09. Атаки отказа в обслуживании DoS и DDoS
Введение
Даже если конфиденциальность и целостность информации хорошо защищены, остается еще одна важная задача — обеспечить доступность сетевых ресурсов.
Пользователь может иметь правильный логин и пароль, сервер может работать исправно, данные могут быть защищены от изменения, но если к серверу невозможно подключиться из-за огромного количества запросов, то информационная система фактически становится недоступной.
Одной из наиболее известных угроз доступности являются атаки отказа в обслуживании — DoS и DDoS.
Такие атаки могут быть направлены на: - веб-сайты; - серверы; - сетевые сервисы; - маршрутизаторы; - каналы связи; - DNS-серверы; - корпоративные информационные системы; - облачные сервисы; - игровые серверы; - интернет-магазины; - государственные и банковские информационные системы.
Главная идея атаки заключается в том, чтобы создать такие условия, при которых легитимные пользователи не смогут нормально получить доступ к ресурсу.
Понятие отказа в обслуживании
Отказ в обслуживании — это состояние, при котором пользователи не могут получить нормальный доступ к информационной системе, сетевому ресурсу или сервису.
Причиной может быть: - слишком большое количество запросов; - исчерпание вычислительных ресурсов; - переполнение сетевого канала; - нехватка оперативной памяти; - исчерпание таблиц соединений; - перегрузка сетевого оборудования; - отказ критически важного компонента; - программная ошибка; - аппаратная неисправность; - намеренная атака.
Таким образом, отказ в обслуживании не всегда является результатом кибератаки.
Например, сервер интернет-магазина может перестать отвечать из-за того, что одновременно началась крупная рекламная акция и количество посетителей резко увеличилось.
С другой стороны, злоумышленник может намеренно создать огромное количество запросов, чтобы добиться аналогичного результата.
В этом случае речь идет об атаке отказа в обслуживании.
Что такое DoS
DoS (Denial of Service) — атака отказа в обслуживании, при которой злоумышленник пытается сделать информационную систему или сетевой сервис недоступным для легитимных пользователей.
В упрощенном виде схема выглядит следующим образом:
Злоумышленник
|
| большое количество запросов
v
+-------------+
| Сервер |
+-------------+
|
| ресурсы исчерпаны
v
Легитимный пользователь
не может получить доступ
Основная задача DoS-атаки — создать нагрузку, которую система не сможет нормально обработать.
При этом злоумышленнику необязательно полностью вывести сервер из строя.
Достаточно добиться значительного ухудшения его работы: - страницы открываются очень медленно; - соединение постоянно разрывается; - часть запросов не обрабатывается; - сервис становится нестабильным; - пользователи получают ошибки; - сервер перестает принимать новые соединения.
Что такое DDoS
DDoS (Distributed Denial of Service) — распределенная атака отказа в обслуживании.
Главное отличие DDoS от обычной DoS-атаки заключается в том, что запросы поступают с большого количества источников одновременно.
Схематично:
+--------+
| ПК 1 |
+---+----+
|
+---v----+
| ПК 2 |
+---+----+
|
+---v----+
| ПК 3 |
+---+----+
|
| ...
|
+---v----+
| ПК N |
+---+----+
|
v
+-----------+
| Сервер |
+-----------+
|
v
Перегрузка
При DDoS-атаке множество устройств одновременно создают нагрузку на один или несколько целевых ресурсов.
Именно поэтому распределенная атака может быть значительно сложнее для отражения.
Основное различие между DoS и DDoS
| Характеристика | DoS | DDoS |
|---|---|---|
| Источник нагрузки | Один или небольшое количество источников | Большое количество источников |
| Распределенность | Обычно отсутствует | Присутствует |
| Масштаб | Обычно меньше | Может быть очень большим |
| Блокирование источника | Относительно проще | Сложнее |
| Анализ трафика | Проще | Сложнее |
| Организация защиты | Проще | Требует дополнительных механизмов |
Упрощенно:
DoS → один источник → одна цель
DDoS → множество источников → одна цель
Однако на практике граница между ними может быть не такой простой. Главное значение имеет именно распределенность источников нагрузки.
