რა არის და ვინ ვინ ვინ არის DDoS დაცვის ბაზარზე

”ბიჭმა, რომელმაც შექმნა ჩვენი ვებ – გვერდი, უკვე დააყენა DDoS დაცვა.”
”ჩვენ გვაქვს DDoS დაცვა, რატომ გაქრა საიტი?”
"რამდენი ათასი უნდა ქრატორს?"

მომხმარებლის/ბოსის მსგავს კითხვებზე სათანადო პასუხის გასაცემად, კარგი იქნება, თუ რა იმალება სახელის მიღმა „DDoS დაცვა“. უსაფრთხოების სერვისების არჩევა ექიმისგან წამლის არჩევას უფრო ჰგავს, ვიდრე IKEA-ში მაგიდის არჩევას.

მე მხარს ვუჭერ ვებსაიტებს 11 წლის განმავლობაში, გადავურჩი ასობით თავდასხმას სერვისებზე, რომლებსაც მხარს ვუჭერ და ახლა ცოტას გეტყვით დაცვის შიდა მუშაობის შესახებ.

რეგულარული შეტევები. 350 ათასი მოთხოვნა სულ, 52 ათასი მოთხოვნა ლეგიტიმური

პირველი შეტევები თითქმის ერთდროულად გამოჩნდა ინტერნეტთან ერთად. DDoS, როგორც ფენომენი, ფართოდ გავრცელდა 2000-იანი წლების ბოლოდან (იხილეთ www.cloudflare.com/learning/ddos/famous-ddos-attacks).
დაახლოებით 2015-2016 წლიდან, თითქმის ყველა ჰოსტინგის პროვაიდერი დაცულია DDoS შეტევებისგან, ისევე როგორც ყველაზე ცნობილი საიტები კონკურენტულ სფეროებში (do whois ვებსაიტების IP-ით eldorado.ru, leroymerlin.ru, tilda.ws, თქვენ ნახავთ ქსელებს დაცვის ოპერატორების).

თუ 10-20 წლის წინ თავდასხმების უმეტესობა მოიგერიეს თავად სერვერზე (შეაფასეთ Lenta.ru სისტემის ადმინისტრატორის მაქსიმ მოშკოვის რეკომენდაციები 90-იანი წლებიდან: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), მაგრამ ახლა დაცვის ამოცანები გართულდა.

DDoS შეტევების სახეები დაცვის ოპერატორის არჩევის თვალსაზრისით

შეტევები L3/L4 დონეზე (OSI მოდელის მიხედვით)

— UDP flood ბოტნეტიდან (ბევრი მოთხოვნა იგზავნება უშუალოდ ინფიცირებული მოწყობილობებიდან თავდასხმულ სერვისზე, სერვერები დაბლოკილია არხით);
— DNS/NTP/ და ა.შ. გაძლიერება (ბევრი მოთხოვნა იგზავნება ინფიცირებული მოწყობილობებიდან დაუცველ DNS/NTP/ა.შ., გამგზავნის მისამართი გაყალბებულია, მოთხოვნებზე პასუხისმგებელი პაკეტების ღრუბელი დატბორავს თავდასხმის ქვეშ მყოფი პირის არხს; ეს არის ყველაზე მეტად მასიური თავდასხმები ხორციელდება თანამედროვე ინტერნეტში);
— SYN / ACK flood (კავშირის დამყარების მრავალი მოთხოვნა იგზავნება თავდასხმულ სერვერებზე, კავშირის რიგი ჭარბობს);
- შეტევები პაკეტის ფრაგმენტაცია, ping of death, ping flood (გთხოვთ Google it);
- და ასე შემდეგ.

ეს შეტევები მიზნად ისახავს სერვერის არხის „ჩაკეტვას“ ან ახალი ტრაფიკის მიღების უნარის „მოკვლას“.
მიუხედავად იმისა, რომ SYN/ACK დატბორვა და გაძლიერება ძალიან განსხვავებულია, ბევრი კომპანია მათ თანაბრად კარგად ებრძვის. პრობლემები წარმოიქმნება შემდეგი ჯგუფის შეტევებით.

შეტევები L7-ზე (აპლიკაციის ფენა)

— http flood (თუ ვებსაიტს ან რომელიმე http api-ს თავს დაესხმება);
— თავდასხმა საიტის დაუცველ უბნებზე (მათ, ვისაც არ აქვს ქეში, რომელიც ძალიან იტვირთავს საიტს და ა.შ.).

მიზანია სერვერმა „დაამუშავოს“, დაამუშავოს ბევრი „ერთი შეხედვით რეალური მოთხოვნა“ და დარჩეს რეალური მოთხოვნისთვის რესურსების გარეშე.

