DDoS-атака (Distributed Denial of Service, переводится как "распределенный отказ в обслуживании") представляет собой попытку злоумышленников остановить (как правило, на довольно длительное время) работу сайта. Для этого они отправляют запросы с многочисленных устройств. Основная цель такой атаки – загрузка системы до предела, чтобы она перестала реагировать на пользовательские обращения.
Чтобы DDoS было невозможно распознать вручную или с применением технологий, используются ботнеты. Это сети удаленных компьютеров и других аппаратов, которые заражены вредоносным программным обеспечением. Запросы идут массово, но при мониторинге считать их очень сложно. Выглядит это так, будет на сайт заходят реальные пользователи, а не роботы. Когда система защиты сайта срабатывает, уже бывает, как правило, поздно: система перегружена, ресурс начинает очень плохо работать, а потом и вовсе становится недоступным.
Как работает DDoS-атака
Классическая схема здесь такая: участие принимают несколько тысяч ботов. Это компьютеры, планшеты, смартфоны, и другие гаджеты, в данном случае это не принципиально. Главное, чтобы с каждого можно было отправить нужные запросы. Хакеры постепенно заражают эти устройства программами, содержащими вирусы, и компьютер подключается к сети ботнет, причем без ведома владельца. Хакеру достаточно дать нужную команду, чтобы все зараженные вирусами устройства начали одновременно посылать запросы на требуемый ресурс.
При этом нельзя сказать, что все происходит мгновенно. Сначала DDoS-атака выглядит как обычные пользовательские запросы, просто многочисленные, но выглядящие вполне реально. Особенно если атакуют какой-то известный сайт, например, принадлежащий известной компании, политической партии и так далее. То есть многочисленные запросы здесь - явление обычное, поэтому и подозрений не вызывает. Постепенно количество обращений начинает возрастать, и сервер перестает справляться с нагрузкой. Он попросту не успевает обрабатывать каждый запрос, из-за чего сайт сначала работает медленнее, а потом становится недоступным.
Причины атак
Их на самом деле довольно много:
- попытка вывести конкурента из строя. Самый распространенный вариант, когда одна компания предпочитает действовать нечестно и блокирует другую. Главная цель – не просто закрыть доступ к известному сайту, но и по возможности перехватить аудиторию – подписчиков, клиентов, простых посетителей. Как правило, такие DDoS-атаки случаются не всегда, но в определенные даты. Если это магазин, то рискованным становится сезон распродаж и праздничных скидок. Если рекламное агентство – атаковать могут в период запуска новой кампании. Если сфера обслуживания – при организации новой услуги и, соответственно, привлечении постоянных и новых клиентов;
- личная неприязнь. DDoS-атаки могут устраивать, например, бывшие сотрудники, чтобы как-то навредить уволившим их начальникам. Или недовольные клиенты, которым не оказали требуемого обслуживания, нахамили, выгнали и так далее. Если у таких людей есть технические возможности, они без проблем смогут устроить временные неприятности своим обидчикам;
- развлечение. Такое тоже встречается, когда хакеры попросту проверяют свои силы. Например, смогут ли они "положить" какой-нибудь крупный сайт, воспользовавшись своими навыками;
- политические мотивы. Тут все понятно: ресурс надо выключить из информационного поля, поэтому ведутся DDoS-атаки на сайты госорганов, политических партий, а иногда и некоторых СМИ;
- вымогательство. Сначала идет перегрузка сайта, а затем злоумышленники начинают требовать у владельца определенную денежную сумму за отключение атаки;
- тестирование защиты. Это тоже нельзя исключить: иногда DDoS-атака не имеет цели уничтожить интернет-платформу, но лишь проверяет ее возможности. Такие проверки нередко устраивают сами компании, чтобы протестировать инфраструктуру и понять, сможет ли она противостоять реальным угрозам.
В чем опасность DDoS-атак
Самое главное, это замедление, а иногда и полное падение работы сайта. Для некоторых ресурсов это настоящая трагедия, особенно если их владельцы не успели предупредить пользователей и подписчиков. К тому же у любой такой атаки есть негативные последствия:
- финансовые потери. Сбои приводят к тому, что, например, в интернет-магазинах резко падают продажи. Клиентам просто неоткуда оформить заказ, оплатить его, посмотреть новинки, а также получить информацию о том, приехал ли товар в пункт самовывоза. Из-за этого даже есть риск, что пользователи решат перейти к конкурентам, особенно если DDoS-атаки становятся частыми;
- ущерб для репутации. Понятно, что, так или иначе, атакуют все более-менее известные платформы. Но когда простои регулярные, это негативно сказывается на имени компании или бренда. Люди куда охотнее уйдут туда, где надежно и не нужно постоянно ждать, пока специалисты все починят и восстановят.
