DDoS עובר למצב לא מקוון

לפני מספר שנים החלו לדווח סוכנויות מחקר וספקי שירותי אבטחת מידע יְרִידָה מספר התקפות DDoS. אבל ברבעון הראשון של 1, אותם חוקרים דיווחו על המהמם שלהם גובה ב-84%. ואז הכל הלך מהכוח אל הכוח. אפילו המגיפה לא תרמה לאווירת השלום - להיפך, פושעי סייבר וספרי דואר זבל ראו בכך אות מצוין לתקיפה, ונפח ה-DDoS גדל פעמיים.

אנו מאמינים שתם הזמן של התקפות DDoS פשוטות שניתן לזהות בקלות (וכלים פשוטים שיכולים למנוע אותן). פושעי סייבר השתפרו בהסתרת ההתקפות הללו ובביצוען בתחכום הולך וגובר. התעשייה האפלה עברה מכוח גס להתקפות ברמת האפליקציה. היא מקבלת פקודות רציניות להרוס תהליכים עסקיים, כולל תהליכים לא מקוונים למדי.

פורצים למציאות

בשנת 2017, סדרה של התקפות DDoS המכוונות לשירותי תחבורה שבדיים הביאו להתארכות עיכובים ברכבת. בשנת 2019, מפעילת הרכבת הלאומית של דנמרק דנסק סטטסבאנר מערכות המכירות נפלו. כתוצאה מכך, מכונות הכרטיסים והשערים האוטומטיים לא פעלו בתחנות, ויותר מ-15 אלף נוסעים לא יכלו לצאת. גם בשנת 2019, מתקפת סייבר חזקה גרמה להפסקת חשמל ב ונצואלה.

ההשלכות של התקפות DDoS נחוות כעת לא רק על ידי משתמשים מקוונים, אלא גם על ידי אנשים, כמו שאומרים, IRL (בחיים האמיתיים). בעוד שתוקפים מכוונים היסטורית רק לשירותים מקוונים, המטרה שלהם היא כעת לעתים קרובות לשבש כל פעילות עסקית. אנו מעריכים שכיום ליותר מ-60% מהתקיפות יש מטרה כזו - לסחיטה או לתחרות לא הוגנת. עסקאות ולוגיסטיקה פגיעות במיוחד.

חכם ויקר יותר

DDoS ממשיך להיחשב לאחד מסוגי פשעי הסייבר הנפוצים והצומחים ביותר. לדברי מומחים, משנת 2020 מספרם רק יגדל. זה קשור לסיבות שונות - עם מעבר גדול עוד יותר של עסקים מקוונים עקב המגיפה, ועם התפתחות תעשיית הצללים של פשע הסייבר, ואפילו עם התפשטות 5G.

התקפות DDoS הפכו ל"פופולריות" בעת ובעונה אחת בגלל קלות הפריסה והעלות הנמוכה שלהן: רק לפני כמה שנים אפשר היה להשיק אותן תמורת 50 דולר ליום. כיום, הן מטרות התקיפה והן שיטות השתנו, והגדילו את מורכבותן וכתוצאה מכך גם את העלות. לא, מחירים מ-$5 לשעה עדיין נמצאים במחירונים (כן, לפושעי סייבר יש מחירונים ולוחות תעריפים), אבל עבור אתר אינטרנט עם הגנה הם כבר דורשים מ-$400 ליום, ועלות הזמנות "פרטיות" לחברות גדולות מגיע לכמה אלפי דולרים.

ישנם כיום שני סוגים עיקריים של התקפות DDoS. המטרה הראשונה היא להפוך משאב מקוון ללא זמין לפרק זמן מסוים. התוקפים גובים עבורם במהלך ההתקפה עצמה. במקרה זה, למפעיל ה-DDoS לא אכפת מכל תוצאה ספציפית, והלקוח למעשה משלם מראש כדי להפעיל את המתקפה. שיטות כאלה הן די זולות.

