Що таке DDoS-атака?

DDoS-атака – розподілена атака, яка створює навантаження на сервер і призводить до відмови системи. За таких умов користувачі не можуть отримати доступ до сайту або веб-сервісу, а власники проектів можуть втратити прибуток.

Причиною відмови системи не завжди є DDoS-атака. Ресурси сервера обмежені, і якщо при штатному навантаженні все працює, то при аномальному стрибку можуть виникнути збої. Якщо ви напередодні запустили на своєму сайті акцію або рекламну кампанію, які викликали різкий сплеск відвідуваності, можуть виникнути проблеми з доступом до сайту.

Якщо ви впевнені, що збій на сайті не пов’язаний із вашими діями, читайте нижче, чому на ваш сайт можуть влаштувати DDoS, як відбувається сама атака і як з нею боротися.

Чому ваш сайт можуть атакувати?

Одна з причин, через яку ваш сайт може зазнати DDoS-атака, — конкуренція. Атакований сайт недоступний, тому що на нього надходить дуже велика кількість запитів і він не справляється з навантаженням. Побачивши непрацюючий сайт клієнт може піти на доступний сайт конкурента. Якщо ваш бізнес успішний, а конкуренція на ринку значна, будьте готові, що ваш сайт у будь-який момент може зазнати DDoS.

Крім того, ваш інтернет-ресурс може просто привернути увагу зловмисників. Вони можуть організувати DDoS-атаку заради розваги, через особисту ворожість або з метою вимагання.

Хто здійснює DDoS-атаки

Хактивісти — політичні активісти, які використовують DDoS як громадянський протест. У травні 2020 року зросла кількість атак на правозахисні організації в США. Кількість зросла у 1120 разів і збіглася з масовими протестами.

Anonymous – найвідоміші представники хактивізму. Це децентралізована група хактивістів, яка здебільшого складається з користувачів іміджбордів та інтернет-форумів. Вони відомі зломом ресурсів із незаконним контентом та подальшою публікацією персональних даних користувачів цих ресурсів. За час свого існування вони успішно атакували сайти Ватикану, Інтерполу та Європарламенту.

У них навіть з’явився символ — маска головного героя фільму «V означає Вендетта». У цій масці він боровся із режимом.

LulzSec – група з 6 осіб. З’явилася у травні 2011 року та проіснувала до 26 червня. За такий короткий термін угруповання встигло прославитись успішними атаками на сервери Sony, Nintendo, сервери телекомпаній FOX та PBS, а також сайт Сенату США. LulzSec припинили свою діяльність після арешту кількох членів угруповання.

Також нерідко під ім’ям відомих угруповань діють звичайні DDoS-шантажисти. В 2020 деякі великі компанії отримували погрози від імені Fancy Bear і Armada Collective – відомих хак-груп. Наслідувачі пообіцяли влаштувати атаку на сайт компанії, якщо не отримають викупу.

Які сайти найчастіше піддаються атакам

Найчастіше DDoS-атакам піддаються такі сайти:

• державних установ,
• великих корпорацій,
• охорони здоров’я,
• онлайн-шкіл,
• ігрових сервісів,
• місцевих та регіональних ЗМІ,
• онлайн-кінотеатрів,
• банків,
• хостинг-провайдерів.

Від року в рік цей список не змінюється. Однак те, яка сфера страждатиме від атак більше, нерідко залежить від тих, що відбуваються у світі в той чи інший період соціальних та політичних подій. Таку залежність можна простежити у квартальних звітах компаній з кібербезпеки.

Як відбувається DDoS-атака?

Сучасний Інтернет працює за семирівневою мережевою моделлю OSI. Модель визначає рівні взаємодії систем, кожен рівень відповідає певні функції.

DDoS-атака може статися на будь-якому із семи рівнів, але найчастіше це:

• Низькорівнева атака – на мережевому та транспортному рівнях (третій та четвертий рівень моделі OSI). На цих рівнях для атаки використовуються «дірки» у мережевих протоколах.
• Високорівнева атака – атака на сеансовому та прикладному рівнях (п’ятий та сьомий рівні за моделлю OSI). Такі атаки схожі на поведінку користувачів. У цьому випадку може допомогти тонка настройка сервера або платний захист від DDoS.

Варто відзначити, що DDoS-атаки різноманітні. Розробники програмного забезпечення покращують методи захисту, випускаючи оновлення, але зловмисники щороку вигадують новий спосіб, щоб привести систему до відмови.

Добре організована атака складається з багатьох запитів до сервера з різних точок світу. Але звідки у зловмисників такі ресурси?

До 2020 року найнебезпечнішим видом атаки вважається атака за допомогою ботнету.

Ботнет — це об’єднана мережа пристроїв, на якій встановлено автономне програмне забезпечення. Зловмисники під виглядом програм, листів, файлів та іншого контенту поширюють шкідливе програмне забезпечення, яке приховано встановлюється на пристрій жертви і може бути запущено будь-якої миті. Втручання відбувається непомітно: користувачі не підозрюють наявність шкідливого ПЗ.

