Hosting mit vollem Schutz gegen DDoS-Angriffe – Mythos oder Realität

In den ersten beiden Quartalen des Jahres 2020 hat die Anzahl der DDoS-Angriffe fast um das Dreifache zugenommen, wobei 65 % davon primitive Versuche des "Stresstests" ausmachen, die mühelos schutzlose Websites kleiner Online-Shops, Foren, Blogs und Medien "ausknipsen".

Wie wählt man ein DDoS-angriffssicheres Hosting? Worauf sollte man achten und wo sollte man sich vorbereiten, um nicht in eine unangenehme Lage zu geraten?

(Impfung gegen "graues" Marketing im Inneren)

Die Verfügbarkeit und Vielfalt der Werkzeuge für DDoS-Angriffe zwingt die Besitzer von Online-Diensten, entsprechende Maßnahmen zur Bekämpfung der Bedrohung zu ergreifen. Man sollte über den Schutz vor DDoS-Angriffen nicht erst nach dem ersten Ausfall nachdenken, und auch nicht im Rahmen eines Maßnahmenpakets zur Erhöhung der Ausfallsicherheit der Infrastruktur, sondern bereits in der Phase der Auswahl des Platzes für die Unterbringung (Hosting-Anbieter oder Rechenzentrum).

DDoS-Angriffe werden klassifiziert, abhängig davon, zu welchen Ebenen des Modells zur Interaktion offener Systeme (OSI) die Protokolle und ihre verwundbaren Punkte gehören:

• Schicht 2 (L2),
• Schicht 3 (L3),
• Schicht 4 (L4),
• Schicht 7 (L7).

Aus Sicht der Schutzsysteme lassen sich diese in zwei Gruppen zusammenfassen: Angriffe auf Infrastruktur-Ebene (L2-L4) und Angriffe auf Anwendungsebene (L7). Dies hängt mit der Reihenfolge der Ausführung von Algorithmen zur Analyse des Datenverkehrs und der Rechenkomplexität zusammen: Je tiefer wir in das IP-Paket schauen, desto mehr Rechenressourcen sind erforderlich.

Im Allgemeinen ist die Aufgabe der Optimierung der Berechnungen bei der Verarbeitung von Datenverkehr in Echtzeit ein Thema für einen separaten Artikelzyklus. Lassen Sie uns jetzt einfach vorstellen, dass es einen bestimmten Cloud-Anbieter mit bedingt unbegrenzten Rechenressourcen gibt, der den Schutz von Websites vor Angriffen auf Anwendungsebene gewährleisten kann (einschließlich kostenlos).

3 zentrale Fragen zur Bestimmung des Schutzniveaus von Hosting gegen DDoS-Angriffe

Lassen Sie uns die Bedingungen der Dienstleistung zum Schutz vor DDoS-Angriffen und das Service Level Agreement (SLA) des Hosting-Anbieters betrachten. Enthalten sie Antworten auf folgende Fragen:

• Welche technischen Einschränkungen gibt der Dienstanbieter an??
• Was passiert, wenn der Kunde die Grenzen überschreitet?
• Wie gestaltet der Hosting-Anbieter den Schutz vor DDoS-Angriffen (Technologien, Lösungen, Anbieter)?

Wenn Sie diese Informationen nicht gefunden haben, ist das entweder ein Grund, über die Seriosität des Dienstanbieters nachzudenken, oder um einen grundlegenden Schutz gegen DDoS (L3-4) selbst zu organisieren. Zum Beispiel könnte man eine physische Anbindung an das Netzwerk eines spezialisierten Schutzanbieters bestellen.

Wichtig! Es macht keinen Sinn, den Schutz vor Anwendungsangriffen mit Hilfe von Reverse Proxy zu gewährleisten, wenn Ihr Hosting-Anbieter nicht in der Lage ist, Schutz vor Infrastrukturangriffen zu bieten: Netzwerkgeräte werden überlastet und nicht mehr verfügbar, auch nicht für die Proxy-Server des Cloud-Anbieters (Abbildung 1).

Abbildung 1. Direkter Angriff auf das Netzwerk des Hosting-Anbieters

Lassen Sie sich nicht mit Geschichten überzeugen, dass die echte IP-Adresse des Servers hinter der Cloud des Schutzanbieters verborgen ist und daher direkt angegriffen werden kann — das ist in neun von zehn Fällen nicht der Fall. Ein Angreifer kann die echte IP-Adresse des Servers oder zumindest das Netzwerk des Hosting-Anbieters leicht herausfinden, um ein ganzes Rechenzentrum lahmzulegen.

