Kilka lat temu agencje badawcze i dostawcy usług bezpieczeństwa informacyjnego zaczęli zgłaszać o liczby ataków DDoS. Jednak już w pierwszym kwartale 2019 roku ci sami badacze poinformowali o ich oszałamiającym o 84%. Potem wszystko poszło w górę. Nawet pandemia nie przyczyniła się do atmosfery pokoju — wręcz przeciwnie, cyberprzestępcy i spamujący uznali to za świetny sygnał do ataku, a liczba DDoS wzrosła. .
Jesteśmy pewni, że czas prostych i łatwo wykrywalnych ataków DDoS (i nieskomplikowanych narzędzi, które mogą je powstrzymać) już minął. Cyberprzestępcy nauczyli się lepiej ukrywać te ataki i przeprowadzać je w coraz bardziej wyrafinowany sposób. Ciemna branża przeszła od ataków brute force do ataków na poziomie aplikacji. Otrzymuje poważne zlecenia na zakłócanie procesów biznesowych, w tym całkiem offline’owych.
Wkraczając w rzeczywistość
W 2017 roku seria ataków DDoS na usługi transportowe w Szwecji spowodowała długie W 2019 roku krajowy operator kolejowy Danii przestał funkcjonować system sprzedaży. W rezultacie na stacjach nie działały automaty do sprzedaży biletów ani automatyczne bramki, a ponad 15 tysięcy pasażerów nie mogło nigdzie pojechać. W tym samym 2019 roku potężny atak cybernetyczny spowodował wyłączenie zasilania w .
Skutki ataków DDoS odczuwają teraz nie tylko użytkownicy online, ale także ludzie, jak to mówią, IRL (w prawdziwym życiu). Chociaż historycznie atakujący celowali tylko w usługi online, teraz często ich celem jest zakłócenie jakichkolwiek operacji biznesowych. Według naszych szacunków, obecnie ponad 60% ataków ma taki cel — dla wymuszenia lub nieczystej konkurencji. Szczególnie wrażliwe są transakcje i logistyka.
Mądrzejsze i droższe
DDoS nadal uważane jest za jeden z najpowszechniejszych i najszybciej rozwijających się rodzajów cyberprzestępczości. Zdaniem ekspertów, od 2020 roku ich liczba będzie tylko rosła. Związane jest to z różnymi przyczynami — jeszcze większym przejściem biznesu do online z powodu pandemii, rozwojem samej szarej branży cyberprzestępczości, a nawet z .
„Popularne” ataki DDoS stały się w swoim czasie z powodu łatwości wdrożenia i niskich kosztów: jeszcze kilka lat temu można je było inicjować za 50 dolarów dziennie. Dziś cele i metody ataków się zmieniły, co doprowadziło do wzrostu ich złożoności i, w konsekwencji, kosztów. Nie, ceny zaczynające się od 5 dolarów za godzinę wciąż są w cennikach (tak, cyberprzestępcy mają cenniki i taryfy), ale za stronę z zabezpieczeniami już żądają od 400 dolarów dziennie, a koszt „indywidualnych” zamówień dla dużych firm może sięgać kilku tysięcy dolarów.
Obecnie istnieją dwa podstawowe typy ataków DDoS. Pierwszy ma na celu uczynienie zasobu online niedostępnym na określony czas. Za te ataki przestępcy pobierają opłatę za czas samej akcji. W tym przypadku operator DDoS nie dba o żaden konkretny rezultat, a klient de facto dokonuje przedpłaty za rozpoczęcie ataku. Takie metody są stosunkowo tanie.
