DDoS 보호 시장에는 무엇이 무엇이고 누가 누구입니까?

“저희 웹사이트를 만든 사람이 이미 DDoS 보호 기능을 설정했습니다.”
"우리는 DDoS 보호 기능을 갖추고 있는데 사이트가 다운된 이유는 무엇입니까?"
“Qrator는 몇 천 명을 원합니까?”

이런 고객/상사의 질문에 제대로 답하기 위해서는 'DDoS 방어'라는 이름 뒤에 무엇이 숨겨져 있는지 아는 것이 좋을 것 같습니다. 보안 서비스를 선택하는 것은 IKEA에서 테이블을 선택하는 것보다 의사에게서 약을 선택하는 것과 더 비슷합니다.

저는 11년 동안 웹사이트를 지원해 왔으며 제가 지원하는 서비스에 대한 수백 번의 공격에서 살아남았습니다. 이제 보호의 내부 작동 방식에 대해 조금 말씀드리겠습니다.

일반 공격. 총 요청 350개, 합법적인 요청 52개

첫 번째 공격은 인터넷과 거의 동시에 나타났습니다. DDoS 현상은 2000년대 후반부터 널리 확산되었습니다. www.cloudflare.com/learning/ddos/famous-ddos-attacks).
2015~2016년경부터 거의 모든 호스팅 제공업체가 DDoS 공격으로부터 보호되었으며 경쟁 분야에서 가장 눈에 띄는 사이트도 마찬가지입니다(eldorado.ru, leroymerlin.ru, tilda.ws 사이트의 IP로 whois를 수행하면 네트워크가 표시됩니다). 보호 운영자의).

10-20년 전에는 대부분의 공격이 서버 자체에서 차단될 수 있었습니다(90년대 Lenta.ru 시스템 관리자 Maxim Moshkov의 권장 사항을 평가하십시오: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), 그러나 이제 보호 작업이 더욱 어려워졌습니다.

보호 사업자 선택 관점에서 본 DDoS 공격 유형

L3/L4 수준 공격(OSI 모델에 따름)

— 봇넷의 UDP 플러드(많은 요청이 감염된 장치에서 공격받은 서비스로 직접 전송되고 서버가 채널로 차단됨)
— DNS/NTP/etc 증폭(감염된 장치에서 취약한 DNS/NTP/등으로 많은 요청이 전송되고, 보낸 사람의 주소가 위조되고, 요청에 응답하는 패킷 클라우드가 공격받는 사람의 채널을 가득 채웁니다. 현대 인터넷에서는 대규모 공격이 이루어지고 있습니다.
— SYN/ACK 플러드(연결 설정을 위한 많은 요청이 공격받은 서버로 전송되고 연결 대기열이 오버플로됨)
— 패킷 조각화, 죽음의 핑, 핑 플러드를 사용한 공격(Google에서 검색해 주세요)
- 등등.

이러한 공격은 서버 채널을 "막히게" 하거나 새로운 트래픽을 수용하는 능력을 "죽이는" 것을 목표로 합니다.
SYN/ACK 플러딩과 증폭은 매우 다르지만 많은 회사에서는 이를 똑같이 잘 처리합니다. 다음 그룹의 공격으로 인해 문제가 발생합니다.

L7(애플리케이션 계층)에 대한 공격

— http 플러드(웹사이트나 일부 http API가 공격을 받은 경우)
— 사이트의 취약한 영역(캐시가 없거나 사이트를 매우 많이 로드하는 영역 등)에 대한 공격입니다.

목표는 서버를 "열심히 작동"시키고, "겉보기에 실제적인 요청"을 많이 처리하며, 실제 요청을 위한 리소스가 없는 상태로 두는 것입니다.

다른 공격도 있지만 이것이 가장 일반적입니다.

L7 수준의 심각한 공격은 공격받는 각 프로젝트마다 고유한 방식으로 생성됩니다.

왜 그룹이 2개인가요?
왜냐하면 L3/L4 레벨에서는 공격을 잘 방어하는 방법을 알고 있지만 애플리케이션 레벨(L7)에서는 전혀 보호하지 못하거나 공격을 처리하는 데 있어 여전히 대안보다 약한 사람들이 많기 때문입니다.

DDoS 보호 시장에는 누가 있는가?

