Co je DDoS a jak „bezplatná ochrana DDoS“ Cloudflare ohrožuje hacktivismus

Kybernetické zločiny jsou na vzestupu pozdě a často se na titulní stránky dostávají útoky ransomwaru (WannaCry, NotPetya), napadené databáze (Equifax, Sony, Yahoo) a softwarová zadní vrátka (Floxif / CCleaner, ShadowPad / NetSarang). I když je rozsah a dosah těchto útoků úžasný, faktem je, že počítačoví zločinci se neomezují pouze na krádež vašich dat, identity nebo peněz. Rozsah zločinů ve virtuálním světě je stejně velký jako ve skutečném světě, ne-li více. Jedním z typů kybernetických útoků, na který se v poslední době zaměřujeme, je DDoS nebo distribuované odmítnutí služby, které v průběhu let často rozdělovalo komunitu hackerů white-hat. S předním poskytovatelem služeb CDN Cloudflare, který nyní oznamuje bezplatnou ochranu DDoS pro všechny své klienty, začala znovu odvěká debata o „etickém“ DDoS vs. škodlivém DDoS, přičemž obě strany vyšly v plné podpoře svých příslušných argumentů. Vzhledem k tomu, že diskuse o DDoS útokech zuří po celém internetu, pojďme se podrobně podívat na tento fenomén ve snaze nejen se o něm dozvědět více, ale také se pokusit pochopit, proč hacktivisté a skupiny prosazující svobodu projevu nadále selhávají v jejich úsilí o dosažení konsensu v první řadě:

Co je DDoS a jak to funguje?

Zjednodušeně řečeno, útok typu DDoS (distribuovaný odmítnutí služby) je pokus o umělé narušení normálního fungování webu nebo síť zaplavením cílového serveru ohromným množstvím provozu, který buď zpomalí nebo úplně zhroutí síť. Toho je dosaženo použitím více ohrožených systémů jako součást toho, co je známé jako „botnet“, který může zahrnovat jakékoli zařízení připojené k síti, včetně, ale bez omezení na, počítačů, smartphonů a zařízení IoT. Black-hat hackeři i hacktivisté používají různé sofistikované nástroje k provádění těchto útoků nejen zaplavení cílových serverů nadměrným provozem, ale také pomocí jemnějších a obtížně detekovatelných infiltračních technik zaměřených na kritickou infrastrukturu zabezpečení sítě, jako jsou brány firewall a IDS / IPS (systém detekce / prevence narušení).

Co je DoS a jak se liší od DDoS?

Útoky typu Denial-of-service (DoS) jsou přesně to, co to zní, pokud to tak je brání legitimním uživatelům v přístupu cílené servery, systémy nebo jiné síťové zdroje. Stejně jako v případě útoků DDoS by osoba nebo osoby provádějící takový útok obvykle zaplavily cílenou infrastrukturu nadměrně velkým množstvím nadbytečných požadavků, aby zahltily její zdroje, což by postižené síti ztížilo nebo dokonce znemožnilo systém reagovat na skutečné žádosti o službu. Pro koncového uživatele se účinky DoS neliší úplně od účinků DDoS, ale na rozdíl od něj první, který obvykle používá jeden stroj a jedinečné připojení k internetu k provedení útoku, druhý používá více ohrožených zařízení zaplavit zamýšlený cíl, takže je neuvěřitelně obtížné jej detekovat a zabránit mu.

Jaké jsou různé typy útoků DDoS?

Jak již bylo zmíněno dříve, počítačoví zločinci i hacktivisté k provádění svých DDoS útoků využívají nesčetné množství útočných vektorů, ale velká většina z těchto útoků bude z větší části spadat do tří širokých kategorií: Volumetrické nebo Bandwidth Attacks, Protocol Attacks nebo Útoky na vyčerpání stavu a Útoky na aplikační vrstvě nebo Úrovně 7. Všechny tyto útoky cílí na různé komponenty síťového připojení, které se skládá ze 7 různých vrstev, jak je vidět na obrázku níže:

1. Volumetrické útoky nebo útoky na šířku pásma

O těchto typech útoků se věří tvoří více než polovinu všech DDoS útoků provádí každý rok po celém světě. Existují různé typy objemových útoků, z nichž nejčastější jsou Protokol uživatele Datagram (UDP) povodeň, přičemž útočník odesílá velké množství paketů UDP na náhodné porty na vzdáleném hostiteli, což způsobí, že server opakovaně kontroluje neexistující aplikace a reaguje na ně, čímž nereaguje na legitimní provoz. Podobných výsledků lze dosáhnout také zaplavením serveru oběti požadavky na echo ICMP (Internet Control Message Protocol) z více IP adres, které jsou často podvrženy. Cílový server se pokouší reagovat na všechny tyto falešné požadavky v dobré víře, nakonec se stane přetíženým a nebude schopen reagovat na skutečné požadavky na ozvěnu ICMP. Objemové útoky se měří v bitech za sekundu (Bps).

