Как пережить анонимную DDOS-атаку?

Неправда, что анонимы всегда добиваются успеха. И в анонимности нет ничего уникального - только умные и масштабные атаки.

(Надеюсь, аноним не будет нацеливаться на меня за такие слова :)

Из статьи BBC: Активисты Pro-Wikileaks отказались от кибератак Amazon:

Группа Anonymous пообещала атаковать сайт (Amazon) в 16:00 по Гринвичу, но с тех пор изменила свои планы, заявив, что у них нет «сил».

Проблема в том, что не существует техники, которая могла бы гарантировать, что вы справитесь с DDOS. Единственный способ - иметь серверы и пропускную способность, способные справиться с любой возможной нагрузкой, а это явно дорого.

Большинство механизмов выявления и смягчения атак, таких как анонимные атаки, хорошо известны, и большинство продуктов и услуг Anti-DoS могут успешно справиться с ними. Однако иногда организации и предприятия не имеют настроенных или обновленных политик защиты. Кроме того, я был поражен, обнаружив, что многие из них вообще не имеют защиты Anti-DoS, ни по продуктам, ни по услугам.

Анонимные обычно используют хорошо известные инструменты. Нет никаких причин, по которым местный SOC / NOC или SOC / NOC поставщика услуг не сможет заблокировать свои атаки. Вопрос в том, достаточно ли точны обнаружение и блокировка без ложных срабатываний блокировки легитимного трафика. Как следствие этого - успешный DoS / DDoS ...

В целом существует три пути борьбы с DDoS / DoS-атаками:

1. Наличие достаточного количества ресурсов (пропускная способность, серверы и т. Д.) - нереалистичный вариант, поскольку объем атаки может превышать имеющуюся у вас пропускную способность, а стоимость неограниченной вычислительной мощности огромна.
2. «Аренда» услуг провайдера охранных услуг - хорошее решение, зависит от возможностей конкретного провайдера. Однако следует отметить, что большинство MSSP работают с центрами очистки в режиме Out-of-Path. Это означает, что они во многих случаях полагаются на протоколы анализа трафика, такие как NetFlow, для выявления атак. Хотя этот вариант отлично работает с DDoS-атаками или большими объемными атаками, он не может идентифицировать низкие и медленные атаки. Вы можете преодолеть это ограничение, если готовы сами позвонить в MSSP, как только вы сами обнаружите проблемы с трафиком. Еще одно ограничение подхода «центров очистки» состоит в том, что обычно проверяется только одно направление движения.
3. Наличие собственного встроенного решения Anti-DoS. Этот вариант, хотя иногда и более дорогостоящий, обеспечивает максимальную безопасность, поскольку попытки сканирования методом перебора и многие другие угрозы безопасности могут быть устранены встроенным устройством. Встроенное устройство эффективно, если объем атаки не превышает пропускную способность вашего канала. Работа во встроенном режиме гарантирует обнаружение слабых и медленных атак и даже вторжений, в зависимости от оборудования, которое вы хотите использовать.

Как видите, однозначного ответа на этот вопрос нет, так как он зависит от многих параметров, бюджет - только один из них. Качество услуги или продукта также является важным аспектом. - Может ли он генерировать сигнатуры «в реальном времени» для точного смягчения последствий, не затрагивая законный трафик? снижение ложноотрицательного отношения? - Включает ли он модули поведенческого обучения и обнаружения? или Используются ли только пороговые значения на основе скорости? - Включает ли он варианты аутентификации (для HTTP / DNS и других протоколов)? снова для уменьшения вероятности ложноотрицательных результатов. - Включает ли он механизм эскалации действий, вариант закрытой обратной связи, который может автоматически использовать более агрессивные действия по смягчению последствий в зависимости от успеха текущего предпринятого действия по смягчению? - Какую степень смягчения последствий может предложить услуга / продукт, независимо от допустимой скорости трафика. - Есть ли в продукте круглосуточная служба экстренной помощи? (он есть у большинства MSSP, но не у всех продуктов)

Привет,

Услуги по очистке трафика от таких компаний, как Verisign, Prolexic и других, являются наиболее эффективным способом защитить себя, если у вас нет денег, чтобы потратить их на такое аппаратное решение, как Arbor или Rio Rey.

Это сильно зависит от типа трафика, который вы обслуживаете, но есть несколько способов смягчить его. (Я предполагаю, что это веб-сайты.) Относительно простой и недорогой способ решить эту проблему - поставить Varnish (или другой http-кеш) перед вашими веб-серверами. Это значительно сократит количество попаданий трафика на ваши веб-серверы и серверы приложений. Кроме того, использование такого продукта, как HAProxy, в качестве балансировщика нагрузки может несколько помочь, управляя распределением вашего http-трафика на ваши серверы.

Существуют меры предотвращения DDOS, но они будут дорогостоящими. Я знаю, что если вы используете Rackspace для хостинга, у них есть продукт под названием Preventier (который, как я знаю, стоит дорого).

Также может быть полезно потратить время на использование Akamai (или аналогичного CDN) для размещения вашего контента, что также решит эту проблему, но обычно требует больших долларовых затрат.

Как и во всем остальном, необходимо провести анализ риска и вознаграждения, но вы должны помнить, что помимо доступности ваших услуг, вы также по сути платите за репутацию своего бренда.

ПРИМЕЧАНИЕ. Я говорю «недорогие» для Varnish и HAProxy, потому что, хотя они бесплатны / с открытым исходным кодом, для их внедрения и поддержки требуются инженерные часы. Обратите внимание, что это верно для любого решения, но оно имеет нулевую стоимость лицензирования.

Что ж, это очень сложно. В этом весь смысл ddos. У вас есть миллион компьютеров, которые одновременно отправляют запросы на ваш сайт. Что должен делать брандмауэр?

Самый важный момент - не допустить попадания трафика в вашу систему. Не знаю, где у вас есть серверы, но если ваши серверы находятся в вашем офисе, вы должны установить ограничивающий брандмауэр на месте вашего провайдера. это удержит трафик от вашего ограниченного входящего кабеля.

Если ограничивающим фактором является веб-сервер, вы можете настроить Linux-компьютер перед веб-сервером, чтобы выполнять фильтрацию на основе исходного IP-адреса. Разрешить только определенному количеству IP-адресов для доступа к веб-серверу одновременно, и как только передача будет завершена, заблокируйте IP-адрес и предоставьте слот следующему запрашивающему. Таким образом, ваш сервер никогда не превышает своей мощности.

Использование здесь ускорителя Squid будет большим подспорьем. Это сокращает количество одновременных подключений и процессов и быстрее освобождает ресурсы веб-сервера в дополнение к кэшированию статического содержимого.

Нельзя ограничиваться одной группой нападающих. Большинство групп, включая группу анонимов, использовали бы BotNet. Это будет происходить из большого диапазона IP-адресов, поэтому вы не можете просто запретить этот диапазон.

Единственный способ минимизировать (НЕ ОСТАНОВИТЬСЯ так как это почти невозможно), чтобы обеспечить вашу безопасность. Так что обновления поддерживаются, ваш брандмауэр проверяется на уязвимости. Безопасность - это очень специализированный предмет, и его нельзя сбрасывать со счетов. Вам нужно начать с вашего брандмауэра и убедиться, что каждое устройство / соединение безопасно. А также, что пользователи осведомлены о безопасности, а также о том, что на их ПК не должно быть вредоносного ПО (их можно использовать для DDOS-атак).