Qrator Labs, profile picture
Uploaded byQrator Labs
787 views

DDoS-­атаки: почему они возможны, и как их предотвращать

Документ представляет собой презентацию о DDoS-атаках, их возможностях и методах предотвращения. Он охватывает классификацию атак, механизмы их осуществления, такие как использование ботнетов и амплификаторов, а также предлагает рекомендации для администраторов и операторов по защите ресурсов. Основная цель заключается в повышении осведомленности и необходимости коллективных усилий для борьбы с угрозами DDoS.

Embed presentation

Downloaded 13 times
DDoS-­‐атаки:  почему  они   возможны,  и  как  их   предотвращать     Алексей  Семеняка   Qrator  Labs   as@qrator.net   ENOG   Tutorial  
Кому  адресована  презентация?   •  Системным  администраторам  и  сетевым   инженерам  интернет-­‐ресурсов   –  Там,  где  они  есть  L   •  Системным  администраторам  хостинговых   компаний   •  Сетевым  инженерам  датацентров   •  Сетевым  инженерам  операторов  связи   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   2  
Зачем  она  нужна?   •  Угроза  атак  вида  DoS/DDoS  по-­‐прежнему   недооценена   •  Существует  множество  принципиально  разных   технологических  реализаций  таких  атак   •  Полностью  предотвратить  угрозу  очень  сложно   •  Просто  «купить  решение»  и  положиться  на  него   вообще  невозможно     Прогресс  может  быть  достигнут  только  в  результате   коллективных  усилий.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   3  
Некоторые  жертвы  DDoS’еров:   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   4  
Наши  задачи   •  Выяснить,  что  же  такое  DoS/DDoS-­‐атаки   •  Рассмотреть  их  классификацию   –  Чтобы  уметь  их  правильно  распознать   •  Дать  представление  о  том,  как  их  проводят   –  И  как  не  стать  невольным  помощником  злоумышленников   •  Обсудить  способы  защиты  себя,  своих  клиентов  и   экосистемы  в  целом.   –  Сформулировать  набор  рекомендаций  для  каждого  игрока   индустрии   –  Но  серебряной  пули  не  будет   –  Слайды  с  рекомендациями  отмечены  вот  таким  значком:       13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   5  
Чего  мы  НЕ  будем  делать   •  Обсуждать  вред  от  DoS/DDoS-­‐атак   •  Обсуждать  коммерческие  решения  по  защите   от  DDoS   •  Сравнивать  параметры  различных  моделей   оборудования   •  Пытаться  дать  рецепты  на  все  случаи  жизни   –  В  том  числе  в  виде  «правильных»  записей  в   разнообразных  конфигурационных  файлах       13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   6  
Что  такое  DoS/DDoS-­‐атака?   DoS      =  Denial  of  Service,  отказ  в  обслуживании   DDoS  =  Distributed  Denial  of  Service,     распределенный  отказ  в  обслуживании             Обычно:   DoS  –  атака  на  отдельную  уязвимость   (ping  of  death,  INVITE  of  death,  route  leaks)   DDoS  –  атака  на  исчерпание  каких-­‐либо  ресурсов   (SYN-­‐flood,  amp-­‐атаки)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   7   В  обоих  случаях  речь  идет  про  полную  или  частичную  потерю   доступности  ресурса  «извне»  без  нарушения  его  внутренней   структуры  («взлома»).    
Традиционные  схемы  проведения   атак   DoS-­‐атака:       DDoS-­‐атака:         13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   8  
Какие  бывают  DDoS-­‐атаки?   •  А  зачем  вообще  их  классицицировать?   – Чтобы  уметь  эффективно  противодействовать   •  Следовательно,  атакам  одного  класса   должны  соответствовать  однотипные   подходы  в  противодействии   •  Модель  OSI?  Слишком  много  пунктов     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   9  
Классификация   Поэтому  будем  исходить  из  того,  на  что   именно  нацелен  удар:   1.  Канальная  емкость   2.  Инфраструктура   3.  Операционная  система  (сетевой  стек)   4.  Приложение   5.  Деньги  жертвы   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   10  
Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   11  
Атаки  на  канальную  ёмкость   •  Они  же  «атаки  на  полосу»,  они  же  «атаки   на  канал»,  они  же  «volumetric  aXacks»   •  Всегда  DDoS,  то  есть  атака  производится  из   многих  точек   •  Ранее  основным  инструментом  для  ее   создания  были  ботнеты,  теперь  –   амплификаторы  трафика.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   12  
Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   13   Ботнеты  
Что  такое  ботнет   •  Robot  è  bot  è  бот   •  Бот  –  программный  код  на     –  серверах,   –  пользовательских  компьютерах,   –  мобильных  устройствах   –  и  любых  других  устройствах,  подключенных  к  сети,   способный  выполнять  команды,  поступающие  из   центра  управления.   •  Множество  ботов  под  единым  управлением   называется  ботнетом     •  Ботнеты  используются  для  атак  разных  видов,  не   только  для  атак  на  канальную  емкость.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   14  
Как  создаются  ботнеты?   •  Заражение  вирусами  (типичный  сценарий   для  пользовательских  компьютеров)   •  Взлом  систем  через  стандартные   уязвимости  (типичный  сценарий  для   серверов,  пример  –  уязвимость  в   WordPress)   •  Легитимная  установка  ПО,  содержащего   «закладки»  (например,  из  Google  Play).   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   15  
Схема  ботнета   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   16  
Как  противодействовать?   •  Существенный  прогресс  требует   коллективных  усилий  участников   индустрии,  в  первую  очередь:   – Операторов   – Датацентров   – Хостеров   – Владельцев  ресурсов   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   17  
Ботнеты  vs   оператор  связи/датацентр/хостер   •  Участвуйте  в  профилактике  заражений   (дистрибьюция  антивирусов,  например)   –  Эффективность  невелика,  но…  лучше,  чем  ничего   •  Отслеживайте  участников  ботнетов  в  своих   сетях,  используйте  эту  информацию  в  работе   –  Анализ  аномалий  трафика  на  стороне  оператора   или  через  независимый  мониторинг   •  FastNetMon  Павла  Одинцова  (см.ссылки  в  конце)   –  Предпринимайте  максимум  мер  противодействия,   разрешенных  вашими  договорными   обязательствами   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   18  
Не  становитесь   частью  ботнета!   •  Установите  антивирус  для  сайтов  (например,   Manul)   –  Или  хотя  бы  проводите  контроль  целостности   файлов   •  Организуйте  регулярный  анализ  журнальных   файлов   –  Кстати,  защищайте  журнальные  файлы!   •  Рассмотрите  возможность  использования   независимого  мониторинга   –  Как  минимум  -­‐  проверяйте  попадание  в  черные   списки  поисковиков!   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   19  
Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   20   Амплификаторы  
Что  такое  амплификаторы  (1)   Рассмотрим  сценарий:   •  Злоумышленник  с  адреса  10.1.1.1  отправляет  DNS-­‐запрос  на  DNS-­‐сервер  с   адресом  10.2.2.2,  поменяв  в  IP-­‐пакетах  IP-­‐адрес  отправителя  со  своего  на   10.3.3.3   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   21  
Что  такое  амплификаторы  (2)   •  DNS-­‐сервер  отвечает  на  запрос,  отсылая  его  отправителю.  Так  как  адрес   отправителя  подделан,  то  ответ  уходит  в  адрес  компьютера-­‐жертвы  с   адресом  10.3.3.3   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   22  
Что  такое  амплификаторы  (3)   •  Предположим,  что  DNS-­‐сервер  по  адресу  10.2.2.2  поддерживает   расширение  EDNS0  (увеличивающее  разрешенный  размер  ответного   пакета  до  4096  байтов),  и  существует  запрос  (например,  ANY),   порождающий  ответ  размером  2000-­‐4000  байтов  в  ответ  на  короткий   запрос  (64  байта).   •  Тогда  на  каждый  байт,  отосланный  злоумышленником  10.1.1.1,  в   адрес  жертвы  10.3.3.3  будет  отправляться  30-­‐60  байт  мусора.  При   этом  атакующий  «экранирован»  от  жертвы  промежуточным  DNS-­‐ сервером.   •  Таким  образом,  всего  один  такой  сервер  способен  превратить  100   мегабит/с  полосы  со  стороны  атакующего  в  3-­‐6  гигабит/с  в  сторону   жертвы   Такая  ситуация  называется  амплификацией  трафика,  а  DNS-­‐сервер  в   описанном  сценарии  называется  амплификатором.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   23  
Что  такое  амплификаторы  (4)   •  Атака  с  амплификацией  трафика  становится   возможна  при  выполнении  нескольких  условий:   –  Ни  на  прикладном  уровне,  ни  на  уровне  приложения   не  устанавливается  соединение,   –  Не  производится  авторизация  запроса,   –  Размер  ответа  на  запрос  может  существенно  и   воспроизводимо  превышать  размер  запроса.   •  Популярные  протоколы,  используемые  для   амплификации:  DNS,  NTP,  SSDP,  Chargen/UDP,  ICMP.   •  Общая  полоса  атаки  свыше  100  Гбит/с  с   использованием  набора  амплификаторов  –  уже   обыденное  и  рутинное  явление.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   24  
Коэффициенты  амплификации   популярных  протоколов   Протокол   Коэффициент   DNS   28-­‐54   NTP   500-­‐1300   SNMPv2   6   NetBIOS   4   SSDP   30   Chargen   350   QOTD   140   BitTorrent   4   Kad   16   Quake  Network  Protocol   64   RIPv1   130   Portmap  (RPCbind)   7-­‐28   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   25  
Заглянем  немного  глубже…   4  причины,  почему  атака  стала  возможной         13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   26  
А  почему  это  должно  волновать   операторов?   Некоторые  последствия  атаки  (список  не  исчерпывающий):   •  Атакуемый  ресурс  выведен  из  строя   •  Вместе  с  ним  выведены  из  строя  и  другие  ресурсы  в  AS65003.   –  Недополученная  прибыль  оператора  от  всех  клиентов   –  Ущерб  репутации  оператора   •  Оплата  мусорного  трафика   –  Наиболее  вероятный  вариант,  что  AS65002  и  AS65003  –  небольшие   операторы  и  не  имеют  прямого  стыка.  Наиболее  типичный  вариант   расчетов  за  трафик  в  этом  случае  –  по  превалирующему  виду  (входящий/ исходящий).  Поэтому  за  паразитный  трафик  заплатят  оба  оператора.   Вывод:  атаки  DDoS  опасны  всей  индустрии,  а  не  только   конкретным  жертвам.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   27  