הסוג השני הוא התקפות שמשולמות רק כאשר מושגת תוצאה מסוימת. יותר מעניין איתם. הם הרבה יותר קשים ליישום ולכן יקרים משמעותית, שכן התוקפים חייבים לבחור את השיטות היעילות ביותר כדי להשיג את מטרותיהם. ב-Variti, אנחנו משחקים לפעמים משחקי שחמט שלמים עם פושעי סייבר, שבהם הם משנים מיידית טקטיקות וכלים ומנסים לפרוץ למספר פגיעויות במספר רמות בו-זמנית. ברור שמדובר בהתקפות צוות שבהן ההאקרים יודעים היטב כיצד להגיב ולהתנגד לפעולות של המגינים. ההתמודדות איתם היא לא רק קשה, אלא גם יקרה מאוד לחברות. לדוגמה, אחד מלקוחותינו, קמעונאי מקוון גדול, החזיק במשך כמעט שלוש שנים צוות של 30 אנשים, שתפקידו היה להילחם בהתקפות DDoS.

לפי Variti, התקפות DDoS פשוטות שבוצעו אך ורק מתוך שעמום, טרול או חוסר שביעות רצון מחברה מסוימת מהוות כיום פחות מ-10% מכל התקפות ה-DDoS (כמובן, למשאבים לא מוגנים עשויים להיות נתונים סטטיסטיים שונים, אנו מסתכלים על נתוני הלקוחות שלנו) . כל השאר הוא עבודה של צוותים מקצועיים. עם זאת, שלושה רבעים מכל הבוטים ה"רעים" הם בוטים מורכבים שקשה לזהות באמצעות רוב פתרונות השוק המודרניים. הם מחקים את ההתנהגות של משתמשים או דפדפנים אמיתיים ומציגים דפוסים שמקשים על ההבחנה בין בקשות "טובות" ל"רעות". זה הופך את ההתקפות לפחות בולטות ולכן יעילות יותר.

נתונים מ-GlobalDots

יעדי DDoS חדשים

דווח דוח בוט רע מאת אנליסטים מ-GlobalDots אומר שהבוטים מייצרים כעת 50% מכל תעבורת האינטרנט, ו-17,5% מהם הם בוטים זדוניים.

בוטים יודעים להרוס את חייהם של חברות בדרכים שונות: בנוסף לעובדה שהם "קורסים" אתרים, הם עוסקים כיום גם בהגדלת עלויות הפרסום, לחיצה על פרסומות, ניתוח מחירים על מנת להפחית מהם שקל. לפתות קונים ולגנוב תוכן למטרות רעות שונות (לדוגמה, אנחנו לאחרונה писали על אתרים עם תוכן גנוב שמאלץ משתמשים לפתור קפצ'ים של אנשים אחרים). בוטים מעוותים מאוד סטטיסטיקות עסקיות שונות, וכתוצאה מכך מתקבלות החלטות על סמך נתונים שגויים. התקפת DDoS היא לעתים קרובות מסך עשן לפשעים חמורים עוד יותר כמו פריצה וגניבת נתונים. ועכשיו אנחנו רואים שנוספה סוג חדש לגמרי של איומי סייבר - זהו שיבוש של עבודתם של תהליכים עסקיים מסוימים של החברה, לעתים קרובות במצב לא מקוון (שכן בזמננו שום דבר לא יכול להיות לגמרי "אופליין"). לעתים קרובות במיוחד אנו רואים שתהליכים לוגיסטיים ותקשורת עם לקוחות מתקלקלים.

"לא נשלח"

תהליכים עסקיים לוגיסטיים הם המפתח עבור רוב החברות, ולכן לעתים קרובות הם מותקפים. להלן תרחישי ההתקפה האפשריים.

לא זמין

אם אתה עובד במסחר מקוון, אז כנראה שאתה כבר מכיר את הבעיה של הזמנות מזויפות. כאשר הם מותקפים, בוטים מעמיסים משאבים לוגיסטיים והופכים את הסחורה לבלתי זמינה לקונים אחרים. לשם כך, הם מבצעים מספר עצום של הזמנות מזויפות, השווה למספר המרבי של מוצרים במלאי. לאחר מכן לא משלמים עבור סחורות אלו ולאחר זמן מה מוחזרות לאתר. אבל המעשה כבר נעשה: הם סומנו כ"אזל מהמלאי", וכמה קונים כבר הלכו למתחרים. הטקטיקה הזו מוכרת היטב בתעשיית כרטוס חברות התעופה, שבה בוטים לפעמים "מוכרים" באופן מיידי את כל הכרטיסים כמעט ברגע שהם הופכים זמינים. לדוגמה, אחד מלקוחותינו, חברת תעופה גדולה, סבל מתקפה כזו שאורגנה על ידי מתחרים סיניים. תוך שעתיים בלבד, הבוטים שלהם הזמינו 100% מהכרטיסים ליעדים מסוימים.

