DDoS on offline

Mõni aasta tagasi hakkasid teadusagentuurid ja infotehnoloogia teenusepakkujad juba teatama vähenemisest DDoS-rünnakute arvust. Kuid 2019. aasta esimeses kvartalis teatasid samad teadlased nende hämmastavast kasvust 84%. Edasi läks kõik järsult ülesmäge. Isegi pandeemia ei aidanud rahu säilitada — vastupidi, küberkurjategijad ja spämmijad pidasid seda suurepäraseks võimaluseks rünnakuteks ning DDoS-rünnakute maht kasvas kahekordseks.

Oleme kindlad, et lihtsate ja kergesti avastatavate DDoS-rünnakute aeg (ja lihtsad tööriistad nende vältimiseks) on möödas. Küberkurjategijad on õppinud neid rünnakuid paremini varjama ja viivad neid ellu üha keerulisemalt. Tumeda tööstuse lähenemine on liikunud brute force rünnakutelt rakendustaseme rünnakute poole. Nende tellimused kahjustada ettevõtte protsesse, sealhulgas täiesti offline tegevusi, on märkimisväärsed.

Sattudes reaalsusesse

2017. aastal põhjustas Rootsi transporditeenuseid ründav DDoS-rünnak pikad rongi viivitused. 2019. aastal katkestas Taanis riikliku raudteeoperaatori Danske Statsbaner müügiteenused. Selle tulemusena ei töötanud jaamades piletimüügimasinad ja automaatsed väravad ning rohkem kui 15 000 reisijat ei saanud kuhugi sõita. Samal aastal põhjustas tugev küberrünnak elektri varustuse katkestamise Venezuelas.

DDoS-rünnakute tagajärgi tunnevad nüüd mitte ainult veebikasutajad, vaid ka inimesed, nagu öeldakse, IRL (reaalses elus). Kuigi ajalooliselt suunasid ründajad tähelepanu ainult veebiteenustele, on nüüd sageli nende eesmärk häirida mis tahes ettevõtte tegevusi. Meie hinnangute järgi on tänapäeval üle 60% rünnakutest suunatud just seda eesmärki — kas väljapressimise või ebaausate konkurentsi tõttu. Ning tehingud ja logistika on sellega eriti haavatavad.

Mugavam ja kallim

DDoS võib endiselt pidada üheks levinumaks ja kiiresti kasvavaks küberkuritegevuse liigiks. Ekspertide prognooside kohaselt kasvab nende arv alates 2020. aastast ainult. Seda seostatakse erinevate põhjustega — sealhulgas veebiteenuste suurema üleminekuga online'ile pandeemia tõttu, varjatud küberkuritegevuse arengu ja isegi 5G levikuga.

DDoS-rünnakud muutusid ‘populaarseks’ oma lihtsalt haldamise ja madalate kulude tõttu: veel paar aastat tagasi sai neid algatada 50 dollari eest päevas. Tänapäeval on nii sihtmärgid kui ka rünnaku meetodid muutunud, mis on suurendanud nende keerukust ja seega ka hinda. Jah, hinnad alates 5 dollarist tunnis on endiselt saadaval (jah, küberkurjategijatel on hinnakirjad ja hinnastamisskeemid), kuid turvalise saidi eest nõutakse juba 400 dollarit päevas ning “isiklikud” tellimused suurte ettevõtete jaoks ulatuvad mitme tuhande dollarini.

Praegu on kaks peamist DDoS-rünnakute tüüpi. Esimese eesmärk on muuta veebiresurss teatud aja jooksul kättesaamatuks. Rünnakute eest küsivad kurjategijad tasu rünnaku kestuse eest. Sel juhul ei hooli DDoS-operatsioonide korraldaja mingist konkreetsest tulemusest, vaid klient teeb sisuliselt ettevaatava makse rünnaku alustamiseks. Need meetodid on piisavalt odavad.