Как  не  стать  частью  атаки   с  использованием  амплификации?   •  Контролируйте  трафик  пользователей  на  их  порту,  блокируйте   спуфинг.   •  Блокируйте  трафик  с  некорректным  источником  на  границе   сети   •  Выявляйте  сервера  в  своей  сети  и  в  клиентских  сетях,  которые   могут  использоваться  для  амплификации   –  Своими  силами  или  с  помощью  внешних  мониторинговых   сервисов   –  Исправляйте  настройки  уязвимых  серверов  под  вашим   управлением   –  Обсуждайте  с  клиентами  настройки  их  серверов,  или   ограничивайте  потенциально  опасный  трафик  от  них   •  Выявляйте  аномальный  трафик  на  границе  сети  (трафик   амплификаторов  достаточно  легко  распознать)   –  FastNetMon   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   28  
Общие  принципы   настройки  сервисов   •  Rate  limit   –  Общий   –  Per  src-­‐IP   –  Per  src-­‐prefix   –  Не  забывайте,  однако,  про  NAT   •  Ограничение  круга  пользователей  ваших  сервисов  (полное  или   по  типам  запросов),  ограничение  опасных  сервисов   –  Амплификация  NTP  выполняется  с  помощью  мониторингового   запроса  monlist.  Если  она  вам  не  нужна  (скорее  всего)  –  запретите   её.  Если  нужна,  то  разрешите  её  для  использования  только  вами.     •  Fall-­‐back  на  протоколы  на  основе  сессий   –  Google  DNS:  переход  с  UDP  на  TCP,  если  ответ  больше  чем  в  2  раза   превышает  запрос   –  NTP:  команда  mrulist  вместо  monlist   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   29  
Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   30   Общие  рекомендации  
•  Простое  включение  фильтрации  на  стороне   клиента  не  помогает   – канал  забит,  и  даже  если  отфильтровать  весь   мусор  -­‐  полезного  трафика  все  равно  почти  нет   •  Наращивание  связности  –  долго  и  дорого.   Общие  сложности   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   31  
Потенциальным  жертвам  (1)   Если  есть  своя  автономная  система:   •  Развивайте  максимально  связность  –  самостоятельно  или  с   помощью  облачных  сервисов   –  BGP  Anycast   •  Фильтруйте  аномалии  трафика  на  всех  стыках   –  Покупка  оборудования  или  в  рамках  облачного  сервиса,   предоставившего  связность   •  Используйте  BGP  Flowspec  для  фильтрации  аномалий,  если   аплинк  дает  такую  возможность   –  Случается  это  пока  что,  увы,  крайне  редко.   •  Защищайте  свои  префиксы  целиком   –  Ваши  префиксы  не  являются  секретом  (RIPE  DB,  RADB).   –  Чтобы  забить  канал,  нужно  послать  мусор  не  на  точный  IP-­‐адрес   ресурса,  а  на  любой  IP-­‐адрес,  маршрутизируемый  в  канал  –  или  на   диапазон  адресов.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   32  
Потенциальным  жертвам  (2)   Если  своей  автономной  системы  нет:   •  Не  используйте  провайдеро-­‐независимые  адреса  (PI)   •  Выбирайте  хостинг/датацентр  с  максимально  развитой   связностью   –  Может  помочь  против  «пионерских»  атак   •  Избегайте  shared  hos]ng   •  Используйте  ступенчатую  фильтрацию  трафика   –  Много  мусора  можно  отфильтровать  просто  на  уровне  firewall   –  Узнайте,  не  дает  ли  ваш  хостер  и/или  датацентр  возможности   фильтровать  часть  трафика  ещё  у  него?   •  Задумайтесь  о  подключении  к  облачным  сервисам  фильтрации   –  Возможно,  не  через  публичную  сеть,  а  по  MPLS  VPN.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   33  
Операторам,  дацентрам,   хостерам   •  Анализ  небольших  потоков  трафика  –  это   дешево   – Выявляйте  аномалии  максимально  близко  к   клиентским  стыкам   •  Превентивно  анализируйте  свою  сеть  на   наличие  ботнетов  и  амплификаторов   – Своими  силами  или  с  помощью  внешних   мониторинговых  сервисов   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   34  
Важные  инициативы  индустрии   •  MANRS  =  Mutually  Agreed  Norms  for  Rou]ng  Security   –  Цель:  противодействие  искажению  маршрутной   информации  и  спуфингу  IP-­‐адресов   –  Инициатива  ISOC,  описывающая  предметный  набор   действий  для  достижения  цели   –  Операторам  можно  (и  нужно)  присоединиться  уже  сейчас   •  DOTS  =  DDoS  Open  Threat  Signalling   –  Цель:  создание  инфраструктуры  для  сквозной  сигнализации   об  аномалиях  трафика  начиная  с  CPE  и  кончая  облачным   сервисом.   –  Рабочая  группа  в  IETF   –  Приглашаются  сетевые  вендоры  и  разработчики     (См.  ссылки  в  конце  презентации)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   35  
Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   36  
DNS   •  Невозможность  разрешения  имени  ресурса   в  IP-­‐адрес  =  недоступность  ресурса   •  Общеизвестная  схема  работы  DNS:    13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   37  
Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   38   DNS  
Атаки  на  DNS   •  Вывод  из  строя  авторитетных  (primary  и  secondary)  DNS-­‐серверов.   –  Могут  использоваться  как  уязвимости  ПО,  так  и  DoS/DDoS-­‐атака  на  сами   сервера   –  После  истечения  время  жизни  записи  у  рекурсивных  DNS-­‐серверов  ресурс   становится  недоступен   •  Хорошая  новость:  чтобы  это  случилась,  необходима  весьма  долгая  атака,  что  дает   выигрыш  по  времени   •  Плохая  новость:  в  кеше  многих  рекурсивных  серверов  нужной  записи  может  не   оказаться   •  Исчерпание  ресурсов  на  рекурсивных  серверах   –  Запросы  случайных  доменов,  возвращающие  ошибку  (NXDOMAIN):   вымывание  кеша  и  потеря  производительности   –  Запросы  случайных  доменов,  остающиеся  без  ответа  вообще:  исчерпание   пула  запросов  и  блокирование  создания  новых   –  Запросы  доменов,  сервера  которых  переходят  на  DNS/TCP,  и  открывают   соединение  и  не  передают  данные:  исчерпание  сокетов  и  пула  запросов     Итог.  Атаки  на  DNS  могут  отражаться  на  полной  или  частичной   доступности  ресурса  при  том,  что  управление  DNS-­‐серверами  зачастую   осуществляется  сторонней  компанией.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   39  
Рекурсивные  DNS-­‐сервера   •  Ограничивайте  доступ  из  мира  к  своим  рекурсивным   DNS   –  Это  не  вполне  тривиальная  задача!   •  Анализируйте  их  журнальные  файлы,  мониторьте   состояние  для  выявления  атак   –  Это  ваши  деньги:  если  у  пользователя  не  откроется   www.google.com,  то  виноваты  будете  вы.     •  Настраивайте  параметры  серверов  (размер  пула   запросов,  размеры  кешей  и  пр.)  с  запасом   •  Если  не  умеете  делать  всего  вышеперечисленного  –   переводите  пользователей  на  внешние  рекурсивные   DNS-­‐сервера,  устойчивые  к  атакам   –  Google,  Yandex,  OpenDNS  (Cisco)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   40  
Авторитетные  DNS-­‐сервера   и  данные  зон   •  Используйте  сеть  DNS-­‐серверов   –  Размер  зависит  от  вашей  оценки  риска  атаки   •  Защищайте  DNS-­‐сервера  от  DoS/DDoS-­‐атак  та   же,  как  и  основные  сервера  вашего  ресурса   •  Прописывайте  время  жизни  записей  с  умом   –  Большой  TTL  –  медленные  обновления   –  Маленький  TTL  –  быстрое  устаревание  кешей     Тоже  проще  не  создавать  всё  самим,  а  воспользоваться   готовыми  облачными  защищенными  DNS-­‐сервисами.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   41  
Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   42   Воровство  маршрутов  
Маршрутная  информация   •  Для  построения  маршрутов  в  интернете   используется  протокол  BGP   •  В  оригинальном  протоколе  BGP  отсутствует   защита  от  подделки  маршрутной  информации   •  Набирающая  популярность  технология  RPKI   позволяет  предотвратить  только  часть   подделок   –  Проверяется  валидность  сочетания  префикса  и   Origin   –  Корректность  AS  PATH  не  контролируется!   –  Но  всё  же  лучше,  чем  ничего   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   43  
Атака  на  систему   маршрутизации   Уязвимости  в  прошивках  маршрутизаторов  могут  давать   злоумышленникам  возможность  создавать  некорректные  BGP-­‐ анонсы,  уводя  трафик  к  ресурсу  «в  никуда».   •  Маршрутизатор  при  этом  может  быть  любой,  не  обязательно   участвующий  в  обмене  трафиком  между  ресурсом  и  клиентом:                   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   44  
Проблемы  атак  на  систему   маршрутизации   •  Может  приводить  к  «непонятному»  частичному   нарушению  доступности  ресурса   •  Не  только  владелец  ресурса,  но  и  его  оператор  не   могут  обнаружить  такую  атаку  на  основании  своей   маршрутной  информации   –  Используя  публичные  looking  glass  и   специализированные  средства  мониторинга  атаку   выявить  можно  –  но  специалисты  жертвы  должны   знать,  куда  смотреть   •  [Пока  что?]  нет  средств  для  автоматической   отработки  таких  атак   –  Требуется  «ручная»  высококвалифицированная  работа.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   45  
Владельцам   автономных  систем   •  Не  экономьте  на  сетевых  инженерах   – (если  вам  важна  стабильная  работа  сети)   •  Мониторьте  свою  связность   – BGPlay,  BGPMON,  Renesys,  Radar/Qrator   •  Подумайте  о  анонсах  /24   – Самый  маленький  допустимый  в  интернете   префикс   •  Внедрите  RPKI   – не  решает  всех  проблем,  но  лучше,  чем  ничего   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   46  
Всем  остальным   •  Если  вы  не  готовы  строить  свою  сеть,   получать  автономную  систему  и  набирать   команду  сетевых  инженеров  –  ищите   грамотного  оператора   – Сами  вы  ничего  в  этом  случае  сделать  не   сможете   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   47  
Атаки  на  операционную   систему   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   48  
Атаки  на  сетевой  стек   •  Обратная  сторона  медали:  сессионность  TCP  означает  необходимость   расходовать  ресурсы  на  соединения,  что  создает  возможность  для   атак   –  Наиболее  известные  пример  -­‐  SYN-­‐flood:  запросы  на  открытие  TCP-­‐ соединений   –  Создание  «пустых»  соединений,  которые  расходуют  ресурсы,  но  по   которым  потом  не  передаются  данные,  кроме  служебных  данных   протокола  TCP.   •  Ошибки  в  сетевом  стеке   –  Нашумевшие  когда-­‐то  примеры:   •  LAND-­‐aXack:  src  IP  =  dst  IP,  вызывавшая  бесконечную  обработку  поступивших   сегментов  TCP   •  Christmas  tree  aXack:  включение  всех  TCP-­‐флагов  вызывало  нарушение  работы   операционной  системы   •  Teardrop  aXack:  kernel  crash  при  обработке  перекрывающихся  сегментов  TCP   –  Новые  уязвимости  могут  быть  обнаружены  в  любой  момент     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   49  
Операторам   •  SYN-­‐flood,  SYN-­‐ACK-­‐flood  и  пр.  требуют   спуфинга  адреса  отправителя   – Все  те  же  меры  по  борьбе  со  спуфингом   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   50  
