„A fiú, aki elkészítette nekünk a weboldalt, már beállította a DDoS védelmet."
„Nekünk DDoS védelem van, miért állt le a weboldal?”
„Mennyit kér Qrator?”
Ahhoz, hogy normálisan válaszoljunk az ilyen kérdésekre a megrendelőtől/főnöktől, jó lenne tudni, mi rejlik a „DDoS védelem” kifejezés mögött. A védekezési szolgáltatások választása inkább orvosi gyógyszer kiválasztásához hasonlít, mint egy IKEA asztal kiválasztásához.
11 éve foglalkozom weboldalak támogatásával, átéltem számos támadást a kezelésem alatt álló szolgáltatásokon, és most egy kicsit mesélek a védelem belső működéséről.
Rendszeres támadások. Összesen 350k kérés, 52k jogos kérés
Az első támadások szinte egy időben jelentek meg az internettel. A DDoS jelensége 2000-es évek vége óta vált elterjedtté (nézd meg ).
Körülbelül 2015-2016 óta szinte minden hosting szolgáltató DDoS elleni védelem alá került, ahogy a legtöbb figyelemre méltó weboldal a versenyképes területeken (nézd meg a whois-t az eldorado.ru, leroymerlin.ru, tilda.ws IP-címeken, láthatod a védelmi szolgáltatók hálózatait).
Ha 10-20 évvel ezelőtt a legtöbb támadást még a szerveren le lehetett hárítani (értékeld a Lenta.ru rendszergazdájának, Makszim Moshkovnak a 90-es években írt ajánlásait: ), ma a védelem feladatai összetettebbé váltak.
A DDoS támadások típusai a védelmet nyújtó szolgáltató kiválasztása szempontjából
Támadások az L3 / L4 szinten (az OSI modell szerint)
— UDP áradás botnetből (közvetlenül fertőzött eszközökről sok kérés érkezik a megtámadott szolgáltatásra, a szerverek túlterhelik a sávszélességet);
— DNS / NTP / stb. amplifikáció (fertőzött eszközökről sok kérés érkezik sebezhető DNS / NTP / stb. szerverekre, a feladó címe hamisítva van, egy csomó válaszcsomag árasztja el a megtámadott szolgáltatást; így zajlanak a legnagyobb támadások a modern interneten);
— SYN / ACK áradás (sok kérés érkezik a támadott szerverekhez a kapcsolat létrehozására, és az kapcsolati sor túlterhelődik);
— csomagfragmentációs támadások, ping of death, ping áradás (kérlek, keressétek meg);
— és társai.
Ezek a támadások az a célja, hogy „elárasszák” a csatornát a szerverhez, vagy „megöljék” a képességét az új forgalom fogadására.
Bár a SYN / ACK áradás és az amplifikáció nagyon eltérő, sok vállalat hasonlóan jól küzd velük. Problémák merülnek fel a következő csoport támadásaival.
Támadások az L7-en (alkalmazási szinten)
— http flood (amikor egy weboldal vagy valamilyen http api támadás alatt áll);
— támadás a weboldal sebezhető részeire (amelyek nem rendelkeznek cache-el, nagyon megterhelik az oldalt, stb.).
Cél — arra kényszeríteni a szervert, hogy "nehéz munkát végezzen", sok "valósághű kérést" dolgozzon fel, és elérje a tényleges kérésekhez szükséges erőforrások hiányát.
Bár más támadások is léteznek, ezek a legelterjedtebbek.
Súlyos támadások az L7 szinten egyedileg készülnek az egyes támadott projektek számára.
Miért két csoport?
Mert sokan vannak, akik jól védekeznek az L3 / L4 szinten, de vagy egyáltalán nem vállalják az alkalmazás szintű (L7) védelmet, vagy eddig gyengébben boldogulnak alternatív megoldásokkal.
Ki kicsoda a DDoS védelem piacon
(saját véleményem)
L3 / L4 szintű védelem
Az amplifikáló támadások (a szerver csatornáját "elárasztó" támadások) elhárításához elegendőek a széles csatornák (sok védelmi szolgáltatás csatlakozik a legtöbb nagy gerinchálózati szolgáltatóhoz Oroszországban, és több mint 1 Tbit elméleti kapacitással rendelkeznek). Ne felejtsük el, hogy nagyon ritka esetekben az amplifikáló támadások több mint egy órán át tartanak. Ha a Spamhaus vagy, és senki sem szeret, akkor igen, megpróbálják leállítani a csatornáidat több napra, még a globális botnet túlélésének kockázatával is. Ha csak egy internetes boltod van, még ha az mvideo.ru is, 1 Tbit-et több napig nagyon sokáig nem fogsz látni (remélem).
