Nei primi due trimestri del 2020, il numero di attacchi DDoS è aumentato quasi di tre volte, con il 65% di essi rappresentato da tentativi primordiali di "load testing", che disattivano senza sforzo i siti vulnerabili di piccoli negozi online, forum, blog e media.
Come scegliere un hosting protetto da attacchi DDoS? Cosa considerare e a cosa prepararsi per non trovarsi in una situazione scomoda?
(Vaccinazione contro il marketing "grigio" interno)
La disponibilità e la varietà degli strumenti per condurre attacchi DDoS costringono i proprietari di servizi online a prendere misure adeguate per contrastare la minaccia. È importante considerare la protezione contro gli attacchi DDoS non solo dopo il primo fallimento, e nemmeno nel contesto delle misure per migliorare la resilienza dell'infrastruttura, ma già nella fase di scelta della piattaforma di hosting (fornitore di hosting o data center).
Gli attacchi DDoS sono classificati in base all'appartenenza dei protocolli le cui vulnerabilità vengono sfruttate, ai livelli del modello di interazione dei sistemi aperti (OSI):
- livello di collegamento (L2),
- livello di rete (L3),
- livello di trasporto (L4),
- livello applicativo (L7).
Dal punto di vista dei sistemi di protezione, possono essere riassunti in due gruppi: attacchi a livello di infrastruttura (L2-L4) e a livello di applicazione (L7). Questo è legato all'ordine di esecuzione degli algoritmi di analisi del traffico e alla complessità computazionale: più ci immergiamo nel pacchetto IP, maggiore è la potenza di calcolo necessaria.
In generale, l'ottimizzazione dei calcoli durante l'elaborazione del traffico in tempo reale è un tema per un ciclo separato di articoli. Ma ora immaginiamo semplicemente che ci sia un fornitore di servizi cloud con risorse computazionali condizionatamente illimitate, in grado di fornire protezione ai siti contro gli attacchi a livello di applicazione (inclusi ).
3 domande principali per determinare il livello di protezione dell'hosting dagli attacchi DDoS
Esaminiamo le condizioni della fornitura del servizio di protezione dagli attacchi DDoS e il Contratto di livello di servizio (Service Level Agreement, SLA) del fornitore di hosting. Contengono risposte alle seguenti domande:
- quali limitazioni tecniche dichiara il fornitore del servizio?
- cosa succede quando il cliente supera i limiti?
- come il fornitore di hosting costruisce la difesa contro gli attacchi DDoS (tecnologie, soluzioni, fornitori)?
Se non hai trovato queste informazioni, è un motivo per riflettere sulla serietà del fornitore di servizi o per organizzare una difesa base contro il DDoS (L3-4) con le proprie forze. Ad esempio, puoi ordinare una connessione fisica a una rete di un fornitore di protezione specializzato.
Importante! Non ha senso garantire protezione contro gli attacchi a livello di applicazione tramite Reverse Proxy, se il tuo fornitore di hosting non è in grado di garantire protezione contro gli attacchi a livello di infrastruttura: l'hardware di rete sarà sovraccarico e diventerà inaccessibile, anche per i server proxy del fornitore cloud (figura 1).
Figura 1. Attacco diretto alla rete del fornitore di hosting
E non lasciarti raccontare frottole sul fatto che l'indirizzo IP reale del server è nascosto dietro il cloud del fornitore di protezione, e quindi non è possibile attaccarlo direttamente. In nove casi su dieci, l'attaccante non avrà difficoltà a trovare l'indirizzo IP reale del server o almeno quello della rete del fornitore di hosting, per "mandare in tilt" un intero data center.
Come agiscono gli hacker in cerca dell'indirizzo IP reale
Nei spoiler — alcuni metodi per trovare l'indirizzo IP reale (forniti solo a scopo informativo).
Metodo 1: Ricerca in fonti aperte
Puoi iniziare la ricerca con il servizio online: cerca informazioni nel dark web, su piattaforme di condivisione documenti, elabora i dati Whois, le fughe di dati pubblici e molte altre fonti.
Se da alcuni indizi (header HTTP, dati Whois, ecc.) riesci a determinare che la protezione del sito è organizzata tramite Cloudflare, puoi iniziare a cercare l'IP reale da, che contiene circa 3 milioni di indirizzi IP di siti situati dietro Cloudflare.
Con un certificato SSL e il servizio puoi trovare molte informazioni utili, incluso l'indirizzo IP reale del sito. Per formare una richiesta per la tua risorsa, vai alla scheda Certificates e inserisci:
_parsed.names: nomedel sito AND tags.raw: trusted
Per cercare indirizzi IP dei server che utilizzano certificati SSL, dovrai sfogliare manualmente il menu a discesa con diversi strumenti (scheda "Explore", poi scegli "IPv4 Hosts").
Metodo 2: DNS
La ricerca nella cronologia delle modifiche delle registrazioni DNS è un metodo antico e collaudato. Il precedente indirizzo IP del sito può indicare quale hosting (o quale data center) stava utilizzando. Tra i servizi online, quelli più facili da usare includono e .
Quando si modificano le impostazioni, il sito non inizierà subito a utilizzare l'indirizzo IP del provider cloud di protezione o del CDN, ma funzionerà direttamente per un certo periodo. In questo caso, esiste la possibilità che i servizi online di archiviazione della cronologia delle modifiche degli indirizzi IP contengano informazioni sull'indirizzo originale del sito.