(내 개인적인 생각)

L3/L4 수준의 보호

증폭(서버 채널의 "차단")을 통해 공격을 방지하려면 충분한 넓은 채널이 있어야 합니다(많은 보호 서비스가 러시아의 대부분의 대규모 백본 공급자에 연결되며 이론상 용량이 1Tbit가 넘는 채널을 보유함). 매우 드물게 증폭 공격이 한 시간 이상 지속된다는 점을 잊지 마십시오. 귀하가 Spamhaus이고 모든 사람이 귀하를 좋아하지 않는다면, 사용되는 글로벌 봇넷이 더 이상 생존할 위험이 있음에도 불구하고 며칠 동안 귀하의 채널을 폐쇄하려고 할 수 있습니다. 온라인 상점만 있다면 mvideo.ru라도 곧 며칠 안에 1Tbit를 볼 수 없을 것입니다.

SYN/ACK 플러딩, 패킷 조각화 등의 공격을 방지하려면 이러한 공격을 감지하고 중지할 수 있는 장비나 소프트웨어 시스템이 필요합니다.
많은 사람들이 이러한 장비(Arbor, Cisco, Huawei의 솔루션, Wanguard의 소프트웨어 구현 등)를 생산하고 있으며 많은 백본 운영자가 이미 이를 설치하고 DDoS 보호 서비스를 판매하고 있습니다(Rostelecom, Megafon, TTK, MTS의 설치에 대해 알고 있습니다) 실제로 모든 주요 제공업체는 OVH.com, Hetzner.de와 같은 자체 보호 기능을 갖춘 호스팅 업체와 동일한 작업을 수행합니다. 저는 ihor.ru에서 보호를 받았습니다. 일부 회사에서는 자체 소프트웨어 솔루션을 개발하고 있습니다(DPDK와 같은 기술을 사용하면 하나의 물리적 x86 시스템에서 수십 기가비트의 트래픽을 처리할 수 있음).

잘 알려진 플레이어 중 누구나 L3/L4 DDoS를 어느 정도 효과적으로 방어할 수 있습니다. 이제 누가 더 큰 최대 채널 용량을 가지고 있는지는 말하지 않겠습니다(이것은 내부자 정보입니다). 그러나 일반적으로 이는 그다지 중요하지 않으며 유일한 차이점은 보호가 얼마나 빨리 트리거되는지입니다(즉시 또는 프로젝트 가동 중지 시간이 몇 분 후, 헤츠너처럼).
문제는 이것이 얼마나 잘 수행되는지입니다. 유해 트래픽이 가장 많은 국가의 트래픽을 차단하여 증폭 공격을 격퇴하거나 실제로 불필요한 트래픽만 폐기할 수 있습니다.
그러나 동시에 내 경험에 따르면 Qrator, DDoS-Guard, Kaspersky, G-Core Labs(이전 SkyParkCDN), ServicePipe, Stormwall, Voxility 등 모든 주요 시장 참가자는 문제 없이 이에 대처합니다.
Rostelecom, Megafon, TTK, Beeline과 같은 운영자로부터 보호를 받은 적이 없습니다. 동료의 리뷰에 따르면 이러한 서비스는 꽤 잘 제공되지만 지금까지는 경험 부족으로 인해 주기적으로 영향을 받고 있습니다. 때로는 지원을 통해 무언가를 조정해야 합니다. 보호 연산자의.
일부 운영자는 "L3/L4 수준의 공격에 대한 보호" 또는 "채널 보호"라는 별도의 서비스를 제공하며, 이는 모든 수준의 보호보다 훨씬 저렴합니다.

자체 채널이 없기 때문에 수백 Gbits의 공격을 방어하는 백본 공급자가 아닌 이유는 무엇입니까?보호 운영자는 주요 공급자 중 하나에 연결하여 "비용을 들여" 공격을 격퇴할 수 있습니다. 채널 비용을 지불해야 하지만 이러한 수백 Gbit가 항상 활용되는 것은 아닙니다. 이 경우 채널 비용을 크게 줄일 수 있는 옵션이 있으므로 계획은 실행 가능합니다.

호스팅 제공업체의 시스템을 지원하면서 더 높은 수준의 L3/L4 보호로부터 정기적으로 받은 보고서입니다.

L7 수준(애플리케이션 수준) 보호

L7 수준(응용 수준)의 공격은 일관되고 효율적으로 유닛을 격퇴할 수 있습니다.
나는 실제 경험이 꽤 많다.
— Qrator.net;
— DDoS-가드;
- G-코어 연구소;
— 카스퍼스키.

그들은 순수 트래픽의 각 메가비트에 대해 요금을 부과하며 메가비트 비용은 약 수천 루블입니다. 순수 트래픽이 100Mbps 이상인 경우 - 아. 보호 비용은 매우 비쌉니다. 다음 기사에서는 보안 채널의 용량을 크게 절약하기 위해 애플리케이션을 설계하는 방법을 설명할 수 있습니다.
진정한 "언덕의 왕"은 Qrator.net이고 나머지는 뒤처져 있습니다. 내 경험상 Qrator는 XNUMX에 가까운 오탐 비율을 제공하는 유일한 제품이지만 동시에 다른 시장 참여자보다 몇 배 더 비쌉니다.

