DDoS läheb offline

Mõned aastad tagasi hakkasid uurimisinstituudid ja infotehnoloogia teenusepakkujad juba teatama vähenemisest DDoS-rünnakute arvus. Kuid 2019. aasta 1. kvartaliks teatasid samad teadlased nende järsust kasvust 84% võrreldes eelneva perioodiga. Edasi läks kõik vaid hullemaks. Isegi pandeemia ei toonud rahu — vastupidi, küberkurjategijad ja rämpsposti saatjad nägid selles head signaali rünnakute jätkamiseks, ja DDoS-i maht kasvas kahe korra võrra.

Oleme veendunud, et lihtsate ja kergesti tuvastatavate DDoS-rünnakute (ja lihtsate tööriistade, mis neid takistavad) aeg on möödas. Küberkurjategijad on õppinud paremini neid rünnakuid varjama ja viima ellu üha keerukamaid. Tumeda tööstuse üleminek brute force'i rünnakutelt rakendustasandi rünnakutele on toimunud ja nad saavad tõsiseid tellimusi äritegevuse hävitamiseks, sealhulgas täiesti offline protsesside jaoks.

Sisse tungides reaalsusse

2017. aastal põhjustas DDoS-rünnakute seeria, mis oli suunatud Rootsi transporditeenustele, pikaajalisi rongide hilinemisi. 2019. aastal lakkasid Taani riikliku raudteeoperaatori Danske Statsbaner müügisüsteemid töötamast. Selle tulemusena ei töötanud piletimüügi automaadid ja automaatsed väravad, ja üle 15 000 reisija ei suutnud kuhugi sõita. Samuti 2019. aastal põhjustas tugev küberrünnak elektri katkemise Venezuela.

DDoS-rünnakute tagajärgi tunnevad nüüd mitte ainult veebikasutajad, vaid ka inimesed, nagu öeldakse, IRL (reaalses elus). Kuigi rünnakud sihtisid ajalooliselt ainult veebiteenuseid, on nüüd sageli nende eesmärk katkestada kõik äriprotsessid. Meie hindangute kohaselt on tänapäeval üle 60% rünnakutest suunatud just sellistele eesmärkidele — väljapressimise või ebaeetilise konkurentsi käigus. Eriti haavatavad on sellega seotud tehingud ja logistika.

Intelligentsem ja kallim

DDoS jääb üheks kõige levinumaks ja kiiresti kasvavaks küberkuritegevuse liikideks. Ekspertide prognooside kohaselt on nende arv 2020. aastast üksnes kasvamas. Seda seostatakse erinevate põhjustega — suurema ümberminekuga äri veebikeskkonda pandeemia tõttu, küberkuritegevuse varitseva tööstuse arenguga ja isegi 5G levikuga.

„Populaarsed“ DDoS-rünnakud said kunagi populaarseks oma lihtsuse ja madalate kulude tõttu: veel paar aastat tagasi sai neid alustada 50 dollari eest päevas. Täna on nii sihtmärgid kui ka rünnakumeetodid muutunud, mis on suurendanud nende keerukust ja seega ka hinda. Jah, 5 dollari suurused hinnad tunnis on endiselt olemas hindadel (jah, küberkurjategijatel on hinnakirjad ja tariifide tabelid), kuid kaitstud saidi eest küsitakse juba alates 400 dollarist päevas, samas kui „eriliste“ tellimuste maksumus suurtele ettevõtetele ulatub mitme tuhande dollarini.

Praegu on olemas kaks peamist tüüpi DDoS-rünnakuid. Esimese eesmärk on teha online-resurss teatud aja jooksul kättesaamatuks. Kurjategijad võtavad maksu rünnaku kestuse eest. Sel juhul ei pruugi DDoS-ettevõtja hoolida mistahes konkreetsest tulemusest, vaid klient tasub tegelikult ette rünnaku alguse eest. Sellised meetodid on üsna odavad.