Drugi typ to ataki, za które płaci się dopiero po osiągnięciu określonego wyniku. Z nimi jest już ciekawiej. Są znacznie trudniejsze do wykonania i dlatego znacznie droższe, ponieważ atakujący muszą wybierać najskuteczniejsze metody osiągania celów. W Variti czasami prowadzimy całe partie szachowe z cyberprzestępcami, w których natychmiast zmieniają taktykę i narzędzia, próbując jednocześnie wykorzystać kilka luk w zabezpieczeniach na różnych poziomach. To wyraźnie ataki zespołowe, w których hakerzy doskonale wiedzą, jak reagować i przeciwstawiać się działaniom obrońców. Walka z nimi nie tylko nie jest łatwa, ale jest również bardzo kosztowna dla firm. Na przykład jeden z naszych klientów, duży detalista sieciowy, przez prawie trzy lata miał zespół liczący 30 osób, którego zadaniem było zwalczanie ataków DDoS.
Według danych Variti, proste ataki DDoS, przeprowadzane wyłącznie z nudów, trolling czy niezadowolenia z konkretnej firmy, obecnie stanowią mniej niż 10% wszystkich ataków DDoS (oczywiście niechronione zasoby mogą mieć inną statystykę, my patrzymy na dane naszych klientów). Wszystko inne to praca profesjonalnych zespołów. Przy tym trzy czwarte wszystkich „złych” botów to złożone boty, które trudno wykryć za pomocą większości nowoczesnych rozwiązań rynkowych. Imitują one zachowanie rzeczywistych użytkowników lub przeglądarek i wprowadzają wzorce, które utrudniają rozróżnienie między „dobrymi” a „złymi” zapytaniami. To sprawia, że ataki są mniej zauważalne, a zatem bardziej skuteczne.
Dane od GlobalDots
Nowe cele DDoS
Raport od analityków z GlobalDots wskazuje, że boty obecnie generują 50% całego ruchu w sieci, przy czym 17,5% z nich to właśnie złośliwe boty.
Boty potrafią na różne sposoby psuć życie firmom: oprócz tego, że „kładą” strony, teraz także zwiększają wydatki na reklamę, klikają w ogłoszenia reklamowe, porównują ceny, aby obniżyć je o grosz i przekonać klientów, a także kradną treści w różnych niecnych celach (na przykład niedawno o stronach z kradzionymi treściami, które zmuszają użytkowników do rozwiązywania cudzych captcha). Boty poważnie zniekształcają różne dane statystyczne biznesowe, a ostatecznie decyzje podejmowane są na podstawie błędnych informacji. Atak DDoS często bywa zasłoną dymną dla jeszcze poważniejszych przestępstw, takich jak włamania i kradzież danych. A teraz widzimy, że pojawiła się cała nowa klasa zagrożeń cybernetycznych — to naruszenie określonych procesów biznesowych firmy, często offline (bo w dzisiejszych czasach nic nie może być całkowicie „offline”). Szczególnie często widzimy, że łamane są procesy logistyczne i komunikacja z klientami.
Nie dostarczono
Procesy biznesowe w logistyce są kluczowe dla większości firm, dlatego często padają ofiarą ataków. Oto jakie scenariusze ataków mogą się przy tym zdarzyć.
Brak na stanie
Jeśli pracujesz w e-commerce, na pewno znasz problem fałszywych zamówień. W przypadku ataków boty przeciążają zasoby logistyczne i sprawiają, że produkty stają się niedostępne dla innych klientów. W tym celu składają ogromną liczbę fałszywych zamówień, równą maksymalnej liczbie dostępnych towarów. Te przedmioty nie są potem opłacane i po pewnym czasie wracają na stronę. Ale szkoda już się stała: zostały oznaczone jako „niedostępne”, a część klientów już odeszła do konkurencji. Ta taktyka jest dobrze znana w branży biletów lotniczych, gdzie czasami boty natychmiast „wykupują” wszystkie bilety praktycznie w momencie ich pojawienia się. Na przykład jeden z naszych klientów – duża linia lotnicza – padł ofiarą takiego ataku zorganizowanego przez chińskich konkurentów. Tylko w ciągu dwóch godzin ich boty zamówiły 100% biletów na określone kierunki.