Az SYN / ACK flood, csomagfragmentálás stb. támadások elhárításához szükséges olyan hardver vagy szoftver rendszerek, amelyek képesek észlelni és kiszűrni ezeket a támadásokat.
Ilyen berendezéseket sokan gyártanak (Arbor, Cisco, Huawei megoldások, szoftveres megvalósítások Wanguard-tól stb.), sok gerinchálózati szolgáltató már telepítette ezeket, és DDoS védelmi szolgáltatásokat kínálnak (tudok a Rostelekom, MegaFon, TTK, MTS telepítéseiről, gyakorlatilag minden nagy szolgáltatónál, ugyanígy teszik a hosztolók is a saját OVH.com, Hetzner.de jellegű védelmükkel, én is találkoztam az ihor.ru védelmével). Néhány cég saját szoftveres megoldásokat fejleszt (a DPDK típusú technológiák lehetővé teszik, hogy tíz gigabitnyi forgalmat dolgozzanak fel egy fizikai x86 gépen).
Az ismert szereplők közül mindenki elég hatékonyan tudja elhárítani az L3/L4 DDoS támadásokat. Jelenleg nem tudom megmondani, kinek van a legnagyobb sávszélessége (ez belső információ), de általában ez nem annyira fontos, és a különbség csak abban rejlik, hogy a védelem mennyire gyorsan lép működésbe (azonnal vagy néhány perces leállás után, mint a Hetzner esetében).
A kérdés az, hogy mennyire minőségi ez a védelem: egy amplifikációs támadást lehet elhárítani úgy, hogy blokkoljuk a forgalmat azokon az országokon, ahol a legnagyobb a rosszindulatú forgalom, vagy lehet szelektíven eltávolítani a valóban felesleges forgalmat.
De a tapasztalataim alapján az összes komoly piaci szereplő ezzel problémamentesen megbirkózik: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (korábban SkyParkCDN), ServicePipe, Stormwall, Voxility, stb.
A csatornákkal foglalkozó szolgáltatók, mint a Rosztelkom, Megafon, TTK, Beeline védelmét nem tapasztaltam, de a kollégák visszajelzései szerint ezek a szolgáltatások elég minőségiek, de időnként a tapasztalat hiánya megjelenik: néha szükség van arra, hogy a védelmi szolgáltató támogatásával valamit finomítsunk.
Néhány szolgáltatónak van külön szolgáltatása az L3/L4 szintű támadások elleni védelemre, vagy a "csatornavédelemre", ami sokkal olcsóbb, mint a minden szintű védelem.
Hogy tudja egy nem gerincszolgáltató megvédeni a támadásokat, ha nincsenek saját csatornái?A védelmi szolgáltató bármelyik nagy szolgáltatóhoz csatlakozhat, és "az ő költségükön" hárítja el a támadásokat. A csatorna költségét ki kell fizetni, de ezek a több száz Gbit nem mindig hasznosulnak, van lehetőség a csatornák költségének jelentős csökkentésére, így a rendszer működőképes marad.
Ilyen jelentéseket rendszeresen kaptam a magasabb szintű L3/L4 védelmi rendszertől, miközben a hosting szolgáltató rendszereit támogattam.
L7 szintű védelem (alkalmazási szint)
Az L7 szintű támadásokat (alkalmazási szint) stabilan és magas színvonalon csak néhány szolgáltató képes elhárítani.
Van egy elég nagy tapasztalatom a
— Qrator.net;
— DDoS-Guard;
— G-Core Labs;
— Kaspersky.
Minden egyes tiszta forgalmi megabitért díjat kérnek, amely nagyságrendileg több ezer rubel. Ha legalább 100 megabit tiszta forgalma van — ó, akkor a védelem nagyon drága lesz. Következő cikkekben szívesen elmondom, hogyan lehet úgy tervezni az alkalmazásokat, hogy nagyon jól spórolhassunk a védelmi csatornák kapacitásán.