მიუხედავად იმისა, რომ არსებობს სხვა შეტევები, ეს ყველაზე გავრცელებულია.

სერიოზული შეტევები L7 დონეზე იქმნება უნიკალური გზით თითოეული პროექტისთვის, რომელზეც თავდასხმა ხდება.

რატომ 2 ჯგუფი?
რადგან ბევრია, ვინც იცის, როგორ მოიგერიოს თავდასხმები L3/L4 დონეზე, მაგრამ ან საერთოდ არ იღებს დაცვას განაცხადის დონეზე (L7), ან მაინც სუსტია ვიდრე ალტერნატივა მათთან გამკლავებაში.

ვინ არის ვინ DDoS დაცვის ბაზარზე

(ჩემი პირადი აზრი)

დაცვა L3/L4 დონეზე

ამპლიფიკაციით შეტევების მოსაგერიებლად (სერვერის არხის „დაბლოკვა“), საკმარისია ფართო არხი (მრავალი დაცვის სერვისი უკავშირდება რუსეთის მსხვილ საყრდენ პროვაიდერებს და აქვს არხები თეორიული სიმძლავრით 1 ტბიტზე მეტი). არ დაგავიწყდეთ, რომ ძალიან იშვიათი გამაძლიერებელი შეტევები ერთ საათზე მეტხანს გრძელდება. თუ თქვენ ხართ სპამჰაუსი და ყველას არ მოგწონთ, დიახ, მათ შეიძლება სცადონ თქვენი არხების გათიშვა რამდენიმე დღის განმავლობაში, თუნდაც გლობალური ბოტნეტის შემდგომი გადარჩენის რისკის ქვეშ. თუ თქვენ უბრალოდ გაქვთ ონლაინ მაღაზია, თუნდაც ეს იყოს mvideo.ru, ძალიან მალე ვერ ნახავთ 1 ტბიტს რამდენიმე დღეში (იმედი მაქვს).

შეტევების მოსაგერიებლად SYN/ACK დატბორვით, პაკეტების ფრაგმენტაცია და ა.შ., გჭირდებათ აღჭურვილობა ან პროგრამული სისტემები, რომ აღმოაჩინოთ და შეაჩეროთ ასეთი თავდასხმები.
ბევრი ადამიანი აწარმოებს ასეთ აღჭურვილობას (Arbor, არის გადაწყვეტილებები Cisco-დან, Huawei-დან, პროგრამული უზრუნველყოფის დანერგვები Wanguard-დან და ა. ფაქტობრივად, ყველა ძირითადი პროვაიდერი იგივეს აკეთებს ჰოსტერებთან საკუთარი დაცვით a-la OVH.com, Hetzner.de, მე თვითონ შევხვდი დაცვას ihor.ru-ზე). ზოგიერთი კომპანია ავითარებს საკუთარ პროგრამულ გადაწყვეტილებებს (ტექნოლოგიები, როგორიცაა DPDK, საშუალებას გაძლევთ დაამუშავოთ ათობით გიგაბიტი ტრაფიკი ერთ ფიზიკურ x86 მანქანაზე).

ცნობილი მოთამაშეებიდან ყველას შეუძლია მეტ-ნაკლებად ეფექტურად შეებრძოლოს L3/L4 DDoS-ს. ახლა მე არ ვიტყვი, ვის აქვს არხის უფრო დიდი მაქსიმალური სიმძლავრე (ეს არის ინსაიდერული ინფორმაცია), მაგრამ, როგორც წესი, ეს არც ისე მნიშვნელოვანია და ერთადერთი განსხვავება ისაა, თუ რამდენად სწრაფად ამოქმედდება დაცვა (მყისიერად ან პროექტის შეფერხების რამდენიმე წუთის შემდეგ, როგორც ჰეცნერში).
საკითხავია, რამდენად კარგად არის ეს გაკეთებული: გამაძლიერებელი შეტევა შეიძლება მოიგერიოს ტრაფიკის დაბლოკვით ქვეყნებიდან, სადაც ყველაზე მეტი მავნე ტრაფიკია, ან შეიძლება მხოლოდ ჭეშმარიტად არასაჭირო ტრაფიკის გაუქმება.
მაგრამ ამავდროულად, ჩემი გამოცდილებიდან გამომდინარე, ბაზრის ყველა სერიოზული მოთამაშე უპრობლემოდ უმკლავდება ამას: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (ყოფილი SkyParkCDN), ServicePipe, Stormwall, Voxility და ა.შ.
მე არ შემხვედრია დაცვა ისეთი ოპერატორებისგან, როგორებიცაა Rostelecom, Megafon, TTK, Beeline; კოლეგების მიმოხილვების თანახმად, ისინი ამ სერვისებს საკმაოდ კარგად აწვდიან, მაგრამ ჯერჯერობით გამოცდილების ნაკლებობა პერიოდულად მოქმედებს: ზოგჯერ საჭიროა მხარდაჭერის საშუალებით რაღაცის შესწორება. დაცვის ოპერატორის.
ზოგიერთ ოპერატორს აქვს ცალკე სერვისი "დაცვა თავდასხმებისგან L3/L4 დონეზე" ან "არხის დაცვა"; ეს ბევრად ნაკლები ღირს, ვიდრე დაცვა ყველა დონეზე.