Владельцам  ресурсов  (1)   •  Настраивайте  TCP/IP-­‐стек  вашей  операционной  системы,  поднимайте   лимиты  до  разумных  (для  конкретно  вашего  проекта)  значений   –  Вместе  с  тем,  ограничивайте  число  соединений  с  одного  IP-­‐адреса   •  SYN-­‐flood  по-­‐прежнему  очень  популярен   –  Включите  SYN-­‐Cookie   •  Механизм  SYN-­‐Cookie  помещает  информацию  об  отправителе  в  номера   последовательности  протокола  TCP  ответного  пакета  SYN-­‐ACK.  Ресурсы  под   соединение  выделяются  только  после  получения  последнего  пакета  ACK  в  TCP   handshake.     •  Фильтруйте  мусор  на  ранней  стадии   –  Изучите  возможности  сетевого  фильтра  в  используемой  операционной   системе   –  Избегайте  фильтрации,  требующей  хранить  какую-­‐либо  информацию   (пожар  бензином  не  тушат)   –  Используйте  существующие  возможности  по  настройке  вашей   операционной  системы   –  Если  у  вас  сильная  команда  разработки  –  можно  применить  механизмы   типа  netmap  для  анализа  поступающего  трафика  (см.ссылки  в  конце)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   51  
Владельцам  ресурсов  (2)   •  Мониторьте  состояние  открытых  TCP-­‐соединений,  разрывая   подозрительные  (скорость  передачи  ниже  минимальной,   длительность  соединения  выше  максимальной)   –  Требуется  сопоставление  данных  ядра  системы  и  данных   приложения   •  Следите  за  предупреждениями  об  уязвимостях  и  появлении   исправлений  для  ваших  операционных  систем.   •  Если  риски  велики  и/или  вы  не  можете  сами  реализовать   описанное  выше  –  используйте  специализированное   оборудование  или  облачные  сервисы  защиты.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   52  
Атаки  на  приложение   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   53  
Атаки  на  приложение  (1)   •  Они  же  «L7-­‐атаки».   •  Наиболее  сложные  в  подавлении,  так  как   основываются  на  особенностях  конкретных   приложений.   •  Не  всегда  легко  обнаруживаются.   – Например,  при  эмуляции  full  stack  browser  на   ботах   •  Но  это  недешевое  удовольствие.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   54  
Атаки  на  приложение  (2)   •  Атаки  могут  осуществляться  на  ядро  информационной  системы   –  Например,  повторяющиеся  «тяжелые»  запросы  к  базе  замедляют   или  парализуют  работу  базы   –  Или  массовые    запросы  случайных  URL,  проходящие  через   frontendы  на  backend  (так  как  в  кешах  таких  URL  нет).   •  Атаки  могут  осуществляться  на  frontendы   –  Множественные  HTTP-­‐запросы,  эмулирующие  огромное  число   посетителей   •  Атаки  могут  осуществляться  на  клиентское  ПО   –  Для  отрисовки  страницы  браузер  клиента  строит  его  внутреннее   представление  –  Document  Object  Model  (DOM).  Если  какой-­‐то   элемент  страницы  не  загружается,  то  DOM  не  строится,  и  страница   не  отображается  или  отображается  с  задержкой.   –  Атака:  выявление  внешних  объектов,  которые  загружаются   синхронно  (участвуют  в  построении  DOM)  и  атака  на  ресурсы,  где   эти  объекты  расположены   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   55  
Владельцам  ресурсов   •  Определяйте  разумное  число  одновременных  запросов  с  одного  IP  и   выставляйте  лимиты   –  Помните  про  NAT   –  Не  очень  помогает  против  ботнетов   •  Профилируйте  свой  ресурс,  выявляйте  «тяжелые»  запросы,  оптимизируйте   архитектуру   –  Разделите  приложение  на  backend  и  легкие  frontendы,  если  оно  еще  не  разделено   •  Nginx  –  большой  опыт  использования,  много  best  prac]ce   –  Подготовьте  механизм  существенного  увеличения  числа  frontendов  в  случае   необходимости   –  В  простых  случаях  модель  атаки  может  быть  определена  по  журнальным  файлам  и   заблокирована  вручную  в  конфигурации  сервера  и/или  firewall   •  Уменьшайте  зависимость  ресурса  от  внешних  объектов   –  Все  обращения  к  внешним  объектам  должны  быть  асинхронными,  не  влияющими  на   построение  DOM   •  В  тяжелых  случаях  используйте  CAPTCHA   –  Минусы  –  возможность  обхода  и  ухудшение  UX   •  Подумайте  об  использовании  облачного  сервиса  или  оборудования  для   защиты  от  L7-­‐атак.   •  Даже  при  наличии  защиты  имейте  двух-­‐трехкратный  запас  по   производительности   –  Доля  false  nega]ve  в  случае  атаки  на  приложение  может  быть  высокой  в  силу  сложности   распознавания   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   56  
Финансовые  атаки   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   57  
На  что  расходуются  деньги?   •  Трафик   –  Существует  способ  отдачи  контента,  денежная   стоимость  которого  для  владельца  достаточно  высока   •  Атака:  выкачка  ботнетом  «тяжелого»  контента  этим  способом   •  Мощности  облака   –  Ресурс  автоматически  контролирует  число  виртуальных   машин  в  зависимости  от  нагрузки   •  Атака:  ботнет  создает  иллюзию  большого  количества   посетителей,  ходящий  по  сайту,  вызывая  создание  большого   числа  виртуальных  машин   –  Ресурс  загружает  пользовательские  данные  в  облачное   хранилище,  не  контролируя  их  размер   •  Ботнет  начинает  загружать  большие  «пользовательские   объекты»,  расходуя  место  и  деньги  владельца  ресурса   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   58  
Потенциальным  жертвам   •  Заранее  оценивайте,  расход  каких  ресурсов   может  быть  связан  с  существенными   расходами   •  Оценивайте  возможность  бесконтрольного     расходования  этих  ресурсов  и  меры  по   противодействию  такому  расходованию   •  Ведите  автоматический,  независимый  и   постоянный  контроль  учета  платных   расходуемых  ресурсов.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   59  
Почему  важно  не  быть   видимым   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   60  
Зачем  прятать  ресурсы   •  Наиболее  типичный  сценарий  –  использование  облачной  защиты   через  публичную  сеть   –  Облачная  защита  пропускает  трафик  через  себя  и  фильтрует  трафик  атаки.   При  этом  для  внешнего  мира  адресом  ресурса  является  адрес  самой   облачной  защиты.   –  Но  если  злоумышленник  выяснил  настоящий  адрес  ресурса,  то  он  может   атаковать  его  напрямую.   •  Даже  если  на  пути  к  ресурсу  будет  firewall,  атака  на  канальную  емкость  окажется   успешной.   •  Также,  очевидно  что  базы  данных  и  backendы  не  должны  быть  видны   «напрямую»   –  Особенно  важно  в  случае,  если,  например,  база  данных  и  backend   расположены  в  разных  датацентрах  и  взаимодействую  через  публичную   сеть   –  Если  злоумышленники  выяснят,  в  каком  именно  датацентре  стоит  база   данных  (или  уж  подавно  если  узнают  ее  IP-­‐адрес),  то  становится   возможна  атака  на  неё  (напрямую  или  на  датацентр)  и  вывод  ресурса  из   строя.     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   61  
Источники  нежелательной   информации   •  Исходящие  соединения   –  Самый  популярный  вариант  –  почтовая  рассылка  с   немодифицированными  заголовками  письма   –  Обращения  за  внешними  объектами  («введите  URL   изображения  с  вашим  аватаром»)   –  Сообщения  о  внутренних  ошибках,  выдаваемые   пользователю  («the  database  on  10.5.8.4  is  not  responding»)   •  Журнальные  файлы,  по  ошибке  доступные  по  Web   •  Имена  и  адреса  внутренних  сервисов  в  доступной  всем   DNS-­‐зоне   •  Старые  DNS-­‐зоны   –  До  перевода  ресурса  под  облачную  защиту,  например   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   62  
Владельцам  ресурса   •  Не  допускать  исходящих  соединений  от  «спрятанных»   сервисов  наружу  напрямую   –  В  частности,  в  случае  почты  –  отсылать  через  маскирующий   сервер  или  вовсе  перейти  на  внешний  почтовый  сервис   •  Подумать  о  переходе  с  публичных  сетей  для   внутреннего  взаимодействия  (облачная   защитаçèресурс,  backendçèdatabase  etc)  на  MPLS  VPN   или  выделенные  каналы   •  Контролировать  сообщения  об  ошибках,  выдаваемых   посетителю   •  Ограничивать  доступ  к  служебной  информации   –  Журнальные  файлы,  конфигурационные  файлы  etc   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   63  
Collateral  damage   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   64  
Опасность  общих  объектов   Любой  общий  (разделяемых)  объект  может   являться  причиной  нарушения  доступности  к   интернет-­‐ресурсу:  атака  на  один  ресурс  часто   выводит  из  строя  сотни  и  тысячи  соседних.     Чтобы  не  разделить  их  судьбу,  надо   внимательно  анализировать  используемые   разделяемые  объекты.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   65  
Неполный  список  примеров   •  Shared  hos]ng:  процессор,  память.  Атака  на  один  сервер  в   shared  hos]ng  выводит  из  строя  всё.   •  Внешние  и  внутренние  каналы  связи  датацентра,  хостеру,   внутри  структуры  хостера   –  Подключение  «1  Gbps  на  стойку».  Тривиальная  атака  на  канал  с   полосой  2  Gbps  делает  недоступными  сразу  все  сервера  в  стойке.   –  Подключение  к  облачному  сервису  защиты  по  MPLS  VPN...   который  предоставлен  тем  же  оператором,  что  и  подключение  к   публичной  сети,  и  идет  по  тому  же  волокну  через  интерфейс  10   Gbps.  Атака  в  12  Gbps  делает  защищенные  сервис  недоступным.   •  Сетевое  оборудование  датацентра   –  DoS  на  основе  свежей  уязвимости  делает  недоступным  весь   датацентр   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   66  
Что  еще  почитать  и  посмотреть   hXp://www.ddosaXacks.net/   hXps://www.nanog.org/sites/default/files/10-­‐TzvetanovDDOS2.pdf   hXps://www.nanog.org/sites/default/files/mee]ngs/ NANOG64/1045/20150603_Tzvetanov_Tutorial_Denial_Of_v2.pdf   hXps://www.rou]ngmanifesto.org/manrs/   hXps://www.ie®.org/proceedings/93/slides/slides-­‐93-­‐dots-­‐3.pdf   hXps://www.us-­‐cert.gov/ncas/alerts/TA14-­‐017A   hXp://www.slideshare.net/MeYouSlide/beloenko-­‐ecommerce   hXps://threatpost.ru/metkij_vystrel_po_oblachnoj_zashshite_ddos/12548/   hXps://blog.cloudflare.com/single-­‐rx-­‐queue-­‐kernel-­‐bypass-­‐with-­‐netmap/   hXp://www.enog.org/presenta]ons/enog-­‐9/17-­‐FastNetMon_ENOG_pdf.pdf   hXps://www.nanog.org/sites/default/files/ wed.general.trafficdiversion.serodio.10.pdf   hXps://www.youtube.com/watch?v=ifmRgQX82O4      13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   67  
Спасибо!   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   68  

