Qui est qui sur le marché de la protection contre les DDoS

«Le garçon qui nous a fait le site a déjà configuré la protection contre les DDoS».
«Nous avons la protection contre les DDoS, pourquoi le site est-il tombé?»
«Combien de milliers Qrator veut-il?»

Pour pouvoir répondre correctement à de telles questions de clients ou de supérieurs, il serait bon de savoir ce qui se cache derrière le terme «protection contre les DDoS». Le choix des services de protection ressemble davantage au choix d'un médicament par un médecin qu'à celui d'une table chez IKEA.

Je m'occupe du support des sites depuis 11 ans, j'ai survécu à des centaines d'attaques sur les services que je gère, et maintenant je vais parler un peu des coulisses de la protection.

Attaques régulières. 350k demandes au total, 52k demandes légitimes.

Les premières attaques sont apparues presque en même temps qu'Internet. Le DDoS en tant que phénomène est devenu massif à partir de la fin des années 2000 (regardez www.cloudflare.com/learning/ddos/famous-ddos-attacks).
Depuis environ 2015-2016, presque tous les fournisseurs d'hébergement ont mis en place une protection contre les attaques DDoS, tout comme la plupart des sites notables dans des secteurs concurrentiels (faites un whois sur les IP des sites eldorado.ru, leroymerlin.ru, tilda.ws, vous verrez les réseaux des opérateurs de protection).

Il y a 10-20 ans, la plupart des attaques pouvaient être repoussées sur le serveur même (évaluez les recommandations de l'administrateur systèmes de Lenta.ru, Maxim Moshkov, des années 90 : lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), mais maintenant les défis en matière de protection sont devenus plus complexes.

Types d'attaques DDoS du point de vue du choix de l'opérateur de protection.

Attaques aux niveaux L3 / L4 (selon le modèle OSI).

— Flood UDP provenant d'un botnet (de nombreux requêtes sont envoyées directement à partir de dispositifs infectés vers le service attaqué, saturant la bande passante);
— Amplification DNS/NTP/etc (de nombreux requêtes sont envoyées à partir de dispositifs infectés vers des DNS/NTP/etc vulnérables, l'adresse de l'expéditeur est falsifiée, une quantité massive de paquets de réponses sur les requêtes inonde la bande passante de la cible; ce type d'attaques constitue les plus massives sur Internet aujourd'hui);
— Flood SYN/ACK (de nombreuses requêtes sont envoyées aux serveurs attaqués pour établir une connexion, ce qui entraîne un débordement de la queue des connexions);
— Attaques par fragmentation de paquets, ping of death, ping flood (veuillez googler);
— etc.

Ces attaques visent à «saturer» la bande passante du serveur ou à «tuer» sa capacité à accepter un nouveau trafic.
Bien que le flood SYN/ACK et l'amplification diffèrent considérablement, de nombreuses entreprises les combattent de manière tout aussi efficace. Des problèmes surgissent avec les attaques du groupe suivant.

Attaques au niveau L7 (niveau applicatif).

— Flood http (si un site web ou un API http est attaqué);
— attaque des zones vulnérables du site (sans cache, surchargent fortement le site, etc.).

L'objectif est de faire « travailler dur » le serveur, de traiter de nombreuses « requêtes semblant réelles » et de le laisser sans ressources pour de vraies requêtes.

Bien qu'il existe d'autres attaques, celles-ci sont les plus répandues.

Les attaques sérieuses au niveau L7 sont créées de manière unique pour chaque projet attaqué.

Pourquoi 2 groupes ?
Parce qu'il y a beaucoup de ceux qui savent bien repousser les attaques au niveau L3 / L4, mais qui ne prennent pas du tout en charge la protection au niveau des applications (L7), ou qui y parviennent encore moins bien que les alternatives.

Qui est qui sur le marché de la protection contre les DDoS

(mon avis personnel)

Protection au niveau L3 / L4

Pour repousser les attaques par amplification (lorsque le canal du serveur est saturé), de larges canaux suffisent (beaucoup de services de protection se connectent à la plupart des grands fournisseurs de backbone en Russie et disposent de canaux ayant une capacité théorique supérieure à 1 Tbit). N'oublions pas que les attaques par amplification sont très rares et durent rarement plus d'une heure. Si vous êtes Spamhaus et que tout le monde vous déteste, oui, ils peuvent essayer de saturer vos canaux pendant plusieurs jours, même au risque de compromettre la survie ultérieure du botnet mondial utilisé. Si vous avez simplement une boutique en ligne, même si c'est mvideo.ru, vous ne verrez pas 1 Tbit durant plusieurs jours (j'espère).

