Самый исчерпывающий доклад, с которым компания Qrator Labs когда-либо выступала. Здесь все о DDoS, начиная с истории, развенчания мифов и заканчивая кейсами падения сайтов отраслевых лидеров. Встреча CodeFreeze. Москва, 17.09.2015

1. DDoS Defence 101
Артём Гавриченков <ag@qrator.net>

2. WWW.QRATOR.NET
История
• Первые атаки – 1999-2000 гг.

3. WWW.QRATOR.NET
История
• Первые атаки – 1999-2000 гг.
• 2005: модель STRIDE
- Spoofing Identity
- Tampering with Data
- Repudiation
- Information Disclosure
- Denial of Service
- Elevation of Privileges

4. WWW.QRATOR.NET
[D]DoS

5. WWW.QRATOR.NET
[D]DoS
• DoS – эксплуатация уязвимостей в ПО

6. WWW.QRATOR.NET
[D]DoS
• DoS – эксплуатация уязвимостей в ПО
• DDoS – исчерпание ресурсов компьютерной
системы

7. WWW.QRATOR.NET
Цели
• Ограничение доступа к информации
• Месть
• Вымогательство
• Конкуренция

8. WWW.QRATOR.NET
Цели
• Ограничение доступа к информации
• Месть
• Вымогательство
• Конкуренция

9. WWW.QRATOR.NET
Цели
• Ограничение доступа к информации
• Месть
• Вымогательство
• Конкуренция

10. WWW.QRATOR.NET
Цели
• Ограничение доступа к информации
• Месть
• Вымогательство
• Конкуренция

11. WWW.QRATOR.NET
Цели
• Ограничение доступа к информации
• Месть
• Вымогательство
• Конкуренция

12. WWW.QRATOR.NET
Типы
атак

13. WWW.QRATOR.NET
Типы
атак

14. WWW.QRATOR.NET
Типы
атак
!

15. WWW.QRATOR.NET
Типы
атак
• L2
• L3
• L4
• L7

16. WWW.QRATOR.NET
Типы
атак
• L2
«Забивание» канала: ICMP Flood, * Amplification…
• L3
• L4
• L7

17. WWW.QRATOR.NET
Типы
атак
• L2
Amplification:
• L3
• L4
• L7
• NTP
• DNS
• SNMP
• SSDP
• CHARGEN
• RIPv1
• Bittorrent!

18. WWW.QRATOR.NET
Типы
атак
• L2
Amplification:
• L3
• L4
• L7
• NTP
• DNS
• SNMP
• SSDP
• CHARGEN
• RIPv1
• Bittorrent!

19. WWW.QRATOR.NET
Типы
атак
• L2
Amplification:
• L3
• L4
• L7
• NTP
• DNS
• SNMP
• SSDP
• CHARGEN
• RIPv1
• Bittorrent!

20. WWW.QRATOR.NET
Типы
атак
• L2
«Забивание» канала: ICMP Flood, * Amp…
• L3
Нарушение функционирования сетевой инфраструктуры
• L4
• L7

21. WWW.QRATOR.NET
Типы
атак
• L2
«Забивание» канала: ICMP Flood, * Amp…
• L3
Нарушение функционирования сетевой инфраструктуры
• L4
Эксплуатация слабых мест TCP-драйвера
• L7

22. WWW.QRATOR.NET
Типы
атак
• L2
«Забивание» канала: ICMP Flood, * Amp…
• L3
Нарушение функционирования сетевой инфраструктуры
• L4
Эксплуатация слабых мест TCP-драйвера
• L7
Деградация Web-приложения

23. WWW.QRATOR.NET
Параметры
атак
• L2
Gbps
• L3
Pps, …
• L4
Pps, …
• L7
Rps/IPs

24. WWW.QRATOR.NET
Противомеры
• L2
Полоса!
• L3
Аналитика
• L4
Анализ поведения и эвристика
• L7
Поведенческий, корреляционный анализ, мониторинг

25. WWW.QRATOR.NET
Расследование?
• Очень сложно
• ОЧЕНЬ ДОРОГО
• В основном, благодаря ошибкам атакующих

26. WWW.QRATOR.NET
Сетевая
архитектура
• «Земной» хостинг
• «Облачный» хостинг
• CDN

27. WWW.QRATOR.NET
Оценка
рисков
Probability/Impact Matrix
Trivial Minor Moderate Significant Severe
Rare
Unlikely
Moderate
Likely
Very Likely
Impact:
Severe
Probability:
Moderate/Unlikely

28. WWW.QRATOR.NET
Оценка
рисков
Хостинг Облако CDN
L2
L3
L4
L7

29. WWW.QRATOR.NET
Оценка
рисков
Хостинг Облако CDN
L2 High
L3 Low
L4 High
L7 High

30. WWW.QRATOR.NET
Оценка
рисков
Хостинг Облако CDN
L2 High Moderate
L3 Low Low
L4 High Low
L7 High High

31. WWW.QRATOR.NET
Оценка
рисков
Хостинг Облако CDN
L2 High Moderate Moderate
L3 Low Low High
L4 High Low Low
L7 High High Low

32. WWW.QRATOR.NET
Оценка
рисков
Хостинг
L2 High
L3 Low
L4 High
L7 High
• Что ни размещай, в т.ч.
специализированное
оборудование
• У приложения
должен быть запас
производительности (2x)
• INSTANT RELOCATION

33. WWW.QRATOR.NET
Оценка
рисков
Облако
L2 Moderate
L3 Low
L4 Low
L7 High
• BGP Anycast!
• 500 Гбит/с – не шутки
• У приложения
должен быть запас
производительности (2x)
• «DoS via billing»

34. WWW.QRATOR.NET
Оценка
рисков
CDN
L2 Moderate
L3 High
L4 Low
L7 Low
• BGP Anycast
• Защищённый DNS-сервер

35. WWW.QRATOR.NET
Сетевая
архитектура
• Anycast-адрес – это вообще полезно!
• IPv4, кстати, заканчивается
• IPv6 плохо внедряется
• Anycast можно арендовать

36. WWW.QRATOR.NET
Сетевая
архитектура
• Приложение, отвязанное от платформы
• Docker?
• Документация

37. WWW.QRATOR.NET
Сетевая
архитектура
Возможности для защиты от DDoS нужно
предусматривать заранее:
• В протоколе
• В архитектуре
• В реализации

38. WWW.QRATOR.NET
Сетевая
архитектура
Защита – это не продукт, а процесс
• Своевременное обновление
• Реагирование на тенденции
• Реагирование на инциденты

39. WWW.QRATOR.NET
Дивный
новый
мир
• IPv4 NAT – боль
• Приходится блокировать NAT pool’ы целиком
• Размер пространства IPv6 – БОЛЬ
• Придётся банить подсетями, иначе никак

40. WWW.QRATOR.NET
Дивный
новый
мир
• IPv4 NAT – боль
• Приходится блокировать NAT pool’ы целиком
• Размер пространства IPv6 – БОЛЬ
• Придётся банить подсетями, иначе никак

41. WWW.QRATOR.NET
Спасибо за внимание!
Artyom Gavrichenkov
<ag@qrator.net>