More Related Content

PDF
DDoS-атаки вчера, сегодня, завтра
byQrator Labs
 
PDF
DDoS как актуальная проблема безопасности
byQrator Labs
 
PDF
Защищаем сеть от DDoS-атак
bySkillFactory
 
PPTX
Современные методы защиты от DDoS атак
bySkillFactory
 
PDF
Интеграция решений Radware в Cisco ACI, Cisco UCS, SDN
byCisco Russia
 
PDF
Современные DoS-атаки и защита от них с помощью инфраструктурных решений, Але...
byOntico
 
PPT
Защита сайта от взлома и вирусов
bySkillFactory
 
PDF
DDOS-АТАКИ: ЧТО ЭТО И КАК С НИМИ БОРОТЬСЯ
byStormWall.pro
 
DDoS-атаки вчера, сегодня, завтра
byQrator Labs
 
DDoS как актуальная проблема безопасности
byQrator Labs
 
Защищаем сеть от DDoS-атак
bySkillFactory
 
Современные методы защиты от DDoS атак
bySkillFactory
 
Интеграция решений Radware в Cisco ACI, Cisco UCS, SDN
byCisco Russia
 
Современные DoS-атаки и защита от них с помощью инфраструктурных решений, Але...
byOntico
 
Защита сайта от взлома и вирусов
bySkillFactory
 
DDOS-АТАКИ: ЧТО ЭТО И КАК С НИМИ БОРОТЬСЯ
byStormWall.pro
 

What's hot

PDF
White Paper. Эволюция DDoS-атак и средств противодействия данной угрозе
byQrator Labs
 
PDF
Методы борьбы с современными DDoS атаками с использованием SDN Radware Defens...
byCisco Russia
 
PDF
Новые вызовы кибербезопасности
byCisco Russia
 
PDF
Борьба с DDoS в хостинге - по обе стороны баррикад / Константин Новаковский (...
byOntico
 
PDF
DDoS Defence 101
byQrator Labs
 
PPTX
Cloud DDoS filter
byIlya Teterin
 
PDF
Kaspersky защита на опережениею DDoS-атаки - серьезные риски длябизнесс-проце...
bySletSysadminov
 
PPT
Защита от DDos-атак
byМедведев Маркетинг
 
PDF
Вебинар "Дизайн и архитектура UCCE Live Data"
byCisco Russia
 
PDF
Решения Cisco для обеспечения безопасности сетей операторов связи и услуг
byCisco Russia
 
PDF
Vantio threat avert x75
byМихаил Новиков
 
PPTX
DDoS: Survival Guide
byHighloadLab
 
PPTX
ENOG-1 ddos-classification.lyamin
byAlexander Lyamin
 
PPTX
Ddos
byHighLoad2009
 
PPTX
DDoS: Survival Guide
byHighloadLab
 
PDF
Защита веб-ресурса от DDoS-атак на примере нашего клиента - Rutracker.org
byIT61
 
PDF
Вячеслав Бирюков - HTTP и HTTPS
byYandex
 
ODP
Технические аспекты блокировки интернета в России. Проблемы и перспективы
byPhilipp Kulin
 
PPT
Cеминар: Работа с технологиями - Основы хостинга сайтов
byMDIF
 
ODP
Krizhanovsky Ddos
byLiudmila Li
 
White Paper. Эволюция DDoS-атак и средств противодействия данной угрозе
byQrator Labs
 
Методы борьбы с современными DDoS атаками с использованием SDN Radware Defens...
byCisco Russia
 
Новые вызовы кибербезопасности
byCisco Russia
 
Борьба с DDoS в хостинге - по обе стороны баррикад / Константин Новаковский (...
byOntico
 
DDoS Defence 101
byQrator Labs
 
Cloud DDoS filter
byIlya Teterin
 
Kaspersky защита на опережениею DDoS-атаки - серьезные риски длябизнесс-проце...
bySletSysadminov
 
Защита от DDos-атак
byМедведев Маркетинг
 
Вебинар "Дизайн и архитектура UCCE Live Data"
byCisco Russia
 
Решения Cisco для обеспечения безопасности сетей операторов связи и услуг
byCisco Russia
 
Vantio threat avert x75
byМихаил Новиков
 
DDoS: Survival Guide
byHighloadLab
 
ENOG-1 ddos-classification.lyamin
byAlexander Lyamin
 
Ddos
byHighLoad2009
 
DDoS: Survival Guide
byHighloadLab
 
Защита веб-ресурса от DDoS-атак на примере нашего клиента - Rutracker.org
byIT61
 
Вячеслав Бирюков - HTTP и HTTPS
byYandex
 
Технические аспекты блокировки интернета в России. Проблемы и перспективы
byPhilipp Kulin
 
Cеминар: Работа с технологиями - Основы хостинга сайтов
byMDIF
 
Krizhanovsky Ddos
byLiudmila Li
 

Viewers also liked

PDF
Как подготовиться к гигабитной DDoS-атаке при помощи машинного обучения / Игн...
byOntico
 
ODP
Как Web-акселератор акселерирует ваш сайт / Александр Крижановский (Tempesta ...
byOntico
 
PDF
Пять секретов оптимальной настройки цифровой АТС Cisco UCM
bySkillFactory
 
PDF
Почему не работает Wi-Fi? Ошибки при проектировании сети
bySkillFactory
 
PDF
A10 issa d do s 5-2014
byRaleigh ISSA
 
PPTX
Yac2013 lyamin-ddos
byAlexander Lyamin
 
PDF
Антон Карпов - Сетевая безопасность
byYandex
 
PDF
Правила успешной карьеры в IT. Часть 2. Взгляд HR-отдела
bySkillFactory
 
PDF
Обзор решений по борьбе с DDoS-атаками
byCisco Russia
 
PPT
Технология операторов связи DWDM: все самое важное за 1 вебинар
bySkillFactory
 
PPTX
Варианты решений для подключения мобильных устройств
bySkillFactory
 
PPTX
MX – универсальная сервисная платформа. Вчера, сегодня, завтра.
bySkillFactory
 
PPTX
Вопросы балансировки трафика
bySkillFactory
 
PPTX
End to End Convergence
bySkillFactory
 
PPTX
IP/LDP fast protection schemes
bySkillFactory
 
PPTX
Сервисы NFV
bySkillFactory
 
PDF
Null HYD VRTDOS
byRaghunath G
 
PPTX
Виртуализация клиентских устройств Juniper cCPE
bySkillFactory
 
PPTX
Как подружить корпоративные системы ВКС и пользователей Skype
bySkillFactory
 
PDF
CloudFlare DDoS attacks 101: what are they and how to protect your site?
byCloudflare
 
Как подготовиться к гигабитной DDoS-атаке при помощи машинного обучения / Игн...
byOntico
 
Как Web-акселератор акселерирует ваш сайт / Александр Крижановский (Tempesta ...
byOntico
 
Пять секретов оптимальной настройки цифровой АТС Cisco UCM
bySkillFactory
 
Почему не работает Wi-Fi? Ошибки при проектировании сети
bySkillFactory
 
A10 issa d do s 5-2014
byRaleigh ISSA
 
Yac2013 lyamin-ddos
byAlexander Lyamin
 
Антон Карпов - Сетевая безопасность
byYandex
 
Правила успешной карьеры в IT. Часть 2. Взгляд HR-отдела
bySkillFactory
 
Обзор решений по борьбе с DDoS-атаками
byCisco Russia
 
Технология операторов связи DWDM: все самое важное за 1 вебинар
bySkillFactory
 
Варианты решений для подключения мобильных устройств
bySkillFactory
 
MX – универсальная сервисная платформа. Вчера, сегодня, завтра.
bySkillFactory
 
Вопросы балансировки трафика
bySkillFactory
 
End to End Convergence
bySkillFactory
 
IP/LDP fast protection schemes
bySkillFactory
 
Сервисы NFV
bySkillFactory
 
Null HYD VRTDOS
byRaghunath G
 
Виртуализация клиентских устройств Juniper cCPE
bySkillFactory
 
Как подружить корпоративные системы ВКС и пользователей Skype
bySkillFactory
 
CloudFlare DDoS attacks 101: what are they and how to protect your site?
byCloudflare
 