Что именно пытается исчерпать злоумышленник
Сетевой ресурс имеет ограниченное количество ресурсов.
Например:
Сервер
|
+----------+----------+
| | |
CPU RAM Сеть
| | |
+----------+----------+
|
Сетевые соединения
Атака может быть направлена на один или несколько таких ресурсов.
Основные цели: - пропускная способность канала; - процессорное время; - оперативная память; - количество одновременно обрабатываемых соединений; - таблицы состояний соединений; - очереди запросов; - возможности сетевого оборудования; - ресурсы конкретного приложения.
Поэтому DDoS нельзя рассматривать исключительно как «очень много пакетов».
Атака может быть направлена на разные уровни сетевой инфраструктуры.
Атаки на пропускную способность
Один из вариантов воздействия — создание большого объема сетевого трафика.
Представим сервер, подключенный к каналу:
Интернет
|
| 1 Гбит/с
|
[Маршрутизатор]
|
|
[Сервер]
Если злоумышленники создают поток данных, который практически полностью занимает доступную пропускную способность:
Интернет
|
| >>>>>>>>>>>>>>>>>>
| >>>>>>>>>>>>>>>>>>
| >>>>>>>>>>>>>>>>>>
|
[Маршрутизатор]
|
X
[Сервер]
То легитимные пользователи также начинают испытывать проблемы.
Даже если сам сервер обладает большим запасом вычислительной мощности, узким местом может оказаться канал связи.
Атаки на вычислительные ресурсы
Другой вариант — заставить сервер выполнять большое количество операций.
Например:
Запрос 1 ──┐
Запрос 2 ──┤
Запрос 3 ──┤
Запрос 4 ──┼──> Сервер
Запрос 5 ──┤
Запрос 6 ──┤
... ─┘
Каждый запрос требует определенного количества ресурсов.
Если запросов становится слишком много:
Нагрузка
^
| ███████████
| ███████████████
| ██████████████████
| █████████████████████
+----------------------------> время
сервер может начать: - медленно отвечать; - откладывать запросы в очередь; - отбрасывать часть запросов; - возвращать ошибки; - полностью перестать отвечать.
Атаки на сетевые соединения
Сетевое устройство или сервер имеет ограничения на количество одновременно обслуживаемых соединений.
Например:
Пользователь 1 ──┐
Пользователь 2 ──┤
Пользователь 3 ──┤
Пользователь 4 ──┼──> Сервер
Пользователь 5 ──┤
...
Пользователь N ──┘
Если количество соединений становится слишком большим, новые пользователи могут не получить возможность подключиться.
Особенно важно это для: - веб-серверов; - VPN-серверов; - прокси; - API; - серверов баз данных; - сетевых служб.
Сетевые уровни и DoS/DDoS
Атаки отказа в обслуживании могут воздействовать на различные уровни сетевого взаимодействия.
Упрощенно можно выделить:
Уровень приложения
↑
HTTP, DNS, API и другие сервисы
Транспортный уровень
↑
TCP, UDP
Сетевой уровень
↑
IP
Канальный уровень
↑
Ethernet и другие технологии
Поэтому выражение «DDoS-атака» не означает какой-то один конкретный тип воздействия.
Существует множество вариантов атак.
Объемные атаки
Объемная атака направлена прежде всего на создание большого количества сетевого трафика.
Основная цель:
занять доступную пропускную способность сети.
Схема:
Множество источников
|
| большой поток данных
v
[Интернет]
|
v
[Сетевой канал]
|
X
[Сервер]
Если входящий поток превышает возможности канала, обычные пользователи начинают испытывать проблемы с доступом.
Протокольные атаки
Другой класс атак направлен не столько на объем передаваемых данных, сколько на особенности работы сетевых протоколов и оборудования.
Целью может быть: - маршрутизатор; - межсетевой экран; - балансировщик; - сервер; - таблица соединений; - механизм обработки сетевых пакетов.
