Τι είναι το DDos attack (επίθεση DDos)

Το πιο προφανές σύμπτωμα μιας επίθεσης DDoS είναι μια ιστοσελίδα, ένα eshop ή μια υπηρεσία που γίνεται ξαφνικά αργή ή μη διαθέσιμη. Τι το προκαλεί αυτό; Οι επιθέσεις DDoS αποτελούν πρωταρχικό μέλημα των προγραμματιστών στην ασφάλεια του Διαδικτύου. Εξερευνήστε τις λεπτομέρειες σχετικά με το πώς λειτουργούν οι επιθέσεις DDoS και πώς μπορούν να σταματήσουν. Επίθεση DDoS σημαίνει «Διανεμημένη Επίθεση άρνησης παροχής υπηρεσιών (DDoS)» και αποτελεί έγκλημα στον κυβερνοχώρο, κατά το οποίο ο εισβολέας κατακλύζει έναν διακομιστή με κίνηση μέσω Διαδικτύου ώστε να εμποδίσει τους χρήστες να έχουν πρόσβαση σε συνδεδεμένες διαδικτυακές υπηρεσίες και ιστότοπους.

Το πρόβλημα

DoS έναντι DDoS

Μια κατανεμημένη επίθεση άρνησης υπηρεσίας (DDoS) είναι μια υποκατηγορία της πιο γενικής επίθεσης άρνησης υπηρεσίας (DoS). Σε μια επίθεση DoS, ο εισβολέας χρησιμοποιεί μια ενιαία σύνδεση στο Διαδίκτυο για να “μπουκώσει” έναν στόχο με ψεύτικα αιτήματα (επισκέψεις) ή για να προσπαθήσει να εκμεταλλευτεί μία ευπάθεια στον κυβερνοχώρο. Η DDoS είναι σαφώς μεγαλύτερη σε κλίμακα. Χρησιμοποιεί χιλιάδες (ακόμα και εκατομμύρια) συνδεδεμένες συσκευές για να εκπληρώσει τον στόχο της.

Το τεράστιο πλήθος των συσκευών που χρησιμοποιούνται κάνουν την DDoS πολύ πιο δύσκολη να καταπολεμηθεί.

Μια επίθεση κατανεμημένης άρνησης υπηρεσίας (Distributed Denial of Service – DDoS) είναι ουσιαστικά μια κακόβουλη προσπάθεια να διακοπεί η κανονική κίνηση/επισκεψιμότητα ενός στοχευμένου διακομιστή (από πραγματικούς χρήστες), υπηρεσίας ή δικτύου συντρίβοντας τον στόχο ή την περιβάλλουσα υποδομή του με μια πλημμύρα κίνησης επισκεψιμότητας (traffic) στο Διαδίκτυο. Οι επιθέσεις DDoS επιτυγχάνουν αποτελεσματικότητα χρησιμοποιώντας πολλαπλά παραβιασμένα συστήματα υπολογιστών ως πηγές κίνησης επιθέσεων. Οι μηχανές εκμετάλλευσης μπορούν να περιλαμβάνουν υπολογιστές και άλλους δικτυωμένους πόρους, όπως συσκευές IoT. Πιο απλά, οι επιτιθέμενοι χακάρουν διάφορους υπολογιστές απλών χρηστών οι οποίοι ενδεχομένως δεν έχουν antivirus, firewall, και anti-malware. Έπειτα, με μια κωδικοποιημένη εντολή οι επιτιθέμενοι ενεργοποιούν τους χιλιάδες (ακόμη και εκατομμύρια) χακαρισμένους υπολογιστές απλών χρηστών, και έτσι οι χρήστες χωρίς να το γνωρίζουν και χωρίς να καταλαβαίνουν κάτι διακριτό χρησιμοποιούν τον υπολογιστή τους για κάτι άσχετο (πχ επεξεργασία κειμένου), αλλά ο υπολογιστής τους στέλνει αιτήματα και προκαλεί φόρτο επισκεψιμότητας στον server – στόχο της επίθεσης που οργανώθηκε. Βλέποντας από ψηλά, μια επίθεση DDoS είναι σαν μια απροσδόκητη κυκλοφοριακή συμφόρηση που φράζει έναν αυτοκινητόδρομο, εμποδίζοντας την φυσιολογική κυκλοφορία να ολοκληρώσει τον προορισμό της. Μόλις δημιουργηθεί ένα botnet, ο εισβολέας είναι σε θέση να κατευθύνει μια επίθεση στέλνοντας απομακρυσμένες οδηγίες μαζικά σε κάθε bot. Όταν ο διακομιστής ή το δίκτυο ενός θύματος στοχεύεται από το botnet, κάθε bot στέλνει αιτήματα στη διεύθυνση IP του στόχου, προκαλώντας πιθανώς υπερφόρτωση του διακομιστή ή του δικτύου, με αποτέλεσμα την άρνηση παροχής υπηρεσιών στην κανονική κυκλοφορία και τους πραγματικούς χρήστες – πελάτες πχ ενός eshop. Επειδή κάθε bot είναι μια τεχνικά νόμιμη συσκευή Διαδικτύου, ο διαχωρισμός της κυκλοφορίας bot επίθεσης από την κανονική κυκλοφορία μπορεί να είναι δύσκολος.