Similar to DDoS-­атаки: почему они возможны, и как их предотвращать

PPT
TTK DDOS FREE Sergey Shishkin
byRoman Emelyanov
 
PDF
Лаборатория Касперского. Алексей Киселев. "Современные DDoS-атаки - в чем опа...
byExpolink
 
PPT
Лаборатория Касперского. Алексей Киселев: "Сайт временно недоступен: «Лаборат...
byExpolink
 
PPT
Лаборатория Касперского. Алексей Киселев: "Сайт временно недоступен: «Лаборат...
byExpolink
 
PPTX
Positive Hack Days. Савельев. Доступ запрещен
byPositive Hack Days
 
PPS
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
PPS
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
PDF
SkyparkCDN and IP PIER DDoS protection cloud
byAlexey Stankus
 
PDF
Защита от Ddos атак double protected Светозар
byГК ФИЛАНКО
 
PPT
01 Sachkov
byTraining center "Echelon"
 
PPTX
Как конкуренты ликвидируют сайты за $25. Защита от DDoS-атак.
byEncility
 
PPTX
Cloud DDoS filter 2
byIlya Teterin
 
PPTX
Вы против DDoS: доступные контрмеры
byAlexander Lyamin
 
PDF
DDoS-атаки в 2011 году: характер и тенденции
byHLL
 
PDF
Ddos 2011 risspa
byAlexander Lyamin
 
PDF
DDoS-атаки в 2011 году
byArtyom Gavrichenkov
 
PPTX
Современные DDoS-атаки: тенденции, опасность, подходы к защите
byPositive Hack Days
 
PPTX
Современные DDoS-атаки: тенденции, опасность, подходы к защите
byPositive Hack Days
 
PDF
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
PDF
Анатомия DDoS-атак, или Как предупредить и обезвредить нападения злоумышленников
byКРОК
 
TTK DDOS FREE Sergey Shishkin
byRoman Emelyanov
 
Лаборатория Касперского. Алексей Киселев. "Современные DDoS-атаки - в чем опа...
byExpolink
 
Лаборатория Касперского. Алексей Киселев: "Сайт временно недоступен: «Лаборат...
byExpolink
 
Лаборатория Касперского. Алексей Киселев: "Сайт временно недоступен: «Лаборат...
byExpolink
 
Positive Hack Days. Савельев. Доступ запрещен
byPositive Hack Days
 
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
SkyparkCDN and IP PIER DDoS protection cloud
byAlexey Stankus
 
Защита от Ddos атак double protected Светозар
byГК ФИЛАНКО
 
01 Sachkov
byTraining center "Echelon"
 
Как конкуренты ликвидируют сайты за $25. Защита от DDoS-атак.
byEncility
 
Cloud DDoS filter 2
byIlya Teterin
 
Вы против DDoS: доступные контрмеры
byAlexander Lyamin
 
DDoS-атаки в 2011 году: характер и тенденции
byHLL
 
Ddos 2011 risspa
byAlexander Lyamin
 
DDoS-атаки в 2011 году
byArtyom Gavrichenkov
 
Современные DDoS-атаки: тенденции, опасность, подходы к защите
byPositive Hack Days
 
Современные DDoS-атаки: тенденции, опасность, подходы к защите
byPositive Hack Days
 
Ростелеком. Тимур Ибрагимов. "Развитие сервисов по защите от DDoS-атак: взгля...
byExpolink
 
Анатомия DDoS-атак, или Как предупредить и обезвредить нападения злоумышленников
byКРОК
 

More from Qrator Labs

PDF
Годовой отчет Qrator Labs об угрозах интернета 2017
byQrator Labs
 
PDF
Qrator Labs annual report 2017
byQrator Labs
 
PDF
Memcached amplification DDoS: a 2018 threat.
byQrator Labs
 
PDF
DNS Survival Guide.
byQrator Labs
 
PDF
BGP Flexibility and its Consequences.
byQrator Labs
 
PDF
BGP Route Leaks at Ripe74
byQrator Labs
 
PDF
IoT: реальная угроза или маркетинг?
byQrator Labs
 
PDF
Network Security in 2016
byQrator Labs
 
PDF
Состояние сетевой безопасности в 2016 году
byQrator Labs
 
PDF
Сколько стоит доступ в память, и что с этим делать
byQrator Labs
 
PDF
Анализ количества посетителей на сайте [Считаем уникальные элементы]
byQrator Labs
 
PDF
Caution i pv6 is here
byQrator Labs
 
PPTX
Масштабируя TLS
byQrator Labs
 
PDF
ISP Border Definition
byQrator Labs
 
PDF
DDoS Attacks in 2017: Beyond Packet Filtering
byQrator Labs
 
PDF
Internet Roads of Caucasus
byQrator Labs
 
PDF
Latency i pv4 vs ipv6
byQrator Labs
 
PDF
Особенности использования машинного обучения при защите от DDoS-атак
byQrator Labs
 
PDF
Финансовый сектор. Аспекты информационной безопасности 2016
byQrator Labs
 
PDF
Тренды 2015 года в области интернет-безопасности в россии и в мире
byQrator Labs
 
Годовой отчет Qrator Labs об угрозах интернета 2017
byQrator Labs
 
Qrator Labs annual report 2017
byQrator Labs
 
Memcached amplification DDoS: a 2018 threat.
byQrator Labs
 
DNS Survival Guide.
byQrator Labs
 
BGP Flexibility and its Consequences.
byQrator Labs
 
BGP Route Leaks at Ripe74
byQrator Labs
 
IoT: реальная угроза или маркетинг?
byQrator Labs
 
Network Security in 2016
byQrator Labs
 
Состояние сетевой безопасности в 2016 году
byQrator Labs
 
Сколько стоит доступ в память, и что с этим делать
byQrator Labs
 
Анализ количества посетителей на сайте [Считаем уникальные элементы]
byQrator Labs
 
Caution i pv6 is here
byQrator Labs
 
Масштабируя TLS
byQrator Labs
 
ISP Border Definition
byQrator Labs
 
DDoS Attacks in 2017: Beyond Packet Filtering
byQrator Labs
 
Internet Roads of Caucasus
byQrator Labs
 
Latency i pv4 vs ipv6
byQrator Labs
 
Особенности использования машинного обучения при защите от DDoS-атак
byQrator Labs
 
