Что такое DDoS-атака? Объяснение для нетехнических пользователей

Ваш сайт внезапно остановился. Клиенты не могут попасть в Ваш интернет-магазин, а расстроенные посетители уходят с Вашего сайта к конкурентам. Возможно, Вы подверглись DDoS-атаке — одной из самых разрушительных киберугроз, нависших над бизнесом сегодня.

Распределенные атаки типа “отказ в обслуживании” стали более частыми и серьезными, и киберпреступники наносят скоординированные удары по компаниям любого размера. Мы объясним, что именно представляют собой DDoS-атаки, как они работают, и расскажем о практических шагах по защите Вашего бизнеса от этих все более распространенных цифровых угроз.

---

Оглавление

1. Что такое DDoS-атака?
2. Как работают DDOS-атаки?
3. Типы DDoS-атак
4. Как распознать DDoS-атаку?
5. Стратегии смягчения и защиты от DDoS

---

Что такое DDoS-атака?

DDoS-атака (Distributed Denial of Service — распределенный отказ в обслуживании) нарушает работу веб-сайта или сервера, переполняя его трафиком из множества источников. Злоумышленники используют сети зараженных компьютеров (ботнеты), чтобы завалить цель запросами, вызывая замедление или полное прекращение работы, и делая услуги недоступными для законных пользователей.

Ключевое слово здесь —“распределенные”. В отличие от простой атаки типа “отказ в обслуживании” (DoS), которая исходит из одного источника, DDoS-атаки исходят из множества точек по всему миру, что делает их гораздо более мощными и сложными для пресечения. Киберпреступники достигают такого масштаба, захватывая тысячи или даже миллионы подключенных к Интернету устройств, чтобы создать так называемую бот-сеть.

Ботнеты включают в себя взломанные компьютеры, смартфоны, “умные” телевизоры, камеры и другие устройства, подключенные к Интернету. Большинство владельцев не знают, что их устройства используются для атак.

Как только бот-сеть готова, злоумышленники запускают поток запросов на подключение от этих зомби-устройств, быстро потребляя пропускную способность и вычислительные мощности цели.

Наводнение трафика перегружает серверы несколькими способами. Поскольку веб-серверы могут обрабатывать только ограниченное количество запросов в секунду, скоординированные потоки трафика могут вывести их из строя или замедлить их работу.

Что делает DDoS-атаки опасными, так это их способность одновременно атаковать различные уровни Вашей сетевой инфраструктуры. Злоумышленники могут перегрузить Вашу пропускную способность, исчерпать ресурсы сервера или использовать специфические уязвимости кибербезопасности в Ваших приложениях.

Такой многосторонний подход делает защиту сложной и требует комплексных мер сетевой безопасности для эффективного противодействия.

---

Как работают DDOS-атаки?

Хакеры осуществляют DDoS-атаки с помощью сложного процесса, который начинается за несколько месяцев до того, как Вы заметите что-то неладное. Сначала они собирают свой арсенал, сканируя Интернет в поисках уязвимых устройств, особенно гаджетов Интернета вещей (IoT), таких как умные дверные звонки, wifi-роутеры и подключенные бытовые приборы, которые часто поставляются с паролями по умолчанию или слабыми настройками безопасности.

Как только злоумышленники определяют эти цели, они развертывают вредоносное ПО, которое тихо проникает в устройства, не оповещая владельцев. Это заражение происходит беззвучно в фоновом режиме. Вредоносная программа устанавливает канал связи с командно-контрольными серверами злоумышленников, превращая каждое зараженное устройство в дистанционно управляемое оружие.

Когда киберпреступники готовы нанести удар, они посылают скоординированные команды своей армии взломанных устройств. Эти команды запускают одновременные попытки подключения с использованием поддельных IP-адресов — фальшивых обратных адресов, которые делают отслеживание настоящего источника практически невозможным. Каждое зараженное устройство кажется выполняющим легитимные запросы, но общий объем создает неудержимое цифровое цунами.

