Ce se folosește pentru atacurile ddos. Atacurile DOS și DDoS: concept, tipuri, metode de detectare și protecție

Acasă / Nu merge

Nu este nevoie de multă inteligență pentru a comanda un atac DDoS. Plătește hackerii și gândește-te la panica concurenților tăi. Mai întâi de pe scaunul regizorului, apoi din patul de închisoare.

Vă explicăm de ce apelarea la hackeri este ultimul lucru pe care ar trebui să-l facă un antreprenor onest și care sunt consecințele.

Cum să faci un atac DDoSchiar și un școlar știe

Astăzi, instrumentele pentru organizarea unui atac DDoS sunt disponibile pentru toată lumea. Bariera de intrare pentru hackerii începători este scăzută. Prin urmare, ponderea atacurilor scurte, dar puternice asupra site-urilor rusești a crescut Se pare că grupurile de hackeri doar își exersează abilitățile.

Caz în chestiune. În 2014, portalul educațional al Republicii Tatarstan a suferit atacuri DDoS. La prima vedere, atacul nu are rost: aceasta nu este o organizație comercială și nu este nimic de cerut. Portalul afișează notele, orele de curs și așa mai departe. Nu mai mult. Experții Kaspersky Lab au găsit un grup VKontakte în care au discutat studenți și școlari din Tatarstan cum să faci un atac DDoS.

Comunitate de tineri luptători împotriva sistemului Republicii Tatarstan

Interogările derivate din „cum să faci un atac DDoS în Tatarstan” i-au condus pe specialiștii în securitate cibernetică la un anunț interesant. Interpreții au fost găsiți rapid și au trebuit compensa prejudiciul.

Obișnuiau să rupă paginile din jurnale, dar acum piratau site-uri web

Datorită simplității atacurilor DDoS, începătorii fără principii morale sau fără înțelegere a capacităților lor le iau. De asemenea, pot revinde datele clienților. Întinerirea autorilor atacurilor DDoS este o tendință globală.

Închisoare în primăvara anului 2017 primit de un student britanic. Când avea 16 ani, a creat Programul de atac DDoS Titanium Stresser. Britanicul a câștigat 400 de mii de lire sterline (29 de milioane de ruble) din vânzarea sa. Folosind acest program DDoS, au fost efectuate 2 milioane de atacuri asupra a 650 de mii de utilizatori din întreaga lume.

Adolescenții s-au dovedit a fi membri ai unor mari grupuri DDoS Lizard Squad și PoodleCorp. Tinerii americani au venit cu propriile lor Programele DDoS, dar le-au folosit pentru a ataca serverele de jocuri pentru a obține avantaje în jocurile online. Așa au fost găsite.

Fie că să le încredeți în reputația companiei școlarilor de ieri, fiecare va decide singur.

Pedeapsa pentruprograme DDoSîn Rusia

Cum să faci un atac DDoSinteresat de antreprenorii care nu vor să joace după regulile concurenței. Aceasta este ceea ce fac angajații Direcției „K” a Ministerului Afacerilor Interne al Rusiei. Îi prind pe interpreți.

Legislația rusă prevede pedepse pentru infracțiunile cibernetice. Pe baza practicii curente, participanții la un atac DDoS se pot înscrie în următoarele articole.

Clienții.Acțiunile lor se încadrează de obicei- acces ilegal la informații informatice protejate legal.

Pedeapsă:închisoare de până la șapte ani sau o amendă de până la 500 de mii de ruble.

Exemplu. Un angajat al departamentului de protecție a informațiilor tehnice din administrația orașului Kurgan a fost condamnat în temeiul acestui articol. El a dezvoltat programul multifuncțional Meta. Cu ajutorul său, atacatorul a colectat date personale despre 1,3 milioane de locuitori ai regiunii. Apoi l-am vândut băncilor și agențiilor de colectare. Hackera a primit doi ani de închisoare.

Interpreți.De regulă, ei sunt pedepsiți cu Articolul 273 din Codul penal al Federației Ruse - crearea, utilizarea și distribuirea de programe de calculator rău intenționate.

Pedeapsă.Închisoare de până la șapte ani cu o amendă de până la 200 de mii de ruble.

Exemplu.Student de 19 ani din Tolyatti a primit o pedeapsă de 2,5 ani cu suspendare și o amendă de 12 milioane de ruble. Prin utilizarea programe pentru atacuri DDoS, a încercat să doboare resursele de informații și site-urile bancare. După atac, studentul a stors bani.

Utilizatori neglijenți.Nerespectarea regulilor de securitate la stocarea datelor se pedepsește cu Articolul 274 din Codul penal al Federației Ruse - încălcarea regulilor de operare a mijloacelor de stocare, prelucrare sau transmitere a informațiilor informatice și a rețelelor de informații și telecomunicații.

Pedeapsă:închisoare de până la cinci ani sau amendă de până la 500 de mii de ruble.

Exemplu.Dacă banii au fost furați în orice mod în timpul accesului la informații, articolul va fi reclasificat drept fraudă în domeniul informațiilor informatice (). Deci doi ani într-o colonie primit de hackerii Ural care au obținut acces la serverele băncilor.

Atacurile la mass-media.Dacă atacurile DDoS vizează încălcarea drepturilor jurnalistice, acțiunile se încadrează - obstrucționarea activităților profesionale legitime ale unui jurnalist.

Pedeapsă:închisoare de până la șase ani sau o amendă de până la 800 de mii de ruble.

Exemplu.Acest articol este adesea reclasificat în altele mai dificile. Cum să faci un atac DDoS cei care au atacat Novaia Gazeta, Ekho Moskvy și Bolshoy Gorod știau. Publicațiile regionale devin și ele victimele hackerilor.

În Rusia există sancțiuni severe pentru utilizare programe DDoS . Anonimul nu te va salva de Direcția K.

Programe pentru atacuri DDoS

Potrivit experților, 2.000 de roboți sunt suficienți pentru a ataca un site obișnuit. Costul unui atac DDoS începe de la 20 USD (1.100 de ruble). Numărul de canale de atac și timpul de funcționare sunt discutate individual. Există și extorcări.

Un hacker decent va efectua un pentest înainte de un atac. Armata ar numi această metodă „recunoaștere în forță”. Esența unui pentest este un mic atac controlat pentru a afla resursele de apărare ale site-ului.

