DDoS нападот не започнува едноставно со „многу посетители“ на една веб-страница. Зад нападот обично стои координирана мрежа од уреди, автоматизирани барања и техники чија цел е да се искористат ограничените ресурси на серверот, мрежата или веб-апликацијата.

Кога бројот на барања или количината на сообраќај ќе ја надмине способноста на инфраструктурата да ги обработи, легитимните корисници почнуваат да забележуваат забавување, грешки или целосна недостапност на услугата. – Sectigo® Official

Во овој текст ќе објасниме како функционира DDoS нападот чекор по чекор, од создавањето на ботнетот до моментот кога целниот сервер веќе не може нормално да одговара на барањата.

---

1. Избор на цел

Првиот чекор е изборот на системот што ќе биде цел на нападот.

Тоа може да биде:

• веб-страница;
• веб-сервер;
• мрежна инфраструктура;
• API услуга;
• онлајн апликација;
• DNS или друга интернет услуга.

Напаѓачот избира цел која сака да ја направи недостапна или значително да ѝ ги намали перформансите.

Целта не мора секогаш да биде целосно „паѓање“ на серверот. Доволно е ресурсите да се потрошат до степен легитимните корисници да не можат нормално да ја користат услугата.

---

2. Создавање на ботнет

Една од клучните карактеристики на DDoS нападите е нивната дистрибуирана природа.

Наместо барањата да доаѓаат од еден компјутер, напаѓачот може да користи голем број компромитирани уреди.

Таквата мрежа се нарекува ботнет.

Ботнет може да содржи различни видови уреди:

• компјутери;
• сервери;
• рутери;
• IoT уреди;
• камери;
• паметни уреди;
• мобилни уреди.

Уредите може да бидат компромитирани преку малициозен софтвер, незаштитени системи или слаби лозинки, по што напаѓачот добива можност далечински да ги контролира. – Sectigo® Official

Важно е да се разбере дека сопствениците на овие уреди често воопшто не знаат дека нивниот уред е дел од ботнет.

---

3. Координација на ботнетот

Откако ќе биде формирана мрежата од компромитирани уреди, тие можат да бидат координирани за истовремено да испраќаат сообраќај кон избраната цел.

На тој начин, наместо серверот да добие неколку барања од еден клиент, може да добие огромен број барања од голем број различни извори.

Ова е токму причината поради која DDoS нападите се потешки за блокирање со едноставно правило како:

„Блокирај ја IP адресата на напаѓачот.“

Кај дистрибуиран напад нема нужно една IP адреса која може да се блокира и со тоа да заврши нападот. – CloudSEK

---

4. Испраќање на малициозниот сообраќај

Во следната фаза компромитираните уреди почнуваат да испраќаат голем број барања или мрежен сообраќај кон целта.

Во зависност од типот на нападот, може да бидат користени различни протоколи и механизми, како што се HTTP, TCP или UDP. – CloudSEK

Нападот може да биде насочен кон различни нивоа од инфраструктурата.

На пример:

Мрежа → сервер → веб-сервер → апликација → база на податоци

Ако нападот е насочен кон апликацискиот слој, дури и релативно мал број барања може да создадат големо оптоварување доколку секое барање бара значителна обработка.

---

5. Исцрпување на серверските ресурси

Ова е моментот во кој DDoS нападот почнува директно да влијае врз перформансите.

Серверот располага со ограничени ресурси:

• CPU
• RAM
• мрежен bandwidth
• број на истовремени конекции
• connection tables
• ресурси на веб-серверот
• ресурси на апликацијата
• ресурси на базата на податоци

Кога барањата се премногу бројни или премногу „скапи“ за обработка, овие ресурси постепено се исцрпуваат.

Последицата може да биде:

повисоко CPU оптоварување → поголемо доцнење → timeout → HTTP грешки → недостапна веб-страница

CloudSEK го опишува овој процес како преминување од пополнување на bandwidth и connection ресурси до исцрпување на CPU и меморија, по што услугите стануваат бавни или престануваат да одговараат. – CloudSEK

---

6. Легитимните корисници почнуваат да имаат проблеми

Една од најважните работи кај DDoS нападот е тоа што легитимниот корисник не е напаѓачот.

Корисникот може нормално да ја внесе адресата:

https://primer.com

Но, ако инфраструктурата е преоптоварена, барањето може:

• да чека предолго;
• да добие timeout;
• да добие HTTP грешка;
• да ја отвори страницата многу бавно;
• воопшто да не стигне до апликацијата.

Од перспектива на корисникот, веб-страницата едноставно „не работи“. – Sectigo® Official

---

7. Зошто DDoS нападот е различен од обичен голем број посетители?

Ова е особено важно.

Не секој голем сообраќај е DDoS напад.

На пример, веб-страница може ненадејно да добие огромен број вистински посетители поради:

• објава на социјалните мрежи;
• медиумска покриеност;
• вирусна содржина;
• рекламна кампања;
• промоција.