A valódi "hegycsúcsa" a Qrator.net, a többi versenyző mögöttük marad. Qrator eddig az egyetlen a tapasztalataim alapján, aki közel nullás hamis riasztási arányt tud biztosítani, de az áraik jóval magasabbak a piacon lévő többi szereplőhöz képest.
Más szolgáltatók is kínálnak minőségi és stabil védelmet. Számos szolgáltatás, amit támogatunk (köztük nagyon ismert szolgáltatók az országban!) a DDoS-Guard, G-Core Labs védelme alatt áll, és teljesen elégedettek az elért eredményekkel.
A Qrator által visszavert támadások
Van tapasztalatom kisebb védelmi szolgáltatókkal is, mint például a cloud-shield.ru, ddosa.net, több ezer van belőlük. Egyértelműen nem tudom ajánlani őket, mivel a tapasztalatom nem túl nagy, de megosztom a működésük alapelveit. A védelmi díjaik gyakran 1-2 renddel alacsonyabbak, mint a nagyobb szereplőké. Általában részleges védelmi szolgáltatást vásárolnak (L3/L4) valamelyik nagyobb szolgáltatótól, és saját védelmet építenek ki a magasabb szintű támadások ellen. Ez lehet elég hatékony + egy jó szolgáltatást kaphatsz kevesebb pénzért, de ezek mind kisebb cégek, kis csapatokkal, ezt kérlek vedd figyelembe.
Miben rejlik a nehézség a L7-es szintű támadások visszaverésében?
Minden alkalmazás egyedi, és meg kell engedni a hasznos forgalmat, miközben blokkolni kell a károsat. A botok kiszűrése nem mindig sikerül, ezért sok, tényleg SOK forgalomfinomító szintet kell alkalmazni.
Régen elegendő volt az nginx-testcookie modul (), és még ma is elegendő a nagy számú támadás visszaverésére. Amikor a tárhely iparban dolgoztam, a L7 védelmet pontosan az nginx-testcookie-ra alapozva építettem.
Sajnos a támadások bonyolultabbak lettek. A testcookie JS-alapú botellenőrzéseket alkalmaz, míg sok modern bot sikeresen átmegy ezeken.
A támadó botnetek is egyediek, és figyelembe kell venni minden nagyobb botnet sajátosságait.
Amplifikáció, közvetlen áradat a botnetből, különböző országokból érkező forgalom szűrése (országonként eltérő szűrés), SYN/ACK áradata, csomagok töredezettsége, ICMP, http áradat, és az alkalmazás/http szinten korlátlan számú különféle támadás tervezhető.
Összességében a csatorna védelem, a forgalom tisztítására szolgáló speciális berendezések, speciális szoftverek, valamint az egyes ügyfelek számára végzett szűrési beállítások akár tucatnyi és száz számú szűrő szintet is jelenthetnek.
Ahhoz, hogy megfelelően kezeljük ezt és helyesen finomhangoljuk a szűrési beállításokat különböző felhasználókhoz, nagy tapasztalat és szakképzett munkaerő szükséges. Még egy nagy szolgáltató, aki védekezési szolgáltatásokat kíván nyújtani, nem mondhatja, hogy csak pénzzel oldja meg a problémát: a tapasztalatot a fekvő weboldalakon és a hamis riasztásokon kell megszerezni a legitim forgalomra.
A védekezési szolgáltatónak nincs egyetlen gombja az „DDoS támadások visszaverésére”, sok eszköz áll rendelkezésre, amelyeket meg kell tanulni használni.
És egy további példát is hoznék.
A védelem nélküli szervert a szolgáltató letiltotta, miközben egy 600 Mbps-os támadás zajlott.
(A forgalom „eltűnése” nem volt észlelhető, mivel csak 1 weboldal volt támadva, azt ideiglenesen eltávolították a szerverről, és a letiltást egy órán belül feloldották.)
Ez a szerver védett. A támadók „feladták” a támadások után egy nap elteltével. Maga a támadás nem bizonyult a legerősebbnek.
A L3/L4 támadások és védelem triviálisabb, főként a csatornák vastagságától, a támadások észlelésének és szűrésének algoritmusaitól függenek.
Az L7 támadások bonyolultabbak és eredetiek, a megtámadott alkalmazástól, a támadók lehetőségeitől és fantáziájától függenek. A védelemhez nagyobb tudás és tapasztalat szükséges, és az eredmény nem mindig azonnali és nem százszázalékos. Még nincs új neurolósai védelem a Google oldaláról.
Forrás: habr.com