Такие атаки могут создавать большое количество состояний, соединений или служебных запросов.
Например:
Запросы
↓
Сетевое устройство
↓
Создание состояний
↓
Заполнение таблицы
↓
Новые соединения
↓
Отклоняются
В результате легитимные соединения могут перестать нормально обслуживаться.
Атаки на уровне приложения
DDoS может быть направлен непосредственно на приложение.
Например, веб-сервер предоставляет страницу:
GET /catalog
Если обработка запроса требует значительных ресурсов, большое количество подобных обращений может создать высокую нагрузку.
Особенно опасны запросы к ресурсоемким операциям: - поиск; - формирование отчетов; - работа с большими базами данных; - авторизация; - генерация динамических страниц; - API-запросы.
Схема:
Пользователи
|
| запросы
v
+------------+
| Веб-сервер |
+-----+------+
|
v
+------------+
| База данных|
+------------+
Если злоумышленник создает большое количество запросов к ресурсоемкой функции, нагрузка может распространиться на несколько компонентов системы.
Почему DDoS особенно опасен
При обычной DoS-атаке источник нагрузки может быть относительно легко обнаружить:
Источник
|
v
Сервер
При DDoS:
Источник 1 ─┐
Источник 2 ─┤
Источник 3 ─┤
Источник 4 ─┼──> Цель
Источник 5 ─┤
Источник 6 ─┤
... ─┘
Количество источников может быть очень большим.
Кроме того, источники могут находиться: - в разных сетях; - у разных интернет-провайдеров; - в разных странах; - на зараженных компьютерах; - на IoT-устройствах; - в облачной инфраструктуре.
Поэтому простая блокировка одного IP-адреса часто не решает проблему.
Ботнеты и DDoS
Одним из источников распределенного трафика могут быть ботнеты.
Ботнет — сеть зараженных или скомпрометированных устройств, которыми злоумышленник может управлять централизованно или распределенно.
Схема:
Управляющая инфраструктура
|
+---------------+---------------+
| | |
v v v
Устройство Устройство Устройство
| | |
+---------------+---------------+
|
v
Цель
Зараженные устройства могут быть: - компьютерами; - серверами; - маршрутизаторами; - камерами; - IoT-устройствами; - другими сетевыми устройствами.
При этом владелец устройства может даже не знать, что его устройство используется в атаке.
Почему зараженные устройства становятся частью ботнета
Причиной может быть компрометация устройства.
Например:
Уязвимость
↓
Компрометация устройства
↓
Установка вредоносного ПО
↓
Подключение к инфраструктуре злоумышленника
↓
Получение команд
↓
Участие в атаке
Отражение и усиление трафика
Некоторые механизмы сетевого взаимодействия могут использоваться злоумышленниками для создания большого количества ответного трафика.
Упрощенная схема:
Злоумышленник
|
| небольшой запрос
v
Промежуточный сервис
|
| большой ответ
v
Цель
Такое воздействие связано с понятиями: - reflection — отражение; - amplification — усиление.
Идея заключается в том, что небольшой исходный запрос может привести к значительно большему объему ответного трафика, направленного на жертву.
Для защиты важно контролировать неправильно настроенные или открытые сетевые сервисы, которые могут использоваться подобным образом.
DDoS и подмена IP-адресов
В некоторых видах атак злоумышленники могут использовать подмену исходного IP-адреса — IP spoofing.
При этом адрес отправителя пакета может не соответствовать реальному источнику.
Упрощенно:
Реальный источник
|
| пакет
| "Я отправлен от IP X"
v
Интернет
|
v
Цель
Это осложняет определение реального источника некоторых типов трафика.
Поэтому защита от DDoS не должна основываться только на анализе одного IP-адреса.
Признаки DoS/DDoS-атаки
Администратор может заметить атаку по нескольким признакам.
Признак 1. Резкий рост трафика
Например:
Обычная нагрузка:
████
Во время атаки:
████████████████████████
Признак 2. Рост количества соединений
Обычно: 100 соединений
Во время атаки:
10000 соединений
Признак 3. Рост загрузки CPU
Сервер начинает использовать значительно больше вычислительных ресурсов.
