Spblug. Борьба с DDoS в хостинге - по обе стороны баррикад

Борьба с DDoS в хостинге: по обе
стороны баррикад.
Netflow, Flowspec
Константин Новаковский
Vscale, Selectel
SPb Linux User Group
2017.02.22

Почему нам больно
• 6 датацентров (6,5к м2
)
• Аренда серверов / стоек / серверных помещений / волокон
• Виртуальное приватное облако
• Облачное хранилище / CDN
• Мониторинг
• Vscale
• Anycast DNS
• новый “железный” проект в разработке

Проблемы
• атаки на наших клиентов
• атаки на нашу инфраструктуру
• использование нашей инфраструктуры для атак
• взломали сервер клиента
• виртуалки для атак

Коротко А вдруг
● на канал (volumetric)
● на протокол
● на оборудование
● на приложение

Коротко А вдруг
● на канал (volumetric)
● на протокол
● на оборудование
● на приложение
● большой BPS
● большой PPS
● большой PPS
● небольшие числа
BPS/PPS

Отражение
1. Атакующий хост рассылает запросы от имени жертвы по всему
интернету
2. Хосты в интернете отвечают жертве
3. Жертва получает ОЧЕНЬ МНОГО неожиданных ответов
Размер ответа небольшой — как правило, равный размеру запроса.
ping -S <жертва> <host в интернете>
hping3 ...

Усиление
Основной механизм - отражение, но
● посылка маленького по размеру запроса
● генерация очень большого ответа - до 100 килобайт
• SNMP, DNS, NTP, SSDP, CS, Quake
• UDP - нет установки сессии перед запросом rfc768

Флуд Атака на протокол
• PING-flood
• SYN-flood
• SSL-handshake
• slow TCP
• IP fragments

Мониторинг
Минимум нагрузка на сетевых интерфейсах
серверов роутерах
Держать перед глазами

Кто кого откуда куда

• сенсор
• коллектор
• анализатор

• Обрабатываются не все пакеты
• Может создать излишнюю нагрузку на сенсор
• Значение семплинга зависит от:
• объемов трафика
• оборудования / сенсора

Инструменты
• nfdump, nfsen
• flowtools
• elasticsearch
• nbox/ntopng
• ipfixcol

Отчёт клиенту
• Топ по портам назначения
• Топ портам источников трафика
• Автономные системы источников трафика
• Топы адресов на основе топов портов
источников и назначения
• Количество адресов в по топам портов

Реакция и смягчение
• Работает поверх
• обрабатывается аппаратно на ах
• опасен своей мощью
• поддерживают далеко не все операторы

Пример отчёта
Attack type: syn_flood
Initial attack power: 106961 packets per second
Peak attack power: 211654 packets per second
Attack direction: outgoing
Attack protocol: tcp
Total incoming traffic: 33 mbps
Total outgoing traffic: 674 mbps
Total incoming pps: 7290 packets per second
Total outgoing pps: 106961 packets per second
Total incoming flows: 0 flows per second
Total outgoing flows: 0 flows per second
Average incoming traffic: 33 mbps
Average outgoing traffic: 674 mbps
Average incoming pps: 7290 packets per second
Average outgoing pps: 106961 packets per second
Incoming tcp traffic: 0 mbps
Outgoing tcp traffic: 1869 mbps
Incoming tcp pps: 0 packets per second
Outgoing tcp pps: 262144 packets per second
Incoming syn tcp traffic: 0 mbps
Outgoing syn tcp traffic: 1869 mbps
Incoming syn tcp pps: 0 packets per second
Outgoing syn tcp pps: 262144 packets per second

— программный многоуровневый коммутатор
Обеспечивает сеть виртуальным машинам
— протокол взаимодействия между сетевыми
устройствами коммутаторами программно управляемой
сети и централизованным контроллером

Фильтруем трафик виртуалок
http://archive.openflow.org/doc/gui/org/openflow/protocol/Match.html

Предотвращение атак из виртуалок
Мониторим превышение на порту виртуалок
Проверяем подозрительный трафик
• не попадает под известные случаи
• ничего не делаем
• вредоносная активность
• делаем небольшой дамп для дальнейшего разбора
инцидента
• отключаем порт виртуалки от сети

Вопросы
Обратная связь:
twitter: clickfreakbit
email: kostya.keeper at gmail dot com

Spblug. Борьба с DDoS в хостинге - по обе стороны баррикад

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Spblug. Борьба с DDoS в хостинге - по обе стороны баррикад

Similar to Spblug. Борьба с DDoS в хостинге - по обе стороны баррикад (20)

Spblug. Борьба с DDoS в хостинге - по обе стороны баррикад