Podstawowy atak DoS polega na bombardowaniu pojedynczego adresu IP ogromną ilością ruchu sieciowego. Jeśli adres IP wskazuje na serwer WWW, ta maszyna lub urządzenie sieciowe, do którego jest podłączona (router lub przełącznik), będą przeciążone lub w ogóle przestaną odpowiadać. Prawidłowy ruchu skierowany do tego serwera nie będzie do niego docierał, a strona internetowa będzie niedostępna.

Atak rozproszony to specjalny typ kampanii DoS. Zasady są te same, jednakże wrogi ruch jest generowany z wielu źródeł, ale jednocześnie sterowany z jednego, centralnego punktu. Jeśli źródeł ataku jest wiele i są rozproszone, często po całym świecie, taki atak jest trudniejszy do zablokowania. Nie wystarczy bowiem wycięcie komunikacji pochodzącej z pojedynczego adresu IP.

Zobacz również:

• Ponad pół miliona kont Roku w niebezpieczeństwie po ataku
• AI ma duży apetyt na prąd. Google znalazł na to sposób
• Ministerstwo Cyfryzacji ostrzega przed rosnącym zagrożeniem atakami DDoS

DDoS dla każdego

Bariery przeprowadzenia własnego ataku są obecnie znacznie mniejsze. Po pierwsze, znacznie spadły koszty, co oznacza, że na kampanię stać niemal każdego: zorganizowaną grupę przestępczą, spamerów, niezadowolonego, byłego pracownika czy konkurencję. Ofiarą może stać się każdy, nie tylko duże korporacje, ale również naprawę niewielkie firmy.

Także od strony technicznej upadła większość barier. Obecnie możliwe jest wynajęcie botnetu składającego się z dziesiątków czy nawet setek tysięcy zainfekowanych komputerów, które można wykorzystać za stosunkowo niewielką opłatą do przeprowadzenia ataku. Ponieważ nawet domowi użytkownicy korzystają obecnie z łączy internetowych o sporej przepustowości, sumaryczna siła takiego ataku może być ogromna. Do kupienia są również gotowe pakiety narzędziowe, jak Low Orbit Ion Cannon czy RussKill, których może posłużyć się każda osoba z minimalną wiedzą.

System wczesnego ostrzegania

Podstawową kwestią jest umiejętność identyfikowania ataków na serwery. Im szybciej właściciel potrafi rozpoznać, że problemy z jego stroną internetową są spowodowane przez DDoS, tym szybciej może podjąć przeciwdziałania. W tym celu administratorzy powinni wiedzieć, jak wygląda typowy profil ruchu przechodzącego przez dany serwer. Im lepiej pozna się specyfikę ruchu, tym łatwiej i szybciej uda się wykryć anomalie.

Większość ataków DDoS rozpoczyna się od gwałtownych skoków natężenia ruchu, co jest łatwe do wykrycia i odróżnienia od dużego wzrostu ruchu spowodowanego przez uprawnionych użytkowników. W większych organizacjach warto wyznaczyć osobę, która będzie odpowiedzialna za koordynowanie działań, gdy dojdzie do wykrycia ataku.

Nadmiarowa przepustowość

Ogólnie posiadanie łączy szybszych niż wydaje się, że faktycznie jest potrzebne, ma sens. Pozwala bowiem zachować płynną łączność z serwerem WWW, gdy nastąpi niespodziewany wzrost ruchu spowodowany, np. kampanią reklamową, nową specjalną ofertą czy wzmiankowaniem o firmie w mediach. Jednak nawet kilkukrotnie nadmiarowe łącze nie uchroni przed atakiem DDoS. Ma natomiast tę zaletę, że daje czas potrzebny na reakcję, zanim atakowany serwer przestanie odpowiadać.

Ochrona pogranicza

Jeśli firma utrzymuje serwer WWW we własnych zasobach, może zastosować kilka technicznych sztuczek, które ograniczą niekorzystny wpływ ataku, szczególnie w jego początkowej fazie. Niektóre z nich są bardzo proste, oto przykłady:

• ustawienie limitu ruchu na routerze, co zapobiegnie przeciążeniu serwera WWW,
• dodanie filtrów na routerze, które będą powodowały odrzucanie pakietów pochodzących z oczywistych źródeł ataku,
• ustawienie krótszego czasu wygaszania półotwartych połączeń,
• odrzucanie podrobionych bądź zniekształconych pakietów,
• ustawienie niższego progu dla odrzucania pakietów SYN, ICMP oraz UDP (zapobiega zalewaniu tego typu pakietami).