Pour repousser les attaques par inondation SYN / ACK, par fragmentation de paquets, etc., il est nécessaire d'avoir du matériel ou des systèmes logiciels pour détecter et filtrer ces attaques.
Ce matériel est fabriqué par de nombreux fournisseurs (Arbor, il existe des solutions chez Cisco, Huawei, des mises en œuvre logicielles de Wanguard, etc.), de nombreux opérateurs de backbone l'ont déjà installé et vendent des services de protection contre les DDoS (je sais que des installations ont été faites chez Rostelecom, MegaFon, TTK, MTS, en gros tous les grands fournisseurs le font, tout cela est également proposé par les hébergeurs avec leur propre protection comme OVH.com, Hetzner.de, j'ai personnellement rencontré leur protection chez ihor.ru). Certaines entreprises développent leurs propres solutions logicielles (des technologies comme DPDK permettent de traiter le trafic en dizaines de gigabits sur une seule machine x86 physique).

Tous les acteurs connus réussissent plus ou moins à contrer les attaques DDoS de niveau L3/L4. Je ne peux pas dire qui a la plus grande capacité de bande passante (c'est une information interne), mais généralement, cela n'a pas tant d'importance, la différence réside surtout dans la rapidité de la protection (instantanément ou après quelques minutes d'interruption de service, comme chez Hetzner).
La question est de savoir à quel point cela est fait efficacement : une attaque par amplification peut être contrée en bloquant le trafic en provenance des pays avec le plus de trafic malveillant, ou en ne rejetant que le trafic réellement superflu.
Mais d'après mon expérience, tous les acteurs sérieux du marché s'en sortent sans problème : Qrator, DDoS-Guard, Kaspersky, G-Core Labs (anciennement SkyParkCDN), ServicePipe, Stormwall, Voxility, etc.
Je n'ai pas rencontré de protection contre les opérateurs comme Rostelecom, Megafon, TTK, Beeline, mais d'après les retours de mes collègues, ils offrent ces services de manière assez qualitative, bien que l'absence d'expérience se fasse parfois sentir : il faut parfois ajuster certains paramètres via le support de l'opérateur de protection.
Certains opérateurs ont un service distinct de « protection contre les attaques au niveau L3/L4 », ou « protection des canaux », qui coûte beaucoup moins cher que la protection à tous les niveaux.

Comment un fournisseur qui n'est pas un opérateur de premier plan peut-il contrer des attaques de plusieurs centaines de Gbit, puisqu'il n'a pas ses propres canaux ?Un opérateur de protection peut se connecter à l'un des grands fournisseurs et contrer les attaques « à ses frais ». Il faut payer pour le canal, mais toutes ces centaines de Gbit ne seront pas toujours utilisées, il existe des options pour réduire significativement le coût des canaux dans ce cas, donc le schéma reste viable.

Voici les rapports de la protection L3/L4 supérieure que je recevais régulièrement en soutenant les systèmes d'un fournisseur d'hébergement.

Protection au niveau L7 (niveau application)

Les attaques au niveau L7 (niveau application) sont efficacement et qualitativement contrées par quelques acteurs seulement.
J'ai une expérience réelle et assez vaste avec
— Qrator.net;
— DDoS-Guard;
— G-Core Labs;
— Kaspersky.

Ils facturent pour chaque mégaoctet de trafic pur, le coût d'un mégaoctet se situe aux alentours de plusieurs milliers de roubles. Si vous avez au moins 100 Mbit de trafic pur - attention. La protection sera très coûteuse. Je peux expliquer dans les prochains articles comment concevoir des applications pour économiser considérablement sur la capacité des canaux de protection.
Le véritable roi de la montagne est Qrator.net, les autres sont à la traîne. Qrator est jusqu'à présent le seul que j'ai rencontré avec un pourcentage de faux positifs proche de zéro, mais ils sont plusieurs fois plus chers que les autres acteurs du marché.