რატომ არ იგერიებს საყრდენი პროვაიდერი ასობით გბიტის შეტევებს, რადგან მას არ აქვს საკუთარი არხები?დაცვის ოპერატორს შეუძლია დაუკავშირდეს ნებისმიერ მთავარ პროვაიდერს და მოიგერიოს თავდასხმები "მისი ხარჯით". თქვენ მოგიწევთ გადაიხადოთ არხისთვის, მაგრამ ეს ასობით გბიტი ყოველთვის არ იქნება გამოყენებული; არსებობს არხების ღირებულების მნიშვნელოვნად შემცირების ვარიანტები ამ შემთხვევაში, ასე რომ, სქემა რჩება მოქმედი.

ეს არის ანგარიშები, რომლებსაც რეგულარულად ვიღებდი უმაღლესი დონის L3/L4 დაცვისგან, ჰოსტინგის პროვაიდერის სისტემების მხარდაჭერისას.

დაცვა L7 დონეზე (აპლიკაციის დონე)

თავდასხმებს L7 დონეზე (აპლიკაციის დონეზე) შეუძლიათ დანაყოფების თანმიმდევრულად და ეფექტურად მოგერიება.
მე მაქვს საკმაოდ დიდი რეალური გამოცდილება
— Qrator.net;
— DDoS-Guard;
- G-Core Labs;
- კასპერსკი.

ისინი იხდიან ყოველ მეგაბიტს სუფთა ტრაფიკისთვის, მეგაბიტი დაახლოებით რამდენიმე ათასი რუბლი ღირს. თუ თქვენ გაქვთ მინიმუმ 100 Mbps სუფთა ტრაფიკი - ოჰ. დაცვა ძალიან ძვირი დაჯდება. მე შემიძლია გითხრათ შემდეგ სტატიებში, თუ როგორ უნდა შეიმუშავოთ აპლიკაციები, რათა ბევრი დაზოგოთ უსაფრთხოების არხების სიმძლავრეზე.
ნამდვილი "გორაკის მეფე" არის Qrator.net, დანარჩენები მათ ჩამორჩებიან. Qrator ჯერჯერობით ერთადერთია ჩემი გამოცდილებით, ვინც ცრუ პოზიტივის პროცენტს იძლევა ნულთან ახლოს, მაგრამ ამავე დროს ისინი რამდენჯერმე უფრო ძვირია, ვიდრე ბაზრის სხვა მოთამაშეები.

სხვა ოპერატორები ასევე უზრუნველყოფენ მაღალი ხარისხის და სტაბილურ დაცვას. ჩვენს მიერ მხარდაჭერილი მრავალი სერვისი (მათ შორის, ძალიან ცნობილი ქვეყანაში!) დაცულია DDoS-Guard-ისგან, G-Core Labs-ისგან და საკმაოდ კმაყოფილია მიღებული შედეგებით.

თავდასხმები მოიგერიეს ქრატორმა

ასევე მაქვს გამოცდილება უსაფრთხოების მცირე ოპერატორებთან, როგორიცაა cloud-shield.ru, ddosa.net, ათასობით მათგანი. მე ნამდვილად არ გირჩევთ, რადგან... დიდი გამოცდილება არ მაქვს, მაგრამ მათი მუშაობის პრინციპებზე გეტყვით. მათი დაცვის ღირებულება ხშირად 1-2 ბრძანებით დაბალია, ვიდრე ძირითადი მოთამაშეების ღირებულება. როგორც წესი, ისინი ყიდულობენ ნაწილობრივი დაცვის სერვისს (L3/L4) ერთ-ერთი დიდი მოთამაშისგან + აკეთებენ საკუთარ დაცვას უფრო მაღალ დონეზე შეტევებისგან. ეს შეიძლება იყოს საკმაოდ ეფექტური + შეგიძლიათ მიიღოთ კარგი სერვისი ნაკლები თანხით, მაგრამ ეს ჯერ კიდევ პატარა კომპანიებია მცირე პერსონალით, გთხოვთ გაითვალისწინოთ ეს.