2. Útoky protokolem nebo útoky na vyčerpání stavu

Útoky protokolů, známé také jako útoky na vyčerpání stavu, spotřebovávají kapacitu tabulky stavu připojení nejen serverů webových aplikací, ale také dalších komponent infrastruktury, včetně prostředních prostředků, jako jsou nástroje pro vyrovnávání zatížení a brány firewall. Tyto typy útoků se nazývají „protokolové útoky“, protože cílové slabosti ve vrstvách 3 a 4 zásobníku protokolu dosáhnout svého cíle. I špičková komerční zařízení speciálně navržená k udržení stavu na milionech připojení mohou být útoky protokolu těžce ovlivněna. Jedním z nejznámějších útoků na protokol je „SYN Flood“, který využívá „mechanismus třícestného podání ruky“ v TCP. Funguje to tak, že hostitel odesílá záplavu paketů TCP / SYN, často s falešnou adresou odesílatele, aby spotřeboval dostatek prostředků serveru, aby bylo téměř nemožné, aby legitimní požadavky projely. Mezi další typy protokolárních útoků patří Ping of Death, Smurf DDoS a fragmentované paketové útoky. Tyto typy útoků se měří v paketech za sekundu (Pps).

3. Útoky aplikační vrstvy nebo útoky vrstvy 7

Útoky na aplikační vrstvě, často označované jako útoky vrstvy 7 ve vztahu k 7. vrstvě režimu OSI, zacílí na vrstvu, kde se generují webové stránky které mají být doručeny uživatelům, kteří odesílají požadavky HTTP. Mezi různé typy útoků vrstvy 7 patří nechvalně známé 'Slowloris„útok, kdy útočník odešle velký počet požadavků HTTP„ pomalu “na cílový server, aniž by však některý z požadavků dokončil. Útočník bude i nadále odesílat další záhlaví v malých intervalech, čímž server donutí udržovat otevřené připojení pro tyto nikdy nekončící požadavky HTTP, případně si uzurpuje dostatek prostředků, aby systém nereagoval na platné požadavky. Dalším populárním útokem vrstvy 7 je HTTP Flood útok, kdy velké množství falešných požadavků HTTP, GET nebo POST zaplaví cílený server v krátkém čase, což má za následek odmítnutí služby pro legitimní uživatele. Protože útoky aplikační vrstvy obvykle zahrnují odesílání nepřirozeně vysokého množství požadavků na cílový server, jsou měřeny v požadavcích za sekundu (Rps).

Kromě výše popsaných útoků s jedním vektorem existují také multi-vektorové útoky které cílí na systémy a sítě z několika různých směrů najednou, čímž síťovým technikům stále ztěžuje vypracování komplexních strategií proti útokům DDoS. Jedním z takových příkladů multi-vektorového útoku je situace, kdy by útočník spojil zesílení DNS, které cílí na vrstvy 3 a 4, s HTTP Flood, která cílí na vrstvu 7..

Jak chránit vaši síť před útokem DDoS

Protože většina útoků DDoS funguje zahlcením cílového serveru nebo sítě přenosem, první věcí, kterou je třeba udělat, aby se zmírnily útoky DDoS, je rozlišovat mezi skutečným a škodlivým provozem. Jak byste ale očekávali, věci nejsou tak snadné, vzhledem k naprosté rozmanitosti, složitosti a sofistikovanosti těchto útoků. V takovém případě ochrana vaší sítě před nejnovějšími a nejsofistikovanějšími útoky DDoS vyžaduje, aby síťoví inženýři pečlivě navrhli strategie, aby nedošlo k vyhození dítěte z vany. Protože se útočníci budou snažit, aby jejich škodlivý provoz vypadal normálně, pokusy o zmírnění, které zahrnují omezení veškerého provozu, omezí poctivý provoz, zatímco tolerantnější design umožní hackerům snáze obejít protiopatření. V takovém případě bude muset přijmout vrstvené řešení za účelem dosažení co nejefektivnějšího řešení.

