„Chlapec, ktorý nám robil webovú stránku, už nastavil ochranu proti DDoS.“
„Veď máme ochranu proti DDoS, prečo padol web?“
„Koľko chce Qrator?“
Aby ste mohli adekvátne odpovedať na takéto otázky od zákazníkov/nadriadených, je dobré vedieť, čo sa skrýva za výrazom „ochrana proti DDoS“. Výber služieb na ochranu skôr pripomína výber lieku lekárom, než výber stola v IKEA.
Prevádzkujem webové stránky už 11 rokov, prežil som stovky útokov na služby, ktoré spravujem, a teraz vám trochu priblížim vnútornú logiku ochrany.
Pravidelné útoky. 350k požiadaviek celkom, 52k požiadaviek legitímnych.
Prvé útoky sa objavili prakticky súčasne s internetom. DDoS ako jav sa stal masovým od konca 2000-tych rokov (pozrite sa na ).
Od roku 2015-2016 takmer všetci poskytovatelia hostingu nasadili ochranu proti DDoS útokom, ako aj väčšina významných webov v konkurenčných oblastiach (urobte whois podľa IP webov eldorado.ru, leroymerlin.ru, tilda.ws, uvidíte siete operátorov ochrany).
Ak pred 10-20 rokmi bolo možné väčšinu útokov odraziť priamo na serveri (prečítajte si odporúčania systémového administrátora Lenta.ru Maxim Moschkova z 90-tych rokov: ), teraz sú úlohy na ochranu zložitejšie.
Typy DDoS útokov z pohľadu výberu operátora ochrany
Útoky na úrovni L3 / L4 (podľa modelu OSI)
— UDP flood z botnetu (priamo zo infikovaných zariadení sa na napadnutú službu posiela množstvo požiadaviek, servery zabúchajú kanál);
— DNS/NTP/et cetera amplification (z infikovaných zariadení sa posiela množstvo požiadaviek na zraniteľné DNS/NTP/et cetera, adresa odosielateľa je falšovaná, záplava paketov s odpoveďami na požiadavky zaplaví kanál toho, koho napadajú; takto prebiehajú najmasovejšie útoky v modernej internetovej sfére);
— SYN / ACK flood (na napadnuté servery sa posiela množstvo požiadaviek na nadviazanie spojenia, dôjde k preplneniu fronty spojení);
— útoky s fragmentáciou paketov, ping of death, ping flood (prosím, vygooglite si to);
— atď.
Tieto útoky majú za cieľ „zaplavit“ kanál servera alebo „zabiť“ jeho schopnosť prijímať nový prenos.
Aj keď sa SYN/ACK flood a amplifikácia veľmi od seba líšia, mnohé firmy bojujú proti nim rovnako dobre. Problémy vznikajú s útokmi z nasledujúcej skupiny.
Útoky na L7 (úroveň aplikácie)
— http flood (ak sa útočí na webovú stránku alebo nejaké http API);
— útok na zraniteľné časti webu (ktoré nemajú cache, veľmi zaťažujú server atď.).
Cieľom je prinútiť server „ťažko pracovať“, spracovávať mnoho „akoby skutočných požiadaviek“ a zostať bez prostriedkov na naozajstné požiadavky.
Aj keď existujú aj iné útoky, tieto sú najbežnejšie.
Závažné útoky na úrovni L7 sú vytvárané unikátnym spôsobom pre každý napádaný projekt.
Prečo 2 skupiny?
Pretože je veľa tých, ktorí dokážu dobre odrážať útoky na úrovni L3 / L4, ale buď sa vôbec nezapájajú do ochrany na úrovni aplikácie (L7), alebo zatiaľ s nimi zvládajú slabšie alternatívy.
Kto je kto na trhu ochrany pred DDoS
(môj osobný názor)
Ochrana na úrovni L3/L4
Na odrážanie útokov s amplifikáciou ("preťaženie" serverového kanála) stačí širokopásmové pripojenie (mnohé z ochrán sú pripojené k väčšine veľkých páteřných poskytovateľov v Rusku a disponujú kapacitou teoreticky nad 1 Tbps). Nezabúdajme, že veľmi zriedkavé útoky s amplifikáciou trvajú dlhšie ako hodinu. Ak ste Spamhaus a všetci vás nemajú radi — áno, môžu sa snažiť položiť kanály na niekoľko dní aj s rizikom pre ďalšie prežitie používaného svetového botnetu. Ak máte len internetový obchod, aj keď je to mvideo.ru — 1 Tbps počas niekoľkých dní neuvidíte veľmi skoro (dúfam).