Недавние громкие инциденты демонстрируют, каких разрушительных масштабов могут достигать эти атаки. В феврале 2020 года Amazon Web Services столкнулся с рекордной атакой, пиковая скорость которой достигла 2,3 терабита в секунду — пропускной способности, достаточной для одновременной загрузки тысяч фильмов. Двумя годами ранее GitHub пережил массированную атаку, достигшую 1,35 терабита в секунду, прежде чем сработали их системы защиты.

IoT-устройства стали главными мишенями, поскольку производители часто отдают предпочтение удобству, а не безопасности. Многие пользователи никогда не меняют стандартные учетные данные для входа в систему, в результате чего миллионы “умных” устройств становятся уязвимыми для эксплуатации.

По мере того, как дома и на предприятиях появляется все больше подключенных гаджетов, злоумышленники получают доступ ко все более мощным бот-сетям, способным совершать разрушительные нападения на любые выбранные ими онлайн-цели.

---

Типы DDoS-атак

DDoS-атаки делятся на три основных типа, каждый из которых нацелен на разные части Вашей системы. Знание того, как они работают, поможет Вам реагировать более эффективно.

1. Объемные атаки

Объемные атаки направлены на потребление всей доступной полосы пропускания (количество данных, передаваемых по сети за определенное время) между Вашим сайтом и Интернетом. Эти атаки генерируют огромные объемы данных, чтобы превысить пропускную способность Вашего соединения, подобно пробке, перекрывающей шоссе.

Усиление DNS — наиболее распространенная техника объемных атак. Злоумышленники используют публичные DNS-серверы отправляя небольшие запросы с поддельным IP-адресом Вашего сайта в качестве обратного адресата. DNS-сервер отвечает гораздо большими пакетами данных, иногда в 70 раз превышающими исходный запрос.

Это похоже на розыгрыш с заказом доставки пиццы на чужой адрес, только тысячи пицц одновременно прибывают на порог жертвы.

2. Атаки на протокол

Атаки по протоколу используют слабые места в правилах сетевого взаимодействия, чтобы исчерпать ресурсы сервера. Они атакуют системы, управляющие соединениями устройств.

SYN flood (синхронизация — первый шаг при запуске TCP-соединения) прекрасно иллюстрирует этот тип атаки. Когда Ваш компьютер подключается к веб-сайту, он выполняет трехэтапный процесс рукопожатия, используя протокол управления передачей (TCP).

Злоумышленники отправляют тысячи запросов на соединение, но никогда не завершают последний шаг рукопожатия. Ваш сервер держит эти незавершенные соединения открытыми, ожидая ответов, которые так и не приходят. В конце концов, все доступные слоты для соединений заполняются, не позволяя легитимным пользователям получить доступ к Вашему сайту.

3. Атаки на прикладном уровне

Атаки на уровне приложений направлены на конкретное программное обеспечение, на котором работает Ваш сайт или веб-приложение. Эти атаки имитируют поведение пользователя, что делает их обнаружение чрезвычайно сложным.

Хакеры используют HTTP flood-атаки, чтобы перегрузить Ваш веб-сервер из нескольких источников. Они имитируют тысячи пользователей, одновременно обновляющих Вашу домашнюю страницу. Каждый запрос заставляет Ваш сервер обрабатывать запросы к базе данных, загружать файлы и генерировать ответы, быстро истощая вычислительные ресурсы.

В отличие от других типов атак, по отдельности эти запросы выглядят совершенно нормально, но их общий объем обрушивает сайты.

---

Как распознать DDoS-атаку?

Обнаружение DDoS-атаки на ранней стадии может предотвратить серьезные простои. Симптомы атаки часто выглядят как обычные технические проблемы, поэтому многие компании не обращают на них внимания.