Niestety, te środki wystarczały w przeszłości. Obecnie ataki DDoS są z reguły zbyt duże lub zbyt złożone, żeby dało się je w znaczący sposób ograniczać opisanymi metodami. Jednakże dają kolejne, cenne minuty na podjęcie działań zaradczych.

Kontakt z dostawcą Internetu

Jeśli serwer znajduje się poza siecią lokalną, kolejnym krokiem jest kontakt z ISP bądź dostawcą usług hostingowy, aby poinformować o ataku i poprosić o pomoc. Warto mieć odpowiedni numer alarmowy pod ręką, żeby w razie potrzeby móc szybko zareagować. W zależności od siły ataku, usługodawca mógł go już samodzielnie wykryć. Może się nawet zdarzyć, że również infrastruktura ISP czy firmy hostingowej będzie przeciążona w wyniku ataku.

Z reguły większe szanse oparciu się atakowi DDoS ma serwer WWW umieszczony w kolokacji niż we własnym centrum danych. Wynika to z faktu, że usługodawcy mają dużo bardziej rozbudowaną infrastrukturę, szybsze łącza i mocniejsze routery niż klienci. Ponadto taka specjalistyczna firma najczęściej zatrudnia również lepiej wykwalifikowanych pracowników, mających już doświadczenie z atakami DDoS. Ma to również dodatkową zaletę: wrogi ruch sieciowy będzie skierowany do centrum danych usługodawcy i nie będzie obciążał korporacyjnego LAN’u, więc przynajmniej część zasobów (serwer pocztowy czy telefonia IP) będzie funkcjonować normalnie.

Jeśli atak będzie wystarczającą duży, usługodawca zastosuję metodę zwaną null route, co oznacza, że cały ruch skierowany do danego serwera WWW będzie odrzucany. Globalna propagacja zmian w protokole BGP przez usługodawcę jest kwestią kilku minut, po których całych ruch do atakowanej strony nie będzie przekazywany przez routery. Próba obsłużenia wzmożonego ruchu generowanego przez kampanię DDoS może być bardzo kosztowana dla operatora sieciowego czy firmy hostingowej, ponieważ zużywa znaczną część współdzielonych zasobów (przede wszystkim sieć), z których korzystają również inni klienci.

Gdyby na tym kończyła się historia, to atak DDoS należałoby uznać za skuteczny. Żeby strona znów była online, ISP bądź firma hostingowa powinni przekierować ruch do filtrów, które odsieją niechciane pakiety, zanim właściwy ruch zostanie przekazany do serwera. Wykorzystuje się do tego narzędzia, które potrafią porównać ruch podczas ataku z normalnym ruchem i wykryć różnice.

Jeśli samodzielnie, bądź wspólnie z ISP nie uda się zwalczyć ataku, warto skorzystać z pomocy specjalistów. Specjalistyczne firmy oferujące tego usługi dysponują łączami rzędu kilkudziesięciu gigabajtów (np. PEER 1 może obsłużyć 20 GB/s ruchu). Jednak nawet to jest za mało w przypadku takich ataków, jak ten, który spotkał Spamhaus.

Telefon do specjalisty

W przypadku dużych ataków ich samodzielnie pokonanie i utrzymanie serwerów online jest raczej niewykonalne. W takich sytuacjach do dyspozycji są usługi specjalistycznych firm. Dysponują one rozbudowaną infrastrukturą i szeregiem technologii, w tym filtrowania ruchu, które pozwolą zapewnić ciągłość działania serwerów. Można nawiązać z nimi kontakt bezpośrednio bądź poprzez ISP czy firmę hostingową. Często bowiem takie podmioty mają podpisane umowy o współpracy. Jeśli klient potrzebuje wsparcia przy zniwelowaniu ataku, można łatwo przekierować ruch do specjalistycznej firmy, wykorzystując protokół BGP.

Centra danych przystosowane do zwalczania ataków DDoS są w stanie przetwarzać ogromne ilości ruchu i przesyłać oczyszczoną transmisję do miejsca przeznaczenia. Skutkiem ubocznym są większe opóźnienia w komunikacji między użytkownikiem a serwer, ale alternatywą jest całkowity brak dostępu.

