«Pojken som gjorde vÄr webbplats har redan stÀllt in DDoS-skyddet.»
«Vi har ju DDoS-skydd, varför kraschade webbplatsen?»
«Hur mÄnga tusen vill Qrator ha?»
För att kunna svara bra pĂ„ sĂ„dana frĂ„gor frĂ„n kunder/chefer, skulle det vara bra att veta vad som döljer sig bakom termen âDDoS-skyddâ. Valet av skyddstjĂ€nster pĂ„minner mer om att vĂ€lja medicin av en lĂ€kare Ă€n att vĂ€lja ett bord pĂ„ IKEA.
Jag har arbetat med webbplatsstöd i 11 Är, upplevt hundratals attacker mot de tjÀnster jag stöder, och nu ska jag berÀtta lite om insidan av skyddet.
Regelbundna attacker. Totalt 350k förfrÄgningar, 52k förfrÄgningar legitima.
De första attackerna dök upp nÀstan samtidigt med internet. DDoS som fenomen blev massiv frÄn slutet av 2000-talet (kolla in ).
FrÄn ungefÀr 2015-2016 började nÀstan alla webbhotell att implementera DDoS-skydd, precis som de flesta framtrÀdande webbplatser inom konkurrensutsatta omrÄden (gör en whois pÄ IP för webbplatser som eldorado.ru, leroymerlin.ru, tilda.ws, sÄ ser du skyddsnÀtverken).
Om 10-20 Är sedan kunde de flesta attacker avvÀrjas direkt pÄ servern (vÀrdera rekommendationerna frÄn systemadministratören Maxime Moshkov frÄn Lenta.ru pÄ 90-talet: ), sÄ har skyddsuppgifterna blivit mer komplexa nu.
Typer av DDoS-attacker ur valet av skyddstjÀnstoperatör
Attacker pÄ nivÄ L3 / L4 (enligt OSI-modellen)
â UDP-flod frĂ„n botnĂ€t (mĂ„nga förfrĂ„gningar skickas direkt frĂ„n infekterade enheter till den attackerade tjĂ€nsten och överbelastar serverns bandbredd);
â DNS/NTP/etc. förstĂ€rkning (mĂ„nga förfrĂ„gningar skickas frĂ„n infekterade enheter till sĂ„rbara DNS/NTP/etc, avsĂ€ndaradressen förfalskas, ett flöde av paket med svar pĂ„ förfrĂ„gningarna översvĂ€mmer bandbredden till den som attackeras; detta Ă€r hur de mest massiva attackerna genomförs pĂ„ internet idag);
â SYN / ACK-flod (mĂ„nga förfrĂ„gningar skickas till de attackerade servrarna för att etablera en koppling, vilket leder till överbelastning av köer för anslutningar);
â attacker med paketfragmentering, ping of death, pingflod (googla gĂ€rna);
â osv.
Dessa attacker syftar till att "översvÀmma" kanalen till servern eller "döda" dess förmÄga att ta emot ny trafik.
Ăven om SYN/ACK-flod och förstĂ€rkning skiljer sig Ă„t, hanterar mĂ„nga företag dem pĂ„ samma sĂ€tt. Problem uppstĂ„r med attacker frĂ„n nĂ€sta grupp.
Attacker pÄ L7 (applikationsnivÄ)
â http-flod (om en webbplats eller nĂ„got http-api attackeras);
â attack on vulnerable parts of the website (those without cache, heavily load the site, etc.).
The goal is to make the server "work hard", process many "seemingly real requests" and be left without resources for actual requests.
Although there are other attacks, these are the most common.
Serious attacks at the L7 level are created uniquely for each targeted project.
Why 2 groups?
Because there are many who can effectively fend off attacks at the L3 / L4 level, but either do not take on application-level (L7) protection at all, or currently handle them weaker than alternatives.
Who is who in the DDoS protection market
(my personal view)
Protection at the L3 / L4 level
To fend off amplification attacks ("overloading" the server channel), wide channels are sufficient (many protection services connect to most major backbone providers in Russia and possess channels with a theoretical capacity of over 1 Tbps). Don't forget that very rare amplification attacks last longer than an hour. If you're Spamhaus and not liked by everyone â yes, they may attempt to take down the channels for several days even at the risk of the future survival of the utilized global botnet. If you simply have an online store, even if it's mvideo.ru â 1 Tbps for several days won't be seen very soon (I hope).