Fapt interesant.Cum să faci un atac DDoSMulți oameni știu, dar puterea unui hacker este determinată de un botnet. Adesea, atacatorii fură cheile de acces la „armate” unul altuia și apoi le revind. Un truc binecunoscut este să „dezactivați” wi-fi-ul, astfel încât să repornească forțat și să revină la setările de bază. În această stare, parola este standard. Apoi, atacatorii au acces la tot traficul organizației.

Cea mai recentă tendință a hackerilor este piratarea dispozitivelor inteligente pentru a instala mineri de criptomonede pe ele. Aceste acțiuni se pot califica în conformitate cu clauza de utilizare malware(Articolul 273 din Codul Penal al Federației Ruse). Deci ofițeri FSB reţinut administrator de sistem Centrul de control al misiunii. A instalat mineri pe echipamentul său de lucru și s-a îmbogățit. Atacatorul a fost identificat prin supratensiuni.

Hackerii vor efectua un atac DDoS asupra unui concurent. Apoi pot obține acces la puterea sa de calcul și pot extrage un Bitcoin sau doi. Numai că acest venit nu va merge către client.

Riscuri de a comanda un atac DDoS

Să rezumăm cântărind avantajele și dezavantajele comandării unui atac DDoS asupra concurenților.

Dacă concurenții au enervat afacerea, hackerii nu vor ajuta. Nu vor face decât să înrăutăţească lucrurile. Agenția „Digital Sharks” informații nedorite prin mijloace legale.

Pe sistem informatic cu scopul de a-l duce la eșec, adică de a crea condiții în care utilizatorii legali (legitimi) ai sistemului nu pot accesa resursele (serverele) furnizate de sistem, sau acest acces este dificil. Eșecul unui sistem „inamic” poate fi, de asemenea, un pas către stăpânirea sistemului (dacă într-o situație de urgență software-ul produce informații critice - de exemplu, versiunea, partea codul programului etc.). Dar, cel mai adesea, aceasta este o măsură a presiunii economice: timpul de nefuncționare a unui serviciu generator de venituri, facturile de la furnizor și măsurile de evitare a unui atac au lovit în mod semnificativ „ținta” din buzunar.

Dacă un atac este efectuat simultan de la un număr mare de computere, vorbim despre Atacul DDoS(din engleza Refuzarea serviciului distribuit, atac distribuit de denial of service). În unele cazuri, un atac DDoS real este cauzat de o acțiune neintenționată, de exemplu, plasarea pe o resursă populară de Internet a unui link către un site găzduit pe un server nu foarte productiv (efect slashdot). Un aflux mare de utilizatori duce la depășirea sarcinii permise pe server și, în consecință, la refuzul serviciului unora dintre ei.

Tipuri de atacuri DoS

Există diverse motive pentru care poate apărea o afecțiune DoS:

Eroareîn codul programului, ceea ce duce la accesul la un fragment neutilizat al spațiului de adrese, la executarea unei instrucțiuni nevalide sau la altă excepție netratată atunci când programul server - programul server - se blochează. Un exemplu clasic este inversarea cu zero. nul) adresa.
Verificarea insuficientă a datelor utilizatorului, conducând la un ciclu nesfârșit sau lung sau la un consum crescut pe termen lung al resurselor procesorului (până la epuizarea resurselor procesorului) sau alocarea unei sume mari RAM(până la epuizarea memoriei disponibile).
Potop(engleză) potop- „flood”, „overflow”) - un atac asociat cu un număr mare de solicitări de obicei lipsite de sens sau formatate incorect către un sistem informatic sau un echipament de rețea, care vizează sau duce la o defecțiune a sistemului din cauza epuizării resurse de sistem- procesor, memorie sau canale de comunicare.
Atacul de al doilea tip- un atac care urmărește să provoace o alarmă falsă a sistemului de securitate și astfel să conducă la indisponibilitatea unei resurse.

Dacă un atac (de obicei o inundație) este efectuat simultan cu cantitate mare Adrese IP - de la mai multe computere dispersate în rețea - apoi în acest caz este apelată distribuite atac de refuz de serviciu ( DDoS).

Exploatarea erorilor

Exploata este un program, o bucată de cod software sau o secvență de comenzi software care exploatează vulnerabilitățile din software și este folosită pentru a efectua un atac asupra unui sistem cibernetic. Dintre exploatările care duc la un atac DoS, dar care sunt nepotrivite, de exemplu, pentru a prelua controlul unui sistem „inamic”, cele mai cunoscute sunt WinNuke și Ping of death.

Potop

Despre inundații ca o încălcare a netichetei, vezi inundații.

Potop apelați un flux imens de solicitări fără sens de la diferite computere pentru a ocupa sistemul „inamic” (procesor, RAM sau canal de comunicare) cu lucru și, prin urmare, îl dezactivați temporar. Conceptul de „atac DDoS” este aproape echivalent cu conceptul de „flood”, iar în viața de zi cu zi ambele sunt adesea interschimbabile („flood the server” = „DDoS the server”).

Pentru a crea o inundație, pot fi utilizate atât utilități de rețea obișnuite, cum ar fi ping (de exemplu, comunitatea de internet „Upyachka” este cunoscută pentru aceasta), cât și programe speciale. Posibilitatea de DDoS este adesea „conectată” în rețele bot. Dacă se constată că un site cu trafic ridicat are o vulnerabilitate de scriptare între site-uri sau capacitatea de a include imagini din alte resurse, acest site poate fi folosit și pentru un atac DDoS.

Inundarea canalului de comunicație și a subsistemului TCP

Orice computer conectat la lumea exterioară prin protocolul TCP/IP, susceptibil la următoarele tipuri de inundații:

SYN flood - cu acest tip de atac flood, un număr mare de pachete SYN sunt trimise către nodul atacat prin intermediul protocolului TCP (cereri de deschidere a unei conexiuni). În acest caz, după o perioadă scurtă de timp numărul de socket-uri (socket-uri de rețea software, porturi) disponibile pentru deschidere este epuizat pe computerul atacat și serverul nu mai răspunde.
UDP flood - acest tip de inundație nu atacă computerul țintă, ci canalul său de comunicare. Furnizorii presupun în mod rezonabil că pachetele UDP ar trebui să fie livrate mai întâi, iar TCP poate aștepta. Un număr mare de pachete UDP de diferite dimensiuni blochează canalul de comunicație, iar serverul care rulează pe protocolul TCP nu mai răspunde.
ICMP flood este același lucru, dar folosind pachete ICMP.

