Какво е DDOS атака?

DDOS означава разпределен отказ на услуга. Това е вид киберпрестъпление, при което една или няколко страни се опитват да прекъснат трафика на сървър или уебсайт. За да бъдат ефективни, те не използват само един компютър за атака, а често цяла мрежа от тях.

Това обаче не са само машините на нападателя – има видове зловреден софтуер и вируси, които могат да засегнат компютъра на нормалния потребител и да го превърнат в част от атаката. Дори IoT устройствата не са безопасни – ако имате смарт устройство в дома си, то теоретично може да се използва за такава атака.

Как работи?

Най-простият начин да обясните DDOS атаките е да ги сравните със задръстванията. Нормалният трафик е прекъснат, защото десетки (или стотици, хиляди и т.н.) неочаквани автомобили се сливат в главния път, без да пускат други автомобили.

Появяващото се задръстване пречи на нормалните шофьори да стигнат до целта си - в DDOS събитие това би бил сървърът или уебсайтът, който търсят.

Има различни видове атаки, насочени към различни елементи от нормалната комуникация клиент-сървър.

Атаките на приложния слой се опитват да изчерпят ресурсите на целта, като я принуждават да зарежда многократно файлове или заявки към база данни – това забавя сайта и в екстремни случаи може да причини проблеми със сървъра чрез прегряване или увеличаване на консумацията на енергия. Тези атаки са трудни за защита, защото са трудни за забелязване – не е лесно да се каже дали скокът в използването се дължи на увеличаване на истинския трафик или на злонамерена атака.

HTTP Flood атаките се извършват по същество чрез опресняване на страница в браузъра отново и отново – с изключение на милиони пъти. Този поток от заявки към сървър често води до това, че той е претоварен и вече не отговаря на (истински) заявки. Защитите включват наличието на резервни сървъри и достатъчно капацитет за обработка на препълвания на заявки. Например, подобна атака почти определено няма да работи срещу Facebook, защото инфраструктурата им е толкова силна, че може да се справи с подобни атаки.

Протоколните атаки се опитват да изчерпят сървъра, като консумират целия капацитет, който имат неща като уеб приложенията – така че чрез повтаряне на заявки към елемент от сайт или услуга. Това кара уеб приложението да спре да отговаря. Често се използват филтри, които блокират повтарящи се заявки от едни и същи IP-адреси, за да предотвратят атаки и да поддържат услугата да работи за нормални потребители.

SYN Flood атаките се извършват по същество чрез многократно искане от сървъра да извлече елемент и след това не се потвърждава получаването му. Това означава, че сървърът държи елементите и чака разписката, която никога не идва – докато в крайна сметка не може да задържи повече и не започне да ги пуска, за да вземе още.

Обемните атаки се опитват да създадат изкуствено претоварване, като специално заемат цялата честотна лента, която има сървърът. Това е подобно на HTTP Flood атаките, с изключение на това, че вместо повтарящи се заявки, данните се изпращат към сървъра, като по този начин се поддържа твърде зает, за да отговори на нормалния трафик. Обикновено за извършване на тези атаки се използват ботнети – те също така често използват усилване на DNS.

Съвет: DNS усилването работи като мегафон – по-малка заявка или пакет от данни се представя като много по-голям, отколкото е. Може да е нападателят да поиска всичко, което сървърът може да предложи, и след това да го помоли да повтори всичко, което нападателят поиска – сравнително малка и проста заявка в крайна сметка отнема много ресурси.

Как да се защитим от DDOS атаки?

Първата стъпка за справяне с тези атаки е да се уверите, че те наистина се случват. Забелязването им не винаги е лесно, тъй като скокове в трафика могат да бъдат нормално поведение поради часови зони, съобщения за новини и др. За да накарат атаките си да работят, DDOS нападателите се опитват да скрият поведението си в нормален трафик колкото е възможно повече.

Други процедури за смекчаване на DDOS атаки са черни дупки, ограничаване на скоростта и защитни стени. Черните дупки са доста крайна мярка – те не се опитват да отделят истинския трафик от атака, а по-скоро пренасочват всяка заявка далеч от сървъра и след това я хвърлят. Това може да се направи при подготовка на очаквана атака, например.

Ограничаването на скоростта е малко по-малко грубо за потребителите – то задава изкуствено ограничение за това колко заявки ще приеме сървърът. Това ограничение е достатъчно, за да пропусне нормалния трафик, но твърде много заявки се пренасочват автоматично и отпадат – по този начин сървърът не може да бъде претоварен. Това също е ефективен начин да спрете опитите за разбиване на парола с груба сила – след, да речем, пет опита, IP адресът, който се опитва, просто се блокира.

Защитните стени не са полезни само за защита на вашия собствен компютър, но и от страна на сървъра извън уеб трафика. По-специално защитните стени на уеб приложенията се създават между Интернет и сървър – те защитават срещу няколко различни типа атаки. Добрите защитни стени също могат бързо да настроят персонализирани отговори на атаки, когато се случват.

Съвет: Ако искате да защитите вашия сайт или сървър от някакъв вид DDOS атака, ще искате подредба от различни решения (най-вероятно включително защитна стена). Най-добрият начин да направите това е да се консултирате с консултант по киберсигурност и да го накарате да изготви персонализиран план, подходящ за вашите нужди. Няма универсално решение!