Nei primi due trimestri del 2020, il numero di attacchi DDoS è aumentato quasi di tre volte, con il 65% di essi costituito da tentativi primordiali di "testing di carico" che possono facilmente "disattivare" siti vulnerabili di piccoli negozi online, forum, blog e media.
Come scegliere un hosting resistente agli attacchi DDoS? Cosa considerare e a cosa prepararsi per non trovarsi in una situazione spiacevole?
(Vaccinazione contro il marketing "grigio" interno)
La disponibilità e la varietà degli strumenti per condurre attacchi DDoS costringono i proprietari di servizi online ad adottare misure appropriate per contrastare la minaccia. Pensare alla protezione contro i DDoS non dovrebbe avvenire dopo il primo guasto, né come parte di un insieme di misure per migliorare la resilienza dell'infrastruttura, ma già nella fase di scelta della piattaforma di hosting o del data center.
Gli attacchi DDoS si classificano in base ai protocolli sfruttati e ai livelli del modello di interazione dei sistemi aperti (OSI):
- livello di collegamento (L2),
- livello di rete (L3),
- livello di trasporto (L4),
- livello applicativo (L7).
Dal punto di vista della protezione dei sistemi, è possibile generalizzarli in due gruppi: attacchi di livello infrastrutturale (L2-L4) e attacchi di livello applicativo (L7). Ciò è legato alla sequenza di esecuzione degli algoritmi di analisi del traffico e alla complessità computazionale: più approfonditamente analizziamo il pacchetto IP, maggiore sarà la potenza di calcolo richiesta.
In generale, l'ottimizzazione dei calcoli durante l'elaborazione del traffico in tempo reale è un argomento per un ciclo di articoli separato. Ma ora immaginiamo semplicemente che ci sia un provider cloud con risorse di calcolo teoricamente illimitate, in grado di garantire la protezione dei siti contro attacchi a livello applicativo (incluso ).
3 domande principali per valutare il livello di protezione dell'hosting contro gli attacchi DDoS
Esaminiamo i termini del servizio di protezione contro gli attacchi DDoS e il Contratto di Livello di Servizio (Service Level Agreement, SLA) del provider di hosting. Contengono risposte alle seguenti domande:
- quali sono i limiti tecnici dichiarati dal fornitore del servizio?
- cosa succede quando il cliente supera i limiti?
- come il provider di hosting organizza la protezione contro gli attacchi DDoS (tecnologie, soluzioni, fornitori)?
Se non hai trovato queste informazioni, potrebbe essere il momento di riflettere sulla serietà del fornitore di servizi o di organizzare una protezione di base contro i DDoS (L3-4) da solo. Ad esempio, ordinare una connessione fisica a una rete di un fornitore specializzato nella protezione.
Attenzione! Non ha senso fornire protezione contro attacchi a livello applicativo utilizzando un Reverse Proxy, se il tuo provider di hosting non è in grado di garantire protezione contro attacchi a livello infrastrutturale: l'attrezzatura di rete sarà sovraccaricata e diventerà inaccessibile, anche per i server proxy del provider cloud (Figura 1).
Figura 1. Attacco diretto alla rete del provider di hosting
E non lasciarti raccontare storie secondo cui l'indirizzo IP reale del server è nascosto dietro il cloud di un fornitore di protezione, quindi sarebbe impossibile attaccarlo direttamente. Nove volte su dieci, un attaccante non avrà problemi a trovare l'indirizzo IP reale del server o almeno della rete del provider di hosting, per "mettere a terra" un intero data center.
Come agiscono gli hacker alla ricerca dell'indirizzo IP reale
Sotto i spoiler - alcuni metodi per cercare l'indirizzo IP reale (presentati a scopo informativo).
Metodo 1: Ricerca in fonti aperte
Puoi iniziare la ricerca con il servizio online: cerca informazioni nel dark web, su piattaforme per la condivisione di documenti, elabora i dati Whois, fughe di dati pubblici e molte altre fonti.
Se per alcuni indizi (header HTTP, dati Whois, ecc.) sei riuscito a determinare che la protezione del sito è organizzata tramite Cloudflare, puoi iniziare a cercare l'IP reale da, che contiene circa 3 milioni di indirizzi IP di siti situati dietro Cloudflare.
Utilizzando un certificato SSL e il servizio puoi trovare molte informazioni utili, incluso l'indirizzo IP reale del sito. Per formare una richiesta sul tuo servizio, vai alla scheda Certificati e inserisci:
_parsed.names: nomedel sito AND tags.raw: trusted
Per cercare gli indirizzi IP dei server che utilizzano un certificato SSL, sarà necessario scorrere manualmente il menu a discesa con alcuni strumenti (scheda "Esplora", poi selezioniamo "Hosts IPv4").
Metodo 2: DNS
La ricerca nella cronologia delle modifiche delle registrazioni DNS è un modo collaudato. L'indirizzo IP precedente del sito può rivelare su quale hosting (o in quale data center) fosse situato. Tra i servizi online per facilità d'uso spiccano e .
Quando si modificano le impostazioni, il sito non utilizzerà immediatamente l'indirizzo IP del provider di cloud protection o del CDN, ma funzionerà direttamente per un certo periodo. In questo caso, c'è la possibilità che i servizi online di archiviazione della cronologia delle modifiche degli indirizzi IP contengano informazioni sul vecchio indirizzo del sito.