Teine tüüp – rünnakud, mille eest makstakse ainult teatud tulemuse saavutamisel. Need on juba huvitavamad. Need on palju keerulisemad teostada ja seetõttu ka oluliselt kallimad, kuna ründajad peavad valima kõige tõhusamad meetodid eesmärkide saavutamiseks. Varitis viime mõnikord läbi tõelisi šahhi mänge küberkurjategijatega, kus nad muudavad taktikat ja tööriistu kiiresti ning proovivad korraga rünnata mitmeid haavatavusi erinevatelt tasanditelt. Need on selgelt meeskondlikud rünnakud, kus häkkerid teavad hästi, kuidas reageerida ja vastupanu osutada kaitsjate tegudele. Nende vastu on mitte ainult raske võidelda, vaid see on ka ettevõtetele väga kulukas. Näiteks üks meie klient, suur jaemüüja, hoidis peaaegu kolm aastat enda juures meeskonda, kuhu kuulus 30 inimest, kelle ülesanne oli võidelda DDoS-rünnakute vastu.

Variti andmetel on praegu vähem kui 10% kõigist DDoS-rünnakutest lihtsad rünnakud, mis on põhjustatud kas igavusest, trollimisest või rahulolematusest teatud ettevõttega (loomulikult võib kaitsmata ressursside puhul olla teistsugune statistika, me vaatame meie klientide andmeid). Kõik muu on professionaalsete meeskondade töö. Samuti on kolm neljandikku kõigist „halbadest“ botidest keerulised robotid, mida on paljude tänapäevaste turulahenduste abil raske tuvastada. Need jäljendavad reaalseid kasutajate või brauserite käitumist ja rakendavad mustreid, mis muudavad „head“ ja „halvad“ päringud eristamise keeruliseks. See muudab rünnakud vähem nähtavaks ja seega tõhusamaks.

Andmed GlobalDots'ilt

Uued DDoS sihid

Aruanne Halva boti aruanne GlobalDots'i analüütikute andmetel genereerivad robotid hetkel 50% kogu veebitrafikust, millest 17,5% on just pahatahtlikud robotid.

Robotid suudavad ettevõtetele elu erinevatel viisidel keeruliseks teha: peale selle, et nad „maha panevad“ saite, tegelevad nad nüüd ka reklaamikulude suurendamisega, reklaamkuulutuste klikkimisega, hindade kraapimisega, et neid mõne sentiga alandada ja kliente üle meelitada, ning varastavad sisu erinevate ebamugavate eesmärkide saavutamiseks (näiteks oleme hiljuti me näinud varastatud sisuga saite, mis sundivad kasutajaid lahendama teiste kapsleid). Robotid moonutavad tugevalt erinevat äristatistikat, ning seeläbi tehakse otsuseid valeandmete põhjal. DDoS-rünnak on sageli suitsukatteks veel tõsisematele kuritegudele nagu häkkimine ja andmete vargus. Ja nüüd näeme, et on tekkinud täiesti uus küberohtude klass — see on tegevuse rikkumine teatud ettevõtte äri protsessides, sageli ka offline’ides (sest tänapäeval ei saa midagi olla täiesti „võrgust väljas“). Eriti tihti näeme, et rikutakse logistilisi protsesse ja kliendikommunikatsiooni.

„Ei ole kohal“

Logistika äri protsessid on enamikule ettevõtetele võtmetähtsusega, seega on nad sageli rünnaku all. Siin on mõned rünnaku stsenaariumid sellisel juhul.

Ei ole saadaval

Kui töötate e-kaubanduse valdkonnas, siis olete kindlasti tuttav vale tellimuste probleemiga. Rünnakute korral koormavad robotid logistilisi ressursse ja teevad tooted teistele ostjatele kättesaamatuks. Selleks esitavad nad tohutul hulgal vale tellimusi, mis on võrdsed maksimaalsele olemasolevate kaupade arvuga. Need tooted ei saa kunagi tasutud ja mõne aja pärast tagastatakse need saidile. Kuid kahjuks on juba tehtud: nad on märgitud kui „pole saadaval“ ja osa ostjatest on näiteks konkurentide juurde lahkunud. See taktika on hästi tuntud lennupiletite tööstuses, kus vahel robotid „ostavad“ kõik piletid peaaegu kohe pärast nende ilmumist. Näiteks meie klient, suur lennufirma, kannatas sellise rünnaku all, mida korraldasid Hiina konkurendid. Kokku kahe tunni jooksul tellisid nende robotid 100% pileteid teatud sihtkohtadele.