Wie Hacker die echte IP-Adresse suchen

Unter Spoilern finden sich mehrere Methoden zur Suche nach der echten IP-Adresse (diese werden zu Informationszwecken angegeben).

Methode 1: Suche in offenen Quellen

Die Suche kann mit dem Online-Dienst Intelligence X: beginnen — er sucht Informationen im Darknet, auf Plattformen zum Austausch von Dokumenten, verarbeitet Whois-Daten, Lecks von öffentlichen Daten und viele andere Quellen.

Wenn es aus bestimmten Anzeichen (HTTP-Header, Whois-Daten usw.) gelungen ist, festzustellen, dass der Schutz der Website mit Hilfe von Cloudflare organisiert wurde, kann die Suche nach der echten IP-Adresse mit der Liste, das etwa 3 Millionen IP-Adressen von Websites enthält, die hinter Cloudflare liegen.

Mit einem SSL-Zertifikat und dem Dienst Censys kann man viel Nützliches finden, einschließlich der echten IP-Adresse der Website. Um eine Abfrage zu Ihrem Ressource zu erstellen, gehen Sie zum Tab „Zertifikate“ und geben Sie ein:

_parsed.names: Nameder Website AND tags.raw: trusted

Um die IP-Adressen von Servern zu finden, die ein SSL-Zertifikat verwenden, muss die Dropdown-Liste manuell mit mehreren Werkzeugen durchgesehen werden (Tab „Erforschen“, dann wählen wir „IPv4 Hosts“).

Methode 2: DNS

Die Suche in der Historie von DNS-Einträgen ist eine alte, bewährte Methode. Die vorherige IP-Adresse der Website kann darauf hinweisen, auf welchem Hosting (oder in welchem Rechenzentrum) sie sich befand. Unter den Online-Diensten sticht ViewDNS und SecurityTrails.

Bei einer Änderung der Einstellungen wird die Website nicht sofort die IP-Adresse des Cloud-Sicherheitsanbieters oder CDN verwenden, sondern eine Zeit lang direkt arbeiten. In diesem Fall besteht die Möglichkeit, dass Online-Dienste zur Speicherung der IP-Adresswechsel Informationen über die ursprüngliche Adresse der Website enthalten.

Wenn nichts als der Name des alten DNS-Servers vorhanden ist, kann man mit speziellen Tools (dig, host oder nslookup) die IP-Adresse anhand des Domainnamens der Website abfragen, zum Beispiel:

_dig @alter_dns_server nameder Website

Methode 3: E-Mail

Die Idee der Methode besteht darin, über ein Kontaktformular / Registrierung (oder auf andere Weise, die das Auslösen des Sendens einer E-Mail ermöglicht) eine E-Mail an seine eigene E-Mail-Adresse zu erhalten und die Header zu überprüfen, insbesondere das Feld „Received“.

Im Header der E-Mail befindet sich oft die tatsächliche IP-Adresse des MX-Eintrags (Mail Exchange-Server), die als Ausgangspunkt für die Suche nach anderen Zielservern dienen kann.

Tools zur Automatisierung der Suche

Software zur Suche nach IPs hinter Cloudflare funktioniert meist nach drei Aufgaben:

• Scannen von falschen DNS-Konfigurationen mit DNSDumpster.com;
• Scannen der Datenbank Crimeflare.com;
• Suche nach Subdomains mithilfe von Wörterbuchangriffen.

Die Suche nach Subdomains erweist sich oft als die effektivste Option von dreien – der Webseiteninhaber könnte die Hauptseite geschützt haben, während die Subdomains direkt zugänglich blieben. Zum Überprüfen ist es am einfachsten, CloudFail.

Darüber hinaus gibt es Tools, die nur für die Suche nach Subdomains durch Wörterbuchangriffe und die Suche in offenen Quellen gedacht sind, wie: Sublist3r oder dnsrecon.

Wie die Suche in der Praxis abläuft

Nehmen wir als Beispiel die Website seo.com, die Cloudflare verwendet, und die wir mit einem bekannten Dienst finden, builtwith (ermöglicht, sowohl Technologien / Engines / CMS zu identifizieren, auf denen die Website basiert, als auch umgekehrt - nach Websites anhand der verwendeten Technologien zu suchen).