Медленная загрузка страниц или тайм-ауты часто являются первыми тревожными признаками. Жалобы клиентов на проблемы с доступностью начинают наводнять Ваши каналы поддержки, а Ваши онлайн-системы испытывают необъяснимые замедления.

Аналитика трафика позволяет выявить более конкретные признаки вредоносной активности. Подлинный трафик демонстрирует различное географическое происхождение и разнообразное поведение пользователей. DDoS-атаки создают подозрительные паттерны: массивные всплески трафика с определенных диапазонов IP-адресов, идентичные пользовательские агенты в тысячах запросов или посетители, неоднократно заходящие на одну и ту же страницу.

Инструменты мониторинга могут обнаружить эти аномалии. Профессиональные решения отслеживают попытки подключения, использование полосы пропускания и время отклика сервера. Эти системы предупреждают администраторов, когда показатели превышают нормальные пороги, что часто позволяет выявить атаки до того, как они нанесут видимый ущерб.

Под нагрузкой появляются слабые места, базы данных могут дать сбой, а сторонние инструменты могут сломаться. Отслеживая нормальную производительность, легче обнаружить необычные всплески.

---

Стратегии смягчения и защиты от DDoS

Многоуровневые средства защиты обеспечивают наилучшую защиту от того, чтобы оставаться в сети во время DDoS-атаки. Не ждите беды, установите эти средства защиты до того, как начнутся проблемы:

• Маршрутизация “черных дыр”: Эта мера перенаправляет весь входящий трафик на нулевое направление, эффективно изолируя Ваши серверы от трафика атак. Хотя маршрутизация “черных дыр” немедленно останавливает атаки, она также блокирует настоящих клиентов, делая Ваш сайт полностью недоступным. Используйте эту меру только в крайнем случае, когда другие средства защиты не помогают.
• Ограничение скорости: Этот подход контролирует количество запросов, принимаемых Вашим сервером с отдельных IP-адресов в течение определенного времени. Эта базовая защита замедляет атакующих, ограничивая количество попыток подключения в минуту или час. Однако сложные DDoS-атаки, использующие тысячи различных IP-адресов, могут легко обойти простой контроль скорости.
• Брандмауэр веб-приложений (WAF): WAF стоит между Вашим сайтом и входящим трафиком, фильтруя запросы на основе заранее определенных правил безопасности. Эти системы отлично справляются с блокированием атак на прикладном уровне, выявляя вредоносные шаблоны в HTTP-запросах. Качественные WAF-решения автоматически адаптируют свои правила по мере появления новых сигнатур атак.
• Распространение по сети Anycast: Распределите трафик атаки между множеством серверов по всему миру, предотвращая перегрузку какого-либо одного места. Эта передовая техника поглощает огромные объемы трафика, распределяя нагрузку географически. Крупнейшие облачные провайдеры используют системы Anycast для обработки многотерабитных атак.
• Планирование ответных мер: Подготовка определяет выживание во время нападения. Установите четкие протоколы связи, распределите конкретные роли между членами команды и отработайте процедуры реагирования. Ваша стратегия должна включать контактную информацию для хостинг-провайдеров, поставщиков услуг безопасности и экстренной технической поддержки, чтобы свести к минимуму задержки в реагировании.

---

Опережайте атаки

DDoS-атаки могут разрушить сайты за считанные минуты, но, обладая необходимыми знаниями и подготовкой, Вы можете опередить киберпреступников. От объемных наводнений до незаметных угроз на уровне приложений — понимание того, как работают эти атаки, является первым шагом к защите.

SSL Dragon предлагает больше, чем просто SSL-сертификаты; мы — Ваш надежный партнер в области онлайн-безопасности. Наши решения помогут защитить данные Вашего сайта, повысить доверие посетителей и укрепить Вашу защиту. Не ждите атаки, чтобы обнаружить уязвимости. Ознакомьтесь с нашим ассортиментом SSL-продуктов и ресурсов по безопасности уже сегодня и сделайте активный шаг к более безопасному и устойчивому цифровому присутствию.