Sneakers bots

Järgmine populaarne stsenaarium: robotid ostavad kohe kogu tooteportfelli, mille omanikud müüvad need hiljem kõrgeima hinnaga (keskmine juurdehindlus on 200%). Selliseid roboteid nimetatakse sneakers bots, kuna seda probleemi tunnevad hästi moejoonisele suunatud ketsitootmise tööstuses, eriti piiratud kogustes. Robotid ostsid praktiliselt minutitega just ilmuvad uued kollektsioonid, blokeerides samal ajal ressursse nii, et sinna ei pääseks mitte mingisugused reaalset kasutajad. See on haruldane olukord, kus robotite kohta on kirjutatud moelehtedes. Kuigi üldiselt kasutavad piletiületajad, kes müüvad pileteid suurtele üritustele, nagu jalgpallimängud, sama stsenaariumi.

Teised stsenaariumid

Aga see pole veel kõik. On veel keerulisem variant logistikat rünnata, mis toob tõsiseid kaotusi. Sellega saavad tegeleda, kui teenusel on valik „Maksa toote kätte saamisel“. Robotid jätavad vale tellimusi selliste toodete osas, märkides vale või isegi tõelised aadressid midagi jahtivaid inimesi. Samas kannavad ettevõtted tohutult kulusid kohaletoimetamise, ladustamise ja detailide selgitamise tõttu. Sel ajal ei ole tooted teistele klientidele kättesaadavad ja võtavad veel ruumi ladudes.

Mis veel toimub? Robotid jätavad massiivseid valehalbu arvustusi toodete kohta, segavad raha tagastamise funktsiooni, blokeerivad tehinguid, varastavad klientide andmeid, spämmivad reaalsetele ostjatele — võimalusi on palju. Hea näide on hiljutine rünnak DHL-i, Hermes'e, AldiTalk'i, Freenet'i, Snipes.com'i vastu. Häkkerid teesklesid, et nad „katsetavad DDoS-i kaitsesüsteeme”, kuid lõppkokkuvõttes panid nad ettevõtte äriklientide portaali ja kõik API-d maas. Selle tulemusena olid kaubatranspordis suured katkestused.

Helistage homme

Eelmisel aastal teatas Föderaalne Kaubanduskomisjon (FTC) ettevõtete ja kasutajate kaebuste kahekordsest suurenemisest spämmivate ja petturlike telefonibotide kõnede osas. Mõnede hinnangute kohaselt moodustavad need peaaegu 50% kõikidest kõnedest.

Nagu DDoS-i juhtumite puhul, on ka TDoS-i — telefonidele suunatud robotite massiliste rünnakute — sihtmärgid variatiivsed, ulatudes „võistlustest” kuni ebaausate konkurentsivõimetega. Robotid võivad üle koormata kontaktikeskused ja mitte lubada reaalsetel klientidel läbi pääseda. See meetod on tõhus mitte ainult „elavate” operaatoritega kõnekeskustes, vaid ka seal, kus kasutatakse AVR-süsteeme. Robotid võivad samuti massiliselt rünnata teisi kliendiga suhtlemise kanaleid (vestlused, e-kirjad), häirida CRM-süsteemide tööd ja isegi teatud määral negatiivselt mõjutada personali juhtimist, sest operaatorid on üle koormatud, püüdes kriisiga toime tulla. Rünnakud võivad samuti olla sünkroniseeritud traditsiooniliste DDoS-rünnakutega ohvri veebiresursside vastu.

Hiljuti selline rünnak rikkus päästetööde teenust 911 Ameerikas — tavalised inimesed, kes vajavad hädasti abi, ei saanud lihtsalt helistada. Umbes samal ajal tabas sama saatus Dublini loomaaeda: vähemalt 5000 inimest sai spämmimiseks tekstivieste, mis kutsusid neid kiiresti helistama loomaaia telefoninumbrile ja küsima väljamõeldud isikut.