Wenn Sie auf die Registerkarte „IPv4-Hosts“ klicken, zeigt der Dienst eine Liste von Hosts, die ein Zertifikat verwenden. Um den richtigen zu finden, suchen Sie nach einer IP-Adresse mit offenem Port 443. Wenn sie auf die gewünschte Website umleitet, ist die Aufgabe erfüllt, andernfalls müssen Sie den Domainnamen der Website im „Host“ Header der HTTP-Anfrage hinzufügen (zum Beispiel *curl -H "Host: name_der_website" *https://IP_adresse).

In unserem Fall hat die Suche in der Censys-Datenbank nichts ergeben, also machen wir weiter.

Die DNS-Suche führen wir über den Dienst durch https://securitytrails.com/dns-trails.

Indem wir die in den DNS-Serverlisten der CloudFail-Utility aufgeführten Adressen durchgehen, finden wir funktionsfähige Ressourcen. Das Ergebnis wird in wenigen Sekunden bereit sein.

Nur mit öffentlichen Daten und einfachen Werkzeugen haben wir die echte IP-Adresse des Webservers ermittelt. Der Rest ist für den Angreifer eine technische Angelegenheit.

Kehren wir zur Auswahl des Hosting-Anbieters zurück. Um den Nutzen des Dienstes für den Kunden zu bewerten, betrachten wir mögliche Schutzmaßnahmen gegen DDoS-Angriffe.

Wie der Hosting-Anbieter seinen Schutz aufbaut

1. Eigenes Schutzsystem mit Filterausrüstung (Abbildung 2).
   Erfordert folgende Voraussetzungen:
   1.1. Ausrüstung zur Filterung des Verkehrs und Lizenzen für die Software;
   1.2. Festangestellte Spezialisten zur Unterstützung und Bedienung;
   1.3. Internetzugangskanäle, die ausreichend für den Empfang von Angriffen sind;
   1.4. Eine erhebliche im Voraus bezahlte Bandbreite für den Empfang von 'Müll'-Traffic.
   
   Abbildung 2. Eigenes Schutzsystem des Hosting-Anbieters
   Wenn man das beschriebene System als Mittel zum Schutz vor modernen DDoS-Angriffen in Hunderten von Gbps betrachtet, wird ein solches System sehr viel Geld kosten. Hat der Hosting-Anbieter einen solchen Schutz? Ist er bereit, 'Müll'-Traffic zu bezahlen? Offensichtlich ist ein solches Geschäftsmodell für den Anbieter unprofitabel, sofern in den Tarifen keine zusätzlichen Gebühren vorgesehen sind.
2. Reverse Proxy (nur für Webseiten und einige Anwendungen). Trotz einer Reihe von Vorteilen, garantiert der Anbieter keinen Schutz gegen direkte DDoS-Angriffe (siehe Abbildung 1). Hosting-Anbieter bieten oft eine solche Lösung als Allheilmittel an und schieben die Verantwortung auf den Schutzanbieter.
3. Dienste eines spezialisierten Cloud-Anbieters (Nutzung seines Filternetzwerks) zum Schutz vor DDoS-Angriffen auf allen OSI-Ebenen (Abbildung 3).
   
   Abbildung 3. Umfassender Schutz vor DDoS-Angriffen mittels eines spezialisierten Anbieters
   Lösung setzt eine tiefe Integration und ein hohes Maß an technischer Kompetenz beider Seiten voraus. Die Auslagerung der Dienstleistungen zur Verkehrsfilterung ermöglicht es dem Hosting-Anbieter, die Kosten für zusätzliche Dienste für den Kunden zu senken.

Wichtig! Je detaillierter die technischen Eigenschaften des angebotenen Dienstes beschrieben werden, desto größer sind die Chancen, deren Erfüllung oder Entschädigung im Falle eines Ausfalls zu verlangen.

Neben den drei grundlegenden Methoden gibt es viele Kombinationen und Variationen. Bei der Auswahl des Hostings ist es wichtig, dass der Kunde sich darüber im Klaren ist, dass die Entscheidung nicht nur die Größe der garantiert blockierten Angriffe und die Genauigkeit der Filterung beeinflusst, sondern auch die Reaktionsgeschwindigkeit und die Informationsgehalt (Liste der blockierten Angriffe, allgemeine Statistiken usw.).

Denken Sie daran, dass nur eine Handvoll Hosting-Anbieter weltweit in der Lage ist, ein akzeptables Schutzniveau selbstständig zu gewährleisten; in den meisten Fällen helfen Kooperationen und technisches Wissen. Ein Verständnis der grundlegenden Prinzipien der DDoS-Angriffsschutzorganisation ermöglicht es dem Webseitenbesitzer, nicht auf Marketingtricks hereinzufallen und keinen „Schweine im Poke“ zu kaufen.

Quelle: habr.com