«O garoto que fez nosso site já configurou a proteção contra DDoS».
«Temos proteção contra DDoS, por que o site caiu?»
«Quantas mil Qrator quer?»
Para responder adequadamente a perguntas como essas de clientes ou superiores, seria bom saber o que está por trás do termo «proteção contra DDoS». A escolha dos serviços de proteção mais se assemelha à escolha de medicamentos por um médico do que à escolha de uma mesa na IKEA.
Estou no suporte a sites há 11 anos, sobrevivi a centenas de ataques aos serviços que mantenho, e agora vou contar um pouco sobre a mecânica interna da proteção.
Ataques regulares. 350k requisições no total, 52k requisições legítimas.
Os primeiros ataques apareceram praticamente ao mesmo tempo que a internet. O DDoS se tornou um fenômeno em massa no final dos anos 2000 (veja ).
Desde 2015-2016, quase todos os provedores de hospedagem se protegeram contra ataques DDoS, assim como a maioria dos sites notáveis em áreas competitivas (faça um whois pelo IP dos sites eldorado.ru, leroymerlin.ru, tilda.ws, você verá redes de operadores de proteção).
Se há 10-20 anos a maioria dos ataques podia ser repelida no próprio servidor (avalie as recomendações do administrador de sistemas da Lenta.ru, Maxim Moshkov, dos anos 90: ), hoje as tarefas de proteção se tornaram mais complexas.
Tipos de ataques DDoS do ponto de vista da escolha do operador de proteção
Ataques nos níveis L3 / L4 (pelos modelos OSI)
— UDP flood de botnets (muitos pedidos são enviados diretamente de dispositivos infectados ao serviço alvo; os servidores sobrecarregam a largura de banda);
— amplificação DNS/NTP/etc (muitos pedidos são enviados de dispositivos infectados a DNS/NTP/etc vulneráveis, o endereço do remetente é falsificado, uma enxurrada de pacotes de resposta sobrecarrega a largura de banda do alvo da攻ck; essas são as maiores ataques na internet atual);
— SYN / ACK flood (muitos pedidos são enviados aos servidores atacados para estabelecer uma conexão, causando overflow na fila de conexões);
— ataques de fragmentação de pacotes, ping of death, ping flood (por favor, pesquise);
— entre outros.
Esses ataques têm como objetivo «entupir» a largura de banda do servidor ou «matar» sua capacidade de aceitar novos tráfegos.
Embora o SYN/ACK flood e a amplificação sejam bastante diferentes, muitas empresas lidam com eles da mesma forma eficaz. Problemas surgem com ataques do próximo grupo.
Ataques no L7 (nível de aplicação)
— http flood (se um site ou alguma API http for atacada);
— ataque a partes vulneráveis do site (sem cache, que sobrecarregam muito o site, etc.).
O objetivo é fazer o servidor "trabalhar arduamente", processar muitos "pedidos que parecem reais" e ficar sem recursos para os pedidos reais.
Embora existam outros ataques, estes são os mais comuns.
Ataques graves no nível L7 são criados de forma única para cada projeto atacado.
Por que duas grupos?
Porque há muitos que conseguem bem debelar ataques nos níveis L3 / L4, mas ou não lidam com proteção no nível de aplicação (L7) ou atualmente lidam com isso de forma menos eficaz do que as alternativas.
Quem é quem no mercado de proteção contra DDoS
(minha opinião pessoal)
Proteção nos níveis L3 / L4
Para repeler ataques de amplificação ("inundar" o canal do servidor), canais largos são suficientes (muitos serviços de proteção se conectam à maioria dos grandes provedores de backbone na Rússia e possuem canais com capacidade teórica superior a 1 Tbps). Não esqueçamos que ataques de amplificação muito raramente duram mais de uma hora. Se você é o Spamhaus e não é querido por ninguém — sim, podem tentar derrubar seus canais por vários dias, mesmo com riscos para a sobrevivência futura do botnet global utilizado. Se você tem apenas uma loja online, mesmo que seja mvideo.ru — você verá 1 Tbps durante vários dias muito em breve (espero).
Para repelir ataques por inundação SYN / ACK, fragmentação de pacotes, etc., são necessárias hardware ou sistemas de software para detecção e contenção desses ataques.
Esse tipo de hardware é produzido por muitos (Arbor, há soluções da Cisco, Huawei, implementações de software da Wanguard, etc.), muitos operadores de backbone já instalaram e vendem serviços de proteção contra DDoS (eu conheço instalações na Rostelecom, MegaFon, TTK, MTS, basicamente em todos os grandes provedores, os provedores de hospedagem também fazem isso com sua proteção a-la OVH.com, Hetzner.de, eu mesmo encontrei proteção na ihor.ru). Algumas empresas desenvolvem suas próprias soluções de software (tecnologias como DPDK permitem processar tráfego em dezenas de gigabits em uma única máquina física x86).
Entre os principais jogadores, todos conseguem lidar com DDoS de L3/L4 de forma mais ou menos eficaz. Não posso dizer quem tem a maior capacidade máxima de canal (essa é uma informação privilegiada), mas geralmente isso não é tão importante; a diferença está em quão rápido a proteção é ativada (imediatamente ou após alguns minutos de inatividade do projeto, como no caso da Hetzner).
A questão é quão bem isso é feito: um ataque de amplificação pode ser mitigado bloqueando o tráfego de países com a maior quantidade de tráfego malicioso, ou pode-se descartar apenas o tráfego realmente excessivo.
No entanto, com base na minha experiência, todos os grandes jogadores do mercado lidam com isso sem problemas: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (anteriormente SkyParkCDN), ServicePipe, Stormwall, Voxility, etc.