Se non si dispone di altro che del nome del vecchio server DNS, si possono utilizzare strumenti speciali (dig, host o nslookup) per richiedere l'indirizzo IP tramite il nome di dominio del sito, ad esempio:
_dig @nome_del_vecchio_server_dns nomesito
Metodo 3: email
L'idea del metodo consiste nell'ottenere un'email tramite un modulo di contatto / registrazione (o in altro modo che consenta di inviare una comunicazione) per ricevere un'email sulla propria casella postale e controllare le intestazioni, in particolare il campo 'Received'.
Nell'intestazione dell'email è spesso presente il vero indirizzo IP del record MX (server di scambio di email), che può rappresentare un punto di partenza per trovare altri server di destinazione.
Strumenti per l'automazione della ricerca
Il software per trovare IP dietro al Cloudflare di solito svolge tre compiti:
- scansione della configurazione errata del DNS, usando DNSDumpster.com;
- scansione nel database di Crimeflare.com;
- ricerca di sottodomini tramite l'uso di un dizionario.
La ricerca di sottodomini si rivela spesso l'opzione più efficace delle tre: il proprietario del sito potrebbe aver protetto il sito principale, mentre i sottodomini potrebbero funzionare direttamente. Per il controllo, è più semplice usare .
Inoltre, ci sono strumenti progettati esclusivamente per la ricerca di sottodomini tramite l'uso di un dizionario e la ricerca in fonti aperte, come ad esempio: o .
Come avviene la ricerca nella pratica
Ad esempio, prendiamo in considerazione il sito seo.com, che utilizza Cloudflare, il quale troveremo utilizzando un noto servizio (permette di identificare sia le tecnologie / i motori / CMS su cui si basa il sito, sia viceversa – di cercare siti in base alle tecnologie utilizzate).
Quando si passa alla scheda «IPv4 Hosts», il servizio mostrerà l'elenco degli host che utilizzano il certificato. Per trovare quello desiderato, cercate l'indirizzo IP con la porta 443 aperta. Se reindirizza al sito corretto, l'operazione è riuscita; altrimenti, è necessario aggiungere nel'intestazione «Host» della richiesta HTTP il nome di dominio del sito (ad esempio, *curl -H "Host: nome_sito" *).
Nel nostro caso, la ricerca nel database Censys non ha dato risultati, continuiamo.
La ricerca DNS verrà effettuata tramite il servizio.
Controllando gli indirizzi elencati nei server DNS con lo strumento CloudFail, troviamo risorse funzionanti. Il risultato sarà pronto in pochi secondi.
Utilizzando solo dati aperti e strumenti semplici, abbiamo determinato l'indirizzo IP reale del server web. Il resto per l'attaccante è solo una questione di tecnica.
Torniamo alla scelta del fornitore di hosting. Per valutare l'utilità del servizio per il cliente, consideriamo i possibili metodi di protezione dagli attacchi DDoS.
Come il fornitore di hosting costruisce la propria difesa
- Sistema di protezione proprio con attrezzature di filtraggio (figura 2).
Richiede di avere:
1.1. Attrezzature per la filtrazione del traffico e licenze per il software;
1.2. Specialisti interni per supporto e gestione;
1.3. Canali di accesso a Internet sufficienti per ricevere attacchi;
1.4. Una banda di rete prepagata significativa per ricevere traffico «spazzatura».
Figura 2. Sistema di protezione proprio del fornitore di hosting
Se si considera il sistema descritto come un mezzo di protezione contro attacchi DDoS moderni nell'ordine di centinaia di Gbps, tale sistema avrà un costo molto elevato. Il fornitore di hosting dispone di tale protezione? È disposto a pagare per il traffico «spazzatura»? È evidente che tale modello economico sarebbe in perdita per il fornitore, se le tariffe non prevedono pagamenti aggiuntivi. - Reverse Proxy (solo per siti web e alcune applicazioni). Nonostante una serie , il fornitore non garantisce protezione contro attacchi DDoS diretti (vedi figura 1). I fornitori di hosting spesso offrono tale soluzione come panacea, trasferendo la responsabilità al fornitore di protezione.
- Servizi di un fornitore cloud specializzato (utilizzo della sua rete di filtraggio) per protezione contro attacchi DDoS a tutti i livelli OSI (figura 3).
Figura 3. Protezione complessiva contro attacchi DDoS tramite fornitore specializzato
presuppone una profonda integrazione e un alto livello di competenza tecnica da entrambe le parti. L'esternalizzazione dei servizi di filtraggio del traffico consente al fornitore di hosting di ridurre il prezzo dei servizi aggiuntivi per il cliente.
Importante! Più dettagliate saranno le caratteristiche tecniche del servizio fornito, maggiori saranno le possibilità di richiederne l'adempimento o un risarcimento in caso di inattività.
Oltre ai tre metodi principali, esistono molteplici combinazioni e sinergie. Per il cliente, nella scelta dell'hosting, è importante ricordare che la decisione influenzerà non solo la dimensione degli attacchi garantiti bloccati e l'accuratezza del filtraggio, ma anche la velocità di risposta e l'informatività (elenco degli attacchi bloccati, statistiche generali, ecc.).
Ricorda che solo pochi fornitori di hosting nel mondo sono in grado di garantire un livello accettabile di protezione da soli; nella maggior parte dei casi, l'aiuto viene dalla cooperazione e dalla competenza tecnica. Comprendere i principi di base dell'organizzazione della protezione dagli attacchi DDoS consentirà al proprietario del sito di evitare i trucchi di marketing e di non acquistare un "gatto in un sacco".
Fonte: habr.com