Než se však dostaneme k technickým záležitostem, musíme si uvědomit, že jelikož většina útoků DDoS v dnešní době spočívala v tom či onakém způsobu komunikace, je zřejmé, že je třeba se chránit a vaše síť je více redundance: větší šířka pásma a více serverů rozloženo na více datových centrech v různých geografických umístěních, což funguje také jako pojištění před přírodními katastrofami atd.

Další důležitou věcí je dodržovat některé z nejlepších postupů v oboru, pokud jde o servery DNS. Jak se zbavit otevřených překladačů je jedním z nejdůležitějších prvních kroků při obraně proti DDoS, protože k čemu je dobrý web, pokud nikdo nedokáže vyřešit váš název domény? V tomto případě je třeba podívejte se nad rámec obvyklého nastavení serveru dual-DNS které většina registrátorů doménových jmen poskytuje ve výchozím nastavení. Mnoho společností, včetně většiny předních poskytovatelů služeb CDN, také nabízí vylepšená ochrana DNS prostřednictvím redundantních serverů DNS které jsou chráněny za stejným typem vyrovnávání zátěže jako váš web a další zdroje.

Zatímco většina webů a blogů zadává svůj hosting externím stranám, některé se rozhodnou poskytovat svá vlastní data a spravovat své vlastní sítě. Pokud patříte do této skupiny, zahrnují některé základní, ale kritické průmyslové postupy, které musíte dodržovat nastavení efektivního firewallu a blokování ICMP pokud je nepotřebujete. Ujistěte se také, že všechny vaše směrovače odhodí nevyžádané pakety. Měli byste také kontaktovat svého ISP a zkontrolovat, zda vám může pomoci blokovat požadovaný provoz. Podmínky se budou u jednotlivých poskytovatelů internetových služeb lišit, takže je nutné ověřit u jejich síťových operačních středisek, zda tyto služby pro podniky nabízejí. Obecně jsou uvedeny některé z kroků, které poskytovatelé CDN, ISP a správci sítí často používají ke zmírnění útoků DDoS:

Směrování černé díry

Black Hole Routing, nebo Blackholing, je jedním z nejúčinnějších způsobů zmírnění DDoS útoku, ale je třeba jej implementovat až po řádné analýze síťového provozu a vytvoření přísného kritéria omezení, protože jinak bude „blackhole“, nebo směrovat veškerý příchozí provoz na nulovou trasu (blackhole) bez ohledu na to, zda je skutečný nebo škodlivý. Technicky to obejde DDoS, ale útočník tak i tak splní svůj cíl narušit síťový provoz.

Omezení rychlosti

Další metodou, která se často používá ke zmírnění DDoS útoků, je „Rate Limiting“. Jak název napovídá, zahrnuje omezení počtu požadavků, které server přijme ve stanoveném časovém rámci. Je to užitečné při zastavení webových škrabadel v krádeži obsahu a pro zmírnění pokusů o přihlášení hrubou silou, ale je nutné jej použít ve spojení s dalšími strategiemi, aby bylo možné efektivně zvládat DDoS útoky.

Firewall webových aplikací (WAF)

I když to samo o sobě není dost, reverzní proxy a WAF jsou některé z prvních kroků, které je třeba podniknout ke zmírnění různých hrozeb, nejen DDoS. WAF pomáhají chránit cílovou síť před útoky vrstvy 7 filtrování požadavků na základě řady pravidel používaných k identifikaci nástrojů DDoS, ale je také vysoce efektivní při ochraně serverů před vkládáním SQL, skriptováním mezi weby a požadavky na padělání mezi weby.

Anycast Network Diffusion

Sítě pro doručování obsahu (CDN) často používají sítě Anycast jako efektivní způsob zmírnění útoků DDoS. Systém funguje přesměrování veškerého provozu určeného pro síť s útokem na řadu distribuovaných serverů na různých místech, čímž se rozptýlí rušivý účinek pokusu o útok DDoS.

Jak Cloudflare navrhuje ukončit DDoS útoky s jeho bezplatnou ochranou DDoS?

