Ena najbolj perečih težav današnjega interneta so napadi DDoS. Z botneti je napad mogoče sprožiti razmeroma poceni, ker pa pri napadenem ponudniku napadalski promet prispe v velikih količinah, njegovo filtriranje (tako, da storitve ves čas ostanejo dosegljive) ni nujno preprosto.

Video: Kako deluje DDoS oziroma napad s preobremenitvijo? (altTech, v madžarščini)

Kako prepoznaš napad za zavrnitev storitve (DDoS)?

Da bi napad lahko odbil, moraš vedeti, kaj prihaja nadte. Če opaziš poskus, da bi z neželenim prometom obremenili strežnik (fizični strežnik ali VPS), storitev ali omrežje in tako motili njegovo redno delovanje, imaš opravka s porazdeljenim napadom za zavrnitev storitve (DDoS).

Napad DDoS poskuša dostop do strežnika (ali samo storitev) onemogočiti tako, da ustvari veliko količino zlonamernega internetnega prometa, ki preobremeni razpoložljive vire tarče. Da bi takšne napade preprečili in zagotovili največjo razpoložljivost, uporabljamo rešitve za filtriranje prometa.

Kako je videti napad?

Predstavljaj si, da proti VPS s pasovno širino 1000 Mb/s steče 2000 Mb/s prometa UDP. Hitro je jasno, da je napadalskega prometa že sam po sebi več, kot je razpoložljive pasovne širine do VPS, pa to še ne vključuje pasovne širine, ki jo potrebuje običajni promet.

Napade DDoS je pogosto težko ublažiti, ker te običajno napade eno ali več omrežij botnet. Botnet sestavlja veliko okuženih sistemov, običajno računalnikov nič hudega slutečih ljudi, zato se boj z njim samim večinoma izkaže za brezploden.

Kako obvladujemo napade DDoS?

V naši infrastrukturi sta za obvladovanje dohodnih napadov na voljo dve rešitvi, ki zmanjšata učinek DDoS: manj drastično filtriranje prometa ali nad določeno ravnjo usmerjanje v nič (null routing, RTBH).

Usmerjanje v nič (null routing) omogoča, da neželeni promet hitro zavržemo, še preden pride v naše omrežje. Čeprav ta metoda učinkovito ščiti našo infrastrukturo, napadeni naslov IP praktično odreže od interneta, s tem pa tudi storitve, ki tečejo na njem, tako da te postanejo nedosegljive. Napadalec na koncu doseže svoj cilj. Zato se te metode poslužimo le v skrajnem primeru.

V nekaterih primerih je mogoče v nič usmeriti le promet, ki prihaja iz določenih smeri, in tako onesposobiti napadalski promet.

Filtriranje prometa je naprednejša zaščita DDoS za naše storitve. Poskuša ustaviti le zlonamerni promet, namesto da bi zavrglo vsega. Zlonamerni promet prepoznamo s pregledovanjem paketov, ki potujejo skozi našo infrastrukturo.

V prvem koraku se na podlagi vnaprej nastavljenega nabora pravil zavrže ves promet, ki za našo storitev ni potreben. Pri spletnem strežniku je na primer mogoče zavreči pakete UDP, ne da bi spletna stran postala nedosegljiva. Če to samo po sebi ne zadošča, naš samodejni sistem poskuša izločiti promet, ki je sumljiv, očitno prihaja s ponarejenega izvornega naslova IP ali pa je njegov vzorec preveč enoličen za naključnost običajnega prometa.

Skratka, naš sistem poskuša napad DDoS, dokler je to tehnično mogoče, odbiti tako, da storitve naših strank ne izpadejo in se ne upočasnijo bistveno.

• kibernetska varnost
• razpoložljivost
• vps
• internet