Na odrážanie útokov so SYN/ACK flood, fragmentáciou paketov atď. sú potrebné zariadenia alebo softvér na detekciu a odseknutie takýchto útokov.
Takéto zariadenia vyrába mnoho spoločností (Arbor, existujú riešenia od Cisco, Huawei, softvérové implementácie od Wanguard a podobne), mnohí páteřní operátori už ich nainštalovali a predávajú služby ochrany pred DDoS (viem o inštaláciách u Rostelekomu, Megafonu, TTK, MTS, v podstate všetci veľkí poskytovatelia, to isté robia hosteri so svojou ochranou a-la OVH.com, Hetzner.de, s ochranou na ihor.ru som sa sám stretol). Niektoré firmy vyvíjajú svoje softvérové riešenia (technológie ako DPDK umožňujú spracovávať traffic v desiatkach gigabitov na jednom fyzickom x86 zariadení).
Zo známych hráčov dokážu účinne brániť L3/L4 DDoS útokom všetci. Momentálne nemôžem povedať, kto má väčšiu maximálnu kapacitu kanála (to sú insider informácie), ale zvyčajne to nie je až také dôležité, a rozdiel je len v tom, ako rýchlo sa ochrana aktivuje (okamžite alebo po niekoľkých minútach výpadku projektu, ako napríklad v Hetzner).
Otázka je, ako kvalitne sa to robí: útok s amplifikáciou sa dá odraziť zablokovaním prenosu z krajín s najväčším množstvom škodlivého prenosu, alebo sa dá preferovať len skutočne nadbytočný prenos.
Z môjho skúsenosti však všetci vážni hráči na trhu s tým nemajú problémy: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (bývalý SkyParkCDN), ServicePipe, Stormwall, Voxility, atď.
Nesúhlasil som s ochranou od operátorov ako je Rostelecom, Megafon, TTK, Beeline, z recenzií kolegov sa zdá, že tieto služby poskytujú dosť kvalitne, ale zatiaľ sa občas prejavuje nedostatok skúseností: niekedy je potrebné niečo doladiť cez podporu operátora ochrany.
Niektorí operátori majú samostatnú službu 'ochrana pred útokmi na úrovni L3/L4', alebo 'ochrana kanálov', ktorá je omnoho lacnejšia ako ochrana na všetkých úrovniach.
Ako nie magistrálny poskytovateľ odráža útoky v stovkách Gbit, veď nemá vlastné kanály?Poskytovateľ ochrany sa môže pripojiť ku ktorémukoľvek z veľkých poskytovateľov a odrážať útoky 'na jeho náklady'. Za kanál sa bude musieť platiť, ale všetky tieto stovky Gbit nebudú vždy vyžadované, existujú možnosti na značné zníženie nákladov na kanály v takom prípade, takže schéma zostáva funkčná.
Takéto správy som pravidelne dostával od vyšších L3/L4 ochrany, zatiaľ čo som podporoval systémy hostingového poskytovateľa.
Ochrana na úrovni L7 (úroveň aplikácie)
Útoky na úrovni L7 (úroveň aplikácie) stabilne a kvalitne dokážu odraziť len jednotky.
Mám skúsenosti z reálneho, pomerne veľkého rozsahu s
— Qrator.net;
— DDoS-Guard;
— G-Core Labs;
— Kaspersky.
Účtujú si poplatok za každý megabit čistého prenosu, megabit stojí okolo niekoľkých tisíc rubľov. Ak máte aspoň 100 Mbit čistého prenosu — no fuj. Ochrana bude veľmi drahá. Môžem v nasledujúcich článkoch povedať, ako navrhovať aplikácie, aby sa veľmi dobre ušetrilo na kapacite kanálov ochrany.