Признак 4. Увеличение времени ответа
Обычно: 100 мс
Во время атаки: 5000 мс
Признак 5. Ошибки пользователей
Появляются: - тайм-ауты; - ошибки подключения; - ошибки сервера; - разрывы соединений.
Анализ журналов
Важную роль играют журналы и системы мониторинга.
Администратор может обнаружить: - резкий рост количества запросов; - необычные IP-адреса; - большое количество одинаковых запросов; - необычное распределение трафика; - большое количество соединений; - обращения к одному ресурсу; - необычное географическое распределение источников.
Однако при крупной DDoS-атаке журналов может становиться настолько много, что их анализ непосредственно на атакуемом сервере становится затруднительным.
Поэтому мониторинг желательно организовывать независимо от атакуемого ресурса.
Чем DDoS отличается от обычной высокой нагрузки
Очень важно не путать DDoS с обычным ростом популярности ресурса.
Например, сайт интернет-магазина может получить:
Обычная нагрузка
↓
Рекламная кампания
↓
Резкий рост посетителей
↓
Большая нагрузка
Это еще не означает атаку.
При DDoS нагрузка создается намеренно и направлена на нарушение доступности.
Поэтому администратору необходимо анализировать не только объем нагрузки, но и ее характер.
Методы защиты от DoS и DDoS
Полностью исключить возможность DDoS-атаки невозможно.
Однако можно значительно уменьшить ее последствия.
Защита строится на нескольких уровнях.
Защита
|
+-- Канал связи
|
+-- Маршрутизатор
|
+-- Межсетевой экран
|
+-- Балансировщик
|
+-- Сервер
|
+-- Приложение
|
+-- Мониторинг
Фильтрация трафика
Межсетевые экраны и другие сетевые средства защиты могут фильтровать трафик.
Можно ограничивать: - ненужные протоколы; - ненужные порты; - определенные направления; - подозрительные источники; - избыточное количество запросов.
Например:
Интернет
|
v
[Firewall]
|
| разрешенный трафик
v
[Сервер]
Однако обычная фильтрация не всегда способна остановить масштабную DDoS-атаку.
Если вредоносный трафик уже перегрузил интернет-канал, серверный firewall может получить его слишком поздно.
Ограничение скорости запросов
Один из распространенных механизмов защиты — Rate Limiting.
Он ограничивает количество запросов, которые источник может отправить за определенный промежуток времени.
Например:
Источник
|
| запросы
v
[Ограничитель]
|
| допустимое количество
v
[Сервис]
Если запросов становится слишком много, часть из них: - отклоняется; - задерживается; - получает специальный ответ.
Это помогает защитить приложение от чрезмерной нагрузки.
Ограничение количества соединений
Можно ограничивать количество одновременно открытых соединений.
Например:
Сервер
|
+--------+--------+
| |
Допустимые Избыточные
соединения соединения
| |
v X
Обрабатываются Отклоняются
Это позволяет сохранить ресурсы для нормальных пользователей.
Балансировка нагрузки
Если сервис имеет несколько серверов, нагрузку можно распределять между ними.
Например:
Интернет
|
v
[Балансировщик]
/ | \
/ | \
v v v
Server1 Server2 Server3
Если один сервер перегружен, часть запросов может направляться на другие.
Однако балансировка не решает проблему полностью, если атакующий трафик настолько велик, что перегружает весь канал или инфраструктуру перед балансировщиком.
Резервирование
Для повышения доступности могут использоваться резервные компоненты.
Например: - несколько серверов; - несколько сетевых устройств; - резервные каналы связи; - резервные DNS-серверы; - распределенные центры обработки данных.
Схема:
Интернет
|
+------+------+
| |
v v
Канал 1 Канал 2
| |
+------+------+
|
Система
Резервирование повышает устойчивость инфраструктуры не только к DDoS, но и к обычным отказам оборудования.