Nivelul de aplicare de inundație

Multe servicii sunt proiectate în așa fel încât o cerere mică poate provoca un consum mare de putere de calcul pe server. În acest caz, nu canalul de comunicație sau subsistemul TCP este atacat, ci serviciul în sine - un val de solicitări „bolnave” similare. De exemplu, serverele web sunt vulnerabile la inundarea HTTP, fie o simplă solicitare GET / fie o cerere complexă de bază de date precum GET /index.php?search= poate fi folosită pentru a dezactiva un server web.<случайная строка> .

Detectarea atacurilor DoS

Există opinia că instrumentele speciale pentru detectarea atacurilor DoS nu sunt necesare, deoarece faptul unui atac DoS nu poate fi ignorat. În multe cazuri, acest lucru este adevărat. Cu toate acestea, destul de des au fost observate atacuri DoS de succes, care au fost observate de victime abia după 2-3 zile. S-a întâmplat ca consecințele negative ale atacului ( potop-atacuri) au dus la costuri inutile pentru plata traficului de internet în exces, care a devenit clar doar la primirea unei facturi de la furnizorul de internet. În plus, multe metode de detectare a atacurilor sunt ineficiente în apropierea țintei atacului, dar sunt eficiente pe coloana vertebrală a rețelei. În acest caz, este recomandabil să instalați sisteme de detectare acolo, mai degrabă decât să așteptați până când utilizatorul care a fost atacat îl observă el însuși și cere ajutor. În plus, pentru a contracara eficient atacurile DoS, este necesar să cunoașteți tipul, natura și alte caracteristici ale atacurilor DoS, iar sistemele de detectare vă permit să obțineți rapid aceste informații.

Metodele de detectare a atacurilor DoS pot fi împărțite în mai multe grupuri mari:

semnătură – bazată pe analiza calitativă a traficului.
statistic – bazat pe analiza cantitativă a traficului.
hibrid (combinat) - combinând avantajele ambelor metode de mai sus.

Protecție împotriva atacurilor DoS

Măsurile de contracarare a atacurilor DoS pot fi împărțite în pasive și active, precum și preventive și reacţionare.

Mai jos este o listă scurtă a principalelor metode.

Prevenirea. Prevenirea motivelor care determină anumite persoane să organizeze și să lanseze atacuri DoS. (Foarte adesea, atacurile cibernetice sunt, în general, rezultatul nemulțumirilor personale, a dezacordurilor politice, religioase și de altă natură, a comportamentului provocator al victimei etc.)
Filtrare și blackholing. Blocarea traficului provenit de la mașini atacatoare. Eficacitatea acestor metode scade pe măsură ce te apropii de ținta atacului și crește pe măsură ce te apropii de mașina de atac.
DDOS invers- redirecționarea traficului utilizat pentru un atac către atacator.
Eliminarea vulnerabilităților. Nu funcționează împotriva potop-atacuri pentru care „vulnerabilitatea” este caracterul finit al anumitor resurse ale sistemului.
Creșterea resurselor. Desigur, nu oferă protecție absolută, dar este un fundal bun pentru utilizarea altor tipuri de protecție împotriva atacurilor DoS.
Dispersare. Construirea de sisteme distribuite și redundante care nu vor înceta să servească utilizatorii, chiar dacă unele dintre elementele acestora devin indisponibile din cauza unui atac DoS.
Evaziune. Mutarea țintei imediate a atacului (numele de domeniu sau adresa IP) departe de alte resurse care sunt adesea expuse împreună cu ținta imediată a atacului.
Răspuns activ. Impactul asupra surselor, organizatorului sau centrului de control al atacului, atât prin mijloace tehnologice, cât și organizatoric-juridice.
Utilizarea echipamentelor pentru a respinge atacurile DoS. De exemplu, DefensePro® (Radware), Perimeter (MFI Soft), Arbor Peakflow® și de la alți producători.
Achiziționarea unui serviciu de protecție împotriva atacurilor DoS. Acest lucru este relevant dacă inundațiile depășesc capacitatea canalului rețelei.

Vezi de asemenea

Note

Literatură

Chris Kaspersky Virușii informaticiînăuntru și afară. - Petru. - Sankt Petersburg. : Peter, 2006. - P. 527. - ISBN 5-469-00982-3
Stephen Northcutt, Mark Cooper, Matt Fearnow, Karen Frederik. Analiza încălcărilor tipice de securitate în rețele = Intrusion Signatures and Analysis. - Editura New Riders (engleză) Sankt Petersburg: Editura Williams (rusă), 2001. - P. 464. - ISBN 5-8459-0225-8 (rusă), 0-7357-1063-5 ( engleză)
Morris, R.T.= O slăbiciune în software-ul 4.2BSD Unix TCP/IP. - Raportul Tehnic Informatic Nr.117. - AT&T Bell Laboratories, februarie 1985.
Bellovin, S. M.= Probleme de securitate în suita de protocol TCP/IP. - Computer Communication Review, Vol. 19, nr.2. - AT&T Bell Laboratories, aprilie 1989.
=daemon9/route/infinity „Demistificarea IP-spooling: Exploatarea realizării încrederii”. - Phrack Magazine, Vol.7, Issue 48. - Guild Production, iulie 1996.
=daemon9/route/infinity „Proiectul Neptun”. - Phrack Magazine, Vol.7, Issue 48. - Guild Production, iulie 1996.

Legături

Atacul DoSîn directorul de linkuri Open Directory Project (

Atacul DDoS (Distributed Denial of Service atac) este un set de acțiuni care pot dezactiva complet sau parțial o resursă de Internet. Victima poate fi aproape orice resursă de internet, cum ar fi un site web, un server de jocuri sau o resursă guvernamentală. Pe în acest moment Este aproape imposibil ca un hacker să organizeze singur un atac DDoS. În cele mai multe cazuri, atacatorul folosește o rețea de computere infectate cu un virus. Virusul vă permite să primiți necesarul și suficient acces la distanță la computerul infectat. O rețea de astfel de computere se numește botnet. De regulă, rețelele bot au un server de coordonare. După ce a decis să efectueze un atac, atacatorul trimite o comandă către serverul de coordonare, care, la rândul său, semnalează tuturor să înceapă să execute solicitări de rețea rău intenționate.

