Как защитить свой бизнес от DDoS-атак: советы экспертов и ответы на сложные вопросы

Из-за пандемии всё больше предпринимателей уходит в онлайн, и это привело к резкому росту количества киберугроз. Одна из самых явных — DDoS (атака типа «отказ в обслуживании»). DDoS — мощный инструмент злоумышленников. Нередко им пользуются нечистые на руку компании, чтобы вывести из строя сайт организации-конкурента. Организовать DDoS-атаку может даже начинающий хакер с минимальными навыками, зато ущерб иногда исчисляется миллионами. О том, как устроена DDoS-атака, к каким последствиям она может привести и главное — как от неё защититься, рассказывает Тимур Ибрагимов, руководитель направления Anti-DDoS платформы сервисов кибербезопасности Solar MSS компании «Ростелеком».

По оценке «Ростелекома», чаще всего атакуют компании, которые занимаются электронной торговлей. На них пришлась почти треть зафиксированных в 2020 году DDoS-атак. На втором месте — госсектор, на который направлена каждая пятая DDoS-атака. На третьем — финансовые организации, традиционно привлекающие злоумышленников. Также в последний год в фокусе внимания были образование, гейминг, телеком.

Что такое DDoS-атака?

В современном мире огромное количество устройств практически постоянно подключено к интернету: серверы, роутеры, ноутбуки, телефоны, телевизоры, умная бытовая техника и многое другое. Если они плохо защищены, злоумышленники могут без труда взломать девайсы и получить контроль. Затем хакеры загружают специальный код на взломанные устройства, и те в нужный момент атакуют жертву многочисленными запросами, выводя из строя её сайт.

Куда «бьёт» DDoS?

В первую очередь DDoS-атака затрагивает канал связи. Он имеет свою пропускную способность: 100 Мбит, 500 Мбит, 1 Гбит и т. д. По оценке «Ростелекома», средняя мощность DDoS-атак в 2020 году составила 70–100 Гбит. Таким образом, пропускная способность канала быстро исчерпывается, и легитимные пользователи не могут получить доступ к ресурсу. 

Ещё одно направление атаки — это сетевая инфраструктура: роутеры, свитчи, серверы, на которых расположены веб-ресурсы. Они тоже имеют свой предел производительности. Когда количество пакетов, направленных в их адрес, превышает этот лимит, переполняются таблицы маршрутизации, устройство перегружается и перестает работать. В результате ресурс становится недоступным.

Третье направление — это веб-приложения (то есть интерактивные сайты, где пользователь может оставить заказ, получить онлайн-услуги и т.п.). С точки зрения организации такая DDoS-атака сложнее, так как для этого недостаточно бесплатных, доступных в интернете инструментов (например, уже взломанных серверов). Такие атаки должны имитировать запросы легитимных пользователей, чтобы факт атаки не был замечен. Например, это могут быть атаки в шифрованном трафике. Создается множество сессий c использованием протокола шифрования SSL, содержащих паразитный трафик. Ресурсы веб-сервера исчерпываются, и атакуемый сайт становится недоступным.

Как не стать участником DDoS?

Последнее время хакеры все активнее используют для DDoS-атак умные устройства, потому что в отличие от компьютеров и телефонов, они практически не защищены. Как давно вы устанавливали обновления на свой SMART TV или умный чайник? А перепрошивали ли вы когда-нибудь свой Wi-Fi роутер? Хакеры взламывают тысячи подобных устройств, собирая их в единую сеть для усиления атаки. Самый масштабный ботнет, выявленный и заблокированный экспертами «Ростелекома» — это сеть из восьми тысяч устройств.

Чем опасны DDoS-атаки?

У DDoS-атак есть очевидные последствия. Например, клиенты интернет-магазина не смогут получить доступ к атакованному сайту, не закажут товар, а продавец не получит потенциальную прибыль. Сюда же добавляются репутационные риски. Они связаны с тем, что разочарованный клиент в следующий раз может уже не вернуться к этому продавцу.

Как защититься от DDoS?

Реализовать защиту от DDoS-атаки можно самостоятельно или с помощью сервиса от провайдера. В первом случае компания ставит фильтр на собственной сети. Такой вариант позволяет настроить защиту без привлечения третьих лиц. Но это финансово затратный подход, так как оборудование и вендорская поддержка стоят крайне дорого. К тому же это требует серьезных компетенций со стороны внутренней ИБ-службы компании. И главное — такой DDoS-фильтр может не справиться с объемной атакой, способной переполнить канал связи.

Альтернатива — это магистральный Anti-DDoS. Услуга предоставляется непосредственно на каналах оператора связи, и компании уже не нужно устанавливать дорогое оборудование в своей инфраструктуре. Такой сервис, в частности, предлагает компания «Ростелеком».

А что ещё?

Доступность cайта не всегда может быть обеспечена только силами Anti-DDoS. Поэтому к сервису, который обеспечивает защиту на сетевом уровне, стоит добавить Web Application Firewall (WAF), то есть межсетевой экран уровня веб-приложений. Он защитит не только от сложных угроз, например, попыток кражи и изменения данных приложений, но и от DDoS-атак на них.

WAF работает следующим образом: пропуская весь трафик через себя, он блокирует подозрительные запросы (например, от ненадежного IP-адреса, или если у трафика есть характерные признаки ботнета, фрода, атак подбора пароля и т.д).

Как и любой межсетевой экран, организация может установить WAF на свою сеть самостоятельно, а может приобрести соответствующий сервис у сервис-провайдера (например, «Ростелеком» предоставляет сервис WAF на платформе управляемых сервисов кибербезопасности Solar MSS). В первом случае требуется корректная настройка правил фильтрации, но это сложный и долгий процесс, который не всегда может быть реализован силами штатных безопасников. Поэтому проще приобрести сервис, настройку и эксплуатацию которого обеспечит сервис-провайдер.