다른 운영자도 고품질의 안정적인 보호를 제공합니다. 우리가 지원하는 많은 서비스(국내에서 매우 잘 알려진 서비스 포함!)는 DDoS-Guard, G-Core Labs로부터 보호되며 얻은 결과에 상당히 만족합니다.

큐레이터가 공격을 격퇴

나는 또한 cloud-shield.ru, ddosa.net과 같은 소규모 보안 운영자 수천 명과의 경험이 있습니다. 절대 추천하지 않겠습니다. 왜냐면... 경험이 많지는 않지만 작업 원칙에 대해 말씀 드리겠습니다. 이들의 보호 비용은 주요 기업보다 1~2배 낮은 경우가 많습니다. 일반적으로 이들은 대형 플레이어 중 한 곳으로부터 부분 보호 서비스(L3/L4)를 구매하고 더 높은 수준의 공격에 대해 자체적으로 보호합니다. 이것은 꽤 효과적일 수 있고 더 적은 비용으로 좋은 서비스를 받을 수 있지만, 이 회사는 아직 직원 수가 적은 소규모 회사이므로 염두에 두시기 바랍니다.

L7 레벨에서 공격을 격퇴하는 난이도는 무엇입니까?

모든 애플리케이션은 고유하므로 해당 애플리케이션에 유용한 트래픽은 허용하고 유해한 트래픽은 차단해야 합니다. 봇을 명확하게 제거하는 것이 항상 가능한 것은 아니므로 정말 많은 수준의 트래픽 정화를 사용해야 합니다.

옛날에는 nginx-testcookie 모듈이면 충분했습니다(https://github.com/kyprizel/testcookie-nginx-module), 여전히 많은 공격을 격퇴하기에 충분합니다. 제가 호스팅 업계에 근무할 당시 L7 보호는 nginx-testcookie를 기반으로 했습니다.
불행히도 공격은 더욱 어려워졌습니다. testcookie는 JS 기반 봇 검사를 사용하며 많은 최신 봇이 이를 성공적으로 통과할 수 있습니다.

공격 봇넷도 고유하므로 각 대규모 봇넷의 특성을 고려해야 합니다.
증폭, 봇넷의 직접 플러딩, 여러 국가의 트래픽 필터링(국가마다 다른 필터링), SYN/ACK 플러딩, 패킷 조각화, ICMP, http 플러딩, 애플리케이션/http 수준에서는 무제한으로 생성할 수 있습니다. 다른 공격.
전체적으로 채널 보호 수준, 트래픽 삭제를 위한 특수 장비, 특수 소프트웨어, 각 클라이언트에 대한 추가 필터링 설정 수준에는 수십, 수백 개의 필터링 수준이 있을 수 있습니다.
이를 적절하게 관리하고 다양한 사용자에 대한 필터링 설정을 올바르게 조정하려면 많은 경험과 자격을 갖춘 인력이 필요합니다. 보호 서비스를 제공하기로 결정한 대규모 운영자라도 "문제에 어리석게 돈을 투자"할 수는 없습니다. 거짓말을 하는 사이트와 합법적인 트래픽에 대한 오탐을 통해 경험을 쌓아야 합니다.
보안 운영자를 위한 "DDoS 퇴치" 버튼은 없으며, 수많은 도구가 있으며 이를 사용하는 방법을 알아야 합니다.

그리고 보너스 예시가 하나 더 있습니다.

600Mbit 용량의 공격 중에 보호되지 않은 서버가 호스팅 업체에 의해 차단되었습니다.
(트래픽의 "손실"은 눈에 띄지 않습니다. 1개 사이트만 공격을 받았기 때문에 일시적으로 서버에서 제거되었으며 XNUMX시간 이내에 차단이 해제되었습니다.)

동일한 서버가 보호됩니다. 공격자들은 공격을 격퇴한 지 하루 만에 "항복"했습니다. 공격 자체는 강력하지 않았습니다.

L3/L4의 공격과 방어는 더 사소한데, 주로 채널의 두께, 공격에 대한 탐지 및 필터링 알고리즘에 따라 달라집니다.
L7 공격은 더욱 복잡하고 독창적이므로 공격 대상 애플리케이션, 공격자의 능력 및 상상력에 따라 달라집니다. 이에 대한 보호에는 많은 지식과 경험이 필요하며 그 결과는 즉각적이지 않거나 XNUMX%가 아닐 수도 있습니다. Google이 보호를 위해 또 다른 신경망을 개발하기 전까지는 말이죠.

출처 : habr.com