რა არის L7 დონეზე თავდასხმების მოგერიების სირთულე?

ყველა აპლიკაცია უნიკალურია და თქვენ უნდა დაუშვათ მათთვის სასარგებლო ტრაფიკი და დაბლოკოთ მავნე. ყოველთვის არ არის შესაძლებელი ბოტების ცალსახად გამოდევნა, ასე რომ თქვენ უნდა გამოიყენოთ ტრაფიკის გაწმენდის მრავალი, მართლაც ბევრი ხარისხი.

ერთხელ, nginx-testcookie მოდული საკმარისი იყო (https://github.com/kyprizel/testcookie-nginx-module), და ეს მაინც საკმარისია დიდი რაოდენობის შეტევების მოსაგერიებლად. როდესაც ვმუშაობდი ჰოსტინგის ინდუსტრიაში, L7 დაცვა ეფუძნებოდა nginx-testcookie-ს.
სამწუხაროდ, შეტევები გართულდა. testcookie იყენებს JS-ზე დაფუძნებულ ბოტის შემოწმებას და ბევრ თანამედროვე ბოტს შეუძლია წარმატებით გაიაროს ისინი.

თავდასხმის ბოტნეტები ასევე უნიკალურია და მხედველობაში უნდა იქნას მიღებული თითოეული დიდი ბოტნეტის მახასიათებლები.
გაძლიერება, პირდაპირი დატბორვა ბოტნეტიდან, ტრაფიკის გაფილტვრა სხვადასხვა ქვეყნიდან (განსხვავებული ფილტრაცია სხვადასხვა ქვეყნებისთვის), SYN/ACK დატბორვა, პაკეტის ფრაგმენტაცია, ICMP, http flooding, ხოლო აპლიკაციის/http-ის დონეზე შეგიძლიათ შეასრულოთ შეუზღუდავი რაოდენობა. სხვადასხვა შეტევები.
საერთო ჯამში, არხის დაცვის დონეზე, სპეციალიზებული აღჭურვილობა ტრაფიკის გასასუფთავებლად, სპეციალური პროგრამული უზრუნველყოფა, დამატებითი ფილტრაციის პარამეტრები თითოეული კლიენტისთვის შეიძლება იყოს ათობით და ასობით ფილტრაციის დონე.
იმისათვის, რომ სწორად მართოთ ეს და სწორად მოაწყოთ ფილტრაციის პარამეტრები სხვადასხვა მომხმარებლისთვის, გჭირდებათ დიდი გამოცდილება და კვალიფიციური პერსონალი. მსხვილ ოპერატორსაც კი, რომელმაც გადაწყვიტა დაცვის სერვისების მიწოდება, არ შეუძლია "სულელურად გადააგდოს ფული პრობლემაზე": გამოცდილება უნდა მოიპოვოს ტყუილი საიტებიდან და ცრუ პოზიტივიდან ლეგიტიმურ ტრაფიკზე.
უსაფრთხოების ოპერატორისთვის არ არის ღილაკი "Repel DDoS", არსებობს უამრავი ინსტრუმენტი და თქვენ უნდა იცოდეთ როგორ გამოიყენოთ ისინი.

და კიდევ ერთი ბონუსის მაგალითი.

დაუცველი სერვერი დაბლოკა ჰოსტერის მიერ 600 მბიტი სიმძლავრის შეტევის დროს
(ტრაფიკის „დაკარგვა“ შესამჩნევი არ არის, რადგან მხოლოდ 1 საიტს დაესხა თავდასხმა, ის დროებით ამოიღეს სერვერიდან და ბლოკირება მოიხსნა ერთ საათში).

იგივე სერვერი დაცულია. თავდამსხმელები ერთდღიანი მოგერიებული თავდასხმების შემდეგ "ჩაბარდნენ". თავდასხმა არ იყო ყველაზე ძლიერი.

L3/L4-ის თავდასხმა და დაცვა უფრო ტრივიალურია; ისინი ძირითადად დამოკიდებულია არხების სისქეზე, შეტევების აღმოჩენისა და ფილტრაციის ალგორითმებზე.
L7 შეტევები უფრო რთული და ორიგინალურია; ისინი დამოკიდებულია თავდასხმის პროგრამაზე, თავდამსხმელთა შესაძლებლობებსა და ფანტაზიაზე. მათგან დაცვა მოითხოვს დიდ ცოდნას და გამოცდილებას და შედეგი შეიძლება არ იყოს მყისიერი და არც ასი პროცენტით. სანამ Google-მა სხვა ნეირონული ქსელი გამოიგონა დაცვისთვის.

წყარო: www.habr.com