Што претставува DDoS напад, како функционира, кои се најчестите типови и како влијае врз веб-страниците, серверите и онлајн услугите.

Што е DDoS напад?

DDoS е кратенка од Distributed Denial-of-Service, односно дистрибуиран напад за оневозможување на услугата.

Станува збор за сајбер-напад чија цел е да го наруши нормалното функционирање на сервер, веб-страница, мрежа или онлајн услуга преку испраќање голем број барања или друг вид малициозен сообраќај.

Кога системот ќе биде изложен на количество сообраќај или барања што не може да ги обработи, неговите ресурси може да се исцрпат. Како резултат, веб-страницата може значително да забави, да стане недостапна или целосно да престане да одговара на легитимните корисници. – Cloudflare

Еден едноставен пример е да замислиме продавница со ограничен број вработени. Ако во нормални услови доаѓаат десет купувачи, вработените можат да ги услужат. Но, ако одеднаш пристигнат илјадници луѓе и сите бараат услуга во ист момент, капацитетот на продавницата се надминува.

Слично функционира и DDoS нападот — целта не е нужно да се „скрши“ серверот, туку да се преоптовари неговиот капацитет.

Што значи „Distributed“?

Клучниот збор во DDoS е Distributed – дистрибуиран.

Кај класичен DoS (Denial-of-Service) напад, сообраќајот може да потекнува од еден извор. Кај DDoS нападот, сообраќајот доаѓа од голем број различни уреди или мрежни извори, што го прави нападот потежок за препознавање и блокирање. – Cloudflare

Напаѓачот често користи мрежа од компромитирани уреди позната како botnet.

Botnet може да содржи:

• компјутери;
• сервери;
• мобилни уреди;
• IoT уреди;
• други уреди поврзани на интернет.

Уредите во botnet мрежата се нарекуваат ботови или зомби, а напаѓачот може далечински да им испраќа инструкции. – Cloudflare

Како функционира DDoS напад?

На поедноставено ниво, процесот може да се прикаже вака:

Напаѓач → Botnet → Интернет → Целен сервер → Преоптоварување

Прво, напаѓачот обезбедува контрола врз голем број уреди или користи веќе постоечка инфраструктура. Потоа, уредите се насочуваат кон целниот сервер или услуга и започнуваат да испраќаат голем број барања или мрежни пакети.

Кога бројот на барања ќе го надмине капацитетот на системот, ресурсите почнуваат да се трошат на обработка на сообраќајот од нападот наместо на нормалните кориснички барања. Cloudflare

На пример:

Легитимен корисник
        │
        ▼
    Веб-страница
        │
        ▼
      Сервер
        ▲
        │
 ┌──────┼──────┐
 │      │      │
Bot    Bot    Bot
 │      │      │
 └──────┼──────┘
        │
      Botnet

Во нормална ситуација серверот има доволно ресурси за обработка на легитимните барања.

При DDoS нападот, голем број дополнителни барања пристигнуваат истовремено и го зголемуваат оптоварувањето.

Што се случува со серверот за време на DDoS напад?

Последиците зависат од видот и интензитетот на нападот, но може да се појават:

• зголемено CPU оптоварување;
• зголемена потрошувачка на RAM;
• исцрпување на мрежниот bandwidth;
• голем број активни конекции;
• зголемен број HTTP requests;
• забавување на апликацијата;
• timeout грешки;
• недостапност на веб-страницата;
• преоптоварување на firewall или load balancer.

Особено кај веб-апликациите, проблемот не мора секогаш да биде огромното количество bandwidth. Понекогаш релативно мал број, но ресурсно скапи барања, може да предизвикаат сериозно оптоварување на серверот. – Cloudflare

Кои се главните типови DDoS напади?

DDoS нападите можат да се класифицираат на различни начини. Една од најчестите поделби е на три главни категории:

1. Volumetric напади

Целта е да се создаде огромен волумен на сообраќај и да се потроши достапниот мрежен bandwidth.

Нападот може да испрати толку големо количество податоци кон целта што мрежната инфраструктура повеќе не може нормално да го пренесува легитимниот сообраќај. – Cloudflare

2. Protocol напади

Овие напади се насочени кон мрежните протоколи и ресурсите на мрежната инфраструктура.

Може да бидат погодени:

• сервери;
• firewall уреди;
• load balancers;
• други мрежни компоненти.