Sneakers bots
Kolejny popularny scenariusz: boty natychmiast kupują całą linię produktów, a ich właściciele sprzedają je później po zawyżonej cenie (średnio marża wynosi 200%). Tego typu boty nazywane są sneakers bots, ponieważ branża modnych sneakersów, zwłaszcza limitowanych kolekcji, dobrze zna ten problem. Boty praktycznie w ciągu minut wykupują właśnie wydane nowe linie, zablokowując dostęp do strony, aby prawdziwi użytkownicy nie mogli się przedostać. To rzadki przypadek, gdy pisano o botach w modowych magazynach. Choć generalnie, przsprzedawcy biletów na ekscytujące wydarzenia, takie jak mecze piłkarskie, korzystają z tego samego schematu.
Inne scenariusze
Ale to jeszcze nie wszystko. Istnieje jeszcze bardziej skomplikowana forma ataków na logistykę, która grozi poważnymi stratami. Takie działania mogą mieć miejsce, jeśli dany serwis ma opcję „Płatność przy odbiorze”. Boty składają fałszywe zamówienia na takie produkty, podając fałszywe, a nawet prawdziwe adresy niczego nie podejrzewających ludzi. A firmy ponoszą ogromne koszty na dostawę, magazynowanie, wyjaśnianie szczegółów. W tym czasie towary są niedostępne dla innych klientów, a jeszcze zajmują miejsce w magazynie.
Co jeszcze? Boty zostawiają masowe fałszywe złe recenzje produktów, blokują funkcję „zwrotu płatności”, uniemożliwiając transakcje, kradną dane klientów, spamują prawdziwych kupujących — jest wiele możliwości. Dobrym przykładem jest niedawny atak na DHL, Hermes, AldiTalk, Freenet, Snipes.com. Hakerzy , że testują „systemy ochrony przed DDoS”, a w rezultacie sparaliżowali portal biznesowy firmy i wszystkie API. W efekcie wystąpiły poważne zakłócenia w dostawach towarów do klientów.
Zadzwoń jutro
W zeszłym roku Federalna Komisja Handlu (FTC) zgłosiła podwojenie liczby skarg od firm i użytkowników na spamerskie i oszukańcze połączenia telefoniczne w formie botów. Szacuje się, że stanowią wszystkich połączeń.
Podobnie jak w przypadku DDoS, cele TDoS — masowych ataków botów na telefony — są zróżnicowane, od „gry” po nieuczciwą konkurencję. Boty mogą przeciążyć centra kontaktowe i uniemożliwić dotarcie do prawdziwych klientów. Ta metoda jest skuteczna nie tylko w call center z „żywymi” operatorami, ale także tam, gdzie używane są systemy AVR. Boty mogą również masowo atakować inne kanały komunikacji z klientami (czaty, e-maile), zakłócać działanie systemów CRM, a nawet w pewnym stopniu negatywnie wpływać na zarządzanie personelem, ponieważ operatorzy są przeładowani próbami poradzenia sobie z kryzysem. Ataki mogą być również zsynchronizowane z tradycyjnym atakiem DDoS na zasoby online ofiary.
Niedawno podobny atak zakłócił działanie służby ratunkowej w USA — zwykli ludzie, pilnie potrzebujący pomocy, po prostu nie mogli się dodzwonić. W przybliżeniu w tym samym czasie Dublin Zoo spotkał ten sam los: co najmniej 5000 osób otrzymało spam w postaci wiadomości SMS, zachęcających do pilnego wezwania numeru telefonu zoo i proszenia o fikcyjną osobę.