To fend off SYN / ACK flood attacks, packet fragmentation, etc., you need equipment or software systems for detecting and blocking such attacks.
Such equipment is manufactured by many (Arbor, there are solutions from Cisco, Huawei, software implementations from Wanguard, etc.), many backbone operators have already installed it and offer DDoS protection services (I know about installations at Rostelecom, Megafon, TTK, MTS, essentially all major providers; hosters with their own a-la OVH.com, Hetzner.de protection do the same, I've personally encountered protection at ihor.ru). Some companies develop their software solutions (technologies like DPDK allow processing traffic at tens of gigabits on a single physical x86 machine).
Bland kÀnda aktörer kan nÀstan alla effektivt hantera L3/L4 DDoS-attacker. Jag kan inte sÀga vem som har den största kanalens kapacitet (det Àr insiderinformation), men vanligtvis Àr det inte sÄ viktigt, och skillnaden ligger bara i hur snabbt skyddet aktiveras (omedelbart eller efter nÄgra minuters driftstopp för projektet, som hos Hetzner).
FrÄgan Àr hur kvalitativt detta görs: en förstÀrkningsattack kan avvisas genom att blockera trafik frÄn lÀnder med högst mÀngd skadlig trafik, eller sÄ kan man bara avvisa den egentliga överflödiga trafiken.
Men baserat pÄ min erfarenhet hanterar alla seriösa aktörer pÄ marknaden detta utan problem: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (tidigare SkyParkCDN), ServicePipe, Stormwall, Voxility, etc.
Jag har inte stött pÄ skydd frÄn operatörer som Rostelecom, MegaFon, TTK, Beeline, men enligt kollegors recensioner erbjuder de dessa tjÀnster pÄ en tillrÀckligt hög nivÄ, Àven om bristen pÄ erfarenhet ibland gör sig pÄmind: ibland behöver man tweaka nÄgot via supporten för sÀkerhetsoperatören.
Vissa operatörer erbjuder en separat tjÀnst för "skydd mot attacker pÄ L3/L4-nivÄ", eller "kanalskydd", som kostar mycket mindre Àn skydd pÄ alla nivÄer.
Men hur avvisar icke-huvudleverantörer attacker pÄ hundratals Gbit, de har ju inga egna kanaler?Skyddsoperatören kan ansluta till nÄgon av de stora leverantörerna och avvisa attacker "pÄ deras bekostnad". Man mÄste betala för kanalen, men alla dessa hundratals Gbit kommer inte alltid att utnyttjas, det finns alternativ för att betydligt sÀnka kostnaden för kanaler i det hÀr fallet, sÄ modellen förblir fungerande.
SÄdana rapporter frÄn överordnad L3/L4-skydd fick jag regelbundet, medan jag stödde system hos hostingleverantören.
Skydd pÄ L7-nivÄ (applikationsnivÄ)
Attacker pÄ L7-nivÄ (applikationsnivÄ) kan stabilt och kvalitativt avvisas av nÄgra fÄ aktörer.
Jag har en verklig och ganska stor erfarenhet av
â Qrator.net;
â DDoS-Guard;
â G-Core Labs;
â Kaspersky.
De tar betalt för varje megabit ren trafik, en megabit kostar cirka flera tusen rubel. Om du har Ă„tminstone 100 megabit ren trafik â oj. Skyddet blir mycket dyrt. Jag kan berĂ€tta i kommande artiklar hur man designar applikationer för att spara mycket pĂ„ kapaciteten av skyddskanaler.
Den verkliga "kungen av berget" Àr Qrator.net, medan de andra ligger lÄngt efter. Qrator Àr hittills de enda i min erfarenhet som erbjuder en nÀstan nollandel av falska positiva, men de Àr flera gÄnger dyrare Àn andra aktörer pÄ marknaden.
