Що таке DDoS і як захиститися від атаки?
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: DDoS — це атака, мета якої — перевантажити сайт, сервер або інший інтернет-сервіс трафіком із багатьох джерел, щоб ускладнити або унеможливити користування ним. Вона не обов’язково означає злам чи крадіжку даних: її головна мета — зробити сервіс недоступним. Захист полягає у виявленні та відфільтровуванні шкідливого трафіку, бажано ще до того, як він потрапить до перевантаженої інфраструктури.
У чому полягає атака DDoS?
DDoS — скорочення від Distributed Denial of Service, тобто розподілена відмова в обслуговуванні. Пропускна здатність каналу зв’язку, обчислювальна потужність сервера та кількість з’єднань, які він може обслуговувати одночасно, обмежені. Зловмисник намагається вичерпати принаймні один із цих ресурсів. Через це справжні користувачі отримують повідомлення про помилки, чекають на відповідь або не можуть підключитися.
Це можна порівняти з магазином, вхід і каси якого блокує натовп людей, що не збираються нічого купувати. Магазин і далі існує, але звичайний покупець не може безперешкодно зробити покупки. В інтернеті таке блокування може стосуватися як окремого сайту, так і ігрового сервера, пошти чи інфраструктури оператора.
Слово «розподілена» означає, що атака використовує багато джерел трафіку. Часто для цього слугує ботнет — мережа пристроїв, над якими злочинці отримали контроль, наприклад комп’ютерів, маршрутизаторів і камер. Атака також може використовувати сторонні сервери, які змушують надсилати відповіді на адресу жертви. Отже, не кожен пристрій, що бере участь у такому трафіку, обов’язково заражений.
DoS — загальна назва атак, що спричиняють відмову в обслуговуванні; DDoS — їхній розподілений різновид. Блокування однієї адреси IP, тобто адреси пристрою або мережевого вузла, зазвичай недостатньо, щоб зупинити атаку з багатьох джерел.
Що саме може бути перевантажено?
Не кожна атака DDoS зводиться до передавання величезної кількості даних. Найчастіше розрізняють три види атак:
- Об’ємні атаки перевантажують канал зв’язку великим обсягом трафіку. Навіть потужний сервер не допоможе, якщо з’єднання справжніх користувачів не можуть до нього дістатися.
- Атаки на мережеві механізми вичерпують ресурси, потрібні для обслуговування з’єднань, наприклад на сервері або в пристрої захисту мережі.
- Атаки на застосунок навантажують конкретні функції сайту, як-от пошук товарів чи створення звітів. Вони можуть нагадувати звичайні відвідування й не потребують такої великої пропускної здатності.
Наприклад, інтернет-магазин може швидко показувати готові зображення, але значно повільніше виконувати складний пошук у каталозі. Масове звернення до цієї функції може перевантажити базу даних, хоча пропускна здатність самого каналу залишатиметься невичерпаною. Тому захист потрібно добирати відповідно до того ресурсу, який насправді стає вузьким місцем.
Як відрізнити DDoS від збою або великого попиту?
Повільна робота сайту не є доказом атаки. Подібні симптоми можуть спричинити успішна рекламна кампанія, помилка застосунку, проблеми з базою даних або збій хостингу. Підозру на DDoS посилюють лише додаткові ознаки: незвичне зростання кількості з’єднань, повторювані запити до однієї функції чи попередження від постачальника захисту.
Перевірте дані моніторингу доступності, статистику трафіку та журнали — записи подій і запитів, які обслуговує сервер. Зіставте час погіршення роботи із запуском реклами, змінами конфігурації та повідомленнями оператора. Кількість переглядів в аналітичному інструменті може не відображати всього масштабу атаки, адже частина шкідливого трафіку не запускає аналітичний код сайту.
Сама атака DDoS не підтверджує витоку даних, але й не виключає його. Якщо водночас відбуваються невідомі входи в систему або зміни файлів, розглядайте їх як окремі ознаки можливого порушення безпеки.
Як зменшити ризик і підібрати захист?
Основою є захист, який фільтрує трафік до його надходження на сервер: у мережі оператора або в спеціалізованому сервісі. Локальний міжмережевий екран може відхиляти запити, але не звільнить пропускної здатності каналу, який атака вже перевантажила.
CDN — мережа серверів, які виступають посередниками в доставленні вмісту, — може зменшити навантаження на сайт і надавати функції захисту від DDoS. WAF — міжмережевий екран для вебзастосунків — допомагає фільтрувати підозрілі запити до сайту. Проте ці засоби захисту не взаємозамінні й не гарантують стійкості до атак: значення мають обсяг послуги, конфігурація та вид атаки.
Перш ніж обрати хостинг або додатковий захист, перевірте в актуальній документації постачальника:
- чи захист охоплює лише сайти WWW, чи також інші сервіси, якими ви користуєтеся;
- чи вмикається він автоматично та як повідомити про атаку, що триває;
- які діють ліміти, винятки з покриття та можливі платежі;
- чи може оператор під час атаки заблокувати трафік до захищеної адреси, щоб убезпечити свою мережу.
Якщо ви використовуєте захисний сервіс-посередник, прямий доступ до вихідного сервера потрібно обмежити відповідно до рекомендацій цього сервісу. Інакше зловмисник зможе обійти фільтр. Резервні копії допомагають відновити дані після інших інцидентів, але самі по собі не зупиняють DDoS.
Що робити, коли сервіс перестає працювати?
Насамперед зв’яжіться з хостинг-провайдером або постачальником захисту. Повідомте час виникнення проблеми, уражені сервіси, симптоми та наявні результати вимірювань. Попросіть підтвердити причину й увімкнути відповідну фільтрацію.
У разі атаки на застосунок іноді допомагає тимчасове обмеження кількості запитів або вимкнення функції, яка потребує особливо багато ресурсів. Однак такі дії можуть ускладнити користування і справжнім клієнтам. Наприклад, обмеження пошуку товарів може зменшити навантаження на магазин, але надто суворий фільтр заблокує частину покупців.
Не вважайте перезапуск сервера чи придбання додаткових потужностей гарантованим розв’язанням проблеми. Збережіть журнали, записуйте внесені зміни та повідомляйте користувачів через незалежний канал. Якщо сервіс зараз працює належно, підготуйте вже тепер один конкретний елемент плану: контакт оператора для екстреного зв’язку разом із процедурою повідомлення про атаку.
Читайте також