Таким чином, будь-який пристрій, який має доступ до мережі Інтернет (мобільний телефон або пральна машинка з WI-FI), може стати учасником DDoS-атаки.

Під час атаки на сервер неможливо визначити її ініціатора: запити йдуть з усього світу, з різних пристроїв. Зловмисник, як правило, залишається безкарним.

Види DDoS-атак

Класифікація DDoS-атак описана у статті DDoS-атаки: види атак та рівні моделі OSI. Тут ми розглянемо, як працюють найпопулярніші види DDoS.

• Ping of death. Це атака, яка полягає у відправленні ехо-запиту, який перевищує допустимий обсяг 65535 байт. Пристрій не знає, як обробити такий запит і перестає відповідати. В даний час Ping of death вже не використовується – перевірка розміру при складанні пакета вирішила проблему. Пакети, розмір яких перевищує допустимий, відкидаються як неправильні. Ця атака відноситься до класу DoS, так як відправником виступає один комп’ютер, а не мережа з різних пристроїв, як у випадку з DDoS.
• SYN Flood. Клієнт відправляє серверу безліч SYN-пакетів з підробленою IP-адресою. Сервер відповідає на кожен запит і чекає на підключення клієнта. Клієнт ігнорує запрошення та створює нові запити, чим переповнює чергу на підключення. У результаті продуктивність сервера падає до повного припинення роботи.
• HTTP Flood. Кожен учасник ботнету генерує велику кількість HTTP-запитів до сервера, рахунок чого сильно підвищує навантаження. Це може бути як GET, так і POST запити. У GET клієнт запитує найважчі частини сайту. А у POST-запитах передає великі обсяги даних серверу в тілі запиту.
• UDP Flood. Зловмисник відправляє жертві багато UDP-пакетів великого розміру на певні чи випадкові порти. Одержувач витрачає ресурси на обробку запитів та надсилання ICMP-відповіді, що може призвести до відмови в обслуговуванні.
• DNS Flood. Це різновид UDP Flood. Відрізняється тим, що атаці піддається DNS-сервер. Сервер не може відрізнити учасника такої атаки від звичайного користувача та обробляє всі запити, на що може не вистачити ресурсів.
• VoIP Flood. Знову варіант UDP Flood, мета якої – IP-телефонія. Сервер отримує запити з різних IP-адрес, які доводиться обробляти разом із запитами від легітимних клієнтів.
• ICMP Flood. На сервер жертви надсилається безліч ICMP-запитів із різних IP-адрес. Цей вид флуду може використовуватися як для навантаження сервера, так і для збору інформації про сервер при підготовці до іншої атаки.
• DNS-ампліфікація. Атакуючі пристрої надсилають невеликі запити на публічні сервери DNS. Запити формуються так, щоб відповідь містила якнайбільше даних. Крім цього, у запиті підміняється IP-адреса реального відправника на адресу жертви, на яку DNS-сервер і надішле відповіді. В результаті жертва отримає багато великих пакетів даних від DNS-сервера, що спричинить переповнення каналу.

Захист від DDoS-атак

Розглянемо основні дії, за допомогою яких може бути організовано захист сервера від DDoS-атак. Щоб мінімізувати ризик атаки та її наслідків:

1. Вивчіть ПЗ, яке плануєте використовувати у вашому проекті або вже використовуєте, на наявність вразливостей та критичних помилок. Їх не повинно бути. Вибирайте інструменти, в яких впевнені. Регулярно оновлюйте їх та робіть резервне копіювання.
2. Використовуйте складні паролі для доступу до адміністративних частин вашого ресурсу.
3. Налаштуйте мережу так, щоб доступ до адмінки був лише з внутрішньої мережі або через VPN.
4. Підключіть WAF та CDN. WAF — брандмауер веб-застосунків для перевірки легітимності трафіку та його фільтрації. CDN — мережа доставки контенту дозволяє розподіляти навантаження на сервери та збільшувати швидкість завантаження сторінок за рахунок географічно розподілених серверів.
5. Встановіть капчу чи інші компоненти у форму зворотного зв’язку на сайті. Це захистить сайт від спам-ботів.
6. Розподіліть ресурси сайту між кількома серверами, які залежать один від одного. У разі збою одного із серверів роботу забезпечать запасні сервери.
7. Перенаправте атаку на зловмисника. Таким чином ви зможете не тільки відбити удар, а й завдати шкоди зловмиснику. Для цього потрібні фахівці, але це цілком реально.
8. Дізнайтеся у вашого хостинг-провайдера, який рівень захисту він гарантує для вашого хостингу чи VDS. Якщо хостер не захищає, виберіть іншого провайдера.

Як правило, якщо не робити жодних дій щодо захисту, DDoS-атака закінчиться через пару діб. Тому ви можете вибрати тактику невтручання та дочекатися її закінчення.