Финансовый сектор. Аспекты информационной безопасности 2016
byQrator Labs
 
Тренды 2015 года в области интернет-безопасности в россии и в мире
byQrator Labs
 

DDoS-­атаки: почему они возможны, и как их предотвращать

  • 1.
    DDoS-­‐атаки:  почему  они   возможны,  и  как  их   предотвращать     Алексей  Семеняка   Qrator  Labs   as@qrator.net   ENOG   Tutorial  
  • 2.
    Кому  адресована  презентация?   •  Системным  администраторам  и  сетевым   инженерам  интернет-­‐ресурсов   –  Там,  где  они  есть  L   •  Системным  администраторам  хостинговых   компаний   •  Сетевым  инженерам  датацентров   •  Сетевым  инженерам  операторов  связи   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   2  
  • 3.
    Зачем  она  нужна?   •  Угроза  атак  вида  DoS/DDoS  по-­‐прежнему   недооценена   •  Существует  множество  принципиально  разных   технологических  реализаций  таких  атак   •  Полностью  предотвратить  угрозу  очень  сложно   •  Просто  «купить  решение»  и  положиться  на  него   вообще  невозможно     Прогресс  может  быть  достигнут  только  в  результате   коллективных  усилий.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   3  
  • 4.
    Некоторые  жертвы  DDoS’еров:   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   4  
  • 5.
    Наши  задачи   • Выяснить,  что  же  такое  DoS/DDoS-­‐атаки   •  Рассмотреть  их  классификацию   –  Чтобы  уметь  их  правильно  распознать   •  Дать  представление  о  том,  как  их  проводят   –  И  как  не  стать  невольным  помощником  злоумышленников   •  Обсудить  способы  защиты  себя,  своих  клиентов  и   экосистемы  в  целом.   –  Сформулировать  набор  рекомендаций  для  каждого  игрока   индустрии   –  Но  серебряной  пули  не  будет   –  Слайды  с  рекомендациями  отмечены  вот  таким  значком:       13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   5  
  • 6.
    Чего  мы  НЕ  будем  делать   •  Обсуждать  вред  от  DoS/DDoS-­‐атак   •  Обсуждать  коммерческие  решения  по  защите   от  DDoS   •  Сравнивать  параметры  различных  моделей   оборудования   •  Пытаться  дать  рецепты  на  все  случаи  жизни   –  В  том  числе  в  виде  «правильных»  записей  в   разнообразных  конфигурационных  файлах       13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   6  
  • 7.
    Что  такое  DoS/DDoS-­‐атака?   DoS      =  Denial  of  Service,  отказ  в  обслуживании   DDoS  =  Distributed  Denial  of  Service,     распределенный  отказ  в  обслуживании             Обычно:   DoS  –  атака  на  отдельную  уязвимость   (ping  of  death,  INVITE  of  death,  route  leaks)   DDoS  –  атака  на  исчерпание  каких-­‐либо  ресурсов   (SYN-­‐flood,  amp-­‐атаки)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   7   В  обоих  случаях  речь  идет  про  полную  или  частичную  потерю   доступности  ресурса  «извне»  без  нарушения  его  внутренней   структуры  («взлома»).    
  • 8.
    Традиционные  схемы  проведения   атак   DoS-­‐атака:       DDoS-­‐атака:         13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   8  
  • 9.
    Какие  бывают  DDoS-­‐атаки?   •  А  зачем  вообще  их  классицицировать?   – Чтобы  уметь  эффективно  противодействовать   •  Следовательно,  атакам  одного  класса   должны  соответствовать  однотипные   подходы  в  противодействии   •  Модель  OSI?  Слишком  много  пунктов     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   9  
  • 10.
    Классификация   Поэтому  будем  исходить  из  того,  на  что   именно  нацелен  удар:   1.  Канальная  емкость   2.  Инфраструктура   3.  Операционная  система  (сетевой  стек)   4.  Приложение   5.  Деньги  жертвы   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   10  
  • 11.
    Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   11  
  • 12.
    Атаки  на  канальную  ёмкость   •  Они  же  «атаки  на  полосу»,  они  же  «атаки   на  канал»,  они  же  «volumetric  aXacks»   •  Всегда  DDoS,  то  есть  атака  производится  из   многих  точек   •  Ранее  основным  инструментом  для  ее   создания  были  ботнеты,  теперь  –   амплификаторы  трафика.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   12  
  • 13.
    Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   13   Ботнеты  
  • 14.
    Что  такое  ботнет   •  Robot  è  bot  è  бот   •  Бот  –  программный  код  на     –  серверах,   –  пользовательских  компьютерах,   –  мобильных  устройствах   –  и  любых  других  устройствах,  подключенных  к  сети,   способный  выполнять  команды,  поступающие  из   центра  управления.   •  Множество  ботов  под  единым  управлением   называется  ботнетом     •  Ботнеты  используются  для  атак  разных  видов,  не   только  для  атак  на  канальную  емкость.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   14  
  • 15.
    Как  создаются  ботнеты?   •  Заражение  вирусами  (типичный  сценарий   для  пользовательских  компьютеров)   •  Взлом  систем  через  стандартные   уязвимости  (типичный  сценарий  для   серверов,  пример  –  уязвимость  в   WordPress)   •  Легитимная  установка  ПО,  содержащего   «закладки»  (например,  из  Google  Play).   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   15  
  • 16.
    Схема  ботнета   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   16  
  • 17.
    Как  противодействовать?   • Существенный  прогресс  требует   коллективных  усилий  участников   индустрии,  в  первую  очередь:   – Операторов   – Датацентров   – Хостеров   – Владельцев  ресурсов   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   17  
  • 18.
    Ботнеты  vs   оператор  связи/датацентр/хостер   •  Участвуйте  в  профилактике  заражений   (дистрибьюция  антивирусов,  например)   –  Эффективность  невелика,  но…  лучше,  чем  ничего   •  Отслеживайте  участников  ботнетов  в  своих   сетях,  используйте  эту  информацию  в  работе   –  Анализ  аномалий  трафика  на  стороне  оператора   или  через  независимый  мониторинг   •  FastNetMon  Павла  Одинцова  (см.ссылки  в  конце)   –  Предпринимайте  максимум  мер  противодействия,   разрешенных  вашими  договорными   обязательствами   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   18  
  • 19.
    Не  становитесь   частью  ботнета!   •  Установите  антивирус  для  сайтов  (например,   Manul)   –  Или  хотя  бы  проводите  контроль  целостности   файлов   •  Организуйте  регулярный  анализ  журнальных   файлов   –  Кстати,  защищайте  журнальные  файлы!   •  Рассмотрите  возможность  использования   независимого  мониторинга   –  Как  минимум  -­‐  проверяйте  попадание  в  черные   списки  поисковиков!   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   19  
  • 20.
    Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   20   Амплификаторы  
  • 21.
    Что  такое  амплификаторы  (1)   Рассмотрим  сценарий:   •  Злоумышленник  с  адреса  10.1.1.1  отправляет  DNS-­‐запрос  на  DNS-­‐сервер  с   адресом  10.2.2.2,  поменяв  в  IP-­‐пакетах  IP-­‐адрес  отправителя  со  своего  на   10.3.3.3   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   21  
  • 22.
    Что  такое  амплификаторы  (2)   •  DNS-­‐сервер  отвечает  на  запрос,  отсылая  его  отправителю.  Так  как  адрес   отправителя  подделан,  то  ответ  уходит  в  адрес  компьютера-­‐жертвы  с   адресом  10.3.3.3   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   22  
  • 23.
    Что  такое  амплификаторы  (3)   •  Предположим,  что  DNS-­‐сервер  по  адресу  10.2.2.2  поддерживает   расширение  EDNS0  (увеличивающее  разрешенный  размер  ответного   пакета  до  4096  байтов),  и  существует  запрос  (например,  ANY),   порождающий  ответ  размером  2000-­‐4000  байтов  в  ответ  на  короткий   запрос  (64  байта).   •  Тогда  на  каждый  байт,  отосланный  злоумышленником  10.1.1.1,  в   адрес  жертвы  10.3.3.3  будет  отправляться  30-­‐60  байт  мусора.  При   этом  атакующий  «экранирован»  от  жертвы  промежуточным  DNS-­‐ сервером.   •  Таким  образом,  всего  один  такой  сервер  способен  превратить  100   мегабит/с  полосы  со  стороны  атакующего  в  3-­‐6  гигабит/с  в  сторону   жертвы   Такая  ситуация  называется  амплификацией  трафика,  а  DNS-­‐сервер  в   описанном  сценарии  называется  амплификатором.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   23  
  • 24.
    Что  такое  амплификаторы  (4)   •  Атака  с  амплификацией  трафика  становится   возможна  при  выполнении  нескольких  условий:   –  Ни  на  прикладном  уровне,  ни  на  уровне  приложения   не  устанавливается  соединение,   –  Не  производится  авторизация  запроса,   –  Размер  ответа  на  запрос  может  существенно  и   воспроизводимо  превышать  размер  запроса.   •  Популярные  протоколы,  используемые  для   амплификации:  DNS,  NTP,  SSDP,  Chargen/UDP,  ICMP.   •  Общая  полоса  атаки  свыше  100  Гбит/с  с   использованием  набора  амплификаторов  –  уже   обыденное  и  рутинное  явление.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   24  
  • 25.
    Коэффициенты  амплификации   популярных  протоколов   Протокол   Коэффициент   DNS   28-­‐54   NTP   500-­‐1300   SNMPv2   6   NetBIOS   4   SSDP   30   Chargen   350   QOTD   140   BitTorrent   4   Kad   16   Quake  Network  Protocol   64   RIPv1   130   Portmap  (RPCbind)   7-­‐28   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   25  
  • 26.
    Заглянем  немного  глубже…   4  причины,  почему  атака  стала  возможной         13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   26  
  • 27.
    А  почему  это  должно  волновать   операторов?   Некоторые  последствия  атаки  (список  не  исчерпывающий):   •  Атакуемый  ресурс  выведен  из  строя   •  Вместе  с  ним  выведены  из  строя  и  другие  ресурсы  в  AS65003.   –  Недополученная  прибыль  оператора  от  всех  клиентов   –  Ущерб  репутации  оператора   •  Оплата  мусорного  трафика   –  Наиболее  вероятный  вариант,  что  AS65002  и  AS65003  –  небольшие   операторы  и  не  имеют  прямого  стыка.  Наиболее  типичный  вариант   расчетов  за  трафик  в  этом  случае  –  по  превалирующему  виду  (входящий/ исходящий).  Поэтому  за  паразитный  трафик  заплатят  оба  оператора.   Вывод:  атаки  DDoS  опасны  всей  индустрии,  а  не  только   конкретным  жертвам.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   27  
  • 28.
    Как  не  стать  частью  атаки   с  использованием  амплификации?   •  Контролируйте  трафик  пользователей  на  их  порту,  блокируйте   спуфинг.   •  Блокируйте  трафик  с  некорректным  источником  на  границе   сети   •  Выявляйте  сервера  в  своей  сети  и  в  клиентских  сетях,  которые   могут  использоваться  для  амплификации   –  Своими  силами  или  с  помощью  внешних  мониторинговых   сервисов   –  Исправляйте  настройки  уязвимых  серверов  под  вашим   управлением   –  Обсуждайте  с  клиентами  настройки  их  серверов,  или   ограничивайте  потенциально  опасный  трафик  от  них   •  Выявляйте  аномальный  трафик  на  границе  сети  (трафик   амплификаторов  достаточно  легко  распознать)   –  FastNetMon   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   28  