И во двата случаи серверот може да види нагло зголемување на сообраќајот.

Разликата е во однесувањето на сообраќајот.

Кај легитимен сообраќај обично постои природно однесување на корисниците, додека кај DDoS може да се забележат повторливи барања, ненормални шаблони, концентрирање кон одредени URL адреси или други карактеристики што отстапуваат од вообичаениот сообраќај. – Columbia SC | Bristeeri Technologies

Затоа, за правилно препознавање на нападот е важно да постои нормална сообраќајна база (baseline) со која може да се спореди моменталното однесување.

---

8. DDoS нападите можат да користат различни методи

Не постои само еден начин на кој се изведува DDoS напад.

Во зависност од целта, нападот може да се насочи кон различни ресурси.

Volumetric напади

Целта е да се потроши достапниот мрежен bandwidth со огромна количина сообраќај.

Protocol напади

Целта се мрежните протоколи и ресурсите потребни за одржување на конекциите.

Application Layer напади

Целта е веб-апликацијата или конкретна услуга. Барањата може да изгледаат релативно нормално, но да бараат голема серверска обработка. – Sectigo® Official

Постојат и multi-vector напади, каде што истовремено се комбинираат повеќе техники. – CloudSEK

За секој од овие типови ќе направиме посебни статии во DDoS.mk.

---

9. Како се препознава DDoS напад?

Самото забавување на веб-страницата не е доволно за да се заклучи дека станува збор за DDoS.

Слични симптоми може да предизвикаат:

• хардверски проблем;
• софтверска грешка;
• преоптоварена база;
• лоша конфигурација;
• проблем со мрежата;
• премногу легитимни посетители.

Затоа се анализираат повеќе показатели.

Некои од најважните се:

Ненадеен скок на сообраќај
Нагло зголемување на бројот на барања или конекции.

Необични шаблони на барања
Голем број повторливи барања кон исти ресурси.

Зголемено CPU и RAM оптоварување
Серверот троши значително повеќе ресурси од вообичаено.

Timeout и HTTP грешки
Корисниците почнуваат да добиваат грешки или страницата не се вчитува.

Зголемен број на активни конекции
Мрежните и серверските ресурси се исполнуваат со нови конекции.

Модерните системи за мониторинг и DDoS заштита ги комбинираат овие сигнали за да разликуваат нормален сообраќаен скок од потенцијален напад. – Columbia SC | Bristeeri Technologies

---

10. Што се случува кога нападот ќе заврши?

Ако нападот успешно го преоптовари системот, услугата може да биде:

• значително забавена;
• делумно недостапна;
• целосно недостапна.

Последиците не се само технички.

За бизнисот тоа може да значи:

• изгубени посетители;
• прекин на продажбата;
• недостапност на онлајн услуги;
• нарушено корисничко искуство;
• финансиски загуби;
• нарушена репутација.

Кај некои напади, DDoS може да се користи и како одвлекување на вниманието, додека паралелно се обидува друг тип на компромитирање или злоупотреба. – CloudSEK

---

11. Како се запира DDoS напад?

Заштитата не треба да се темели на еден единствен механизам.

Во зависност од типот на нападот, може да се користат:

• Firewall;
• Rate Limiting;
• WAF;
• CDN;
• Anycast мрежи;
• филтрирање на сообраќај;
• мониторинг и anomaly detection;
• cloud-based DDoS mitigation;
• load balancing;
• redundant инфраструктура.

Кај големи volumetric напади, сообраќајот може да се филтрира пред да стигне до серверот, преку дистрибуирана инфраструктура за апсорбирање и прочистување на сообраќајот. Кај application-layer нападите, WAF и анализа на однесувањето можат да имаат многу поголема улога. – CloudSEK

Ова е и причината зошто само firewall не е доволен за секој DDoS напад. – CloudSEK

---

Заклучок

DDoS нападот може да се поедностави како процес во неколку чекори:

Компромитирани уреди → ботнет → координиран сообраќај → преоптоварување на ресурси → забавување или прекин на услугата

Но, реалните DDoS напади можат да бидат многу посложени.

Тие можат да таргетираат bandwidth, мрежни протоколи, серверски ресурси или самата веб-апликација. Поради тоа, успешната заштита бара комбинација од мониторинг, филтрирање, правилна архитектура и соодветни DDoS mitigation механизми. – Sectigo® Official

Во следните статии ќе ги разгледаме одделно различните типови DDoS напади и механизмите со кои може да се препознаат и ублажат.

Користени извори

1. Sectigo – How A DDoS Attack Works And How To Prevent Them
2. RiskRecon – Understanding DDoS Attacks and How They Work 
3. Bristeeri Technologies – Understanding and Preventing DDoS Attacks
4. CloudSEK – What Is a DDoS Attack and How Does It Work?