Jedna z nejvýznamnějších sítí pro doručování obsahu na světě, Cloudflare, nedávno oznámila, že poskytne ochranu před útoky DDoS nejen svým placeným zákazníkům, ale také také svým klientům zdarma, bez ohledu na velikost a rozsah útoku. Jak se dalo očekávat, oznámení, které bylo vydáno počátkem tohoto týdne, vyvolalo v průmyslu i globálních technologických médiích velký rozruch, kteří jsou obvykle zvyklí na CDN, včetně Cloudflare, ať už vykopávají klienty pod útokem, nebo požadují více peněz od pro trvalou ochranu. Zatímco oběti až doposud musely být samy o sobě, když byly napadeny, slib bezplatné, neměřené ochrany DDoS byl vřele přijat blogy a podniky, jejichž webové stránky a sítě jsou neustále vystaveny riziku zveřejnění kontroverzního obsahu.

Zatímco nabídka Cloudflare je skutečně revoluční, je třeba zmínit jednu věc, kterou nabídka bezplatná neměřená ochrana je použitelná pouze pro útoky 3. a 4. vrstvy, zatímco útoky vrstvy 7 jsou stále k dispozici pouze pro placené plány, které začínají na 20 $ měsíčně.

Pokud bude úspěšná, co bude znamenat nabídka Cloudflare pro „hacktivismus“?

Jak se dalo očekávat, oznámení Cloudflare rozproudilo debatu mezi hacktivisty a odborníky na internetovou bezpečnost o etickém hackingu a svobodě projevu. Mnoho hacktivistických skupin, jako Chaos Computer Club (CCC) a Anonymous, již dlouho tvrdí, že je nutné pořádat „digitální protesty“ proti webům a blogům, které šíří nenávistnou propagandu a fanatické - často násilné - ideologie. V tomto případě tyto skupiny aktivistických hackerů, nebo hacktivisté, se často zaměřovali na teroristické weby, neonacistické blogy a podomní obchodníci s dětskými pornografiemi s útoky DDoS, přičemž poslední obětí byl krajně pravicový blog „Daily Stormer“, který ocenil nedávnou vraždu aktivisty za lidská práva v Charlottesville ve Virginii pravicovým extremistou.

Zatímco někteří, jako generální ředitel Cloudflare Mattew Prince a EFF (Electronic Frontier Foundation), kritizovali hacktivisty, že se snažili umlčet svobodu projevu pomocí DDoS útoků, příznivci hacktivismu tvrdí, že jejich digitální protesty proti ohavným ideologiím se neliší od zaplnění náměstí nebo pořádání setkání v duchu hnutí „Occupy“, které začalo slavným protestem Occupy Wall Street dne 17. září 2011 a přineslo celosvětovou pozornost rostoucí celosvětové socioekonomické nerovnosti.

I když někteří mohou tvrdit, že DDoS je nástroj pro skutečný protest, umožnění etickým hackerům rychle jednat proti teroristům, fanatikům a pedofilům tak, aby jejich nemorální (a často nelegální) obsah byl navždy offline, takové útoky mají také temnou stránku. V minulosti se terčem takových útoků často stávali investigativní novináři a oznamovatelé, a teprve v loňském roce byla webová stránka novináře v oblasti kybernetické bezpečnosti Briana Krebse zničena masivním útokem DDoS, který na svém vrcholu měřil šílených 665 Gb / s. . Krebs dříve informoval o izraelské službě DDoS k pronájmu jménem vDOS, což vedlo k zatčení dvou izraelských státních příslušníků a útok byl považován za odplatu.

VIZ TÉŽ: 7 nejlepších alternativ cloudflare pro váš web

DDoS útoky a plán Cloudflare učinit z nich věc minulosti

Navzdory odvážným tvrzením Cloudflare o tom, že se útoky DDoS staly minulostí, mnozí odborníci tvrdí, že v této fázi není technologicky možné, aby útoky DDoS byly zcela zastaralé. Zatímco gigantické korporace jako Facebook nebo Google mají potřebné propouštění infrastruktury, aby se ujistily, že takovými útoky nikdy netrpí, rozšíření takové ochrany na každý web pod sluncem může představovat výzvu i pro největší z CDN. Prince však tvrdí, že Cloudflare je schopen absorbovat „cokoli, co na nás internet hodí“, takže pouze čas ukáže, zda budou útoky DDoS navždy zasílány do análů historie, nebo zda hacktivistické skupiny budou schopny některé obejít protiopatření k pokračování morální tažení proti násilí, nenávisti a nespravedlnosti.