Πώς να αναγνωρίσετε μια επίθεση DDoS

Το πιο προφανές σύμπτωμα μιας επίθεσης DDoS είναι μια ιστοσελίδα, ένα eshop ή μια υπηρεσία που γίνεται ξαφνικά αργή ή μη διαθέσιμη. Ωστόσο, δεδομένου ότι μια σειρά από αιτίες – μια τέτοια θεμιτή αύξηση στην επισκεψιμότητα – μπορεί να δημιουργήσει παρόμοια προβλήματα απόδοσης, όπου συνήθως απαιτείται περαιτέρω διερεύνηση. Τα εργαλεία ανάλυσης κίνησης μπορούν να σας βοηθήσουν να εντοπίσετε μερικά από αυτά τα ενδεικτικά σημάδια μιας επίθεσης DDoS:

• Ύποπτα μεγέθη επισκεψιμότητας που προέρχονται από μια μεμονωμένη διεύθυνση IP ή εύρος IP
• Κατακλυσμός επισκεψιμότητας από χρήστες που μοιράζονται ένα ενιαίο προφίλ συμπεριφοράς, όπως τύπο συσκευής, γεωγραφική τοποθεσία ή έκδοση προγράμματος περιήγησης ιστού
• Μια ανεξήγητη αύξηση αιτημάτων – requests σε μία μόνο σελίδα ή τελικό σημείο
• Περίεργα μοτίβα κυκλοφορίας, όπως επιθέσεις σε περίεργες ώρες της ημέρας ή μοτίβα που φαίνονται αφύσικα (π.χ. μια απότομη αύξηση κάθε 10 λεπτά)

Υπάρχουν άλλα, πιο συγκεκριμένα σημάδια επίθεσης DDoS που μπορεί να διαφέρουν ανάλογα με τον τύπο της επίθεσης.

Ποιοι είναι συνήθεις τύποι επιθέσεων DDoS;

Οι διαφορετικοί τύποι επιθέσεων DDoS στοχεύουν σε διαφορετικά στοιχεία μιας σύνδεσης δικτύου. Για να κατανοήσουμε πώς λειτουργούν οι διαφορετικές επιθέσεις DDoS, είναι απαραίτητο να γνωρίζουμε πώς γίνεται μια σύνδεση δικτύου. Μια σύνδεση δικτύου στο Διαδίκτυο αποτελείται από πολλά διαφορετικά στοιχεία ή «επίπεδα». Όπως η κατασκευή ενός σπιτιού από την αρχή, κάθε στρώμα στο μοντέλο έχει διαφορετικό σκοπό. Το μοντέλο OSI, που φαίνεται παρακάτω, είναι ένα εννοιολογικό πλαίσιο που χρησιμοποιείται για την περιγραφή της συνδεσιμότητας δικτύου σε 7 διαφορετικά επίπεδα.   Ενώ σχεδόν όλες οι επιθέσεις DDoS οδηγούν σε διακοπή μιας συσκευής ή δικτύου στόχου με κίνηση – traffic, οι επιθέσεις μπορούν να χωριστούν σε τρεις κατηγορίες. Ένας εισβολέας μπορεί να χρησιμοποιήσει ένα ή περισσότερα διαφορετικά διανύσματα επίθεσης ή και τα λεγόμενα κυκλικά διανύσματα επίθεσης ως απάντηση στα μέτρα αντιμετώπισης που λαμβάνονται από τον στόχο.