  • 29.
    Общие  принципы   настройки  сервисов   •  Rate  limit   –  Общий   –  Per  src-­‐IP   –  Per  src-­‐prefix   –  Не  забывайте,  однако,  про  NAT   •  Ограничение  круга  пользователей  ваших  сервисов  (полное  или   по  типам  запросов),  ограничение  опасных  сервисов   –  Амплификация  NTP  выполняется  с  помощью  мониторингового   запроса  monlist.  Если  она  вам  не  нужна  (скорее  всего)  –  запретите   её.  Если  нужна,  то  разрешите  её  для  использования  только  вами.     •  Fall-­‐back  на  протоколы  на  основе  сессий   –  Google  DNS:  переход  с  UDP  на  TCP,  если  ответ  больше  чем  в  2  раза   превышает  запрос   –  NTP:  команда  mrulist  вместо  monlist   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   29  
  • 30.
    Атаки  на  канальную   ёмкость   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   30   Общие  рекомендации  
  • 31.
    •  Простое  включение  фильтрации  на  стороне   клиента  не  помогает   – канал  забит,  и  даже  если  отфильтровать  весь   мусор  -­‐  полезного  трафика  все  равно  почти  нет   •  Наращивание  связности  –  долго  и  дорого.   Общие  сложности   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   31  
  • 32.
    Потенциальным  жертвам  (1)   Если  есть  своя  автономная  система:   •  Развивайте  максимально  связность  –  самостоятельно  или  с   помощью  облачных  сервисов   –  BGP  Anycast   •  Фильтруйте  аномалии  трафика  на  всех  стыках   –  Покупка  оборудования  или  в  рамках  облачного  сервиса,   предоставившего  связность   •  Используйте  BGP  Flowspec  для  фильтрации  аномалий,  если   аплинк  дает  такую  возможность   –  Случается  это  пока  что,  увы,  крайне  редко.   •  Защищайте  свои  префиксы  целиком   –  Ваши  префиксы  не  являются  секретом  (RIPE  DB,  RADB).   –  Чтобы  забить  канал,  нужно  послать  мусор  не  на  точный  IP-­‐адрес   ресурса,  а  на  любой  IP-­‐адрес,  маршрутизируемый  в  канал  –  или  на   диапазон  адресов.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   32  
  • 33.
    Потенциальным  жертвам  (2)   Если  своей  автономной  системы  нет:   •  Не  используйте  провайдеро-­‐независимые  адреса  (PI)   •  Выбирайте  хостинг/датацентр  с  максимально  развитой   связностью   –  Может  помочь  против  «пионерских»  атак   •  Избегайте  shared  hos]ng   •  Используйте  ступенчатую  фильтрацию  трафика   –  Много  мусора  можно  отфильтровать  просто  на  уровне  firewall   –  Узнайте,  не  дает  ли  ваш  хостер  и/или  датацентр  возможности   фильтровать  часть  трафика  ещё  у  него?   •  Задумайтесь  о  подключении  к  облачным  сервисам  фильтрации   –  Возможно,  не  через  публичную  сеть,  а  по  MPLS  VPN.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   33  
  • 34.
    Операторам,  дацентрам,   хостерам   •  Анализ  небольших  потоков  трафика  –  это   дешево   – Выявляйте  аномалии  максимально  близко  к   клиентским  стыкам   •  Превентивно  анализируйте  свою  сеть  на   наличие  ботнетов  и  амплификаторов   – Своими  силами  или  с  помощью  внешних   мониторинговых  сервисов   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   34  
  • 35.
    Важные  инициативы  индустрии   •  MANRS  =  Mutually  Agreed  Norms  for  Rou]ng  Security   –  Цель:  противодействие  искажению  маршрутной   информации  и  спуфингу  IP-­‐адресов   –  Инициатива  ISOC,  описывающая  предметный  набор   действий  для  достижения  цели   –  Операторам  можно  (и  нужно)  присоединиться  уже  сейчас   •  DOTS  =  DDoS  Open  Threat  Signalling   –  Цель:  создание  инфраструктуры  для  сквозной  сигнализации   об  аномалиях  трафика  начиная  с  CPE  и  кончая  облачным   сервисом.   –  Рабочая  группа  в  IETF   –  Приглашаются  сетевые  вендоры  и  разработчики     (См.  ссылки  в  конце  презентации)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   35  
  • 36.
    Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   36  
  • 37.
    DNS   •  Невозможность  разрешения  имени  ресурса   в  IP-­‐адрес  =  недоступность  ресурса   •  Общеизвестная  схема  работы  DNS:    13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   37  
  • 38.
    Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   38   DNS  
  • 39.
    Атаки  на  DNS   •  Вывод  из  строя  авторитетных  (primary  и  secondary)  DNS-­‐серверов.   –  Могут  использоваться  как  уязвимости  ПО,  так  и  DoS/DDoS-­‐атака  на  сами   сервера   –  После  истечения  время  жизни  записи  у  рекурсивных  DNS-­‐серверов  ресурс   становится  недоступен   •  Хорошая  новость:  чтобы  это  случилась,  необходима  весьма  долгая  атака,  что  дает   выигрыш  по  времени   •  Плохая  новость:  в  кеше  многих  рекурсивных  серверов  нужной  записи  может  не   оказаться   •  Исчерпание  ресурсов  на  рекурсивных  серверах   –  Запросы  случайных  доменов,  возвращающие  ошибку  (NXDOMAIN):   вымывание  кеша  и  потеря  производительности   –  Запросы  случайных  доменов,  остающиеся  без  ответа  вообще:  исчерпание   пула  запросов  и  блокирование  создания  новых   –  Запросы  доменов,  сервера  которых  переходят  на  DNS/TCP,  и  открывают   соединение  и  не  передают  данные:  исчерпание  сокетов  и  пула  запросов     Итог.  Атаки  на  DNS  могут  отражаться  на  полной  или  частичной   доступности  ресурса  при  том,  что  управление  DNS-­‐серверами  зачастую   осуществляется  сторонней  компанией.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   39  
  • 40.
    Рекурсивные  DNS-­‐сервера   • Ограничивайте  доступ  из  мира  к  своим  рекурсивным   DNS   –  Это  не  вполне  тривиальная  задача!   •  Анализируйте  их  журнальные  файлы,  мониторьте   состояние  для  выявления  атак   –  Это  ваши  деньги:  если  у  пользователя  не  откроется   www.google.com,  то  виноваты  будете  вы.     •  Настраивайте  параметры  серверов  (размер  пула   запросов,  размеры  кешей  и  пр.)  с  запасом   •  Если  не  умеете  делать  всего  вышеперечисленного  –   переводите  пользователей  на  внешние  рекурсивные   DNS-­‐сервера,  устойчивые  к  атакам   –  Google,  Yandex,  OpenDNS  (Cisco)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   40  
  • 41.
    Авторитетные  DNS-­‐сервера   и  данные  зон   •  Используйте  сеть  DNS-­‐серверов   –  Размер  зависит  от  вашей  оценки  риска  атаки   •  Защищайте  DNS-­‐сервера  от  DoS/DDoS-­‐атак  та   же,  как  и  основные  сервера  вашего  ресурса   •  Прописывайте  время  жизни  записей  с  умом   –  Большой  TTL  –  медленные  обновления   –  Маленький  TTL  –  быстрое  устаревание  кешей     Тоже  проще  не  создавать  всё  самим,  а  воспользоваться   готовыми  облачными  защищенными  DNS-­‐сервисами.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   41  
  • 42.
    Атаки  на  инфраструктуру   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   42   Воровство  маршрутов  
  • 43.
    Маршрутная  информация   • Для  построения  маршрутов  в  интернете   используется  протокол  BGP   •  В  оригинальном  протоколе  BGP  отсутствует   защита  от  подделки  маршрутной  информации   •  Набирающая  популярность  технология  RPKI   позволяет  предотвратить  только  часть   подделок   –  Проверяется  валидность  сочетания  префикса  и   Origin   –  Корректность  AS  PATH  не  контролируется!   –  Но  всё  же  лучше,  чем  ничего   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   43  
  • 44.
    Атака  на  систему   маршрутизации   Уязвимости  в  прошивках  маршрутизаторов  могут  давать   злоумышленникам  возможность  создавать  некорректные  BGP-­‐ анонсы,  уводя  трафик  к  ресурсу  «в  никуда».   •  Маршрутизатор  при  этом  может  быть  любой,  не  обязательно   участвующий  в  обмене  трафиком  между  ресурсом  и  клиентом:                   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   44  
  • 45.
    Проблемы  атак  на  систему   маршрутизации   •  Может  приводить  к  «непонятному»  частичному   нарушению  доступности  ресурса   •  Не  только  владелец  ресурса,  но  и  его  оператор  не   могут  обнаружить  такую  атаку  на  основании  своей   маршрутной  информации   –  Используя  публичные  looking  glass  и   специализированные  средства  мониторинга  атаку   выявить  можно  –  но  специалисты  жертвы  должны   знать,  куда  смотреть   •  [Пока  что?]  нет  средств  для  автоматической   отработки  таких  атак   –  Требуется  «ручная»  высококвалифицированная  работа.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   45  
  • 46.
    Владельцам   автономных  систем   •  Не  экономьте  на  сетевых  инженерах   – (если  вам  важна  стабильная  работа  сети)   •  Мониторьте  свою  связность   – BGPlay,  BGPMON,  Renesys,  Radar/Qrator   •  Подумайте  о  анонсах  /24   – Самый  маленький  допустимый  в  интернете   префикс   •  Внедрите  RPKI   – не  решает  всех  проблем,  но  лучше,  чем  ничего   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   46  
  • 47.
    Всем  остальным   • Если  вы  не  готовы  строить  свою  сеть,   получать  автономную  систему  и  набирать   команду  сетевых  инженеров  –  ищите   грамотного  оператора   – Сами  вы  ничего  в  этом  случае  сделать  не   сможете   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   47  
  • 48.
    Атаки  на  операционную   систему   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   48  
  • 49.
    Атаки  на  сетевой  стек   •  Обратная  сторона  медали:  сессионность  TCP  означает  необходимость   расходовать  ресурсы  на  соединения,  что  создает  возможность  для   атак   –  Наиболее  известные  пример  -­‐  SYN-­‐flood:  запросы  на  открытие  TCP-­‐ соединений   –  Создание  «пустых»  соединений,  которые  расходуют  ресурсы,  но  по   которым  потом  не  передаются  данные,  кроме  служебных  данных   протокола  TCP.   •  Ошибки  в  сетевом  стеке   –  Нашумевшие  когда-­‐то  примеры:   •  LAND-­‐aXack:  src  IP  =  dst  IP,  вызывавшая  бесконечную  обработку  поступивших   сегментов  TCP   •  Christmas  tree  aXack:  включение  всех  TCP-­‐флагов  вызывало  нарушение  работы   операционной  системы   •  Teardrop  aXack:  kernel  crash  при  обработке  перекрывающихся  сегментов  TCP   –  Новые  уязвимости  могут  быть  обнаружены  в  любой  момент     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   49  
  • 50.
    Операторам   •  SYN-­‐flood,  SYN-­‐ACK-­‐flood  и  пр.  требуют   спуфинга  адреса  отправителя   – Все  те  же  меры  по  борьбе  со  спуфингом   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   50  
  • 51.
