Що таке пом’якшення DDoS?

Атака розподіленого відмови в обслуговуванні (DDoS) – одна з найбільш згубних загроз у ландшафті кіберзагроз. Уряди, багатонаціональні корпорації та приватні мережі піддалися атаці DDoS. Існує незліченна кількість способів здійснення нападів. Найгірше, що ці напади не обов’язково потребують експертної спроможності хакера знятися.

Мета будь-якої організації, незалежно від її розміру, повинна полягати в тому, щоб зменшити загрозу цих атак. Тільки, як це можна досягти?

Стратегії пом’якшення DDoS.

Щоб зрозуміти пом’якшення DDoS, спочатку слід зрозуміти атаку DDoS та її варіанти. Покладіть просто; DDoS-атака прагне відключити мережу, перевантаживши її трафіком. Це може приймати різні форми, від неправильно сформованих пакетів, що заливаються a UDP протокол, для надсилання часткових запитів HTTP, поки законний трафік не буде доступний.

Що робить DDoS пом’якшення настільки складне в даний час – складність нападу. У минулому був час, що DDoS атакує лише цільові верхні шари моделі взаємодії з відкритими системами (OSI). Такі шари включали транспортний та мережевий сегменти. Однак тепер DDoS-атаки розвинулися так, що вони можуть націлювати на нижчі рівні (особливо на прикладний шар). Це дає синім командам SysAdmins та кібербезпеки (експертам, орієнтованим на оборону) набагато більше уваги до своїх стратегій пом’якшення DDoS..

Існує чотири основні компоненти будь-якої хорошої стратегії пом’якшення DDoS. Ці компоненти є Виявлення, Реакція, Маршрутизація, і Адаптація. Давайте детальніше розглянемо кожну з цих стратегій пом’якшення наслідків.

Виявлення

Перший етап стратегії пом’якшення наслідків має на меті визначити, який трафік є законним, і, навпаки, який трафік шкідливий. Не може скластись ситуація, коли нешкідливих користувачів випадково заблокують веб-сайт.

Цього можна уникнути, якщо вести постійний журнал IP-адреса в чорному списку адреси. Хоча це все ще може завдати шкоди невинним користувачам, таким як ті, які використовують проксі-IP або TOR для безпеки, це все-таки гідний перший крок. Блокувати IP-адреси досить просто, але це лише одна частина стратегії виявлення.

Далі, виявляючи DDoS-атаку, ваша організація повинна знати, що типовий потік трафіку щодня. Крім того, це допомагає мати показник у дні великого трафіку, тому існує базовий показник. Це допоможе відрізнити аномально високий приплив трафіку від минулого досвіду з “законно” великим трафіком.

Реакція

Якщо ваше виявлення надійне, реакція на триваючу DDOS-атаку повинна бути автоматичною. Для цього, швидше за все, знадобиться стороння послуга, яка спеціалізується на профілактиці DDoS. Ручне налаштування реакцій DDoS більше не рекомендується. Причиною цього є те, що кіберзлочинці розібралися в багатьох методах.

При сильній захисті DDoS крок реакції негайно почне блокувати шкідливий трафік. Він зрозуміє, що великий потік трафіку створюється зомбі-пристроями на ботнеті. Ця фільтрація повинна почати послаблювати атаку. Відповідь залежить від можливостей провайдера. В ідеалі служба захисту використовуватиме поєднання методів у своїй методиці. Крім згаданого раніше Чорний список IP-адрес, повинна бути можливість перевіряти пакети, а також брати участь у обмеженні швидкості.

Маршрутизація

Маршрутизація бере на себе решту трафіку, який неможливо було обробити на етапі автоматичної реакції. Мета – розбити трафік і тримати його подалі від націлених серверів. Є дві основні стратегії маршрутизації.

Перший з них – це Маршрутизація DNS. Це справді ефективно лише при DDoS-атаках, які орієнтуються на прикладний рівень OSI-моделі. Це означає, що навіть якщо ви замаскуєте справжню IP-адресу, атака все одно буде успішною. Маршрутизація DNS змушує перенаправляти зловмисний трафік на вашу службу захисту DDoS “постійно”. Він візьме на себе навантаження атаки, тим самим дозволить отримати доступ до сервера лише законним трафіком. Це робиться шляхом зміни запису CNAME та A. Запис A вказує на конкретну IP-адресу, тоді як CNAME створює псевдонім для тієї самої IP-адреса.

Друга стратегія маршрутизації називається маршрутизацією протоколу прикордонного шлюзу. Це вручну конфігурація, яка змушує весь зловмисний трафік, який націлений на мережевий рівень, вашому постачальнику пом’якшення. Це змусить знищити трафік DDoS, принаймні, здебільшого. Як було сказано раніше, ручна конфігурація має свої проблеми. Це повільніше, і, як результат, це може дозволити зловмисному трафіку дістатися до цільового сервера.

Адаптація

Це більш-менш посмертний аналіз DDoS-атаки. Це частина стратегії пом’якшення наслідків, яка прагне дізнатися, що було зроблено і правильно, і неправильно. Це означає проаналізувати джерело нападу, побачити, що було дозволено, намагаючись з’ясувати, наскільки швидко розгортаються захисні сили, і головне, як запобігти цій атаці зі стовідсотковою ефективністю в майбутньому.

Пом’якшення DDoS є складним. Коли атаки продовжують розвиватися, кібербезпека, на жаль, завжди буде на крок позаду. Не можна боротися з ворогом; вони ще не розуміють. Тільки після того, як нові поверхні вектора атаки можуть бути побудовані захисними. Проте впровадження сильних методів пом’якшення DDoS може заощадити вашій організації багато потенційного втраченого часу та грошей.

Дізнайтеся більше про DDoS