Não tive experiência com a proteção de operadores como Rostelecom, Megafon, TTK, Beeline; segundo colegas, eles fornecem esses serviços com boa qualidade, mas ainda é perceptível uma falta de experiência: às vezes é necessário ajustar algo através do suporte do operador de proteção.
Alguns operadores oferecem um serviço separado de 'proteção contra ataques em L3/L4', ou 'proteção de canais', que custa significativamente menos do que a proteção em todos os níveis.
Como um provedor não de backbone consegue mitigar ataques de centenas de Gbps, se ele não possui seus próprios canais?O operador de proteção pode se conectar a qualquer um dos grandes provedores e mitigar ataques 'às custas dele'. Você terá que pagar pelo canal, mas todas essas centenas de Gbps não serão utilizadas sempre, há opções para reduzir significativamente o custo dos canais neste caso, portanto, o esquema permanece viável.
Recebi regularmente relatórios desse tipo da proteção L3/L4 superior, enquanto apoiava os sistemas de um provedor de hospedagem.
Proteção no nível L7 (nível de aplicação)
Ataques no nível L7 (nível de aplicação) são defendidos com qualidade apenas por poucas empresas.
Eu tenho uma experiência real bastante significativa com
— Qrator.net;
— DDoS-Guard;
— G-Core Labs;
— Kaspersky.
Eles cobram por cada megabit de tráfego limpo, e um megabit custa cerca de alguns milhares de rublos. Se você tem pelo menos 100 megabits de tráfego limpo — ai. A proteção será muito cara. Posso explicar em artigos futuros como projetar aplicativos para economizar significativamente na capacidade dos canais de proteção.
O verdadeiro 'rei da montanha' é a Qrator.net, os demais ficam para trás. A Qrator é, até agora, a única na minha experiência que apresenta uma taxa de falsos positivos próxima de zero, mas eles são várias vezes mais caros do que os outros players do mercado.
Outros provedores também oferecem proteção de qualidade e estável. Muitos serviços que suportamos (incluindo alguns muito conhecidos no país!) estão sob a proteção do DDoS-Guard, G-Core Labs, e estão bastante satisfeitos com os resultados obtidos.
Ataques repelidos pela Qrator
Há também experiência com pequenos provedores de proteção como cloud-shield.ru, ddosa.net, existem milhares deles. Definitivamente não poderei recomendar, pois a experiência não é muito extensa, mas falarei sobre os princípios de funcionamento deles. O custo da proteção frequentemente é 1 a 2 ordens de magnitude mais baixo do que os grandes players. Como regra, eles compram um serviço de proteção parcial (L3/L4) de algum dos maiores fornecedores + criam sua própria proteção contra ataques em níveis mais altos. Isso pode ser bastante eficaz + você pode obter um bom serviço por menos dinheiro, mas, ainda assim, são empresas pequenas com uma equipe reduzida, então, por favor, leve isso em consideração.
Qual é a dificuldade em repelir ataques no nível L7?
Todas as aplicações são únicas, e é necessário permitir o tráfego útil para elas e bloquear o tráfego nocivo. Filtrar bots de forma eficaz nem sempre é possível, então é preciso usar muitas, realmente MUITAS camadas de purificação de tráfego.
Antigamente, o módulo nginx-testcookie era suficiente (), e ele ainda é suficiente para repelir um grande número de ataques. Quando trabalhei na indústria de hospedagem, construí a proteção L7 precisamente com base no nginx-testcookie.
Infelizmente, os ataques se tornaram mais complexos. O testcookie utiliza verificações de bots baseadas em JS, e muitos bots modernos conseguem passá-las com sucesso.
As botnets atacantes também são únicas, e é necessário levar em conta as particularidades de cada grande botnet.
Amplificação, flood direto de uma botnet, filtragem de tráfego de diferentes países (filtragem diferente para diferentes países), flood SYN/ACK, fragmentação de pacotes, ICMP, flood http, e, neste nível de aplicação/http, é possível inventar um número ilimitado de ataques diferentes.
No total, no nível de proteção de canais, equipamentos especializados para purificação de tráfego, softwares especiais e ajustes adicionais de filtragem para cada cliente, podem existir dezenas e centenas de níveis de filtragem.
Para gerenciar isso corretamente e ajustar adequadamente as configurações de filtragem para diferentes usuários, é necessário ter uma grande experiência e uma equipe qualificada. Mesmo um grande operador que decide oferecer serviços de proteção não pode simplesmente "jogar dinheiro no problema": a experiência deve ser adquirida em sites comprometidos e em falsos alarmes em tráfego legítimo.
Para o operador de proteção, não existe um botão de "neutralizar DDoS"; há uma série de ferramentas que precisam ser usadas corretamente.
E aqui está mais um exemplo bônus.
Um servidor sem proteção foi bloqueado pelo provedor durante um ataque de 600 Mbps.
(A "perda" de tráfego não é notada, pois apenas um site foi atacado, ele foi temporariamente removido do servidor e o bloqueio foi retirado em cerca de uma hora).
Este mesmo servidor está protegido. Os atacantes "desistiram" após um dia de ataques repelidos. O próprio ataque não foi o mais forte.
Os ataques e a proteção L3/L4 são mais triviais, principalmente dependem da largura de banda dos canais, algoritmos de detecção e filtragem dos ataques.
Os ataques L7 são mais complexos e originais; eles dependem do aplicativo atacado, das capacidades e da criatividade dos atacantes. A proteção contra eles requer um conhecimento e experiência consideráveis, e o resultado pode não ser imediato nem garantido. Enquanto isso, o Google ainda não desenvolveu uma nova rede neural para proteção.
Fonte: habr.com