Cloudflare ги поврзува protocol нападите со Layer 3 и Layer 4 од мрежниот протоколен стек. – Cloudflare

3. Application Layer напади

Овие напади се насочени кон апликацискиот слој, односно кон начинот на кој веб-серверот обработува барања.

Пример е HTTP Flood, каде голем број HTTP барања се испраќаат кон веб-серверот.

Особено проблематично е тоа што едно HTTP барање може да бара значителни серверски ресурси за обработка. Затоа и релативно помал сообраќај може да има сериозно влијание врз апликацијата. – Cloudflare

DDoS не значи секогаш „огромен број посетители“

Ова е важна разлика.

Од гледна точка на серверот, DDoS нападот може на прв поглед да изгледа како ненадеен пораст на посетители.

Но, голем сообраќај сам по себе не значи дека станува збор за DDoS напад.

На пример, веб-страница може легитимно да добие голем број посетители поради:

• вирусен напис;
• телевизиска емисија;
• рекламна кампања;
• промоција;
• споделување на социјални мрежи;
• голем настан.

Затоа при анализа треба да се разгледа однесувањето на сообраќајот, а не само неговиот волумен.

Кај DDoS напад може да се забележат невообичаени обрасци на барања, нагли сообраќајни пикови или необично однесување во серверските логови. Cloudflare на пример, како знаци на напад наведува ненадејни скокови во requests/bandwidth и необични барања во origin серверските логови. – Cloudflare Docs

Како DDoS нападот влијае врз бизнисот?

Последиците не се ограничуваат само на техничките проблеми.

Ако веб-страницата или онлајн услугата е недостапна, може да настанат:

Финансиски загуби

Корисниците не можат да купуваат производи, да резервираат услуги или да користат онлајн платформа.

Загуба на доверба

Долготрајната недостапност може да создаде негативен впечаток кај корисниците.

Нарушување на работата

Кај компании кои зависат од веб-апликации, нападот може да го наруши секојдневното работење.

Репутациска штета

Повторливи проблеми со достапноста може да влијаат врз репутацијата на организацијата.

IBM истакнува дека DDoS нападите можат да доведат до прекини на услугите, изгубени приходи и репутациска штета. – IBM

Дали DDoS нападот може да биде дел од друг напад?

Да.

DDoS нападот понекогаш не мора да биде единствената цел на напаѓачот. Може да се користи како одвлекување на вниманието додека се извршува друга злонамерна активност.

На пример, додека тимот за безбедност е концентриран на справување со огромниот број барања, напаѓачот може да се обиде да изврши друга активност врз инфраструктурата.

Затоа DDoS инцидентот треба да се третира како безбедносен настан, а не само како проблем со перформансите. IBM го наведува токму овој тип сценарио како една од можните употреби на DDoS нападите. – IBM

Како се ублажува DDoS напад?

Целта на DDoS mitigation е да се намали влијанието на нападот и да се овозможи легитимниот сообраќај да продолжи да ја користи услугата.

Постојат различни техники, зависно од типот на нападот и инфраструктурата.

Некои од нив се:

• Rate limiting – ограничување на бројот на барања во одреден временски период;
• WAF (Web Application Firewall) – филтрирање на сообраќај според дефинирани правила;
• CDN – распределување и апсорбирање на сообраќајот преку дистрибуирана инфраструктура;
• Anycast мрежи – распределување на сообраќајот на повеќе точки;
• Firewall правила;
• Blackhole routing во специфични сценарија;
• мониторинг и анализа на сообраќајот.

Изборот на мерките зависи од тоа каков напад се случува, што се заштитува и каква инфраструктура е достапна. – Cloudflare

На DDoS.mk овие техники ќе ги обработуваме одделно во следните статии.

Заклучок

DDoS нападот претставува сериозна закана за достапноста на веб-страниците, серверите и онлајн услугите. Наместо директно да ја наруши функционалноста на системот, напаѓачот може да се обиде да ги исцрпи неговите достапни ресурси преку голем број барања или друг вид малициозен сообраќај.

Разбирањето на како функционира DDoS нападот, од каде доаѓа сообраќајот и кој дел од инфраструктурата е цел, е првиот чекор кон правилен избор на мерки за заштита.

Во следните статии на DDoS.mk ќе ги разгледаме подетално различните видови DDoS напади, нивните карактеристики, начинот на препознавање и техниките за нивно ублажување.

Извори за статијата:

Cloudflare Learning Center,

IBM Think

Coursera – DDoS Attack