D'autres opérateurs offrent également une protection de qualité et stable. De nombreux services que nous soutenons (y compris des noms très connus dans le pays !) sont protégés par DDoS-Guard, G-Core Labs, et sont tout à fait satisfaits du résultat obtenu.

Attaques repoussées par Qrator

J'ai aussi de l'expérience avec de petits opérateurs de protection comme cloud-shield.ru, ddosa.net, il y en a des milliers. Je ne vais pas recommander cela sans réserve, car mon expérience n'est pas très vaste, mais je peux expliquer leurs principes de fonctionnement. Le coût de leur protection est souvent inférieur de 1 à 2 ordres de grandeur par rapport aux grands acteurs. En général, ils achètent un service de protection partielle (L3/L4) auprès de certains des acteurs plus importants et élaborent leur propre protection contre les attaques à des niveaux plus élevés. Cela peut être tout à fait efficace et vous pouvez obtenir un bon service pour moins d'argent, mais ce sont tout de même de petites entreprises avec un personnel réduit, à prendre en compte, s'il vous plaît.

Quelle est la difficulté de repousser les attaques au niveau L7 ?

Toutes les applications sont uniques, et il faut autoriser le trafic utile pour elles et bloquer le trafic nuisible. Il n'est pas toujours possible de filtrer efficacement les bots, c'est pourquoi il faut utiliser de nombreux, vraiment BEAUCOUP de niveaux de purification du trafic.

Autrefois, le module nginx-testcookie suffisait (https://github.com/kyprizel/testcookie-nginx-module), et il est encore suffisant pour repousser un grand nombre d'attaques. Lorsque je travaillais dans l'industrie de l'hébergement, je construisais la protection L7 précisément sur nginx-testcookie.
Malheureusement, les attaques sont devenues plus complexes. testcookie utilise des vérifications de bots basées sur JS, et de nombreux bots modernes savent les contourner avec succès.

Les botnets attaquants sont également uniques, et il faut tenir compte des particularités de chaque grand botnet.
Amplification, inondation directe depuis un botnet, filtrage du trafic provenant de différents pays (filtrage différent pour chaque pays), inondation SYN/ACK, fragmentation des paquets, ICMP, inondation http, et à un niveau applicatif/http, il est possible d'imaginer un nombre illimité d'attaques différentes.
Au total, au niveau de la protection des canaux, des équipements spécialisés pour la purification du trafic, des logiciels spéciaux, et des configurations de filtrage supplémentaires pour chaque client, il peut y avoir des dizaines et des centaines de niveaux de filtrage.
Pour gérer cela correctement et ajuster les paramètres de filtrage pour différents utilisateurs, une grande expérience et des compétences qualifiées sont nécessaires. Même un grand opérateur qui souhaite offrir des services de protection ne peut pas simplement « jeter de l'argent sur le problème » : l'expérience doit être acquise sur des sites compromis et avec de faux déclenchements sur du trafic légitime.
Pour un opérateur de protection, il n'y a pas de bouton « annuler DDoS », mais de nombreux outils, qu'il faut savoir utiliser.

Et un dernier exemple bonus.

Le serveur sans protection a été bloqué par l'hébergeur lors d'une attaque de 600 Mb/s.
(La « disparition » du trafic n'est pas perceptible, car seul un site a été attaqué, il a été temporairement retiré du serveur et le blocage a été levé en une heure environ).

Ce même serveur est désormais protégé. Les attaquants ont « abandonné » après un jour d'attaques repoussées. L'attaque elle-même ne s'est pas révélée la plus puissante.

L'attaque et la protection L3/L4 sont plus triviales, elles dépendent principalement de la largeur des canaux, des algorithmes de détection et de filtrage des attaques.
Les attaques L7 sont plus complexes et originales, elles dépendent de l'application ciblée, des capacités et de l'imagination des attaquants. La protection contre elles nécessite de grandes connaissances et de l'expérience, et les résultats peuvent ne pas être immédiats ni garantis. Tant que Google n'a pas encore inventé un nouveau modèle de réseau de neurones pour la protection.

Source : habr.com