Co to jest carpet bombing?
Carpet bombing rozkłada atak DDoS na setki adresów w prefiksie, więc progi detekcji per adres IP milczą, a uplink i tak pada.
Ostatnia aktualizacja:
Carpet bombing, nazywany też atakiem rozproszonym po prefiksie, odwraca typowy schemat DDoS. Zamiast skupiać cały wolumen na jednym adresie, atakujący rozkłada go cienką warstwą na setki albo tysiące adresów w obrębie Twojego /24 czy /22. Suma tego ruchu spokojnie nasyca uplink, ale żaden pojedynczy adres nie wygląda na atakowany, bo przypada na niego kilka procent tego, co uruchomiłoby alarm.
Dlaczego klasyczna detekcja tego nie widzi
Większość systemów wykrywania DDoS pracuje na progach liczonych per adres docelowy: tyle a tyle megabitów albo pakietów na sekundę do jednego /32 uruchamia reakcję. Taki model zakłada, że atak ma punktowy cel. Carpet bombing łamie to założenie u samych podstaw. Można mieć zapchane łącze i puste alarmy jednocześnie, a operator dowiaduje się o problemie od abonentów, nie od monitoringu.
Dlaczego typowe reakcje zawodzą
- RTBH wymagałby wrzucenia do blackhole'a setek adresów albo całego prefiksu, czyli odcięcia tych samych klientów, których miało się chronić.
- Reguły FlowSpec pisane pod konkretne adresy nie nadążają za celem, który przesuwa się po prefiksie w trakcie ataku.
- Przekierowanie całego prefiksu do zewnętrznego centrum czyszczącego zdejmuje z normalnej trasy wszystkich klientów, także tych, których nikt nie atakuje.
- Ochrona kupowana per adres IP, popularna w hostingu, przy tym ataku jest bezużyteczna, bo cel nie jest pojedynczym adresem.
Co faktycznie pomaga
Skuteczna obrona musi patrzeć na prefiks jako całość i nie może opierać się na progach per adres. Agregacja telemetrii na poziomie całego prefiksu przywraca widoczność: suma rośnie, nawet gdy każdy adres z osobna wygląda spokojnie. Samą mitygację najlepiej oprzeć na własnościach pakietu i sesji, a nie na tym, dokąd pakiet leci. Filtr stanowy odrzuca ruch, który nie należy do nawiązanego połączenia, i jest mu obojętne, czy atak celuje w jeden adres, czy w tysiąc, bo rozłożenie go na więcej adresów nie czyni tych pakietów bardziej prawdziwymi.
Kogo dotyka najczęściej
Najbardziej narażeni są operatorzy ISP, hostingi i centra danych, czyli sieci trzymające duże, gęsto zaludnione prefiksy. Przy CGNAT skutek jest szczególnie dotkliwy, bo za jednym atakowanym adresem stoją setki abonentów. Atak bywa też używany jako zasłona: rozproszony ruch odwraca uwagę i zajmuje zespół, podczas gdy właściwy cel dostaje osobny, precyzyjny cios.
Najczęstsze pytania
Jak rozpoznać carpet bombing w monitoringu?
Sygnałem jest rozjazd między wykresem obciążenia uplinku a ciszą w alertach per adres. Warto dołożyć widok agregujący ruch na poziomie całego prefiksu i porównywać go z sumą progów punktowych. Pomaga też rozkład ruchu po adresach docelowych: przy normalnym ruchu jest bardzo nierówny, bo część adresów pracuje intensywnie, a przy tym ataku podejrzanie płaski.
Czy carpet bombing to to samo co atak rozproszony?
Nie do końca. Każdy atak DDoS jest rozproszony po stronie źródeł, bo pochodzi z wielu maszyn. Carpet bombing jest rozproszony także po stronie celu, czyli po adresach docelowych w obrębie jednego prefiksu, i to właśnie ta druga cecha psuje klasyczną detekcję.