher Angriffe erforderlich.
Solche Hardware wird von vielen (Arbor, es gibt Lösungen von Cisco, Huawei, Softwarelösungen von Wanguard usw.) hergestellt, viele Backbone-Anbieter haben sie bereits installiert und verkaufen DDoS-Schutzdienste (ich kenne Installationen bei Rostelecom, Megafon, TTK, MTS, im Grunde bei allen großen Anbietern; das machen auch Hostanbieter mit ihrem Schutz a-la OVH.com, Hetzner.de, ich hatte selbst Erfahrungen mit dem Schutz bei ihor.ru). Einige Unternehmen entwickeln ihre eigenen Softwarelösungen (Technologien wie DPDK ermöglichen es, Datenverkehr mit Dutzenden von Gigabit auf einer einzigen physischen x86-Maschine zu verarbeiten).

Unter den bekannten Spielern können alle mehr oder weniger effektiv L3/L4 DDoS-Angriffe abwehren. Ich kann jetzt nicht sagen, wer die größte maximale Bandbreite hat (das ist Insiderinformation), aber normalerweise ist das nicht so wichtig, und der Unterschied liegt nur darin, wie schnell der Schutz greift (sofort oder nach ein paar Minuten Ausfallzeit des Projekts, wie bei Hetzner).
Die Frage ist, wie qualitativ hochwertig das umgesetzt wird: Ein amplifizierter Angriff kann abgewehrt werden, indem der Datenverkehr aus Ländern mit dem meisten schädlichen Traffic blockiert wird, oder man kann nur wirklich überflüssigen Verkehr herausfiltern.
Aus meiner Erfahrung meistern jedoch alle ernsthaften Marktakteure dies ohne Probleme: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (ehemals SkyParkCDN), ServicePipe, Stormwall, Voxility usw.
Ich habe keine Erfahrungen mit dem Schutz von Betreibern wie Rostelecom, Megafon, TTK, Beeline gemacht, aber nach den Rückmeldungen von Kollegen bieten sie diese Dienstleistungen ausreichend qualitativ an; manchmal macht sich jedoch das fehlende Wissen bemerkbar: Manchmal muss man etwas über den Support des Schutzanbieters nachjustieren.
Einige Anbieter bieten einen speziellen Dienst "Schutz vor Angriffen auf L3/L4-Ebene" oder "Kanal-Schutz" an, der wesentlich günstiger ist als der Schutz auf allen Ebenen.

Wie wehrt ein nicht-basierten Anbieter Angriffe von mehreren Hundert Gbit ab, er hat doch keine eigenen Kanäle?Der Schutzanbieter kann sich mit jedem der großen Anbieter verbinden und Angriffe "auf dessen Kosten" abwehren. Man muss zwar für den Kanal bezahlen, aber all diese Hunderten von Gbit werden nicht immer abgerufen, es gibt Möglichkeiten zur erheblichen Kostensenkung der Kanäle in diesem Fall, weshalb das Modell praktikabel bleibt.

So sieht solch ein Bericht über oberen L3/L4-Schutz aus, den ich regelmäßig beim Support des Hosting-Anbieters erhalten habe.

Schutz auf L7-Ebene (Anwendungsebene)

L7-Angriffe (Anwendungsebene) können stabil und qualitativ nur von wenigen abgewehrt werden.
Ich habe ausreichend große praktische Erfahrungen mit
— Qrator.net;
— DDoS-Guard;
— G-Core Labs;
— Kaspersky.

Sie berechnen eine Gebühr für jeden Megabit sauberen Datenverkehr, ein Megabit kostet etwa mehrere Tausend Rubel. Wenn Sie mindestens 100 Mbit sauberen Datenverkehr haben – oh je. Der Schutz wird sehr teuer sein. Ich kann in den nächsten Artikeln erzählen, wie man Anwendungen entwirft, um erheblich bei der Kapazität der Schutzkanäle zu sparen.
Der echte "König des Berges" ist Qrator.net, die anderen hinken hinterher. Qrator ist bisher der einzige Anbieter in meiner Erfahrung, der eine nahezu null Prozent Rate an Fehlalarmen bietet, allerdings sind sie auch um ein Vielfaches teurer als die anderen Marktakteure.

Andere Anbieter bieten ebenfalls qualitativ hochwertigen und stabilen Schutz. Viele der von uns unterstützten Dienste (darunter auch sehr bekannte im Land!) werden durch DDoS-Guard, G-Core Labs geschützt und sind mit dem erhaltenen Ergebnis durchaus zufrieden.