Motivele atacurilor DDoS

Vrăjmășie personală

Acest motiv apare destul de des. În urmă cu ceva timp, jurnalistul-cercetător independent Brian Krebs a dezvăluit activitățile celui mai mare serviciu pentru efectuarea de atacuri DDoS personalizate - vDOS. Informația a fost prezentată în detaliu, ceea ce a dus la arestarea organizatorilor a acestui serviciu. Ca răspuns, hackerii au lansat un atac asupra blogului jurnalistului, a cărui putere a ajuns la 1 Tbit/s. Acest atac a fost cel mai puternic din lume în ultimii ani.

Divertisment

În zilele noastre, devine din ce în ce mai ușor să organizați singur un atac DDoS primitiv. Un astfel de atac ar fi extrem de imperfect și anonim. Din păcate, cei mai mulți dintre cei care decid să se simtă ca un „hacker” habar nu au nici despre primul, nici despre al doilea. Cu toate acestea, mulți școlari practică adesea atacuri DDoS. Rezultatul unor astfel de cazuri poate fi foarte divers.

Protestul politic (hacktivism)

Unul dintre primele atacuri motivate social a fost atacul DDoS, implementat în 1996 de hackerul Omega. Omega a fost membru al coaliției de hackeri „Cult of the Dead Crew” (cDc). Termenul de hacktivism a devenit popular în mass-media datorită frecvenței tot mai mari a atacurilor cibernetice motivate social. Reprezentanții tipici ai hacktiviștilor sunt grupurile Anonymous și LulzSec.

Concurență neloială

Astfel de motive apar adesea în industrie. servere de jocuri, dar în industria comercială astfel de cazuri apar destul de des. Suficient mod eficient concurență neloială care poate distruge reputația platforma de tranzactionare, dacă proprietarii săi nu apelează la timp la specialiști pentru ajutor. Acest motiv poate fi distins printre celelalte ca fiind cel mai comun.

Extorcare sau șantaj

În acest caz, atacatorul cere o sumă de bani de la potențiala victimă pentru că nu a comis atacul. Sau pentru încetarea lui. Organizațiile mari devin adesea victime ale unor astfel de atacuri, de exemplu, în 2014, banca Tinkoff și resursa IT Habrahabr, cel mai mare tracker de torrent Rutracker.org (cum a fost asta?) au fost atacate.

Consecințele atacurilor DDoS

Consecințele atacurilor DDoS pot fi foarte diverse, de la închiderea serverului de către centrul de date până la pierderea completă a reputației resursei și a fluxului de clienți. Multe organizații, pentru a economisi bani, aleg fără să știe furnizori de securitate fără scrupule, ceea ce de multe ori nu aduce niciun beneficiu. Pentru a evita astfel de probleme, vă recomandăm să contactați profesioniști din industria dvs.

Atacurile care au făcut istorie Internetul

Progresul tehnologic progresează treptat, iar atacatorii, la rândul lor, depun toate eforturile pentru a nu sta pe loc și a implementa atacuri din ce în ce mai complexe și mai puternice. Noi am adunat scurtă descriere cele mai interesante cazuri care au intrat în istoria atacurilor DDoS. Unele dintre ele pot părea obișnuite după standardele moderne, dar la momentul în care au avut loc, acestea erau atacuri la scară foarte mare.

Ping Of Dead. O metodă de atac bazată pe comanda ping. Acest atac a câștigat popularitate în anii 1990 din cauza echipamentelor de rețea imperfecte. Esența atacului este de a trimite o singură solicitare ping către un nod de rețea, iar corpul pachetului include nu cei 64 de octeți standard de date, ci 65535 de octeți. Când un astfel de pachet a fost primit, stiva de rețea a echipamentului ar depăși și provoca o refuz de serviciu.

Un atac care a afectat stabilitatea internetului.În 2013, Spamhaus a fost victima unui atac cu o capacitate de peste 280 Gbps. Cel mai interesant lucru este că pentru atac, hackerii au folosit servere DNS de pe Internet, care la rândul lor erau foarte încărcate cu un număr mare de solicitări. În acea zi, milioane de utilizatori s-au plâns de încărcarea lentă a paginilor din cauza supraîncărcării serviciului.

Înregistrați atacul cu trafic de peste 1 Tbit/s.În 2016, hackerii au încercat să ne atace cu un atac de pachete cu viteze de 360 Mpps și 1 Tbps. Această cifră a devenit un record încă de la existența internetului. Dar chiar și sub un astfel de atac am supraviețuit și încărcarea rețelei a limitat doar puțin resursele gratuite ale echipamentelor de rețea.

Caracteristicile atacurilor de astăzi

Excluzând atacurile de vârf, putem spune că puterea atacurilor crește de peste 3-4 ori în fiecare an. Geografia atacatorilor se schimbă doar parțial de la an la an, deoarece acest lucru se datorează numărului maxim de computere dintr-o anumită țară. După cum se poate observa din raportul trimestrial pe 2016, întocmit de specialiștii noștri, țările record pentru numărul de boți sunt Rusia, SUA și China.

Care sunt tipurile de atacuri DDoS?

În prezent, tipurile de atacuri pot fi împărțite în 3 clase:

Atacurile de inundații ale canalelor

Acest tip de atac include și;

Atacurile care exploatează vulnerabilitățile din stiva de protocoale de rețea

Cele mai populare și interesante atacuri de acest tip sunt atacul /.

De ce ne alegeți pe noi? Echipamentul nostru este situat în centre de date cheie din întreaga lume și este capabil să respingă atacuri de până la 300 Gbps sau 360 de milioane de pachete pe secundă. Avem, de asemenea, o rețea de livrare de conținut () și un personal de ingineri de serviciu în cazul unui atac non-standard sau situații de urgență. Prin urmare, luând protecția noastră, puteți fi sigur de disponibilitatea resursei dvs. 24/7. Suntem de încredere de către: REG.RU, Argumente și fapte, WebMoney, holdingul de radio rusesc GPM și alte corporații.

Puteți implementa singur protecția împotriva unui număr mic de atacuri, analizând traficul sau stabilind reguli de rutare. Sunt prezentate metode de protecție împotriva unor atacuri.

