Ochrona Anti-DDoS: jak działa

Ochrona Anti-DDoS to zestaw metod detekcji i łagodzenia ataków typu Distributed Denial of Service, których celem jest wyczerpanie pasma, zasobów urządzeń sieciowych albo wydajności aplikacji ofiary. Dla operatora sieci (ISP, ASN) skuteczna ochrona oznacza utrzymanie dostępności łączy i usług nawet wtedy, gdy do jednego adresu IP napływa ruch wielokrotnie przekraczający normalne obciążenie. Dobrze zaprojektowany system łączy ciągły monitoring telemetrii z automatycznym uruchamianiem reakcji, zanim atak nasyci uplink.

Typy ataków DDoS

Ataki dzieli się zwykle na trzy kategorie według warstwy, którą obciążają. Rozróżnienie ma znaczenie praktyczne, bo każda kategoria wymaga innej metody łagodzenia.

• Wolumetryczne: zalewają łącze samym wolumenem ruchu, najczęściej przez amplifikację UDP (DNS, NTP, memcached, SSDP). Mierzone w Gb/s lub Tb/s.
• Protokołowe: wyczerpują tablice stanów zapór, balancerów i serwerów. Klasyczne przykłady to SYN flood, ACK flood czy fragmentacja IP. Mierzone w pakietach na sekundę (pps).
• Aplikacyjne (warstwa 7): pozornie poprawne żądania HTTP, zapytania DNS lub logowania, które przeciążają aplikację przy niskim wolumenie. Trudne do odróżnienia od ruchu legalnego.

Detekcja i telemetria

Wykrywanie ataku opiera się głównie na analizie przepływów eksportowanych z routerów brzegowych: NetFlow, IPFIX lub sFlow. Kolektor buduje obraz ruchu bazowego (baseline) dla prefiksów i usług, a następnie wykrywa anomalie: nagły skok pps lub bps do jednego /32, nietypowy rozkład portów źródłowych, dominację jednego protokołu. Telemetria strumieniowa (np. gNMI/streaming telemetry) skraca czas reakcji w porównaniu z odpytywaniem SNMP. Detekcja musi działać w sekundach, a nie minutach, bo atak wolumetryczny może nasycić uplink niemal natychmiast.

Metody łagodzenia

• Scrubbing: przekierowanie ruchu do centrum czyszczącego, które odrzuca pakiety ataku i zwraca ruch legalny tunelem (GRE) lub przez dedykowane łącze. Najbardziej selektywna metoda.
• RTBH (Remotely Triggered Black Hole): rozgłoszenie przez BGP prefiksu z community blackhole, by ruch do atakowanego adresu był odrzucany na brzegu sieci lub u operatora upstream. Skuteczne, ale odcina też ruch legalny do tego adresu.
• BGP FlowSpec: dystrybucja granularnych reguł filtrowania (adres, port, protokół, długość pakietu) przez BGP, co pozwala blokować tylko ruch ataku zamiast całego prefiksu.
• Anycast: rozproszenie tego samego prefiksu po wielu lokalizacjach, dzięki czemu wolumen ataku rozkłada się geograficznie i jest absorbowany lokalnie.

On-prem czy chmura, oraz wybór dostawcy

Rozwiązania on-prem (urządzenia scrubbingowe w sieci operatora) dają najniższe opóźnienie i pełną kontrolę, lecz są ograniczone pojemnością własnych uplinków. Atak większy niż łącze zaleje je, zanim sprzęt zdąży zadziałać. Scrubbing w chmurze lub zdalny absorbuje ataki o pojemności setek Gb/s i więcej, bo dostawca dysponuje rozproszoną pojemnością, ale wprowadza dodatkowe opóźnienie i zależność od integracji BGP. Wielu operatorów stosuje model hybrydowy: lokalne urządzenia tłumią mniejsze ataki, a większe są automatycznie przekierowywane do chmury. Wybierając dostawcę, oceń pojemność łączy i liczbę punktów scrubbingu, wsparcie dla RTBH i FlowSpec, czas reakcji (time-to-mitigate) zapisany w SLA, obsługę warstwy 7 oraz przejrzystość raportowania ataków.