בוטים של סניקרס

התרחיש הפופולרי הבא: בוטים קונים באופן מיידי קו שלם של מוצרים, ובעליהם מוכרים אותם מאוחר יותר במחיר מנופח (בממוצע 200% סימון). בוטים כאלה נקראים סניקרס בוטים, מכיוון שהבעיה הזו מוכרת היטב בתעשיית נעלי הספורט האופנה, במיוחד בקולקציות מוגבלות. בוטים קנו שורות חדשות שזה עתה הופיעו תוך כמעט דקות, תוך חסימת המשאב כך שמשתמשים אמיתיים לא יוכלו לעבור שם. זהו מקרה נדיר שבו נכתבו על בוטים במגזינים מבריקים אופנתיים. אם כי, באופן כללי, משווקים של כרטיסים לאירועים מגניבים כמו משחקי כדורגל משתמשים באותו תרחיש.

תרחישים אחרים

אבל זה לא הכל. יש גרסה מורכבת עוד יותר של התקפות על לוגיסטיקה, שמאיימת על הפסדים חמורים. ניתן לעשות זאת אם לשירות יש אפשרות "תשלום עם קבלת סחורה". בוטים משאירים הזמנות מזויפות לסחורות כאלה, ומציינים כתובות מזויפות או אפילו אמיתיות של אנשים תמימים. וחברות כרוכות בעלויות עצומות עבור משלוח, אחסון וגילוי פרטים. בשלב זה הסחורה אינה זמינה ללקוחות אחרים, והיא תופסת מקום גם במחסן.

מה עוד? בוטים משאירים ביקורות רעות מזויפות עצומות על מוצרים, תוקעים את פונקציית "החזרת התשלום", חסימת עסקאות, גניבת נתוני לקוחות, ספאם לקוחות אמיתיים - יש הרבה אפשרויות. דוגמה טובה היא המתקפה האחרונה על DHL, Hermes, AldiTalk, Freenet, Snipes.com. האקרים העמידה פנים, שהם "בודקים מערכות הגנה DDoS", אבל בסופו של דבר הם הניחו את פורטל הלקוחות העסקיים של החברה ואת כל ה-API. כתוצאה מכך, היו הפרעות גדולות באספקת הסחורה ללקוחות.

תתקשר מחר

בשנה שעברה, נציבות הסחר הפדרלית (FTC) דיווחה על הכפלה במספר התלונות של עסקים ומשתמשים על דואר זבל ושיחות טלפון הונאה. על פי כמה הערכות, הם מסתכמים ב כמעט 50% כל השיחות.

כמו ב-DDoS, המטרות של TDoS - התקפות מסיביות של בוטים על טלפונים - נעות בין "מתיחה" לתחרות חסרת מצפון. בוטים יכולים להעמיס על מרכזי קשר ולמנוע החמצה של לקוחות אמיתיים. שיטה זו יעילה לא רק עבור מוקדים עם מפעילים "חיים", אלא גם כאשר משתמשים במערכות AVR. בוטים יכולים גם לתקוף בצורה מאסיבית ערוצי תקשורת אחרים עם לקוחות (צ'אט, מיילים), לשבש את פעולת מערכות ה-CRM ואף, במידה מסוימת, להשפיע לרעה על ניהול כוח האדם, מכיוון שהמפעילים עמוסים בניסיון להתמודד עם המשבר. ניתן גם לסנכרן את ההתקפות עם מתקפת DDoS מסורתית על המשאבים המקוונים של הקורבן.

לאחרונה פיגוע דומה שיבש את עבודת שירות ההצלה 911 בארה"ב - אנשים רגילים שזקוקים מאוד לעזרה פשוט לא הצליחו לעבור. בערך באותו זמן, גן החיות של דבלין סבל מאותו גורל, כאשר לפחות 5000 אנשים קיבלו הודעות טקסט ספאם ב-SMS המעודדות אותם להתקשר בדחיפות למספר הטלפון של גן החיות ולבקש אדם פיקטיבי.