Teine tüüp on rünnakud, mille eest makstakse ainult pärast teatud tulemuse saavutamist. Need on juba märksa huvitavamad. Need on palju keerulisemad ning seetõttu ka oluliselt kallimad, kuna ründajad peavad valima kõige tõhusamad meetodid oma eesmärkide saavutamiseks. Me Varitis korraldame mõnikord tervet malepartii küberkurjategijatega, kus nad muudavad strateegiat ja tööriistu ning proovivad üheaegselt sisse murda mitmesse haavatavusse mitmel tasemel. Need on ilmselgelt meeskonna rünnakud, kus häkkerid teavad täpselt, kuidas kaitsjate tegevusele reageerida ja vastu seista. Nendega võitlemine ei ole mitte ainult keeruline, vaid ka väga kulukas ettevõtetele. Näiteks pidas üks meie klient, suur kaubanduskett, oma juures peaaegu kolm aastat 30-liikmelist meeskonda, kelle ülesanne oli võidelda DDoS-rünnakutega.

Variti andmetel on lihtsad DDoS-rünnakud, mis on teostatavad üksnes igavusest, trollemisest või rahulolematust teatud ettevõttega, hetkel vähem kui 10% kõigist DDoS-rünnakutest (loomulikult võivad kaitsmata ressursside puhul olla teistsugused statistilised andmed, kuid vaatleme meie klientide andmeid). Kõik muu on professionaalsete rühmade töö. Sellegipoolest on kolm neljandikku kõigist „halbadest“ robotitest keerulised robotid, mida enamik tänapäevaste turulahenduste abil on raske tuvastada. Need imiteerivad reaalsete kasutajate või brauserite käitumist ning sisestavad mustreid, mis muudavad “head” ja “halvad” päringud eristamise keeruliseks. See teeb rünnakud vähem silmatorkavaks ja seega tõhusamaks.

Andmed GlobalDotsilt

Uued DDoS-i sihid

Aruanne Halva roboti aruanne GlobalDots'i analüütikute sõnul genereerivad robotid praegu 50% kogu veebiliiklusest, sellest 17,5% on pahatahtlikud robotid.

Robotid suudavad ettevõtetele elu erineval viisil raskendada: lisaks sellele, et nad „kätkivad” saite, tegelevad nad nüüd ka reklaamikulude suurendamisega, reklaamiteadete klikkimisega, hindade nurjumisega, et neid natuke madalamaks muuta ja kliente enda poole meelitada, ning varastavad sisu mitmete ebameeldivate eesmärkidega (näiteks rääkisime hiljuti kirjutanud varastatud sisuga saitidest, mis sunnivad kasutajaid lahendama kellegi teise CAPTCHA'e). Robotid moonutavad tõsiselt erinevaid äri statistika andmeid, mille tõttu tehakse otsuseid valeandmete põhjal. DDoS-rünnak on sageli suitsukatteks veel tõsisematele kuritegudele, nagu häkkimine ja andmete vargus. Ja nüüd näeme, et on lisandunud terve uus küberohtude klass - teatud äri protsesside häirimine, sageli ka offline-protsesside (sest meie ajal ei saa miski olla täiesti “võrgust väljas”). Eriti tihti näeme, et logistikaprotsessid ja suhtlemine klientidega on häiritud.

„Kohale ei toimetatud“

Logistilised äri protsessid on enamus ettevõtete jaoks kriitilise tähtsusega, seetõttu on nad sageli rünnaku all. Siin on mõned rünnakuskeemid, mis võivad sellega kaasneda.

Ei ole saadaval

Kui töötate e-kaubanduse valdkonnas, olete tõenäoliselt juba tuttav vale tellimuste probleemiga. Rünnakute korral koormavad robotid logistilisi ressursse ja muudavad tooted teiste ostjate jaoks kättesaamatuks. Selleks esitavad nad tohutul hulgal vale tellimusi, mis on võrdne maksimaalse saadava kauba arvuga. Need tooted ei tule hiljem maksmiseks ja mõne aja pärast tagastatakse need saidile. Kuid asi on tehtud: need on märgitud kui „ei ole saadaval“ ja osa ostjatest on juba läinud konkurentide juurde. See taktika on lennupiletite industris hästi tuntud, kus robotid mõnikord “ostavad” kõik piletid peaaegu kohe pärast nende ilmumist. Näiteks üks meie klientidest - suur lennufirma - kannatas sellise rünnaku all, mille korraldasid hiinlased. Kokku tellisid nende robotid kahe tunni jooksul 100% piletitest teatud sihtkohtadesse.

