Co to jest atak DDoS?

Atak DDoS (Distributed Denial of Service) to próba uczynienia usługi niedostępną przez równoczesne wyczerpanie jej zasobów ruchem pochodzącym z wielu rozproszonych źródeł. W odróżnieniu od ataku DoS z pojedynczego hosta, DDoS rozkłada źródło na tysiące lub miliony adresów IP. Utrudnia to odfiltrowanie ruchu po samym adresie i pozwala zgromadzić wolumen przekraczający pojemność łączy ofiary. Celem nie jest włamanie, lecz odmowa obsługi: wyczerpanie pasma, tablic stanów urządzeń sieciowych albo wydajności samej aplikacji.

Anatomia ataku: botnety i amplifikacja

Większość dużych ataków opiera się na botnecie, czyli sieci przejętych urządzeń (komputerów, serwerów, kamer IP, routerów IoT), którymi steruje napastnik. Drugim filarem jest amplifikacja. Napastnik wysyła małe zapytania ze sfałszowanym adresem źródłowym ofiary do otwartych serwerów (DNS, NTP, memcached), a te odpowiadają znacznie większymi pakietami kierowanymi w stronę ofiary. Współczynnik wzmocnienia bywa bardzo wysoki: w przypadku memcached sięgał rzędu 50 000x. Fundamentem amplifikacji jest spoofing adresu źródłowego, któremu zapobiega filtrowanie ruchu wychodzącego zgodne z BCP 38 (RFC 2827).

• Napastnik (C2): serwer dowodzenia kierujący botnetem przez ukryty kanał sterujący.
• Boty i reflektory: przejęte urządzenia lub źle skonfigurowane otwarte serwery generujące ruch.
• Spoofing źródła: podmiana adresu nadawcy na adres ofiary, warunek konieczny ataków typu reflection i amplification.
• Ofiara: pojedynczy adres /32, prefiks, łącze uplink lub konkretna aplikacja.

Ataki wolumetryczne i protokołowe

Ataki wolumetryczne dążą do nasycenia łącza samym wolumenem i mierzy się je w bitach na sekundę (Gb/s, Tb/s); typowe wektory to amplifikacja UDP przez DNS, NTP, SSDP czy memcached. Ataki protokołowe celują w stan urządzeń warstw 3 i 4: wyczerpują tablice połączeń zapór, balancerów i stosów TCP, a mierzy się je w pakietach na sekundę (pps). Klasyczny przykład to SYN flood, który zostawia półotwarte połączenia w tablicy stanów, a także ACK flood czy ataki na fragmentację IP. Obie klasy można w dużej mierze odfiltrować bez wglądu w treść aplikacyjną.

Ataki warstwy aplikacji (L7)

Ataki warstwy 7 imitują legalny ruch: powódź pozornie poprawnych żądań HTTP GET/POST, zapytań DNS lub prób logowania, które przeciążają aplikację, bazę danych albo backend przy stosunkowo niskim wolumenie bitów. Ponieważ każde pojedyncze żądanie wygląda prawidłowo, nie da się ich odfiltrować po samym wolumenie czy protokole. Wymagają analizy behawioralnej, limitowania tempa i często reakcji na poziomie aplikacji. To czyni je najtrudniejszą do łagodzenia klasą, mimo że mierzone w pps czy bps wydają się niewielkie.

Jak to widzi operator AS202520 SkyPass

Jako operator AS202520 obserwujemy ataki przez telemetrię na routerach brzegowych w PoP-ach w Warszawie i Wrocławiu oraz na sesjach BGP w punktach wymiany ruchu THINX, TPIX, WRIX, POZIX i 1-IX. Zrozumienie klasy ataku decyduje o doborze reakcji. Ruch wolumetryczny tłumimy bliżej źródła i przez ogłoszenia RTBH u operatorów upstream, protokołowy ograniczamy regułami BGP FlowSpec, a aplikacyjny wymaga selektywnego filtrowania. Tę warstwę reakcji opisuje nasz przewodnik o ochronie Anti-DDoS. Niniejszy artykuł skupia się na samej anatomii i klasyfikacji ataków.