Что такое DDoS-атака простыми словами: типы, как распознать, методы защиты от ДДоС-атак

Источник: dims.brightspot.com

И крупные компании, и малый бизнес совершенствуют сайты и приложения, предоставляя клиентам пользоваться их услугами через интернет удобнее и быстрее. Вместе с этим не отстают и технологии хакеров, которые вмешиваются в процессы и препятствуют бесперебойной работе бизнеса.

В материале расскажем, о механизме DDoS-атак, их разновидностях, способах определения и методах защиты инфраструктуры от злоумышленников.

Что такое DDoS–атака

DDoS–атака (Distributed Denial of Service) — это целенаправленное отправление на сервер числа запросов, превышающего его пропускную способность. Хакеры создают огромный трафик на сайт, сервер или приложение из разных источников, чтобы нарушить нормальную работу ресурсов на длительное время.

В итоге атакуемый сервер на время перестаёт реагировать на все виды запросов, потому что не справляется с нагрузкой. Для пользователя это выглядит как невозможность воспользоваться веб-ресурсом. Чаще всего атакам подвергаются государственные учреждения и сетевые ресурсы крупных коммерческих компаний.

В чём опасность DDoS–атаки

Источник: encrypted-tbn0.gstatic.com

Многие ошибочно полагают, что DDoS–атаки направлены исключительно на срыв работоспособности сайта. Однако, они несут опасность ещё и для репутации, финансов и безопасности данных. Например, возможны такие последствия атак, как:

Утечка конфиденциальной информации

Иногда ДДоС–атаки затевают для того, чтобы отвлечь внимание специалистов от настоящих целей злоумышленников. Пока команда дружно борется с атакой, киберпреступники занимаются взломом баз данных с различной конфиденциальной информацией.

Ущерб финансовой сферы

Результатом атак могут стать финансовые потери, например, на восстановление работоспособности сервисов, устранение уязвимостей, повышение кибербезопасности или выплате компенсаций клиентам.

Репутационные потери

При системных сбоях или утечке важных данных часть клиентов и партнёров могут принципиально отказаться от дальнейшего сотрудничества с компанией. При этом «слава» о фирме будет опережать любые действия сотрудников по восстановлению репутации.

Шантаж

Нередко истинной целью атаки выступает вымогательство, когда киберпреступники начинают угрожать собственнику зашифровкой или, наоборот, раскрытием критически важной информации.

Проблемы с продвижением

Если устранить последствия DDoS–атаки не удастся в течение двух суток, то поисковые боты значительно опускают сайт в выдаче. Придётся заново прорабатывать SEO–стратегию.

Сбой работы IT–инфраструктуры

При некоторых видах атак возможны ситуации, когда пользователи видят внутреннюю информацию или даже части кодов.

Это не полный список опасностей от ДДоС–атак, возможны еще и судебные издержки в случае, если клиенты компании понесли материальный ущерб и ряд других последствий, которые встречаются реже перечисленных.

Причины атак

Источник: assets.gcore.pro

Поводом для инициирования ДДос–атаки может послужить что угодно: от личной неприязни, до заказа третьего лица. Расскажем о наиболее частых:

Личная неприязнь к компании или конкретному сотруднику

Да, звучит фантастично, но это одна из распространённых причин атак. Например, Василий работал в компании и по его мнению был лучшим специалистом, но у управленцев оказалось своё мнение и его уволили. Мужчина обиделся на несправедливость и нашёл группу людей, которые за определённое вознаграждение согласились устроить DDoS–атаку с целью раскрытия конфиденциальной информации, порочащей имя директора.

Другой вариант: политическая подоплёка, когда специальные органы одного государства за счёт киберпреступников подрывают авторитет другого.

Баловство и «шутки»

Удивительно, но для начинающих хакеров DDoS–атаки не более чем один из этапов становления. В этом случае атаки длятся не более пары часов и не требуют излишних усилий по устранению от внутренних специалистов. Но являются сигналом к улучшению защиты ресурса и повышению системы кибербезопасности.