Sneakers robots

Järgmine populaarne stsenaarium: robotid ostavad kohe kogu tooteportfelli ja nende omanikud müüvad need hiljem ülehinnatud hinnaga (keskmine marginaal on 200%). Selliseid roboteid nimetatakse sneakers robots, kuna see probleem on hästi tuntud moeketsede tööstuses, eriti piiratud kollektsioonide seas. Robotid ostavad praktiliselt minutite jooksul uued tooteportfellid, blokeerides samal ajal saidi nii, et sinna ei saaks sisse murda reaalsetel kasutajatel. See on haruldane juhtum, kui robotitest on kirjutatud moegööndelehtedes. Kuigi tegelikult kasutavad piletite edasimüüjad, kes müüvad pääsmeid uhketele üritustele nagu jalgpallimängud, sama stsenaariumi.

Teised stsenaariumid

Kuid see ei ole veel kõik. On veel keerulisemaid logistika rünnaku variante, mis võivad põhjustada tõsiseid kahjusid. Seda võivad teha robotid, kui teenusel on „Tasumine kauba kätte saamisel“ võimalus. Robotid esitavad vale tellimusi sellistele toodetele, märgides vale või isegi reaalsetele aadressidele, mis ei kahtlusta midagi. Ettevõtted kannavad seejärel suuri kulusid saatmisele, ladustamisele, detailide välja selgitamisele. Samal ajal on tooted muudele klientidele kätte saamata ja võtavad isegi ruumi laos.

Mis veel? Robotid jätavad massiliselt vale negatiivseid ülevaateid toodete kohta, ummistavad „makse tagasimaksmise“ funktsiooni blokeerides tehingud, varastavad kliendiandmeid, spämmivad reaalsetele ostjatele - võimalusi on palju. Hea näide on hiljutine rünnak DHL-i, Hermes'e, AldiTalk'i, Freenet'i, Snipes.com'i vastu. Häkkerid teesklesid, et nad „testivad DDoS-kaitsesüsteeme“, kuid lõppkokkuvõttes seisab ettevõtte äriklientide portaal ja kõik API-d maas. Selle tulemusena tekkisid suured katkestused kaupade tarnimises klientidele.

Helistage homme

Eelmisel aastal teatas Föderaalkaupade Komisjon (FTC) ettevõtete ja tarbijate kaebuste kahekordsest kasvust roppude ja petlike telefonikõnede osas. Mõnede hinnangute kohaselt moodustavad need peaaegu 50% kõigist kõnedest.

Nagu ka DDoSi puhul, varieeruvad TDoSi – massiliste telefonikõnede botirünnakute – sihtmärgid „loosimistest“ kuni ebaausate konkurentide võitlusteni. Botid suudavad üle koormata kontaktkeskused ja takistada reaalseid kliente. See meetod on tõhus mitte ainult „elavate“ operaatoritega kõnekeskustes, vaid ka seal, kus kasutatakse AVR-süsteeme. Botid võivad ka massiliselt rünnata muid kliendisuhtluse kanaleid (vestlused, e-kirjad), häirida CRM-süsteemide tööd ja isegi mingil määral negatiivselt mõjutada personali juhtimist, kuna operaatorid on üle koormatud, püüdes kriisiga toime tulla. Rünnakud võivad olla ka sünkroneeritud traditsioonilise DDoS-rünnakuga ohvri online-resurssidele.

Hiljuti häiris sarnane rünnak päästeteenistuse tööd 911 Ameerikas – tavalised inimesed, kes vajavad viivitamatut abi, ei saanud lihtsalt helistada. Umbes samal ajal tabas Dublini loomaaeda sama saatus: vähemalt 5000 inimest said spämmi SMS-ide kaudu, mis kutsusid neid kohe helistama loomaaia numbrile ja küsima väljamõeldud isikut.