Application layer attacks (Επιθέσεις επιπέδου εφαρμογής)

Στόχος της επίθεσης:

Μερικές φορές αναφέρεται ως επίθεση DDoS επίπεδο 7 (σε σχέση με το 7ο επίπεδο του μοντέλου OSI), όπου ο στόχος αυτών των επιθέσεων είναι η εξάντληση των πόρων του στόχου για την πρόκληση απώλειας υπηρεσίας (denial-of-service). Πχ να μην λειτουργεί ο server. Οι επιθέσεις στοχεύουν το επίπεδο όπου δημιουργούνται ιστοσελίδες στον διακομιστή και παραδίδονται ως απόκριση σε αιτήματα HTTP. Ένα μεμονωμένο αίτημα HTTP θεωρείται υπολογιστικά φθηνό να εκτελεστεί από την πλευρά του πελάτη, αλλά μπορεί να είναι ακριβό στο να ανταποκριθεί ο διακομιστής-στόχος, καθώς ο διακομιστής συχνά φορτώνει πολλά αρχεία και εκτελεί ερωτήματα βάσης δεδομένων όταν δημιουργεί μια δυναμική ιστοσελίδα.

Οι servers στις επιθέσεις επιπέδου 7 είναι δύσκολο να αμυνθούν, καθώς συνήθως είναι δύσκολο να διαφοροποιηθεί η κακόβουλη κίνηση από τους πραγματικούς επισκέπτες.

Παράδειγμα επίθεσης επιπέδου εφαρμογής:

HTTP flood (πλημμύρα)

Αυτή η επίθεση μοιάζει πχ με bot που κάνουν κλικ στο ανανέωση σελίδας (refresh, F5) σε ένα πρόγραμμα περιήγησης ιστού ξανά και ξανά με πολλούς διαφορετικούς υπολογιστές ταυτόχρονα – όπου μεγάλος αριθμός αιτημάτων HTTP κατακλύζουν τον διακομιστή, με αποτέλεσμα την άρνηση υπηρεσίας (denial-of-service). Αυτός ο τύπος επίθεσης κυμαίνεται από απλή έως πολύπλοκη. Οι απλούστερες υλοποιήσεις μπορούν να έχουν πρόσβαση σε ένα URL με το ίδιο εύρος επιτιθέμενων διευθύνσεων IP, παραπομπών και user agents. Οι σύνθετες εκδόσεις ενδέχεται να χρησιμοποιούν μεγάλο αριθμό επιτιθέμενων διευθύνσεων IP και να στοχεύουν τυχαίες διευθύνσεις URL χρησιμοποιώντας τυχαίους παραπομπούς και user agents.

Επιθέσεις πρωτοκόλλου

Στόχος της επίθεσης:

Οι επιθέσεις πρωτοκόλλου, γνωστές και ως επιθέσεις εξάντλησης κατάστασης, προκαλούν διακοπή της υπηρεσίας με υπερβολική κατανάλωση πόρων διακομιστή ή/και πόρων του εξοπλισμού δικτύου, όπως τα τείχη προστασίας (firewalls) και εξισορροπητές φορτίου (load balancers). Οι επιθέσεις πρωτοκόλλου χρησιμοποιούν αδυναμίες στο επίπεδο 3 και στο επίπεδο 4 της στοίβας πρωτοκόλλου για να καταστήσουν τον στόχο μη προσβάσιμο. Παράδειγμα επίθεσης πρωτοκόλλου:

Επίθεση SYN flood

Μια επίθεση SYN Flood είναι ανάλογη με έναν εργαζόμενο όπου σε ένα δωμάτιο εφοδιασμού δέχεται αιτήματα από το μπροστινό μέρος του καταστήματος. Ο εργαζόμενος λαμβάνει ένα αίτημα, πηγαίνει και παίρνει το δέμα και περιμένει για επιβεβαίωση πριν φέρει το πακέτο μπροστά. Στη συνέχεια, ο εργαζόμενος λαμβάνει πολλά ακόμη αιτήματα πακέτων χωρίς επιβεβαίωση, έως ότου δεν μπορεί να μεταφέρει άλλα πακέτα, καταπονείται και τα αιτήματα αρχίζουν να μένουν αναπάντητα. Αυτή η επίθεση εκμεταλλεύεται τη χειραψία TCP —την αλληλουχία επικοινωνιών μέσω της οποίας δύο υπολογιστές εκκινούν μια σύνδεση δικτύου— στέλνοντας σε έναν στόχο έναν μεγάλο αριθμό πακέτων SYN «Αίτηση αρχικής σύνδεσης» TCP με διευθύνσεις IP πλαστής πηγής. Το μηχάνημα-στόχος ανταποκρίνεται σε κάθε αίτημα σύνδεσης και στη συνέχεια περιμένει το τελικό βήμα της χειραψίας, το οποίο δεν συμβαίνει ποτέ, εξαντλώντας τους πόρους του στόχου κατά τη διαδικασία αυτή.

Ογκομετρικές επιθέσεις

Στόχος της επίθεσης:

Αυτή η κατηγορία επιθέσεων προσπαθεί να δημιουργήσει συμφόρηση καταναλώνοντας όλο το διαθέσιμο εύρος ζώνης (bandwidth) μεταξύ του στόχου και του μεγαλύτερου Διαδικτύου. Μεγάλοι όγκοι δεδομένων αποστέλλονται σε έναν στόχο χρησιμοποιώντας μια μορφή ενίσχυσης ή άλλο μέσο δημιουργίας μαζικής κίνησης, όπως αιτήματα από ένα botnet.

Παράδειγμα ενίσχυσης:

Ενίσχυση DNS

Μια ενίσχυση DNS είναι σαν να καλέσει κάποιος ένα εστιατόριο και να πει “Θέλω μια απ’όλα, καλέστε με και επαναλάβετε ολόκληρη την παραγγελία μου”, όπου ο αριθμός επανάκλησης ανήκει στην πραγματικότητα στο θύμα. Με πολύ λίγη προσπάθεια, δημιουργείται μια μακρά απάντηση και αποστέλλεται στο θύμα. Υποβάλλοντας ένα αίτημα σε έναν ανοιχτό διακομιστή DNS με μια πλαστογραφημένη διεύθυνση IP (τη διεύθυνση IP του θύματος), η διεύθυνση IP-στόχος λαμβάνει στη συνέχεια μια απάντηση από τον διακομιστή.

Η λύση

Ποια είναι η διαδικασία για τον μετριασμό μιας DDoS επίθεσης;

Το κύριο μέλημα μας για τον μετριασμό μιας επίθεσης DDoS είναι η διαφοροποίηση μεταξύ:

1. της κυκλοφορίας της επίθεσης και
2. της φυσιολογικής κυκλοφορίας (επισκεψιμότητα πραγματικών χρηστών).