    Владельцам  ресурсов  (1)   •  Настраивайте  TCP/IP-­‐стек  вашей  операционной  системы,  поднимайте   лимиты  до  разумных  (для  конкретно  вашего  проекта)  значений   –  Вместе  с  тем,  ограничивайте  число  соединений  с  одного  IP-­‐адреса   •  SYN-­‐flood  по-­‐прежнему  очень  популярен   –  Включите  SYN-­‐Cookie   •  Механизм  SYN-­‐Cookie  помещает  информацию  об  отправителе  в  номера   последовательности  протокола  TCP  ответного  пакета  SYN-­‐ACK.  Ресурсы  под   соединение  выделяются  только  после  получения  последнего  пакета  ACK  в  TCP   handshake.     •  Фильтруйте  мусор  на  ранней  стадии   –  Изучите  возможности  сетевого  фильтра  в  используемой  операционной   системе   –  Избегайте  фильтрации,  требующей  хранить  какую-­‐либо  информацию   (пожар  бензином  не  тушат)   –  Используйте  существующие  возможности  по  настройке  вашей   операционной  системы   –  Если  у  вас  сильная  команда  разработки  –  можно  применить  механизмы   типа  netmap  для  анализа  поступающего  трафика  (см.ссылки  в  конце)   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   51  
  • 52.
    Владельцам  ресурсов  (2)   •  Мониторьте  состояние  открытых  TCP-­‐соединений,  разрывая   подозрительные  (скорость  передачи  ниже  минимальной,   длительность  соединения  выше  максимальной)   –  Требуется  сопоставление  данных  ядра  системы  и  данных   приложения   •  Следите  за  предупреждениями  об  уязвимостях  и  появлении   исправлений  для  ваших  операционных  систем.   •  Если  риски  велики  и/или  вы  не  можете  сами  реализовать   описанное  выше  –  используйте  специализированное   оборудование  или  облачные  сервисы  защиты.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   52  
  • 53.
    Атаки  на  приложение   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   53  
  • 54.
    Атаки  на  приложение  (1)   •  Они  же  «L7-­‐атаки».   •  Наиболее  сложные  в  подавлении,  так  как   основываются  на  особенностях  конкретных   приложений.   •  Не  всегда  легко  обнаруживаются.   – Например,  при  эмуляции  full  stack  browser  на   ботах   •  Но  это  недешевое  удовольствие.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   54  
  • 55.
    Атаки  на  приложение  (2)   •  Атаки  могут  осуществляться  на  ядро  информационной  системы   –  Например,  повторяющиеся  «тяжелые»  запросы  к  базе  замедляют   или  парализуют  работу  базы   –  Или  массовые    запросы  случайных  URL,  проходящие  через   frontendы  на  backend  (так  как  в  кешах  таких  URL  нет).   •  Атаки  могут  осуществляться  на  frontendы   –  Множественные  HTTP-­‐запросы,  эмулирующие  огромное  число   посетителей   •  Атаки  могут  осуществляться  на  клиентское  ПО   –  Для  отрисовки  страницы  браузер  клиента  строит  его  внутреннее   представление  –  Document  Object  Model  (DOM).  Если  какой-­‐то   элемент  страницы  не  загружается,  то  DOM  не  строится,  и  страница   не  отображается  или  отображается  с  задержкой.   –  Атака:  выявление  внешних  объектов,  которые  загружаются   синхронно  (участвуют  в  построении  DOM)  и  атака  на  ресурсы,  где   эти  объекты  расположены   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   55  
  • 56.
    Владельцам  ресурсов   • Определяйте  разумное  число  одновременных  запросов  с  одного  IP  и   выставляйте  лимиты   –  Помните  про  NAT   –  Не  очень  помогает  против  ботнетов   •  Профилируйте  свой  ресурс,  выявляйте  «тяжелые»  запросы,  оптимизируйте   архитектуру   –  Разделите  приложение  на  backend  и  легкие  frontendы,  если  оно  еще  не  разделено   •  Nginx  –  большой  опыт  использования,  много  best  prac]ce   –  Подготовьте  механизм  существенного  увеличения  числа  frontendов  в  случае   необходимости   –  В  простых  случаях  модель  атаки  может  быть  определена  по  журнальным  файлам  и   заблокирована  вручную  в  конфигурации  сервера  и/или  firewall   •  Уменьшайте  зависимость  ресурса  от  внешних  объектов   –  Все  обращения  к  внешним  объектам  должны  быть  асинхронными,  не  влияющими  на   построение  DOM   •  В  тяжелых  случаях  используйте  CAPTCHA   –  Минусы  –  возможность  обхода  и  ухудшение  UX   •  Подумайте  об  использовании  облачного  сервиса  или  оборудования  для   защиты  от  L7-­‐атак.   •  Даже  при  наличии  защиты  имейте  двух-­‐трехкратный  запас  по   производительности   –  Доля  false  nega]ve  в  случае  атаки  на  приложение  может  быть  высокой  в  силу  сложности   распознавания   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   56  
  • 57.
    Финансовые  атаки   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   57  
  • 58.
    На  что  расходуются  деньги?   •  Трафик   –  Существует  способ  отдачи  контента,  денежная   стоимость  которого  для  владельца  достаточно  высока   •  Атака:  выкачка  ботнетом  «тяжелого»  контента  этим  способом   •  Мощности  облака   –  Ресурс  автоматически  контролирует  число  виртуальных   машин  в  зависимости  от  нагрузки   •  Атака:  ботнет  создает  иллюзию  большого  количества   посетителей,  ходящий  по  сайту,  вызывая  создание  большого   числа  виртуальных  машин   –  Ресурс  загружает  пользовательские  данные  в  облачное   хранилище,  не  контролируя  их  размер   •  Ботнет  начинает  загружать  большие  «пользовательские   объекты»,  расходуя  место  и  деньги  владельца  ресурса   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   58  
  • 59.
    Потенциальным  жертвам   • Заранее  оценивайте,  расход  каких  ресурсов   может  быть  связан  с  существенными   расходами   •  Оценивайте  возможность  бесконтрольного     расходования  этих  ресурсов  и  меры  по   противодействию  такому  расходованию   •  Ведите  автоматический,  независимый  и   постоянный  контроль  учета  платных   расходуемых  ресурсов.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   59  
  • 60.
    Почему  важно  не  быть   видимым   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   60  
  • 61.
    Зачем  прятать  ресурсы   •  Наиболее  типичный  сценарий  –  использование  облачной  защиты   через  публичную  сеть   –  Облачная  защита  пропускает  трафик  через  себя  и  фильтрует  трафик  атаки.   При  этом  для  внешнего  мира  адресом  ресурса  является  адрес  самой   облачной  защиты.   –  Но  если  злоумышленник  выяснил  настоящий  адрес  ресурса,  то  он  может   атаковать  его  напрямую.   •  Даже  если  на  пути  к  ресурсу  будет  firewall,  атака  на  канальную  емкость  окажется   успешной.   •  Также,  очевидно  что  базы  данных  и  backendы  не  должны  быть  видны   «напрямую»   –  Особенно  важно  в  случае,  если,  например,  база  данных  и  backend   расположены  в  разных  датацентрах  и  взаимодействую  через  публичную   сеть   –  Если  злоумышленники  выяснят,  в  каком  именно  датацентре  стоит  база   данных  (или  уж  подавно  если  узнают  ее  IP-­‐адрес),  то  становится   возможна  атака  на  неё  (напрямую  или  на  датацентр)  и  вывод  ресурса  из   строя.     13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   61  
  • 62.
    Источники  нежелательной   информации   •  Исходящие  соединения   –  Самый  популярный  вариант  –  почтовая  рассылка  с   немодифицированными  заголовками  письма   –  Обращения  за  внешними  объектами  («введите  URL   изображения  с  вашим  аватаром»)   –  Сообщения  о  внутренних  ошибках,  выдаваемые   пользователю  («the  database  on  10.5.8.4  is  not  responding»)   •  Журнальные  файлы,  по  ошибке  доступные  по  Web   •  Имена  и  адреса  внутренних  сервисов  в  доступной  всем   DNS-­‐зоне   •  Старые  DNS-­‐зоны   –  До  перевода  ресурса  под  облачную  защиту,  например   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   62  
  • 63.
    Владельцам  ресурса   • Не  допускать  исходящих  соединений  от  «спрятанных»   сервисов  наружу  напрямую   –  В  частности,  в  случае  почты  –  отсылать  через  маскирующий   сервер  или  вовсе  перейти  на  внешний  почтовый  сервис   •  Подумать  о  переходе  с  публичных  сетей  для   внутреннего  взаимодействия  (облачная   защитаçèресурс,  backendçèdatabase  etc)  на  MPLS  VPN   или  выделенные  каналы   •  Контролировать  сообщения  об  ошибках,  выдаваемых   посетителю   •  Ограничивать  доступ  к  служебной  информации   –  Журнальные  файлы,  конфигурационные  файлы  etc   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   63  
  • 64.
    Collateral  damage   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   64  
  • 65.
    Опасность  общих  объектов   Любой  общий  (разделяемых)  объект  может   являться  причиной  нарушения  доступности  к   интернет-­‐ресурсу:  атака  на  один  ресурс  часто   выводит  из  строя  сотни  и  тысячи  соседних.     Чтобы  не  разделить  их  судьбу,  надо   внимательно  анализировать  используемые   разделяемые  объекты.   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   65  
  • 66.
    Неполный  список  примеров   •  Shared  hos]ng:  процессор,  память.  Атака  на  один  сервер  в   shared  hos]ng  выводит  из  строя  всё.   •  Внешние  и  внутренние  каналы  связи  датацентра,  хостеру,   внутри  структуры  хостера   –  Подключение  «1  Gbps  на  стойку».  Тривиальная  атака  на  канал  с   полосой  2  Gbps  делает  недоступными  сразу  все  сервера  в  стойке.   –  Подключение  к  облачному  сервису  защиты  по  MPLS  VPN...   который  предоставлен  тем  же  оператором,  что  и  подключение  к   публичной  сети,  и  идет  по  тому  же  волокну  через  интерфейс  10   Gbps.  Атака  в  12  Gbps  делает  защищенные  сервис  недоступным.   •  Сетевое  оборудование  датацентра   –  DoS  на  основе  свежей  уязвимости  делает  недоступным  весь   датацентр   13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   66  
  • 67.
    Что  еще  почитать  и  посмотреть   hXp://www.ddosaXacks.net/   hXps://www.nanog.org/sites/default/files/10-­‐TzvetanovDDOS2.pdf   hXps://www.nanog.org/sites/default/files/mee]ngs/ NANOG64/1045/20150603_Tzvetanov_Tutorial_Denial_Of_v2.pdf   hXps://www.rou]ngmanifesto.org/manrs/   hXps://www.ie®.org/proceedings/93/slides/slides-­‐93-­‐dots-­‐3.pdf   hXps://www.us-­‐cert.gov/ncas/alerts/TA14-­‐017A   hXp://www.slideshare.net/MeYouSlide/beloenko-­‐ecommerce   hXps://threatpost.ru/metkij_vystrel_po_oblachnoj_zashshite_ddos/12548/   hXps://blog.cloudflare.com/single-­‐rx-­‐queue-­‐kernel-­‐bypass-­‐with-­‐netmap/   hXp://www.enog.org/presenta]ons/enog-­‐9/17-­‐FastNetMon_ENOG_pdf.pdf   hXps://www.nanog.org/sites/default/files/ wed.general.trafficdiversion.serodio.10.pdf   hXps://www.youtube.com/watch?v=ifmRgQX82O4      13/10/15   DDoS  AXacks  mi]ga]on:  tutorial   67  
  • 68.
    Спасибо!   13/10/15  DDoS  AXacks  mi]ga]on:  tutorial   68