CDN и распределение ресурсов
Для веб-сервисов может использоваться CDN (Content Delivery Network) — распределенная сеть серверов, которая позволяет отдавать содержимое пользователям из различных точек присутствия.
Упрощенная схема:
Пользователи
/ | \
/ | \
v v v
CDN CDN CDN
\ | /
\ | /
\ | /
Основной
сервер
В результате часть нагрузки может распределяться между несколькими узлами.
CDN также может предоставлять дополнительные механизмы фильтрации и защиты от DDoS.
Специализированная защита от DDoS
Для крупных систем могут применяться специализированные сервисы защиты.
Принцип работы:
Пользователи
|
v
Защитная инфраструктура
|
| фильтрация
v
Легитимный трафик
|
v
Основной сервер
Защитная инфраструктура анализирует входящий трафик и старается отделить нормальные запросы от вредоносной нагрузки.
Это особенно важно для крупных публичных сервисов.
Защита от DDoS на уровне провайдера
При очень крупной атаке организация может самостоятельно не справиться с нагрузкой.
Например:
Атакующий трафик
|
v
Интернет
|
v
Провайдер
|
v
Организация
Если атакующий трафик уже полностью занимает канал связи организации, фильтровать его непосредственно внутри сети может быть поздно.
В таком случае часть защиты должна осуществляться до того, как трафик попадет в сеть организации.
Поэтому взаимодействие с интернет-провайдером является важной частью подготовки к крупным DDoS-атакам.
Сегментация сети
Сегментация позволяет ограничить распространение последствий.
Например:
Интернет
|
Firewall
|
+------+------+
| |
Серверы Офис
|
|
Критические
системы
Если атакован один внешний сервис, это не должно автоматически приводить к недоступности всей внутренней сети.
Сегментация является одним из основных принципов защиты компьютерных сетей.
Защита сетевого оборудования
DDoS может воздействовать не только на сервер.
Под угрозой могут находиться: - маршрутизаторы; - коммутаторы; - межсетевые экраны; - балансировщики; - VPN-шлюзы.
Поэтому администратор должен контролировать: - загрузку оборудования; - количество соединений; - объем трафика; - состояние интерфейсов; - системные журналы; - доступность управляющих сервисов.
Управление сетевым оборудованием также желательно отделять от пользовательского трафика.
Мониторинг как элемент защиты
Без мониторинга обнаружить начало атаки значительно сложнее.
Необходимо отслеживать: - загрузку каналов; - количество соединений; - CPU; - оперативную память; - количество запросов; - время ответа; - количество ошибок; - состояние сетевых интерфейсов.
Пример:
Нормальная работа
↓
Постепенный рост нагрузки
↓
Превышение обычных значений
↓
Анализ причины
↓
Обнаружение аномалии
↓
Реакция
Чем раньше обнаружена проблема, тем больше возможностей для ее локализации.
Система обнаружения атак
Для обнаружения подозрительной активности могут применяться: - IDS; - IPS; - системы анализа трафика; - системы централизованного мониторинга; - SIEM.
IDS (Intrusion Detection System) — система обнаружения вторжений.
Она анализирует события и трафик и сообщает о подозрительной активности.
IPS (Intrusion Prevention System) — система предотвращения вторжений.
Она не только обнаруживает подозрительную активность, но и может автоматически блокировать определенные виды трафика.
План реагирования на DDoS
Организация должна заранее определить, что делать при обнаружении атаки.
Примерный порядок:
Обнаружение аномалии
↓
Подтверждение атаки
↓
Определение затронутых ресурсов
↓
Фильтрация вредоносного трафика
↓
Ограничение нагрузки
↓
Взаимодействие с провайдером
↓
Контроль состояния системы
↓
Восстановление нормальной работы
↓
Анализ произошедшего
Важно заранее определить: - кто отвечает за реагирование; - кто имеет доступ к сетевому оборудованию; - кто связывается с провайдером; - какие сервисы являются критическими; - какие действия допустимо выполнять автоматически.
Почему нельзя просто заблокировать все подозрительные адреса
При DDoS источник трафика может быть распределен между большим количеством адресов.