Wi-Fi-d ei tule

Küberkurjuse tegejad saavad hõlpsasti blokeerida kogu ettevõtte võrgu. Sageli kasutatakse IP-blokeerimist DDoS-rünnakute vastu võitlemiseks. Kuid see on mitte ainult ebaefektiivne, vaid ka väga ohtlik praktika. IP-aadress on hõlpsasti leitav (näiteks ressursside jälgimise abil) ja kerge vahetada (või valeandmeid esitada). Meie klientide seas on olnud juhtumeid, kus Varitisse jõudmise eelõhtul tõi teatud IP-blokeerimine kaasa selle, et nende enda kontorites lakkas Wi-Fi töötamast. Ühel juhul

Mis on uut?

Uued ohud nõuavad uusi kaitselahendusi. Kuid see uus turg on alles loomise alguses. Lihtsad robotirünnakud saavad tõrjuda mitmekesised lahendused, kuid keerukatega ei ole nii lihtne. Paljud lahendused praktiseerivad endiselt IP-blokeerimise meetodeid. Teistel kulub algandmete kogumiseks aega, mis võib kujuneda haavatavuseks — need 10–15 minutit võivad olla kriitilised. On olemas lahendusi, mis põhinevad masinõppel, mis võimaldavad määrata roboti selle käitumise järgi. Samal ajal uhkustavad

Mida teha, kui tuleb võidelda professionaalsete robotite tiimide ja keerukate, mitmeastmeliste rünnakutega samal ajal mitmel tasandil?

Meie kogemus näitab, et tuleks keskenduda ebaseaduslike päringute filtreerimisele ilma IP-aadresse blokeerimata. Keerukate DDoS-rünnakute jaoks on vajalik filtreerimine mitmel tasandil, sealhulgas transport- ja rakendustasanditel ning API-liideste kaudu. Selle tulemusena suudame peegeldada isegi madala sagedusega rünnakuid, mis tavaliselt jäävad märkamatuks ja seetõttu lastakse tihti läbi. Lõpuks on hädavajalik, et kõik tõelised kasutajad saaksid pääseda ka siis, kui rünnaku aktiivne faas on käimas.

Teiseks vajavad ettevõtted võimalust luua omaenda mitmeastmelisi kaitsesüsteeme, kuhu lisaks DDoS-rünnakute tõkestamise tööriistadele on integreeritud ka pettuste, andmete varguse, sisu kaitse ja nii edasi süsteemid.

Kolmandaks peavad nad töötama reaalajas juba esimesest küsimusest alates — võimalus reageerida turvaintsidentidele koheselt suurendab oluliselt võimalusi rünnaku ennetamiseks või nende hävitava mõju vähendamiseks.

Lähitulevik: mainehaldus ja suurandmete kogumine botide abil
DDoS-i ajalugu on arenenud lihtsast keeruliseks. Alguses oli kurjategijate eesmärgiks veebisaidi töö katkestamine. Praeguseks peavad nad tõhusamaks sihtida põhitegevusi.

Rünnakute keerukus jätkab kasvamist, see on vältimatu. Lisaks sellele, mida halvad botid praegu teevad — andmete vargus ja nende valevorming, väljapressimine, spämm — hakkavad botid koguma andmeid suurest hulgast allikatest (Suurandmed) ja looma "usaldusväärseid" valeprofiile mõjutamise, maine haldamise või massilise phishing'u jaoks.

Praegu saavad DDoS-i ja botide kaitse investeeringuid endale lubada vaid suured ettevõtted, kuid isegi nemad ei suuda alati täielikult jälgida ja filtreerida botide genereeritud liiklust. Üks positiivne asjaolu selle kohta, et botirünnakud muutuvad keerulisemaks, on see, et see stimuleerib turgu looma "nutikaid" ja täiustatud kaitselahendusi.

Mida teie arvate — kuidas areneb botide kaitse tööstus ja milliseid lahendusi on turul juba praegu vaja?

Allikas: habr.com