Шантаж

Как правило, в этом случае целью вмешательства становится хищение данных или угроза «падения» сервера. Злоумышленники через подложные аккаунты и адреса электронных почт связываются с собственником и предлагают за определённый гонорар избежать последствий. Атака продолжается либо до полной её ликвидации силами специалистов, либо до выплаты указанной суммы. Однако, если бизнес принял решение платить, то необходимо быть готовым к повторению ситуации. Поэтому нужно срочно задуматься об усилении мер защиты сервера.

Конкуренция

Конкуренция есть во всех сферах и нишах. Но не всегда она честная. Например, в период глобальных скидок и распродаж риск DDoS–атак значительно возрастает. Делается это для того, чтобы «убрать» конкурента на время наиболее активных продаж. По окончании акций прекращаются и атаки. Доказать причастность конкурентов к этому практически невозможно. Можно только заранее подготовиться и улучшить защиту.

Типы DDos–атак

Специалисты разделяют DDoS–атаки не только по типам, но и по видам. Три основных вида атак выглядят следующим образом:

На основе объёма данных. Один из самых распространённых видов атак, когда киберпреступники перегружают сеть большим количеством запросов. Такие атаки оперируют маршрутизацией и IP-адресами.
На протоколы. Чаще всего используются для организации массовых перегрузок сетей инфраструктуры. Достигаются за счёт направленности на сетевой и транспортный уровни модели OSI, которые обеспечивают базовую передачу данных в сетях.
На уровни приложений. Этот вид сложнее всего обнаружить и предотвратить, потому что воздействие оказывается на приложения модели OSI.

По типам DDoS–атаки разделяют на 7 групп:

PING OF DEATH ИЛИ СМЕРТЕЛЬНЫЙ ПИНГ. Атака происходит с помощью отправки пакетов данных большого размера (более 65 535 байт) посредствам простой команды пинг. Это приводит к сбою в работе сервера. Была распространена в середине 90-х, современные системы уже не поддаются таким атакам.
SYN FLOOD. В ходе этой атаки сервер подвергается большому количеству фейковых SYN–запросов, которые содержат подложные IP–адреса источника. В результате сервер поражается за счёт занятия всей памяти таблицы соединения, в которой хранятся и обрабатываются входящие пакеты.
HTTP FLOOD. Проводится путём загрузки с сервера большого количества данных или отправки на него бессмысленной информации для заполнения канала передачи данных и расходования ресурсов инфраструктуры на обработку фейковых запросов.
UPD FLOOD. Атака производится с помощью отправки пакетов UPD на конкретные или случайные порты. При этом в качестве адреса отправителя используется адрес сервера, который подвергается атаке. За счёт этого достигается сбой, пока сервер-жертва обрабатывает поддельные пакеты.
DNS FLOOD. Сервер атакуется путём отправки пустых типовых запросов, которые обеспечивают нагрузку превышающую пропускную способность оборудования.
VOIP FLOOD. Результат достигается за счёт отправки критического количества поддельных VoIP–пакетов с большого диапазона IP–адресов. Направлены они, как правило, на IP–телефонию (call–центры). Выявить подобные атаки крайне затруднительно из-за особенностей протокола UDP.
ICMP FLOOD. На сервер отправляют большой поток фейковых ICMP–пакетов с различных адресов. В итоге, сервер вынужден тратить ресурсы на обработку ложных запросов, что практически останавливает его работу.