Usługi zwalczania ataków DDoS nie są bezpłatne. Do użytkownika należy oszacowanie, czy opłaca mu się skorzystanie z tych usług czy wzięcie atakującego na przeczekanie i powrót do działalności, gdy atak się zakończy. Miesięczna subskrypcja takich usług na wypadek ewentualnych ataków kosztuje co najmniej 2-3 tysiące złotych. Jednakże jednorazowy koszt jest znacznie większy, a czas reakcji istotnie się wydłuży. Ofertę tego typu mają zagraniczne, jak również polskie firmy, m.in. przedsiębiorstwa hostingowe.

Rozpoznanie ataku

Rozwiązania zapobiegające skutkom atakom DDoS, a bazujących na infrastrukturze chmurowej, są dostępne na żądanie. To oznacza, że klient może skorzystać z nich w momencie, gdy stanie się celem ataku. Jak jednak szybko ustalić, że właśnie rozpoczął się atak? Czasami jest to trudne do zdiagnozowania. Można wykorzystać do tego celu różne narzędzia monitorujące, które pomogą rozpoznać, czy dana sytuacja to już atak czy jedynie wzmożony ruch użytkowników.

Pierwszą opcją są wewnętrzne narzędzia do monitorowania serwerów, sieci i pozostałych komponentów infrastruktury. Wybór jest bardzo duży, ale jednym z popularniejszych systemów jest Nagios, który potrafi monitorować wewnętrzną infrastrukturę, wydajność aplikacji, usług, systemów operacyjnych i sieci, a także śledzić wiele różnych parametrów infrastruktury sieciowej.

Przykładowo, system może monitorować usługę HTTP w celu sprawdzania, czy serwer WWW funkcjonuje poprawnie. Jeśli zostaną wykryte jakieś problemy, większość programów ma wbudowaną funkcję powiadamiania w czasie rzeczywistym. Ponieważ ataki DDoS z reguły za cel mają serwery WWW bądź aplikacje, system monitorujący HTTP może wskazywać, np. spowolnienie działania, wysokie wykorzystanie pamięci i procesorów czy całkowitą awarię. W takich sytuacjach z pewnością dzieje się coś złego i może to być kampania DDoS.

Monitorowanie serwerów i infrastruktury jest pomocne, ale powiadomienie o wykrytych problemach nie zawsze musi wskazywać na atak DDoS. Nietypowe skoki ruchu sieciowego mogą być również spowodowane przez zwykłych użytkowników. Zadaniem administratora jest ocena otrzymanych raportów i ewentualne uruchomienie procedury zwalczania ataków.

Drugą opcją, którą może wybrać administrator, jest wykorzystanie zewnętrznych rozwiązań do monitorowania działających w chmurze. W odróżnienie od narzędzi sieciowych, które są z reguły instalowane w środowisku użytkownika, zewnętrzne rozwiązania do monitorowania wydajności są oferowane przez podmioty trzecie z różnych lokalizacji na całym świecie. Pierwotnie przeznaczeniem tych narzędzi było monitorowanie, czy infrastruktura ISP bądź firmy hostingowej działa zgodnie z tym, jak została zaprojektowana. Długi czas odpowiedzi czy awarie mogą wskazywać, że dostawca bądź pojedynczy serwer są niedostępne. Najwięcej korzyści z tych narzędzi będą czerpać firmy, które nie utrzymują serwerów WWW we własnych zasobach, ale korzystają z chmur, takich jak Amazon EC2.

Tego typu systemy najczęściej zawierają:

• wirtualną przeglądarkę do podstawowego monitorowania dostępności i wydajności serwerów WWW i aplikacji,
• rzeczywiste przeglądarki do sprawdzania wydajności aplikacji i serwerów WWW, wykrywania błędów i pogorszenia parametrów usług,
• usługi sieciowe, jak DNS, FTP, e-mail, i inne.

Z perspektywy DDoS, stosowanie zewnętrznych narzędzi monitorujących ma sens. Przeznaczeniem takiego rozwiązania jest stałe monitorowanie stron internetowych, usług, aplikacji i informowanie użytkownika o braku dostępności, wolniejszym działaniu i innych problemach. Wszystkie te objawy potencjalnie wskazują na kampanię DDoS.

Trzeba jednak pamiętać, że zewnętrzne narzędzia monitorujące również nie są niezawodne, jeśli chodzi o wykrywanie ataków. Owszem, takie rozwiązanie poinformuje administratora o wykrytych problemach, ale samo nie potrafi ustalić ich przyczyn. Tymczasem nietypowy ruch w firmowej sieci i dłuższe czasy odpowiedzi mogą być spowodowane różnymi czynnikami. Dlatego należy dokładnie analizować otrzymywane alerty, zanim rozpocznie się działania zaradcze.