Wi-Fi ei tule

Küberkurjategijad saavad samuti hõlpsasti blokeerida kogu ettevõtte võrgu. Sageli kasutatakse IP-blokeerimist DDoS-rünnakute vastu võitlemiseks. Kuid see on mitte ainult ebaefektiivne, vaid ka väga ohtlik praktika. IP-aadressi on lihtne leida (näiteks ressursside jälgimise abil) ja on lihtne asendada (või vale). Meie klientide puhul, enne Variti tulekut, juhtus, et teatud IP-blokeerimine lülitas lihtsalt Wi-Fi nende enda kontorites välja. Ühel korral „surnud” kliendile vale IP ja see blokeeris šokolaadiga juurdepääsu oma ressurssidele kogu ala kasutajatele, kuid ta ei märganud pikka aega, kuna muidu töötas kogu ressurs õigesti.

Mis on uut?

Uued ohud nõuavad uusi kaitse lahendusi. Kati on aga see uus nišš turul alles täitmas. Lihtsate botirünnakute efektiivseks tõrjumiseks on hulgaliselt lahendusi, kuid keerukate rünnakute puhul pole see sugugi lihtne. Paljud lahendused kasutavad endiselt IP-blokeerimise meetodeid. Teistel kulub aega esialgsete andmete kogumiseks, mis võivad vajada 10-15 minutit ja need 10-15 minutit võivad muutuda haavatavuseks. On lahendusi, mis põhinevad masinõppel, mis võimaldavad tuvastada boti selle käitumise kaudu. Ja sealjuures kiidavad meeskonnad teisest küljest, et neil on juba botid, mis suudavad jäljendada reaalseid, inimsarnaseid mustreid. Kes kellest jagu saab - praegu pole selge.

Kuidas käituda, kui tuleb võidelda professionaalsete botikogumite ja keerukate, mitmeastmeliste rünnakute vastu korraga mitmel tasandil?

Meie kogemus näitab, et tuleb keskenduda illegitiimsete päringute filtreerimisele ilma IP-aadresse blokeerimata. Keeruliste DDoS-rünnakute korral on vaja filtreerida samal ajal mitmel tasandil, sealhulgas nii transporttasandil, rakendustasandil kui API-liideste tasandil. Tänu sellele on võimalik tõrjuda isegi madala sagedusega rünnakud, mis tavaliselt ei ole märgatavad ja seetõttu sageli liiga edasi lastakse. Lõpuks on oluline lasta kõigil tegelikel kasutajatel ligi pääseda isegi siis, kui aktiivne rünnakufaas käib.

Teiseks vajavad ettevõtted võimalust luua oma mitmeastmelisi kaitsesüsteeme, kuhu on integreeritud DDoS-rünnakute tõrjevahendeid, pettuse, andmete varguse, sisu kaitse jne.

Kolmandaks peavad nad töötama reaalajas alates esimesest päringust - võimalus kiiresti reageerida turvasündmustele suurendab oluliselt võimalusi rünnaku ennetamiseks või kahjulike tagajärgede vähendamiseks.

Tulevik: maine haldamine ja suurte andmete kogumine botide kaudu
DDoS-i ajalugu on arenenud lihtsast keeruliseks. Alguses oli küberkurjategijate eesmärgiks peatada veebisaidi töö. Nüüd peetakse tõhusamaks sihtida põhitegevuse protsesse.

Rünnakute keerukus jätkab kasvamist, see on vältimatu. Lisaks sellele, mida halvad botid praegu teevad — andmete vargus ja valeandmete loomine, väljapressimine, spämm — botid hakkavad koguma andmeid paljusid allikaid (Big Data) ja looma "usaldusväärseid" valeprofiile, et mõjutada, hallata mainet või teha massilist õngitsust.

Praegu saavad ainult suured ettevõtted endale lubada investeerida ressursse DDoS ja botide kaitsmiseks, kuid isegi nemad ei suuda alati täielikult jälgida ja filtreerida botide genereeritud liiklust. Ainsaks positiivseks asjaoluks on see, et botirünnakute keerukus sunnib turgu looma „nutikaid“ ja paremaid kaitse lahendusi.

Mida teie arvate — kuidas areneb botikaitse tööstus ja milliseid lahendusi on turul juba praegu vaja?

Allikas: habr.com