Aparent, majoritatea utilizatorilor moderni de sisteme informatice au auzit de conceptul unui atac DDoS. Cum să o faci singur, desigur, nu va fi luat în considerare acum (cu excepția scopului informativ), deoarece astfel de acțiuni sunt ilegale în conformitate cu orice legislație. Cu toate acestea, va fi posibil să aflați ce este în general și cum funcționează totul. Dar să remarcăm imediat: nu ar trebui să percepeți materialul prezentat mai jos ca un fel de instrucțiune sau ghid de acțiune. Informațiile sunt furnizate numai în scopul înțelegerii generale a problemei și numai pentru cunoștințe teoretice. Utilizarea anumitor produse software sau organizarea de acțiuni ilegale poate atrage răspunderea penală.

Ce este un atac DDoS pe un server?

Însuși conceptul de atac DDoS poate fi interpretat pe baza decodării abrevierei engleze. Abrevierea înseamnă Distributed Denial of Service, adică, aproximativ vorbind, refuzul serviciului sau performanța.

Dacă înțelegeți ce este un atac DDoS pe un server, caz general aceasta este o încărcare a unei resurse printr-un număr crescut de solicitări (cereri) utilizatorilor pe un anumit canal de comunicare, care, în mod natural, are restricții asupra volumului de trafic atunci când serverul pur și simplu nu este capabil să le proceseze. Din această cauză, apare supraîncărcarea. De fapt, software-ul și hardware-ul serverului pur și simplu nu au suficiente resurse de calcul pentru a face față tuturor solicitărilor.

Principii de organizare a atacurilor

Un atac DDoS se bazează fundamental pe mai multe conditii de baza. Cel mai important lucru este, în prima etapă, să obțineți acces la un computer de utilizator sau chiar la un server prin introducerea de cod rău intenționat în el sub forma unor programe care astăzi sunt denumite în mod obișnuit troieni.

Cum să organizați singur un atac DDoS în această etapă? Complet simplu. Așa-numitele sniffers pot fi folosite pentru a infecta computerele. Este suficient să îi trimiteți victimei o scrisoare către Adresa de e-mail cu un atașament (de exemplu, o imagine care conține cod executabil), atunci când este deschis, atacatorul obține acces la computerul altcuiva prin adresa sa IP.

Acum câteva cuvinte despre ce implică a doua etapă, care implică un atac DDoS. Cum să faci următoarea cerere? Este necesar ca numărul maxim de cereri să fie trimis către server sau resursă de Internet. Desigur, acest lucru nu se poate face de la un singur terminal, așa că va trebui să utilizați calculatoare suplimentare. Concluzia sugerează de la sine: este necesar ca virusul introdus să-i infecteze. De regulă, astfel de scripturi, ale căror versiuni gata făcute pot fi găsite chiar și pe Internet, se auto-copilează și infectează alte terminale din mediul de rețea, dacă sunt disponibile. conexiune activă sau prin Internet.

Tipuri de atacuri DDoS

Un atac DDoS în sens general este numit așa doar condiționat. De fapt, există cel puțin patru soiuri ale acestuia (deși astăzi există până la 12 modificări):

crash server prin trimiterea de instrucțiuni incorecte pentru a fi executate;
trimiterea în masă a datelor utilizatorului, ducând la verificarea ciclică;
inundație - cereri formate incorect;
perturbarea canalului de comunicare prin debordare cu adrese false.

Istoria apariției

Ei au început să vorbească despre atacuri de acest gen încă din 1996, dar apoi nimeni nu i-a acordat prea multă importanță. Problema a început să fie serios condamnată abia în 1999, când au fost atacate cele mai mari servere din lume precum Amazon, Yahoo, E-Trade, eBay, CNN etc.

Consecințele s-au soldat cu pierderi semnificative din cauza întreruperii acestor servicii, deși la acel moment acestea erau doar cazuri parțiale. Nu s-a vorbit încă despre o amenințare larg răspândită.

Cel mai faimos caz de atac DDoS

Cu toate acestea, după cum sa dovedit mai târziu, problema nu s-a limitat la asta. Cel mai mare atac DDoS din întreaga istorie a lumii computerelor a fost înregistrat în 2013, când a apărut o dispută între Spamhaus și furnizorul olandez Cyberbunker.

Prima organizație, fără explicații, a inclus furnizorul în lista spammerilor, în ciuda faptului că multe organizații și servicii respectate (și nu atât de respectate) și-au folosit serverele. În plus, serverele furnizorului, oricât de ciudat ar părea, se aflau într-un fost buncăr NATO.

Ca răspuns la astfel de acțiuni, Cyberbunker a lansat un atac, care a fost preluat de CDN CloudFlare. Prima lovitură a venit pe 18 martie, a doua zi viteza cererilor a crescut la 90 Gbit/s, pe 21 a fost o pauză, dar pe 22 martie viteza era deja de 120 Gbit/s. Nu a fost posibil să se dezactiveze CloudFlare, așa că viteza a fost mărită la 300 Gbit/s. Până în prezent, aceasta este o cifră record.

Ce sunt programele de atac DDoS?

În ceea ce privește software-ul utilizat în prezent, cea mai frecvent utilizată aplicație este considerată a fi programul LOIC, care, totuși, permite doar atacuri asupra serverelor cu adrese IP și URL deja cunoscute. Cel mai trist lucru este că este postat pe Internet pentru descărcare gratuită.

Dar, după cum este deja clar, această aplicație poate fi utilizat numai împreună cu software-ul care vă permite să obțineți acces la computerul altcuiva. Din motive evidente, numele și instrucțiuni complete despre utilizarea lor nu sunt date aici.

Cum să faci singur un atac?

Deci, avem nevoie de un atac DDoS. Să vedem pe scurt cum să-l faci singur. Se presupune că sniffer-ul a funcționat și aveți acces la terminalul altcuiva. Când rulați fișierul executabil al programului Loic.exe, introduceți pur și simplu adresele necesare în fereastră și apăsați butonul Lock On.

După aceasta, în reglarea vitezei de transmisie prin protocoalele HTTP/UDF/TCP, faderul este setat la valoarea maximă (10 la minim implicit), după care butonul IMMA CHARGIN MAH LAZER este folosit pentru a începe atacul.

Cum să te protejezi de atacuri?

Când vorbiți despre ce programe puteți găsi pentru atacurile DDoS, nu puteți ignora instrumentele de protecție. La urma urmei, chiar și a treia lege a lui Newton spune că orice acțiune provoacă o reacție.

În cel mai simplu caz se folosesc antivirusuri și firewall-uri (așa-numitele firewall-uri), care pot fi prezentate fie sub formă de software, fie ca hardware de calculator. În plus, mulți furnizori de securitate pot redistribui cererile între mai multe servere, pot filtra traficul de intrare, pot instala sisteme de protecție duplicate etc.