Για παράδειγμα, εάν η διάθεση ενός προϊόντος προκαλεί στον ιστότοπο μιας εταιρείας επισκεψιμότητα με πρόθυμους πελάτες, η διακοπή και το μπλοκάρισμα όλης της επισκεψιμότητας είναι κρίσιμο λάθος. Εάν αυτή η εταιρεία έχει ξαφνικά αύξηση της επισκεψιμότητας από γνωστούς επιτιθέμενους εισβολείς, απαιτούνται πιθανώς απαραίτητες προσπάθειες για την απόκρουση της επίθεσης. Η δυσκολία έγκειται στο να ξεχωρίσεις τους πραγματικούς πελάτες (φυσιολογικούς επισκέπτες) από την κίνηση – φόρτο επίθεσης. Στο σύγχρονο Διαδίκτυο, η κίνηση DDoS έχει πολλές μορφές. Η επισκεψιμότητα μπορεί να ποικίλλει ως προς τη σχεδίαση από μη πλαστογραφημένες επιθέσεις μίας πηγής έως πολύπλοκες και προσαρμοστικές επιθέσεις πολλαπλών διανυσμάτων. Μια επίθεση DDoS πολλαπλών διανυσμάτων χρησιμοποιεί πολλαπλά μονοπάτια επίθεσης για να κατακλύσει έναν στόχο με διαφορετικούς τρόπους, αποσπώντας πιθανώς τις προσπάθειες μετριασμού – απόκρουσης σε οποιαδήποτε τροχιά. Μια επίθεση που στοχεύει σε πολλαπλά επίπεδα στοίβας πρωτοκόλλου ταυτόχρονα, όπως μια ενίσχυση DNS (στόχευση επιπέδων 3/4) σε συνδυασμό με μια πλημμύρα HTTP (στοχεύοντας το στρώμα 7) είναι ένα παράδειγμα DDoS πολλαπλών διανυσμάτων. Ο μετριασμός μιας επίθεσης DDoS πολλαπλών διανυσμάτων απαιτεί μια ποικιλία στρατηγικών για την αντιμετώπιση διαφορετικών τροχιών. Σε γενικές γραμμές, όσο πιο περίπλοκη είναι η επίθεση, τόσο πιο πιθανό είναι ότι η κίνηση επίθεσης θα είναι δύσκολο να διαχωριστεί από την κανονική κυκλοφορία – ο στόχος του εισβολέα είναι να αναμειχθεί όσο το δυνατόν περισσότερο, κάνοντας τις προσπάθειες μετριασμού όσο το δυνατόν πιο αναποτελεσματικές. Οι προσπάθειες μετριασμού που συνεπάγονται την αδιάκριτη διακοπή ή μπλοκάρισμα ή φιτράρισμα της κυκλοφορίας μπορεί να απορρίψουν την καλή κυκλοφορία μαζί με την κακή, και η επίθεση μπορεί επίσης να τροποποιηθεί και να προσαρμοστεί ώστε να παρακάμψει τα αντίμετρα. Προκειμένου να ξεπεραστεί μια περίπλοκη προσπάθεια διαταραχής, μια πολυεπίπεδη λύση θα δώσει το μεγαλύτερο όφελος.

Δρομολόγηση μαύρης τρύπας

Μια διαθέσιμη λύση σε όλους σχεδόν τους διαχειριστές δικτύου είναι να δημιουργήσουν μια διαδρομή μαύρης τρύπας και να διοχετεύσουν την κυκλοφορία/επισκεψιμότητα σε αυτήν τη διαδρομή. Στην απλούστερη μορφή της, όταν το φιλτράρισμα μαύρων τρυπών εφαρμόζεται χωρίς συγκεκριμένα κριτήρια περιορισμού, τόσο η νόμιμη (πραγματικών χρηστών) όσο και η κακόβουλη κυκλοφορία δικτύου δρομολογείται σε μια μηδενική διαδρομή ή μαύρη τρύπα και απορρίπτετονται από το δίκτυο. Εάν μια ιδιοκτησία Διαδικτύου αντιμετωπίζει επίθεση DDoS, ο πάροχος υπηρεσιών Διαδικτύου (ISP) της ιδιοκτησίας μπορεί να στείλει όλη την κίνηση του ιστότοπου σε μια μαύρη τρύπα ως άμυνα. Αυτή δεν είναι ιδανική λύση, καθώς δίνει στον εισβολέα τον επιθυμητό στόχο: καθιστά το δίκτυο απρόσιτο. Ξεκουράζεται μεν ο server, αλλά απορρίποτονται όλοι οι επισκέπτες.