Skutočný „kráľ hory“ — Qrator.net, ostatní za nimi zaostávajú. Qrator je zatiaľ jediný v mojej praxi, kto poskytuje takmer nulové percento falošných spustení, ale za to sú niekoľkokrát drahší ako ostatní hráči na trhu.
Iní operátori tiež poskytujú kvalitnú a stabilnú ochranu. Mnohé služby, ktoré podporujeme (vrátane veľmi známych v krajine!) sú pod ochranou DDoS-Guard, G-Core Labs a sú veľmi spokojní s dosiahnutými výsledkami.
Útoky odrazené Qratorom
Existuje tiež skúsenosť s menšími operátormi ochrany, ako sú cloud-shield.ru, ddosa.net, tisíce z nich. Určite neodporučím odporučiť, pretože skúseností nie je veľmi veľa, poviem o princípoch ich práce. Cena ochrany je u nich často o 1-2 poriadky nižšia ako u veľkých hráčov. Zvyčajne kupujú službu čiastočnej ochrany (L3/L4) od niekoho z väčších hráčov + robia vlastnú ochranu pred útokmi na vyšších úrovniach. To môže byť celkom efektívne + môžete získať dobrý servis za menej peňazí, ale sú to predsa len malé firmy s malým personálom, prosím, majte to na pamäti.
Aká je zložitost odrážania útokov na úrovni L7?
Všetky aplikácie sú jedinečné a je potrebné povoľovať pre nich prospešný traffic a blokovať škodlivý. Určite odfiltrovať bota sa nie vždy podarí, a preto treba použiť veľa, naozaj VEĽA stupňov čistenia trafficu.
Kedysi stačil modul nginx-testcookie (), a ten stále stačí na odrážanie veľkého počtu útokov. Keď som pracoval v hostingovej oblasti, L7 ochranu som budoval práve na nginx-testcookie.
Bohužiaľ, útoky sa stali zložitejšími. testcookie používa kontroly bota na báze JS, a mnohé moderné boty ich dokážu úspešne obísť.
Útočné botnety sú tiež jedinečné a treba brať do úvahy osobitosti každého veľkého botnetu.
Amplifikácia, priamy flood z botnetu, filtrácia trafficu z rôznych krajín (rôzna filtrácia pre rôzne krajiny), SYN/ACK flood, fragmentácia paketov, ICMP, http flood, pričom na úrovni aplikácie/http je možné vymyslieť neobmedzené množstvo rôznych útokov.
V súhrne na úrovni ochrany kanálov, špecializovaného vybavenia na čistenie trafficu, špeciálneho softvéru, dodatočných nastavení filtrovania pre každého klienta môže byť desiatky a stovky úrovní filtrovania.
Aby ste s týmto správne manipulovali a správne prispôsobili nastavenia filtrovania rôznym používateľom, potrebujete veľa skúseností a kvalifikovaných odborníkov. Aj veľký poskytovateľ, ktorý sa rozhodol ponúkať ochranné služby, nemôže len „zmietnuť problém peniazmi“: skúsenosti sa musia nadobudnúť na ležiacich stránkach a falošných spúšťačoch na legitímnom trafe.
Pre ochranného operátora neexistuje tlačidlo „odraziť DDoS“, existuje veľké množstvo nástrojov, ktoré je potrebné vedieť používať.
A ešte jeden bonusový príklad.
Server bez ochrany bol zablokovaný hostiteľom počas útoku s kapacitou 600 Mb/s.
(„Zmiznutie“ trafa nie je viditeľné, pretože bol napadnutý iba 1 web, na čas ho odstránili zo servera a blokovanie bolo zrušené za hodinu).
Tento server je pod ochranou. Útočníci „sa vzdali“ po 24 hodinách odrazeného útoku. Samotný útok sa ukázal ako nie najťažší.
Útok a ochrana L3/L4 sú viac-menej triviálne, vo väčšine závisia od šírky kanálov, algoritmov detekcie a filtrovania útokov.
Útoky L7 sú zložitejšie a originálnejšie, závisia od napadnutého aplikácie, schopností a fantázie útočníkov. Ochrana pred nimi si vyžaduje veľa vedomostí a skúseností, pričom výsledok môže prísť s oneskorením a nemusí byť zaručený. Kým Google nevymyslí ďalšiu neurónovú sieť na ochranu.
Zdroj: habr.com