Andra operatörer erbjuder ocksÄ högkvalitativ och stabil skydd. MÄnga av tjÀnsterna vi stödjer (inklusive mycket kÀnda i landet!) Àr skyddade av DDoS-Guard, G-Core Labs, och Àr helt nöjda med resultaten.
Attacker blockerade av Qrator
Det finns Àven erfarenhet med mindre skyddoperatörer som cloud-shield.ru, ddosa.net och tusentals andra. Jag kan definitivt inte rekommendera dem eftersom min erfarenhet Àr begrÀnsad, men jag kan berÀtta om hur deras system fungerar. Priserna för deras skydd Àr ofta 1-2 ordningar lÀgre Àn hos större aktörer. Vanligtvis köper de en delvis skyddstjÀnst (L3/L4) frÄn nÄgon av de större aktörerna + utvecklar sitt eget skydd mot attacker pÄ högre nivÄer. Detta kan vara helt effektivt + ni kan fÄ en bra tjÀnst till ett lÀgre pris, men kom ihÄg att de fortfarande Àr smÄ företag med begrÀnsad personalstyrka.
Vad Àr svÄrigheten med att avvisa attacker pÄ L7-nivÄ?
Alla applikationer Àr unika, och man mÄste tillÄta anvÀndbar trafik för dem och blockera skadlig trafik. Det Àr inte alltid möjligt att enkelt filtrera bort bottar, sÄ man mÄste anvÀnda mÄnga, verkligen Mà NGA nivÄer av trafikrening.
Det rÀckte tidigare med modulen nginx-testcookie (), och den rÀcker fortfarande för att avvisa ett stort antal attacker. NÀr jag jobbade inom hostingbranschen byggde jag L7-skyddet baserat pÄ nginx-testcookie.
TyvÀrr har attackerna blivit mer komplexa. testcookie anvÀnder kontroller av bottar baserat pÄ JS, och mÄnga moderna bottar lyckas övervinna dessa.
Attackernas botnÀt Àr ocksÄ unika, och man mÄste ta hÀnsyn till varje större botnÀts egenskaper.
Amplifiering, direkt flöde frÄn ett botnÀt, filtrering av trafik frÄn olika lÀnder (olika filtrering för olika lÀnder), SYN/ACK-flöde, paketfragmentering, ICMP, http-flöde, samtidigt kan man pÄ applikations-/http-nivÄ komma pÄ ett obegrÀnsat antal olika attacker.
Sammanfattningsvis kan det pÄ nivÄ av kanal-, specialutrustning för trafikrening, speciell mjukvara och ytterligare filtreringsinstÀllningar för varje kund finnas tiotals eller hundratals filtreringsnivÄer.
För att hantera detta korrekt och justera filtreringsinstĂ€llningarna för olika anvĂ€ndare, krĂ€vs betydande erfarenhet och kvalificerad personal. Ăven en stor operatör som beslutar att erbjuda skyddstjĂ€nster kan inte "bara kasta pengar pĂ„ problemet": erfarenheten mĂ„ste samlas genom att arbeta med liggande webbplatser och falska larm pĂ„ legitim trafik.
För en skyddsoperatör finns det ingen knapp för att "avvisa DDoS": det finns mÄnga verktyg och man mÄste veta hur man anvÀnder dem.
Och ett sista bonus exempel.
Servern utan skydd stÀngdes av vÀrden vid en attack pÄ 600 mbit.
("Förlusten" av trafik mÀrks inte eftersom endast 1 webbplats attackerades, den togs temporÀrt bort frÄn servern och blockeringen hÀvdes inom en timme).
Samma server med skydd. Angriparna "gav upp" efter ett dygn av avvisade attacker. SjÀlva attacken visade sig inte vara den starkaste.
L3/L4 attacker och skydd Àr mer triviala, de beror huvudsakligen pÄ kanalens tjocklek, detekteringsalgoritmer och filtrering av attacker.
L7-attacker Àr svÄrare och mer originella, de beror pÄ det attackerade programmet samt angriparnas förmÄgor och fantasi. Skydd mot dem krÀver stor kunskap och erfarenhet, och resultatet kan vara osÀkert och inte direkt. Tills Google uppfinner Ànnu ett AI-system för skydd.
KĂ€lla: habr.com