Angriffe, die von Qrator abgewehrt wurden

Ich habe auch Erfahrungen mit kleineren Schutzanbietern wie cloud-shield.ru, ddosa.net, Tausende gibt es davon. Ich werde sie definitiv nicht empfehlen, da meine Erfahrung nicht sehr groß ist, ich kann aber die Prinzipien ihrer Arbeitsweise schildern. Die Preise für ihren Schutz liegen oft um 1-2 Größenordnungen unter denen der großen Anbieter. In der Regel kaufen sie teilweise Schutzdienste (L3/L4) bei größeren Anbietern und entwickeln zusätzlich ihre eigenen Schutzmaßnahmen gegen Angriffe auf höheren Ebenen. Das kann recht effektiv sein und man kann guten Service für weniger Geld bekommen, aber es sind dennoch kleine Unternehmen mit wenigen Mitarbeitern, bitte beachten Sie das.

Was macht die Abwehr von Angriffen auf L7 so kompliziert?

Alle Anwendungen sind einzigartig, und es ist erforderlich, nützlichen Datenverkehr zuzulassen und schädlichen zu blockieren. Bots konsequent herauszufiltern gelingt nicht immer, daher müssen viele, wirklich sehr viele Filterstufen eingesetzt werden.

Früher reichte das Modul nginx-testcookie (https://github.com/kyprizel/testcookie-nginx-module), und es ist immer noch ausreichend, um eine große Anzahl von Angriffen abzuwehren. Als ich in der Hosting-Branche arbeitete, baute ich den L7-Schutz genau auf nginx-testcookie auf.
Leider sind die Angriffe komplexer geworden. testcookie führt Bot-Überprüfungen auf JS-Basis durch, und viele moderne Bots können diese erfolgreich umgehen.

Die angreifenden Botnetze sind ebenfalls einzigartig, und man muss die Besonderheiten jedes großen Botnetzes berücksichtigen.
Amplifikation, direkter Flood von Botnetzen, Filterung des Datenverkehrs aus verschiedenen Ländern (unterschiedliche Filterung für verschiedene Länder), SYN/ACK Flood, Paketfragmentierung, ICMP, HTTP Flood – dabei können auf der Ebene der Anwendung/HTTP zahlreiche verschiedene Angriffe erdacht werden.
Insgesamt können auf Schutzebene, spezielle Hardware zur Datenverkehrsreinigung, spezielle Software und zusätzliche Filterungseinstellungen für jeden Kunden dutzende und hunderte von Filterebenen entstehen.
Um richtig mit diesem Thema umzugehen und die Filtereinstellungen für verschiedene Nutzer korrekt anzupassen, sind umfangreiche Erfahrungen und qualifizierte Fachkräfte erforderlich. Selbst ein großer Anbieter, der Dienstleistungen zum Schutz anbieten möchte, kann nicht einfach „die Probleme mit Geld zuschütten“: Erfahrung muss durch die Arbeit an betroffenen Webseiten und durch Fehlalarme im legitimen Traffic gewonnen werden.
Für einen Schutzanbieter gibt es keinen Knopf "DDoS abwehren", es gibt eine Vielzahl von Werkzeugen, und man muss lernen, sie zu nutzen.

Und ein weiteres Bonusbeispiel.

Ein Server ohne Schutz wurde vom Hostanbieter bei einem Angriff mit einer Kapazität von 600 Mbit blockiert.
(Das "Verlust" von Traffic ist nicht bemerkbar, da nur eine Website angegriffen wurde, diese vorübergehend vom Server entfernt wurde und die Blockade innerhalb einer Stunde aufgehoben wurde).

Dieser Server ist geschützt. Die Angreifer "gaben auf" nach einem Tag abwehrender Angriffe. Der Angriff selbst war nicht der stärkste.

Angriffe und Schutz auf L3/L4 sind unkomplizierter, sie hängen hauptsächlich von der Bandbreite, den Erkennungs- und Filteralgorithmen der Angriffe ab.
L7-Angriffe sind komplexer und ausgefallener, sie hängen von der angegriffenen Anwendung, den Möglichkeiten und der Fantasie der Angreifer ab. Der Schutz vor ihnen erfordert umfassendes Wissen und Erfahrung, zudem kann das Ergebnis nicht sofort und nicht zu 100 Prozent garantiert werden. Bis Google ein neues neuronales Netzwerk für den Schutz entwickelt hat.

Quelle: habr.com