Wi-Fi nie będzie
Cyberprzestępcy mogą również łatwo zablokować całą sieć korporacyjną. Często blokada IP jest stosowana jako metoda walki z atakami DDoS. Jednak jest to nie tylko nieskuteczna, ale także bardzo niebezpieczna praktyka. Adres IP jest łatwy do znalezienia (np. za pomocą monitorowania zasobów) i łatwy do wymiany (lub fałszowania). Nasi klienci przed przybyciem do Variti mieli przypadki, gdy zablokowanie określonego IP po prostu odcinało Wi-Fi w ich własnych biurach. Był przypadek, gdy klientowi "podstawiono" odpowiedni IP, co spowodowało zablokowanie dostępu do jego zasobów użytkownikom z całego regionu, a on długo tego nie zauważał, ponieważ pozostała część zasobów działała bez zarzutu.
Co nowego?
Nowe zagrożenia wymagają nowych rozwiązań ochrony. Jednak ten nowy segment na rynku dopiero zaczyna się kształtować. Istnieje wiele rozwiązań umożliwiających skuteczne odparcie prostych ataków botów, ale w przypadku bardziej złożonych sprawa nie jest tak prosta. Wiele rozwiązań wciąż praktykuje metody blokowania IP. Inne potrzebują czasu, aby zebrać dane wyjściowe do rozpoczęcia działania, a te 10-15 minut może stać się luką. Są rozwiązania oparte na uczeniu maszynowym, które pozwalają określić bota na podstawie jego zachowania. Jednocześnie zespoły z "tamtej" strony chwalą się, że mają już boty, które potrafią naśladować rzeczywistych, nieodróżnialnych od ludzkich wzorców. Kto kogo – na razie nie jest jasne.
Co zrobić, jeśli trzeba stawić czoła profesjonalnym zespołom botów i skomplikowanym, wieloetapowym atakom na kilku poziomach jednocześnie?
Nasze doświadczenie pokazuje, że należy skupić się na filtrowaniu nielegitymnych żądań bez blokowania adresów IP. W przypadku złożonych ataków DDoS potrzebna jest filtracja na kilku poziomach, w tym na poziomie transportowym i aplikacyjnym oraz interfejsach API. Dzięki temu można odpierać nawet niskoczęstotliwościowe ataki, które zazwyczaj są niewidoczne i dlatego często są pomijane. Wreszcie, należy przepuszczać wszystkich prawdziwych użytkowników, nawet podczas aktywnej fazy ataku.
Po drugie, firmy potrzebują możliwości tworzenia własnych wieloetapowych systemów ochrony, do których oprócz narzędzi zapobiegających atakom DDoS będą wbudowane systemy przeciwdziałania oszustwom, kradzieży danych, ochrony treści i tak dalej.
Po trzecie, muszą działać w czasie rzeczywistym od pierwszego zapytania — możliwość natychmiastowej reakcji na incydenty bezpieczeństwa znacznie zwiększa szanse na zapobieżenie atakowi lub zminimalizowanie jego niszczycielskiej siły.
Najbliższa przyszłość: zarządzanie reputacją i zbieranie dużych danych za pomocą botów
Historia DDoS ewoluowała od prostych do bardziej skomplikowanych. Na początku celem przestępców było zablokowanie działania strony. Teraz uważają, że skuteczniejsze jest celowanie w kluczowe procesy biznesowe.
Złożoność ataków będzie nadal rosła, to nieuniknione. Oprócz tego, co robią teraz złe boty — kradzież i fałszowanie danych, wymuszenia, spam — boty będą zbierać dane z wielu źródeł (Big Data) i tworzyć "wiarygodne" fałszywe konta do zarządzania wpływami, reputacją lub masowego phishingu.
Obecnie tylko duże firmy mogą sobie pozwolić na inwestowanie środków w ochronę przed DDoS i botami, ale nawet one nie zawsze mogą całkowicie śledzić i filtrować ruch generowany przez boty. Jedynym pozytywem komplikacji ataków botów jest to, że stymuluje rynek do tworzenia "inteligentnych" i bardziej zaawansowanych rozwiązań ochrony.
Co sądzicie — jak będzie się rozwijać branża ochrony przed botami i jakie rozwiązania są już teraz potrzebne na rynku?
Źródło: habr.com