Una dintre metodele de efectuare a atacurilor este tehnica DNS Amplification - tehnologia de trimitere a cererilor recursive către serverele DNS cu adrese de retur inexistente. În consecință, ca protecție împotriva unor astfel de nenorociri, puteți utiliza în siguranță pachetul universal fail2ban, care astăzi vă permite să instalați o barieră destul de puternică pentru e-mailurile de acest fel.

Ce altceva trebuie să știi?

În general, chiar și un copil poate obține acces la computer, dacă dorește. Mai mult, chiar unele deosebit de complexe specializate software nu va fi necesar și, ulterior, un atac DDoS poate fi efectuat de pe computerul tău „zombi”. Cum să o faci singur este, în termeni generali, deja clar.

Dar nu cred că merită să faci astfel de lucruri. Adevărat, unii utilizatori și programatori începători încearcă să efectueze astfel de acțiuni, ca să spunem așa, din interes pur sportiv. Amintiți-vă: orice administrator informat își va da seama, dacă nu dvs., atunci locația furnizorului, chiar dacă la un moment dat a fost folosit un server proxy anonim pe Internet. Nu trebuie să mergi departe. Aceeași resursă WhoIs poate oferi o mulțime de informații despre care nici măcar nu știți. Ei bine, atunci, după cum se spune, este o chestiune de tehnică.

Tot ce trebuie să faceți este să contactați furnizorul dvs. cu solicitarea corespunzătoare indicând IP-ul extern, iar acesta (în conformitate cu standardele internaționale) vă va furniza date despre locația dvs. și datele personale. Prin urmare, materialul prezentat mai sus nu trebuie privit ca un stimulent la acțiuni ilegale. Acest lucru este plin de consecințe destul de grave.

Dar în ceea ce privește atacurile în sine, merită să spuneți separat că dvs. ar trebui să luați unele măsuri pentru a proteja sistemul, deoarece coduri rău intenționate poate fi inclus chiar și în bannere de pe Internet, când faceți clic pe, un troian poate fi descărcat pe computer. Și nu toate antivirusurile sunt capabile să filtreze astfel de amenințări. Iar faptul că un computer se poate transforma într-un fel de cutie de zombi nu se discută deloc. Este posibil ca utilizatorul să nu observe acest lucru (cu excepția cazului în care traficul de ieșire este crescut). Instalarea și configurarea pachetului fail2ban este destul de complexă, așa că ar trebui să utilizați un antivirus serios (Eset, Kaspersky) ca mijloc primitiv și nu produse software gratuite și, de asemenea, să nu vă dezactivați propriile instrumente. Protecție Windows ca un firewall.

Din ce în ce mai mult, ici și colo în comunicările oficiale de la furnizorii de găzduire există referiri la atacurile DDoS reflectate. Din ce în ce mai des, atunci când utilizatorii descoperă că site-ul lor nu este disponibil, își asumă imediat DDoS. Într-adevăr, la începutul lunii martie, Runetul a experimentat un val întreg de astfel de atacuri. În același timp, experții asigură că distracția abia începe. Este pur și simplu imposibil să ignori un fenomen atât de relevant, amenințător și intrigant. Așa că astăzi să vorbim despre mituri și fapte despre DDoS. Din punctul de vedere al furnizorului de găzduire, desigur.

Zi memorabilă

Pe 20 noiembrie 2013, pentru prima dată în istoria de 8 ani a companiei noastre, întreaga platformă tehnică a fost indisponibilă câteva ore din cauza unui atac DDoS fără precedent. Zeci de mii de clienți noștri din Rusia și CSI au avut de suferit, ca să nu mai vorbim de noi înșine și de furnizorul nostru de internet. Ultimul lucru pe care furnizorul a reușit să-l înregistreze înainte ca lumina albă să se estompeze pentru toată lumea a fost că canalele sale de intrare erau strâns înfundate cu traficul de intrare. Pentru a vizualiza acest lucru, imaginați-vă cada cu o scurgere obișnuită, cu Cascada Niagara care se repezi în ea.

Chiar și furnizorii mai sus din lanț au simțit efectele acestui tsunami. Graficele de mai jos ilustrează clar ce s-a întâmplat în acea zi cu traficul de internet în Sankt Petersburg și în Rusia. Observați vârfurile abrupte la 15 și 18 ore, exact în momentele în care am înregistrat atacurile. Pentru acestea bruște plus 500-700 GB.

A fost nevoie de câteva ore pentru a localiza atacul. Serverul pe care a fost trimis a fost calculat. Apoi a fost calculată ținta teroriștilor de pe internet. Știi pe cine a lovit toată artileria asta inamică? Un site pentru clienți foarte obișnuit, modest.

Mitul numărul unu: „Ținta atacului este întotdeauna furnizorul de găzduire. Acestea sunt mașinațiunile concurenților săi. Nu a mea.” De fapt, ținta cea mai probabilă a teroriștilor de pe internet este un site client obișnuit. Adică site-ul unuia dintre vecinii tăi de găzduire. Sau poate și al tău.

Nu totul este DDoS...

După evenimentele de pe site-ul nostru tehnic din 20 noiembrie 2013 și repetarea lor parțială pe 9 ianuarie 2014, unii utilizatori au început să-și asume DDoS în orice eșec special al propriului site web: „Acesta este DDoS!” și „Te confrunți din nou cu DDoS?”

Este important să ne amintim că dacă suferim un astfel de DDoS încât chiar și clienții noștri îl simt, îl raportăm imediat noi înșine.

Am dori să-i liniștim pe cei care se grăbesc să intre în panică: dacă este ceva în neregulă cu site-ul dvs., atunci probabilitatea ca acesta să fie DDoS este mai mică de 1%. Pur și simplu datorită faptului că unui site se pot întâmpla o mulțime de lucruri, iar aceste „multe lucruri” se întâmplă mult mai des. Vom vorbi despre metode de auto-diagnosticare rapidă a ceea ce se întâmplă exact cu site-ul dvs. într-una dintre următoarele postări.

Între timp, de dragul acurateței utilizării cuvintelor, să clarificăm termenii.

Despre termeni

Atac DoS (din limba engleză Denial of Service) - Acesta este un atac conceput pentru a determina refuzarea serviciului unui server din cauza supraîncărcării sale.