Кроме того, среди источников могут находиться обычные скомпрометированные устройства.
Например:
10000 источников
|
+-- 7000 подозрительных
|
+-- 2000 сомнительных
|
+-- 1000 легитимных пользователей
Слишком агрессивная блокировка может привести к тому, что вместе с атакой будут заблокированы реальные пользователи.
Поэтому современные системы защиты используют различные признаки и анализ поведения трафика.
False Positive и False Negative
При обнаружении атак важно учитывать две ошибки.
False Positive
Ложное срабатывание — нормальная активность ошибочно определяется как атака.
Например:
Большая рекламная акция
↓
Много пользователей
↓
Система принимает это за DDoS
False Negative
Пропуск атаки — вредоносная активность не распознается системой.
Обе ошибки нежелательны.
Поэтому система защиты должна обеспечивать разумный баланс между безопасностью и доступностью.
Последствия DDoS-атаки
Последствия могут быть различными.
Технические последствия
- недоступность серверов;
- перегрузка каналов;
- потеря производительности;
- увеличение количества ошибок;
- отказ сетевых сервисов.
Организационные последствия
- остановка рабочих процессов;
- невозможность использовать информационные системы;
- нарушение взаимодействия подразделений.
Финансовые последствия
- потеря клиентов;
- простой сервисов;
- дополнительные расходы на защиту;
- восстановление инфраструктуры.
Репутационные последствия
Если пользователи регулярно сталкиваются с недоступностью сервиса, доверие к организации может снижаться.
DoS/DDoS как часть цепочки атаки
DDoS может использоваться как самостоятельная атака.
Но иногда отказ в обслуживании может быть частью более сложного сценария.
Например:
Разведка
↓
Поиск уязвимых ресурсов
↓
Компрометация инфраструктуры
↓
Получение контроля
↓
Нарушение доступности
Или:
DDoS
↓
Отвлечение специалистов
↓
Повышенное внимание к атакуемому сервису
↓
Параллельное воздействие на другой ресурс
Поэтому при расследовании инцидента нельзя автоматически считать DDoS единственной угрозой.
Роль системного и сетевого администратора
Администратор отвечает не только за устранение последствий атаки, но и за подготовку инфраструктуры.
Основные задачи:
1. Контроль сетевой инфраструктуры
Необходимо знать: - какие серверы существуют; - какие сервисы запущены; - какие каналы используются; - какие ресурсы являются критическими.
2. Мониторинг
Необходимо знать нормальные значения нагрузки.
3. Минимизация поверхности атаки
Не следует без необходимости оставлять открытыми: - сервисы; - порты; - интерфейсы; - административный доступ.
4. Сегментация
Критические ресурсы необходимо отделять от обычных.
5. Резервирование
Критические сервисы должны иметь возможность продолжить работу при отказе отдельного компонента.
6. План реагирования
Администратор должен заранее знать порядок действий при инциденте.
Пример для небольшой организации
Рассмотрим организацию:
Интернет
|
[Маршрутизатор]
|
[Firewall]
|
+----------+----------+
| |
Серверы Офис
| |
Web-сервис ПК
DNS-сервис
Почта
Допустим, веб-сервер подвергся DDoS.
Нагрузка:
Интернет
|
| XXXXXXXXXXXXX
v
Firewall
|
| перегрузка
v
Web-сервер
|
X
В результате сайт перестает нормально работать.
Но внутренняя сеть организации при правильной архитектуре должна продолжать функционировать.
Это достигается: - сегментацией; - фильтрацией; - мониторингом; - ограничением доступа; - резервированием; - использованием внешней DDoS-защиты при необходимости.
Пример неправильной архитектуры
Предположим, все ресурсы находятся в одной сети:
Интернет
|
Маршрутизатор
|
+-- Web-сервер
+-- DNS
+-- База данных
+-- ПК сотрудников
+-- Административные устройства
Если сетевое оборудование или канал перегружаются, проблемы могут возникнуть сразу у всех систем.
Такая архитектура повышает последствия атаки.
