Vad är en DDOS-attack?

DDOS står för Distributed Denial-Of-Service. Det är en typ av cyberbrottslighet där en eller flera parter försöker avbryta trafiken på en server eller webbplats. För att vara effektiva använder de inte bara en dator för att attackera, utan ofta ett helt nätverk av dem.

Detta är dock inte bara angriparens maskiner – det finns olika typer av skadlig programvara och virus som kan påverka en normal användares dator och förvandla den till en del av attacken. Även IoT-enheter är inte säkra – om du har en smart enhet i ditt hem kan den teoretiskt sett användas för en sådan attack.

Hur fungerar det?

Det enklaste sättet att förklara DDOS-attacker är att jämföra dem med trafikstockningar. Normalt trafikflöde avbryts eftersom dussintals (eller hundratals, tusentals, etc.) oväntade bilar smälter in på huvudvägen utan att släppa andra bilar.

Den uppkomna störningen hindrar normala förare från att nå sitt mål – i en DDOS-händelse skulle det vara servern eller webbplatsen de letar efter.

Det finns olika typer av attacker som riktar sig mot olika delar av den normala klient-server-kommunikationen.

Application Layer Attacks försöker tömma resurserna på målet genom att tvinga det att upprepade gånger ladda filer eller databasfrågor – detta saktar ner webbplatsen och kan i extrema fall orsaka problem med servern genom att överhetta den eller öka strömförbrukningen. Dessa attacker är svåra att försvara sig mot eftersom de är svåra att upptäcka – det är inte lätt att säga om en ökning av användningen beror på en ökning av äkta trafik eller en skadlig attack.

HTTP-översvämningsattacker görs genom att i huvudsak uppdatera en webbläsarsida om och om igen – förutom miljontals gånger. Denna flod av förfrågningar till en server kommer ofta att resultera i att den blir överväldigad och inte längre svarar på (äkta) förfrågningar. Försvar inkluderar säkerhetskopieringsservrar och tillräckligt med kapacitet för att hantera förfrågningar. Till exempel skulle en sådan attack nästan definitivt inte fungera mot Facebook eftersom deras infrastruktur är så stark att den kan hantera attacker som den.

Protokollattacker försöker tömma en server genom att förbruka all kapacitet som saker som webbapplikationer har – så genom att upprepa förfrågningar till en del av en webbplats eller tjänst. Om du gör det slutar webbapplikationen att svara. Ofta används filter som blockerar upprepade förfrågningar från samma IP-adresser för att hålla ut attacker och hålla tjänsten igång för vanliga användare.

SYN Flood Attacks görs i huvudsak genom att upprepade gånger be servern att hämta ett element och sedan inte bekräfta mottagandet av det. Detta innebär att servern håller fast vid elementen och väntar på kvittot som aldrig kommer – tills den slutligen inte kan hålla mer och börjar släppa dem för att hämta mer.

Volumetriska attacker försöker på konstgjord väg skapa överbelastning genom att specifikt uppta all bandbredd som en server har. Detta liknar HTTP Flood-attacker förutom att istället för upprepade förfrågningar skickas data till servern, vilket gör att den är för upptagen för att svara på normal trafik. Botnät används vanligtvis för att utföra dessa attacker – de använder också ofta DNS-förstärkning.

Tips: DNS-förstärkning fungerar som en megafon – en mindre begäran eller datapaket presenteras som mycket större än vad det är. Det kan vara angriparen som begär allt en server har att erbjuda, och sedan ber den att upprepa allt som angriparen bad om – en relativt liten och enkel begäran slutar med att ta upp mycket resurser.

Hur försvarar man sig mot DDOS-attacker?

Det första steget för att hantera dessa attacker är att se till att de verkligen sker. Det är inte alltid lätt att upptäcka dem, eftersom trafiktoppar kan vara normalt beteende på grund av tidszoner, pressmeddelanden och mer. För att få sina attacker att fungera försöker DDOS-angripare dölja sitt beteende i normal trafik så mycket som möjligt.

Andra rutiner för att mildra DDOS-attacker är svarta hål, hastighetsbegränsning och brandväggar. Svarta hål är en ganska extrem åtgärd – de försöker inte skilja äkta trafik från en attack, utan snarare omdirigera varje begäran bort från servern och sedan släppa den. Detta kan göras som förberedelse för en förväntad attack, till exempel.

Begränsningen av hastigheten är lite mindre grov för användarna – den sätter en artificiell gräns för hur många förfrågningar en server kommer att acceptera. Den här gränsen räcker för att låta normal trafik passera, men för många förfrågningar omdirigeras automatiskt och släpps – på detta sätt kan servern inte överväldigas. Det är också ett effektivt sätt att stoppa brute force-lösenordsknäckningsförsök – efter, säg, fem försök, låses den IP-adress som försöker helt enkelt ute.

Brandväggar är inte bara användbara för skydd på din egen dator, utan även på serversidan utanför webbtrafik. Speciellt webbapplikationsbrandväggar sätts upp mellan Internet och en server – de skyddar mot flera olika typer av attacker. Bra brandväggar kan också snabbt ställa in anpassade svar på attacker när de inträffar.

Tips: Om du vill skydda din webbplats eller server från någon form av DDOS-attack, vill du ha ett arrangemang av olika lösningar (mest troligt inklusive en brandvägg). Det bästa sättet att gå tillväga skulle vara att konsultera en cybersäkerhetskonsult och få dem att komma med en anpassad plan som passar dina behov. Det finns ingen lösning som passar alla!