Atacurile DoS nu sunt asociate cu deteriorarea echipamentelor sau furtul de informații; scopul lor - faceți ca serverul să nu mai răspundă la solicitări. Diferența fundamentală dintre DoS este că atacul are loc de la o mașină la alta. Sunt exact doi participanți.

Dar, în realitate, nu vedem practic niciun atac DoS. De ce? Deoarece ținta atacurilor sunt cel mai adesea instalații industriale (de exemplu, servere productive puternice ale companiilor de găzduire). Și pentru a provoca orice prejudiciu vizibil funcționării unei astfel de mașini, este nevoie de o putere mult mai mare decât a ei. Acesta este primul lucru. Și în al doilea rând, inițiatorul unui atac DoS este destul de ușor de identificat.

DDoS - în esență la fel ca DoS, doar atacul este natura distribuită. Nu cinci, nu zece, nu douăzeci, ci sute și mii de computere accesează un server simultan din locuri diferite. Această armată de mașini se numește botnet. Este aproape imposibil să identifici clientul și organizatorul.

Complicii

Ce fel de computere sunt incluse în botnet?

Veți fi surprins, dar acestea sunt adesea cele mai obișnuite aparate de acasă. Cine ştie?.. - foarte posibil al tău computer de acasă dus de partea răului.

Nu ai nevoie de multe pentru asta. Un atacator găsește o vulnerabilitate într-un popular sistem de operare sau aplicație și, cu ajutorul acesteia, vă infectează computerul cu un troian, care într-o anumită zi și oră îi instruiește pe computer să înceapă să efectueze anumite acțiuni. De exemplu, trimiteți cereri către un anumit IP. Fără cunoștințele sau participarea ta, desigur.

Mitul numărul doi: « DDoS se face undeva departe de mine, într-un buncăr subteran special în care stau hackeri cu barbă și ochii roșii.” De fapt, fără să știi, tu, prietenii și vecinii tăi - oricine poate fi un complice involuntar.

Acest lucru se întâmplă cu adevărat. Chiar dacă nu te gândești la asta. Chiar dacă ești teribil de departe de IT (mai ales dacă ești departe de IT!).

Mecanisme distractive de hacking sau DDoS

Fenomenul DDoS nu este uniform. Acest concept combină multe opțiuni de acțiuni care duc la un singur rezultat (negarea serviciului). Să ne uităm la necazurile pe care ni le pot aduce DDoSers.

Utilizarea excesivă a resurselor de calcul ale serverului

Acest lucru se realizează prin trimiterea de pachete la un IP specific, a cărui procesare necesită o cantitate mare de resurse. De exemplu, încărcarea unei pagini necesită executarea unui număr mare de interogări SQL. Toți atacatorii vor solicita această pagină exactă, ceea ce va cauza supraîncărcarea serverului și refuzul serviciului pentru vizitatorii normali și legitimi ai site-ului.
Acesta este un atac la nivelul unui școlar care a petrecut câteva seri citind revista Hacker. Ea nu este o problemă. Același URL solicitat este calculat instantaneu, după care accesul la acesta este blocat la nivel de server web. Și aceasta este doar o soluție.

Supraîncărcarea canalelor de comunicație către server (ieșire)

Nivelul de dificultate al acestui atac este aproximativ același cu cel anterior. Atacatorul determină cea mai grea pagină de pe site, iar botnet-ul aflat sub controlul său începe să o solicite în masă.

Imaginați-vă că partea din Winnie the Pooh care ne este invizibilă este infinit de mare
În acest caz, este, de asemenea, foarte ușor de înțeles ce anume blochează canalul de ieșire și împiedică accesul la această pagină. Interogări similare pot fi văzute cu ușurință folosind utilitati speciale, care vă permit să priviți interfața de rețea și să analizați traficul. Apoi este scrisă o regulă pentru Firewall care blochează astfel de solicitări. Toate acestea se fac în mod regulat, automat și atât de rapid încât Majoritatea utilizatorilor nici măcar nu sunt conștienți de vreun atac.

Mitul numărul trei: "O Cu toate acestea, rareori ajung la găzduirea mea și le observ mereu.” De fapt, 99,9% dintre atacurile nu le vezi sau nu le simți. Dar lupta zilnică cu ei - Aceasta este munca de zi cu zi, de rutină a unei companii de găzduire. Aceasta este realitatea noastră, în care un atac este ieftin, concurența este în afara topurilor și nu toată lumea demonstrează discernământ în metodele de a lupta pentru un loc la soare.

Supraîncărcarea canalelor de comunicație către server (intrare)

Aceasta este deja o sarcină pentru cei care citesc revista Hacker mai mult de o zi.

Fotografie de pe site-ul radio Ekho Moskvy. Nu am găsit nimic mai vizual care să reprezinte DDoS cu supraîncărcarea canalelor de intrare.
Pentru a umple un canal cu trafic de intrare la capacitate maximă, trebuie să aveți o rețea botnet, a cărei putere vă permite să generați cantitatea necesară de trafic. Dar poate că există o modalitate de a trimite puțin trafic și de a primi mult?

Există, și nu doar unul. Există multe opțiuni de îmbunătățire a atacurilor, dar una dintre cele mai populare în acest moment este atac prin servere DNS publice. Experții numesc această metodă de amplificare Amplificare DNS(în cazul în care cineva preferă termenii experți). Pentru a spune simplu, imaginați-vă o avalanșă: este suficient un mic efort pentru a o sparge, dar resursele inumane sunt suficiente pentru a o opri.

Tu și cu mine știm asta server DNS public la cerere, oferă oricui informații despre orice nume de domeniu. De exemplu, întrebăm un astfel de server: spune-mi despre domeniul sprinthost.ru. Și fără ezitare, ne spune tot ce știe.

Interogarea serverului DNS este foarte operare simplă. Nu costa aproape nimic sa-l contactati cererea va fi microscopica. De exemplu, așa:

Tot ce rămâne este să alegi nume de domeniu, informații despre care vor forma un pachet de date impresionant. Deci, cei 35 de octeți inițiali cu o mișcare a încheieturii mâinii se transformă în aproape 3700. Există o creștere de peste 10 ori.

Dar cum vă puteți asigura că răspunsul este trimis la adresa IP corectă? Cum să falsificăm sursa IP a unei solicitări, astfel încât serverul DNS să-și emită răspunsurile în direcția unei victime care nu a solicitat date?