Пример более защищенной архитектуры
Можно разделить инфраструктуру:
Интернет
|
Firewall
|
+--------+--------+
| |
DMZ LAN
| |
+-----+-----+ +---+---+
| | | |
Web DNS ПК Серверы
DMZ (демилитаризованная зона) используется для размещения некоторых внешних сервисов, которые должны быть доступны из Интернета.
Такой подход позволяет отделить публичные сервисы от внутренней сети.
Защита должна быть многоуровневой
Нельзя рассчитывать на одно средство защиты.
Например:
Интернет
|
DDoS-защита
|
Firewall
|
Фильтрация
|
Балансировка
|
Веб-сервер
|
Мониторинг
Каждый уровень решает свою задачу.
Если один механизм не справился, остальные могут уменьшить последствия.
Это называется многоуровневой защитой.
Основные ошибки при защите от DDoS
Ошибка 1. Отсутствие мониторинга
Если администратор не знает нормальную нагрузку, ему сложно определить аномалию.
Ошибка 2. Отсутствие резервирования
Отказ одного компонента полностью останавливает сервис.
Ошибка 3. Слишком широкие правила доступа
Лишний трафик увеличивает поверхность атаки.
Ошибка 4. Отсутствие сегментации
Проблема одного сервиса может распространиться на всю инфраструктуру.
Ошибка 5. Отсутствие плана реагирования
В момент атаки сотрудники начинают принимать решения хаотично.
Ошибка 6. Надежда на один firewall
При крупной DDoS-атаке проблема может возникнуть еще до того, как трафик попадет на firewall.
Общая модель защиты
Можно представить защиту следующим образом:
Угроза
|
v
+---------------+
| Обнаружение |
+-------+-------+
|
v
+---------------+
| Фильтрация |
+-------+-------+
|
v
+---------------+
| Ограничение |
| нагрузки |
+-------+-------+
|
v
+---------------+
| Резервирование|
+-------+-------+
|
v
+---------------+
| Восстановление|
+---------------+
Главная задача — не обязательно полностью остановить каждую атаку.
Главная задача:
сохранить работоспособность критически важных сервисов и минимизировать последствия атаки.
Заключение
DoS — атака отказа в обслуживании, целью которой является нарушение доступности информационного ресурса.
DDoS — распределенная атака отказа в обслуживании, при которой нагрузка создается большим количеством источников.
DDoS может быть направлена: - на сетевой канал; - сетевое оборудование; - сервер; - сетевой протокол; - конкретное приложение; - отдельный сервис.
Основным свойством информационной безопасности, которому угрожает DDoS, является доступность.
Защита от DDoS должна быть комплексной и может включать: - мониторинг; - фильтрацию трафика; - межсетевые экраны; - ограничение частоты запросов; - ограничение соединений; - сегментацию сети; - балансировку нагрузки; - резервирование; - CDN; - специализированную DDoS-защиту; - взаимодействие с интернет-провайдером; - план реагирования на инциденты.
Важно понимать, что защита от DDoS — это не одна настройка и не одно устройство.
Надежная защита строится как совокупность организационных, программных, аппаратных и сетевых мер, направленных на сохранение работоспособности критически важных сервисов.
Контрольные вопросы
- Что такое отказ в обслуживании?
- Что означает аббревиатура DoS?
- Что означает аббревиатура DDoS?
- В чем основное отличие DoS от DDoS?
- Какие ресурсы информационной системы могут быть целью DoS/DDoS-атаки?
- Почему DDoS прежде всего угрожает доступности информационной системы?
- Что такое ботнет?
- Каким образом скомпрометированные устройства могут использоваться при DDoS-атаке?
- Что такое объемная DDoS-атака?
- Что такое атака на уровне приложения?
- Что означает термин Rate Limiting?
- Для чего используются IDS и IPS?
- Почему обычного межсетевого экрана может быть недостаточно для защиты от крупной DDoS-атаки?
- Зачем при защите от DDoS используются резервирование и сегментация сети?
- Какие основные действия должен предусматривать план реагирования на DDoS-атаку?