Czym jest atak DDoS i jak się przed nim bronić?
Większość zagrożeń bezpieczeństwa polega na cichej kradzieży lub manipulacji danymi. Atak DDoS ma zupełnie inny cel: wyłączyć waszą usługę – głośno i natychmiast – przeciążając ją ruchem tak bardzo, że prawdziwi użytkownicy po prostu nie mogą się do niej dostać.
Co właściwie oznacza skrót DDoS
DDoS to skrót od „distributed denial of service”, czyli rozproszonej odmowy usługi. Odmowa usługi oznacza po prostu, że usługa staje się niedostępna dla swoich rzeczywistych użytkowników. Kluczowe jest słowo „rozproszona” – prawdziwy atak DDoS nie pochodzi z jednej maszyny, tylko z tysięcy, a nawet milionów urządzeń jednocześnie, zwykle z tzw. botnetu: sieci przejętych komputerów, routerów czy urządzeń IoT, które atakujący kontroluje bez wiedzy ich właścicieli. Takie rozproszenie sprawia, że atak dużo trudniej zatrzymać – nie da się po prostu zablokować jednego źródła, bo ruch płynie zewsząd.
Najczęstsze rodzaje ataków
- Ataki wolumetryczne. Zalewanie łącza sieciowego ogromną ilością bezużytecznego ruchu, aż zabraknie przepustowości dla prawdziwych żądań.
- Ataki na protokoły. Wykorzystywanie słabości w tym, jak protokoły sieciowe obsługują połączenia – na przykład otwieranie ogromnej liczby połączeń i celowe niedokańczanie ich, co wyczerpuje zasoby serwera czekającego na odpowiedzi.
- Ataki na warstwę aplikacji. Najbardziej wyrafinowana kategoria: żądania, które wyglądają jak zupełnie normalny ruch użytkowników, ale w ilości obliczonej na przeciążenie faktycznej mocy przetwarzania aplikacji, a nie samego łącza. Takie ataki najtrudniej odróżnić od prawdziwego, nieoczekiwanego skoku ruchu.
Dlaczego dochodzi do takich ataków
Motywy bywają bardzo różne: wymuszenie („zapłaćcie, albo atak będzie trwał”), sabotaż ze strony konkurencji, aktywizm wymierzony w publiczne działania firmy, a czasem brak jakiegokolwiek wyraźnego motywu poza chęcią wywołania chaosu. Skutki biznesowe są jednak takie same niezależnie od motywu: realna utrata przychodów za każdą minutę niedostępności, szkody wizerunkowe, a w niektórych branżach także konsekwencje umowne lub regulacyjne związane z gwarantowaną dostępnością.
Metody obrony, które naprawdę działają
CDN z ochroną przed DDoS
Usługi takie jak Cloudflare stoją przed waszymi serwerami i przyjmują ruch, zanim ten w ogóle dotrze do waszej infrastruktury. Mają skalę pozwalającą obsłużyć zalew ruchu, który typowy serwer położyłby w sekundę, i przy tej skali znacznie lepiej odróżniają ruch atakujący od prawdziwego, niż większość firm byłaby w stanie zrobić to samodzielnie.
Limity żądań i filtrowanie ruchu
Rozsądne limity liczby żądań, jakie pojedyncze źródło może wysłać w danym przedziale czasu, sprawiają, że żaden pojedynczy klient – zautomatyzowany czy nie – nie przeciąży sam warstwy aplikacji, niezależnie od tego, czy ten ruch okaże się złośliwy, czy będzie po prostu niespodziewanym skokiem.
Skalowalna infrastruktura
Infrastruktura, która automatycznie skaluje się pod obciążeniem, daje w trakcie ataku realny zapas czasu i zasobów oraz pomaga odróżnić prawdziwy skok ruchu od skoordynowanego zalewu. Samo skalowanie nie jest jednak pełną obroną przed dużym, zdeterminowanym atakiem.
Prawdziwy plan reagowania na incydenty
Gdy z góry wiadomo, kto dostaje alert, jakie kroki się podejmuje i kto ma uprawnienia do zmian w infrastrukturze pod presją czasu, trwający atak DDoS przestaje być chaosem, a staje się przećwiczonym, opanowanym procesem. Różnica między pięciominutowym zakłóceniem a wielogodzinną awarią często zależy wyłącznie od tego, jak przygotowana była reakcja, a nie od siły samego ataku.
Praktyczny punkt wyjścia
Większość firm nie potrzebuje od pierwszego dnia wyspecjalizowanej ochrony przed DDoS klasy enterprise. CDN z wbudowaną ochroną przed DDoS, rozsądne limity żądań na poziomie aplikacji i infrastruktura, która skaluje się pod obciążeniem, pokrywają zdecydowaną większość realistycznych scenariuszy. Największą luką w większości firm nie są narzędzia, tylko brak planu na to, co właściwie robić w razie ataku – planu przygotowanego zawczasu, a nie improwizowanego w ostatniej chwili.
Wdrożenie takiej ochrony – właściwej konfiguracji CDN, rozsądnych limitów żądań i infrastruktury, która płynnie skaluje się pod obciążeniem – to podstawa utwardzania infrastruktury, którym zajmuje się Burncode, obok przeglądów bezpieczeństwa aplikacji i przygotowania do audytów zgodności.