Faptul este că serverele DNS funcționează conform Protocolul de comunicare UDP, care nu necesită deloc confirmarea sursei cererii. Falsificarea unui IP de ieșire în acest caz nu este foarte dificilă pentru dozator. Acesta este motivul pentru care acest tip de atac este atât de popular acum.

Cel mai important lucru este că un botnet foarte mic este suficient pentru a efectua un astfel de atac. Și câteva DNS-uri publice împrăștiate care nu vor vedea nimic ciudat în faptul că utilizatori diferiți din când în când solicită date la adresa unei gazde. Și numai atunci tot acest trafic se va îmbina într-un singur flux și va prinde bine o „țeavă”.

Ceea ce dozatorul nu poate ști este capacitatea canalelor atacatorului. Și dacă nu calculează corect puterea atacului său și nu blochează imediat canalul către server la 100%, atacul poate fi respins destul de rapid și ușor. Folosind utilități precum TCPdump este ușor să afli ce trafic de intrare sosește de la DNS, iar la nivel de firewall împiedică acceptarea acestuia. Această opțiune - refuzul de a accepta trafic de la DNS - este asociată cu un anumit inconvenient pentru toată lumea, totuși, atât serverele, cât și site-urile de pe acestea vor continua să funcționeze cu succes.

Aceasta este doar o opțiune din multe posibile pentru a îmbunătăți un atac. Există multe alte tipuri de atacuri, despre ele putem vorbi altă dată. Deocamdată, aș dori să rezumă că toate cele de mai sus sunt adevărate pentru un atac a cărui putere nu depășește lățimea canalului către server.

Dacă atacul este puternic

Dacă puterea de atac depășește capacitatea canalului către server, se întâmplă următoarele. Canalul de Internet către server este imediat blocat, apoi către site-ul de găzduire, către furnizorul său de Internet, către furnizorul de nivel superior și așa mai departe și mai departe (pe termen lung - până la cele mai absurde limite), așa cum în măsura în care puterea de atac este suficientă.

Și atunci devine o problemă globală pentru toată lumea. Și pe scurt, cu asta am avut de-a face pe 20 noiembrie 2013. Și când au loc răsturnări la scară largă, este timpul să activați magia specială!

Așa arată magia specială Folosind această magie, este posibil să descoperiți serverul către care este destinat traficul și să-i blocați IP-ul la nivelul furnizorului de internet. Astfel încât să înceteze să mai primească orice solicitare către acest IP prin canalele sale de comunicare cu lumea exterioară (uplink-uri). Pentru iubitorii de termen: experții numesc această procedură "gaura neagra", din engleza blackhole.

În acest caz, serverul atacat cu 500-1500 de conturi rămâne fără IP-ul său. O nouă subrețea de adrese IP îi este alocată, pentru care la întâmplare conturile clientului sunt distribuite uniform. În continuare, experții așteaptă ca atacul să se repete. Aproape întotdeauna se repetă.

Și când se repetă, IP-ul atacat nu mai are 500-1000 de conturi, ci doar o duzină sau două.

Cercul suspecților se restrânge. Aceste 10-20 de conturi sunt din nou distribuite la diferite adrese IP. Și din nou inginerii sunt în ambuscadă așteaptă ca atacul să se repete. Din nou și din nou, ei distribuie conturile rămase sub suspiciune către diferite IP-uri și astfel, apropiindu-se treptat, determină ținta atacului. Toate celelalte conturi în acest moment revin la funcţionare normală pe acelasi IP.

După cum este clar, aceasta nu este o procedură instantanee care necesită timp pentru a fi implementată.

Mitul numărul patru:„Când are loc un atac la scară largă, gazda mea nu are un plan de acțiune. El doar așteaptă, cu ochii închiși, să se termine bombardamentul și îmi răspunde la scrisori cu același tip de răspunsuri.”Acest lucru nu este adevărat: în cazul unui atac, furnizorul de găzduire acționează conform unui plan pentru a-l localiza și a elimina consecințele cât mai repede posibil. Și literele de același tip vă permit să transmiteți esența a ceea ce se întâmplă și, în același timp, să economisiți resursele necesare pentru a face față unei situații de urgență cât mai repede posibil..

Există lumină la capătul tunelului?

Acum vedem că activitatea DDoS este în continuă creștere. Comandarea unui atac a devenit foarte accesibilă și incredibil de ieftină. Pentru a evita acuzațiile de propagandă, nu vor exista legături de verificare. Dar credeți-ne pe cuvânt, este adevărat.

Mitul numărul cinci: „Un atac DDoS este o întreprindere foarte costisitoare și numai magnații de afaceri își pot permite să comande unul. Cel puțin, acestea sunt mașinațiunile serviciilor secrete!” De fapt, astfel de evenimente au devenit extrem de accesibile.

Prin urmare, nu se poate aștepta ca activitatea rău intenționată să dispară de la sine. Mai degrabă, se va intensifica. Tot ce rămâne este să forjați și să ascuți arma. Aceasta este ceea ce facem noi, îmbunătățirea infrastructurii rețelei.

Partea juridică a problemei

Acesta este un aspect foarte nepopular al discuției despre atacurile DDoS, deoarece auzim rar de cazuri în care autorii au fost prinși și pedepsiți. Cu toate acestea, ar trebui să vă amintiți: Un atac DDoS este o infracțiune. În majoritatea țărilor lumii, inclusiv în Federația Rusă.

Mitul numărul șase: « Acum știu destule despre DDoS, voi comanda o petrecere pentru un concurent - și nu mi se va întâmpla nimic pentru asta!” Este posibil să se întâmple. Și dacă o face, nu va părea prea mult.

Începutul poveștii DDoS sistem de plată Asista
Sfârșit emoționant

În general, nu sfătuim pe nimeni să se angajeze în practica vicioasă a DDoS, pentru a nu atrage mânia justiției și a nu vă distruge karma. Iar noi, datorită specificului activităților noastre și interesului acut de cercetare, continuăm să studiem problema, stăm de pază și îmbunătățim structurile defensive.

PS:nu avem suficiente cuvinte amabile pentru a ne exprima recunoștința, așa că spunem doar— Mulţumesc! clienților noștri pacienți care ne-au susținut cu căldură într-o zi grea de 20 noiembrie 2013. Ai spus multe cuvinte încurajatoare în sprijinul nostru