Se non c'è nient'altro che il nome del vecchio server DNS, è possibile richiedere l'indirizzo IP del nome di dominio del sito utilizzando utilità speciali (dig, host o nslookup), ad esempio:
_dig @nome_del_vecchio_server_dns nomesito
Metodo 3: email
L'idea del metodo è di ricevere una email sulla propria casella postale tramite il modulo di contatto / registrazione (o in qualsiasi altro modo che consenta di avviare l'invio di una lettera) e controllare intestazioni, in particolare il campo "Received".
Nell'intestazione della mail si trova spesso l'indirizzo IP reale del record MX (server di posta), che può diventare un punto di partenza per la ricerca di altri server di destinazione.
Strumenti per automatizzare la ricerca
Il software per trovare IP dietro Cloudflare di solito lavora su tre compiti:
- scansione per configurazioni DNS errate, utilizzando DNSDumpster.com;
- scansione nel database Crimeflare.com;
- ricerca di sottodomini tramite un attacco di dizionario.
La ricerca di sottodomini si rivela spesso la soluzione più efficace delle tre: il proprietario del sito potrebbe aver protetto il sito principale lasciando funzionare i sottodomini direttamente. Per effettuare il controllo, è più semplice usare .
Inoltre, ci sono utilità progettate esclusivamente per la ricerca di sottodomini mediante attacco di dizionario e ricerca in fonti aperte, come ad esempio: o .
Come avviene la ricerca nella pratica
Ad esempio, prendiamo il sito seo.com, che utilizza Cloudflare, e lo troviamo tramite un servizio noto (che consente di determinare le tecnologie / motori / CMS su cui si basa il sito e viceversa – cercare siti in base alle tecnologie utilizzate).
Nella scheda "IPv4 Hosts", il servizio mostra un elenco di host che utilizzano un certificato. Per trovare quello giusto, cerca l'indirizzo IP con la porta 443 aperta. Se reindirizza al sito corretto, il compito è completato; in caso contrario, è necessario aggiungere nel campo "Host" della richiesta HTTP il nome di dominio del sito (ad esempio, *curl -H "Host: nome_sito" *).
Nel nostro caso, la ricerca nel database Censys non ha dato risultati, proseguiamo.
Effettueremo la ricerca tramite DNS utilizzando il servizio.
Scorrendo gli indirizzi nei report dei server DNS con l'utility CloudFail, troviamo risorse funzionanti. Il risultato sarà pronto in pochi secondi.
Utilizzando solo dati aperti e strumenti semplici, abbiamo determinato il reale indirizzo IP del server web. Il resto per un attaccante è una questione di tecnica.
Torniamo alla scelta del provider di hosting. Per valutare l'utilità del servizio per il cliente, consideriamo i possibili metodi di protezione dagli attacchi DDoS.
Come il provider di hosting costruisce la propria difesa
- Sistema di protezione interno con attrezzatura di filtraggio (figura 2).
Richiede:
1.1. Attrezzatura per il filtraggio del traffico e licenze software;
1.2. Tecnici interni per supporto e operatività;
1.3. Canali di accesso a Internet sufficienti per gestire gli attacchi;
1.4. Una larghezza di banda prepagata significativa per gestire il traffico "spazzatura".
Figura 2. Sistema di protezione proprio del provider di hosting
Se consideriamo il sistema descritto come un mezzo di protezione contro i moderni attacchi DDoS da centinaia di Gbps, tale sistema costerebbe somme considerevoli. Il provider di hosting dispone di tale protezione? È disposto a pagare per il traffico "spazzatura"? È evidente che tale modello economico è insostenibile per il provider, a meno che nelle tariffe non siano previsti pagamenti aggiuntivi. - Proxy inverso (solo per siti web e alcune applicazioni). Nonostante una serie di , il fornitore non garantisce protezione contro gli attacchi DDoS diretti (vedi figura 1). I provider di hosting spesso offrono tale soluzione come panacea, scaricando la responsabilità sui provider di protezione.
- Servizi di un fornitore cloud specializzato (utilizzo della sua rete di filtraggio) per la protezione dagli attacchi DDoS su tutti i livelli OSI (figura 3).
Figura 3. Protezione complessiva dagli attacchi DDoS tramite fornitore specializzato
richiede una profonda integrazione e un alto livello di competenza tecnica da entrambe le parti. Esternalizzare i servizi di filtraggio del traffico consente al provider di hosting di ridurre il costo dei servizi aggiuntivi per il cliente.
Attenzione! Più dettagliate saranno le specifiche tecniche del servizio fornito, maggiori saranno le possibilità di richiederne l'esecuzione o risarcimenti in caso di inattività.
Oltre ai tre metodi principali, esistono molteplici combinazioni e variazioni. Quando sceglie un hosting, è importante per il cliente ricordare che la scelta influenzerà non solo la dimensione delle minacce DDoS bloccate e la precisione della filtrazione, ma anche la velocità di risposta e l'informatività (lista degli attacchi bloccati, statistiche generali, ecc.).
Ricordate che solo pochi fornitori di hosting al mondo sono in grado di garantire un livello accettabile di protezione autonomamente; in altri casi, la cooperazione e la competenza tecnica sono fondamentali. Comprendere i principi di base dell’organizzazione della protezione contro gli attacchi DDoS aiuterà il proprietario del sito a non cadere nelle trappole di marketing e a non acquistare un "gatto in un sacco".
Fonte: habr.com