Rate limiting – ποσοστιαίος περιορισμός

Περιορίζοντας τον αριθμό των αιτημάτων που θα δέχεται ένας διακομιστής σε ένα συγκεκριμένο χρονικό διάστημα αποτελεί επίσης έναν τρόπο μετριασμού των επιθέσεων άρνησης υπηρεσίας (denial-of-service). Παρόλο που το rate limiting είναι χρήσιμο για την επιβράδυνση της κλοπής περιεχομένου από κακόβουλους χρήστες αλλά και για τον μετριασμό των προσπαθειών παραβίασης, πιθανότατα από μόνο του θα είναι ανεπαρκές για τον αποτελεσματικό χειρισμό μιας πολύπλοκης επίθεσης DDoS. Ωστόσο, αποτελεί χρήσιμο στοιχείο σε μια αποτελεσματική στρατηγική μετριασμού DDoS. Στην BLB.gr χρησιμοποιούμε rate limiting για όλα τα site πελατών μας, μέσω Cloudflare.

Τείχος προστασίας εφαρμογών web – Web application firewall

Το web application firewall (WAF) αποτελεί ένα εργαλείο το οποίο μπορεί να συμβάλει στον μετριασμό μιας επίθεσης DDoS επιπέδου 7. Ρυθμίζοντας ένα WAF μεταξύ του Διαδικτύου και ενός διακομιστή προέλευσης, το WAF μπορεί να λειτουργεί ως αντίστροφος διακομιστής μεσολάβησης, προστατεύοντας τον στοχευμένο διακομιστή από ορισμένους τύπους κακόβουλης κυκλοφορίας. Με το φιλτράρισμα των αιτημάτων που βασίζονται σε μια σειρά κανόνων που χρησιμοποιούνται για τον εντοπισμό εργαλείων DDoS, μπορούν να παρεμποδιστούν οι επιθέσεις στο επίπεδο 7. Μια βασική αξία ενός αποτελεσματικού WAF είναι η δυνατότητα ταχείας εφαρμογής προσαρμοσμένων κανόνων σε απάντηση σε μια επίθεση.

Για παράδειγμα, μπλοκάρουμε όλες τις επισκέψεις χρηστών από την Σινγκαπούρη.

Διάχυση δικτύου Anycast

Αυτή η προσέγγιση μετριασμού χρησιμοποιεί ένα δίκτυο Anycast ώστε να διασκορπίσει την κυκλοφορία επίθεσης σε ένα δίκτυο κατανεμημένων διακομιστών στο σημείο όπου η κίνηση απορροφάται από το δίκτυο. Όπως η διοχέτευση ενός ορμητικού ποταμού σε ξεχωριστά μικρότερα κανάλια, έτσι και αυτή η προσέγγιση εξαπλώνει τον αντίκτυπο της DDoS επίθεσης στο σημείο όπου γίνεται διαχειρίσιμη, διαχέοντας οποιαδήποτε ικανότητα αναστάτωσης. Η αξιοπιστία ενός δικτύου Anycast για τον μετριασμό μιας επίθεσης DDoS εξαρτάται από το μέγεθος της επίθεσης και το μέγεθος και την αποτελεσματικότητα του δικτύου. Ένα σημαντικό μέρος του μετριασμού DDoS που εφαρμόζεται μέσω Cloudflare είναι η χρήση ενός κατανεμημένου δικτύου Anycast. Το Cloudflare δηλώνει πως έχει ένα δίκτυο 296 Tbps, το οποίο είναι μια τάξη μεγέθους μεγαλύτερη από τη μεγαλύτερη επίθεση DDoS που έχει καταγραφεί μέχρι σήμερα.

Εάν αυτή τη στιγμή δέχεστε επίθεση…

Υπάρχουν βήματα που μπορείτε να ακολουθήσετε για να βγείτε από το αδιέξοδο. Εάν χρησιμοποιείτε ήδη το Cloudflare, μπορείτε να ακολουθήσετε αυτά τα βήματα για να περιορίσετε την επίθεσή σας. Η προστασία DDoS που εφαρμόζουμε μέσω Cloudflare είναι πολύπλευρη προκειμένου να μετριαστούν οι πολλοί πιθανοί φορείς επίθεσης. Εκτός αυτού, σε δικούς μας server εγκαθιστούμε τείχος προστασίας πλήρως ενημερωμένο καθημερινά, και σκανάρισμα αρχείων σε περιοδική βάση. Καλέστε μας στο 2103003801 ώστε άμεσα να προστατέψουμε την ιστοσελίδα σας από οποιαδήποτε επίθεση.