В любом случае восстановление – это потеря и времени, и ресурсов.
Типы DDoS-атак
По уровню модели OSI они бывают:
- на прикладном уровне. Происходит это так: хакер делает запрос на генерацию веб-страницы. Например, это может быть попытка открыть несколько подключений одновременно и не закрывать их;
- на транспортном уровне. Это переполнение каналов доставки данных;
- на сетевом уровне. Основной акцент делается на оборудовании и сетевых протоколах. Цель – перегрузка пропускной способности сети.
DDoS-атаки по механизму действия:
- на основе флуда. Это тоже переполнение связных каналов, например, ICMP-флуд, фрагментированный UDP-флуд;
- с использованием стека протоколов сети. Такая атака очень точечная, то есть направлена на перегрузку памяти устройства или процессора. Иногда может использоваться, чтобы помешать установить соединение. Система получает некорректные пакеты, из-за чего в ее работе происходит сбой;
- опасность для уровня приложений. Главное отличие обычного пользователя от хакера – первый просто открывает страницу, а второй массово генерирует запросы. Или открывает несколько медленных соединений, создающих нагрузку на сервер.
Наиболее опасными считаются DDoS-атаки прикладного уровня. Они мешают серверам закрыть предыдущий запрос и перейти к новому, перегружают огромными потоками POST-запросов. А многократные запросы истощают ресурсы DNS-сервера.
Следует помнить, что злоумышленники редко не ограничиваются только одной DDoS-атакой. Как правило, они комбинируют несколько вариантов, чтобы точно достичь поставленных целей. Сложнее всего отразить так называемые мультивекторные DDoS-атаки.
Как защититься от DDoS-атак
Для начала надо выделить несколько надежных технологий:
- обязательное проведение фильтрации на сетевом уровне. Для этого используются системы мониторинга трафика по заранее заданным параметрам. Например, обязательно фильтруют протокол, используемый порт и, конечно, IP-адрес. Если наблюдается подозрительный поток, он блокируется максимально быстро;
- лимитирование соединений. Например, для защиты стоит установить специальный механизм, который ограничивает количество запросов от одного интернет-пользователя. Если же клиент продолжает их отправлять, то он блокируется на какое-то время. Таким образом можно быстро предотвратить ситуации с перегрузкой сервера;
- проверки с капчой. Это надежный способ, потому что многие ботнеты не сумеют пройти данный тест. Только реальный пользователь сумеет ввести нужные символы или буквы, после чего получит доступ на сайт;
- анализ входящих запросов и их сопоставление с базой сигнатур. Если они соответствуют шаблонам атак, то блокируются;
- очистка трафика при помощи фильтрующих узлов. При обнаружении DDoS-атак специалисты перенаправляют трафик на специализированные узлы. Там происходит анализ данных: безопасный трафик пропускается, а вредоносный блокируется;
- искусственный интеллект и машинное обучение. Позволяют не только получать данные о прошлых атаках, но и прогнозировать новые. Благодаря этому можно быстро адаптироваться к возможным угрозам и не опасаться их.
Что нужно делать для защиты
Во-первых, обязательно нужен анализ и мониторинг трафика. Любая подозрительная сетевая активность – это повод для принятия решительных действий. Всплески трафика – это почти всегда указание на начало DDoS-атаки на сервер. Во-вторых, использовать Web Application Firewall (WAF) и CDN (сеть доставки контента). WAF фильтрует HTTP-запросы, благодаря чему защищает от сложных хакерских атак, которые направлены на работу приложений. CDN сводит к минимуму влияние DDoS-атаки на сайт. Она распределяет весь трафика по серверам, которые географически никак не связаны друг с другом. Из-за этого основной сайт остается под защитой и работает в прежнем режиме.
Несмотря на многочисленные способы защиты от атак, не существует какого-то универсального метода. Тут все зависит от размера атаки, от особенностей работы сервиса, от опыта специалистов. Но для надежной защиты желательно не ограничиваться только одним способом, но комбинировать их.