Основные признаки DDoS–атаки

Источник: assets.gcore.pro

Распознать ДДоС–атаку можно по нескольким признакам, например:

Некорректная работа серверного программного оборудования и операционных систем. Типичные симптомы: множественные зависания, неоднократные произвольные завершения сессий. При обнаружении, стоит внепланово проверить инфраструктуру на предмет атаки.
Пиковая нагрузка по запросам на сервер. В случае внезапного роста нагрузки на ЦП, оперативную память, диск и другие компоненты сервера, которые превышают средние значения, необходимо убедиться в отсутствии внешней угрозы.
Увеличение числа запросов на порты.
Одинаковая модель поведения. Киберпреступники обычно пытаются маскировать вредоносный трафик, закладывая в него алгоритмы симуляции действий обычных пользователей. Например, скачивание файлов, просмотр страниц, использование поиска. Если обнаруживается массовое совершение однотипных действий, то это повод проверить сервер на атаку.
Однотипные запросы к портам и сервисам. Для выявления, необходим регулярный анализ логов, который поможет выявить увеличение нагрузки и однотипные запросы к службам сервера. Массовые запросы в таком случае, если их источник не похож на поведение типичного пользователя, являются сигналом реальной угрозы.

Методы защиты сервера от DDoS–атаки

Источник: eu-images.contentstack.com

Не стоит надеяться, что хакеры обойдут ваш сайт стороной. Гораздо правильнее заранее подготовиться к нештатным ситуациям и позаботиться о кибербезопасности. Например, организовать фильтрацию подозрительной активности на уровне провайдера связи или хостинг–провайдера.

Защититься можно с помощью программного обеспечения маршрутизаторов или пропуская трафик через аппаратные файрволы. Но это не даст абсолютной гарантии защиты всех уровней. Поэтому стоит уделить особое внимание архитектурным особенностям решений и системно тестировать сети на предмет критических ошибок и уязвимостей. Для этого необходимо:

Продумать логику работы. Делать это нужно ещё на этапе разработки, когда с помощью тестирования можно обнаружить уязвимости, узкие места и участки кода, которые потребляют неоправданно много ресурсов сервера. В этом случае их устранение будет менее затратно.
Системно обновлять ПО. Своевременная установка обновлений безопасности и актуализация кодов приложения значительно усложнит хакерам организацию DDoS–атак на ваши программы. При этом в идеальной картине мира нужно иметь одновременно 3 сервера: продуктивный, резервный и тестовый. Желательно пользоваться системами для контроля версий, это позволяет безболезненно производить откаты в случае необходимости.
Ротация уровней доступа. Хорошим тоном считается наличие различных уровней доступа к сетевым службам на сервер и к архивным приложениям. Не менее важно своевременно блокировать доступ сотрудникам, которые уволились, это позволяет минимизировать вероятность атак из-за личной неприязни.
Регулярная очистка кэша. Очищать DNS–кеш важно для защиты сервера от спуфинга.
Надёжный провайдер. Крупные компании, как правило, весьма серьёзно относятся к обеспечению безопасности своих клиентов от различных типов атак. Например, для inSales гарантия безопасности клиентов от любого вида угроз — главный приоритет. Именно поэтому компания берёт на себя обязательства по покупке и обслуживанию серверов. Это позволяет обеспечить стабильную, бесперебойную работу клиентских сервисов. Даже если интернет-магазин подвергнется DDoS–атаке клиенты inSales этого не заметят и тем более не понесут никакого ущерба.

Частые вопросы

В чем измеряется мощность DDoS-атаки?

Мощность атаки определяется на основании нескольких параметров:

объем, который измеряется в количестве бит в секунду (Bps);
скорость, которая определяется в количестве пакетов в секунду (PPS);
количество запросов в секунду.

Сколько длится DDoS-атака?

Длительность атаки зависит от множества факторов, в том числе от уровня защиты сервера. В среднем атаки длятся от нескольких минут до нескольких дней.

Что будет за DDoS-атаку в России?

Осуществление DDoS–атаки на территории РФ грозит лишением свободы сроком до 7 лет.

Размер штрафа за данное правонарушение может достигать 500 тысяч рублей и полное возмещение причинённого ущерба, который обычно измеряется миллионами рублей.