לא יהיה Wi-Fi

פושעי סייבר יכולים גם לחסום בקלות רשת ארגונית שלמה. חסימת IP משמשת לעתים קרובות כדי להילחם בהתקפות DDoS. אבל זה לא רק לא יעיל, אלא גם תרגול מסוכן מאוד. קל למצוא את כתובת ה-IP (לדוגמה, באמצעות ניטור משאבים) וקלה להחלפה (או לזייף). היו לנו לקוחות לפני שהגיעו ל-Variti, שבהם חסימת IP ספציפי פשוט כיבה את ה-Wi-Fi במשרדים שלהם. היה מקרה שלקוח "החליק" עם ה-IP הנדרש, והוא חסם את הגישה למשאב שלו למשתמשים מאזור שלם, ולא שם לב לכך הרבה זמן, כי אחרת המשאב כולו פעל בצורה מושלמת.

מה חדש?

איומים חדשים דורשים פתרונות אבטחה חדשים. עם זאת, נישת השוק החדשה הזו רק מתחילה להופיע. ישנם פתרונות רבים להרחקת התקפות בוטים פשוטות ביעילות, אבל עם מורכבות זה לא כל כך פשוט. פתרונות רבים עדיין מתרגלים טכניקות חסימת IP. אחרים צריכים זמן לאסוף את הנתונים הראשוניים כדי להתחיל, ו-10-15 דקות אלו עלולות להפוך לפגיעות. ישנם פתרונות המבוססים על למידת מכונה המאפשרים לך לזהות בוט לפי התנהגותו. ויחד עם זאת, צוותים מהצד "האחר" מתגאים בכך שכבר יש להם בוטים שיכולים לחקות דפוסים אמיתיים, שלא ניתן להבחין בהם מבני אדם. עדיין לא ברור מי ינצח.

מה לעשות אם אתה צריך להתמודד עם צוותי בוטים מקצועיים והתקפות מורכבות ורב-שלביות בכמה רמות בו זמנית?

הניסיון שלנו מראה שאתה צריך להתמקד בסינון בקשות לא לגיטימיות מבלי לחסום כתובות IP. התקפות DDoS מורכבות דורשות סינון במספר רמות בו-זמנית, כולל רמת התעבורה, רמת האפליקציה וממשקי API. הודות לכך, ניתן להדוף גם התקפות בתדירות נמוכה שבדרך כלל אינן נראות ולפיכך לרוב פוסחות. לבסוף, יש לאפשר לכל המשתמשים האמיתיים לעבור, גם כשהמתקפה פעילה.

שנית, חברות זקוקות ליכולת ליצור מערכות הגנה רב-שלביות משלהן, אשר בנוסף לכלים למניעת התקפות DDoS, יהיו להן מערכות מובנות נגד הונאה, גניבת מידע, הגנת תוכן וכדומה.

שלישית, עליהם לעבוד בזמן אמת כבר מהבקשה הראשונה – היכולת להגיב באופן מיידי לאירועים ביטחוניים מגדילה מאוד את הסיכוי למנוע תקיפה או להפחית את כוחה ההרסני.

עתיד קרוב: ניהול מוניטין ואיסוף נתונים גדולים באמצעות בוטים
ההיסטוריה של DDoS התפתחה מפשוטה למורכבת. בתחילה, מטרת התוקפים הייתה למנוע מהאתר לפעול. כעת הם מוצאים שיותר יעיל להתמקד בתהליכי ליבה עסקיים.

תחכום ההתקפות ימשיך לגדול, זה בלתי נמנע. בנוסף למה שבוטים רעים עושים עכשיו - גניבת נתונים וזיוף, סחיטה, דואר זבל - בוטים יאספו נתונים ממספר רב של מקורות (Big Data) ויצרו חשבונות מזויפים "חזקים" לניהול השפעה, מוניטין או פישינג המוני.

נכון לעכשיו, רק חברות גדולות יכולות להרשות לעצמן להשקיע ב-DDoS ובהגנה על בוטים, אבל אפילו הן לא תמיד יכולות לנטר ולסנן באופן מלא את התעבורה שנוצרת על ידי בוטים. הדבר החיובי היחיד בעובדה שהתקפות בוטים הופכות למורכבות יותר הוא שהיא מגרה את השוק ליצור פתרונות אבטחה חכמים ומתקדמים יותר.

מה אתה חושב - איך תתפתח תעשיית הגנת הבוטים ואילו פתרונות דרושים בשוק כרגע?

מקור: www.habr.com