DDoS (distribuované odepření služby)

Příklady z praxe

1. 01

   SYN flood vyčerpá tabulku polootevřených spojení

   Útočník posílá TCP SYN pakety s podvrženými zdrojovými adresami a nikdy nedokončí handshake. Server si pro každé spojení drží záznam v tabulce a čeká na potvrzení, takže se tabulka zaplní a legitimní klient dostane timeout. Obranou jsou SYN cookies, které stav nedrží a rekonstruují ho z hodnoty v potvrzení.

   # aktivace SYN cookies v Linuxu
   sysctl -w net.ipv4.tcp_syncookies=1
   sysctl -w net.ipv4.tcp_max_syn_backlog=4096
   
   # rychlá kontrola počtu polootevřených spojení
   ss -n state syn-recv | wc -l

2. 02

   Aplikační útok na drahý endpoint e-shopu

   Botnet posílá zhruba 300 požadavků za sekundu na fulltextové vyhledávání s náhodnými řetězci, takže cache je k ničemu a každý dotaz sáhne do databáze. Síťová kapacita zůstává vytížená pod deset procent, ale databáze vyčerpá pool spojení a padá celý web včetně pokladny. Řešení kombinuje limit na tento konkrétní endpoint a frontu s odmítáním nad kapacitu.

   # nginx: samostatná zóna jen pro vyhledávání
   limit_req_zone $binary_remote_addr zone=search:10m rate=5r/s;
   
   location /vyhledavani {
       limit_req zone=search burst=10 nodelay;
       limit_req_status 429;
       proxy_pass http://app;
   }

Časté omyly

MýtusDDoS je hackerský průnik, po kterém někdo ukradne data.

Ve skutečnostiDDoS nezískává přístup do systému, pouze ho činí nedostupným. Průnik a únik dat vyžadují jinou zranitelnost. DDoS ale bývá použit jako odvedení pozornosti, zatímco útočník paralelně zkouší jinou cestu dovnitř.

MýtusStačí zablokovat útočící IP adresy ve firewallu.

Ve skutečnostiZdroje jsou u DDoS rozptýlené mezi desítky tisíc adres a často podvržené, takže blokování jednotlivých adres nestíhá a při amplifikaci by zablokovalo legitimní DNS servery. Navíc při zaplnění linky se pakety zahodí ještě před firewallem.

MýtusAutoscaling v cloudu DDoS vyřeší, aplikace prostě naškáluje.

Ve skutečnostiAutoscaling přesune problém z dostupnosti na náklady: útok se odbaví, ale účet naroste. Bez horního stropu a filtrace před aplikací se z výpadku stane finanční škoda, které se říká economic denial of sustainability.

Časté dotazy

Jak poznám, že jde o DDoS a ne o chybu v aplikaci?

Rozlišení DDoS od interní chyby vychází z pořadí příznaků. Při útoku roste počet příchozích spojení a paketů dřív, než se zhorší doba odezvy, a zátěž přichází zvenčí. U chyby v aplikaci nebo v databázi odezva roste bez odpovídajícího nárůstu vstupního provozu, často po nasazení nové verze. Užitečné je porovnat metriky z hraničního prvku, load balanceru a aplikace ve stejné časové ose. Pokud hraniční prvek vidí mnohonásobek běžného provozu z neobvyklých sítí, jde téměř jistě o útok.

Kolik stojí ochrana proti DDoS pro běžný web?

Ochrana proti DDoS začíná u běžných webů prakticky na nule, protože základní objemovou filtraci mají v ceně velcí poskytovatelé CDN a cloudové platformy. Placené tarify s garantovanou reakcí, ochranou aplikační vrstvy a podporou při incidentu se pohybují od nižších stovek korun měsíčně u sdílených plánů po desítky tisíc u podnikových smluv se scrubbing centrem. Rozhodující není velikost webu, ale cena hodiny výpadku: u e-shopu v předvánoční sezoně se placená ochrana zaplatí během jediného incidentu.

Je provozování nebo objednání DDoS útoku v Česku trestné?

DDoS útok naplňuje v českém právu skutkovou podstatu neoprávněného zásahu do počítačového systému a nosiče informací podle trestního zákoníku, takže je trestný i pro objednatele a pro provozovatele služby typu booter nebo stresser. Trestnost se netýká jen samotného útočníka: odpovědnost nese i ten, kdo útok zaplatí nebo poskytne infrastrukturu. Legální je pouze testování vlastní infrastruktury s písemným souhlasem provozovatele a obvykle i s předchozím oznámením poskytovateli konektivity.

Pomůže proti DDoS skrytí skutečné IP adresy serveru?

Skrytí origin adresy za CDN nebo scrubbing službu je nutná podmínka, ale samo o sobě nestačí. Útočníci dohledávají původní adresu z historických DNS záznamů, certifikátových transparenčních logů, e-mailových hlaviček nebo chybových stránek. Skrytí má smysl jen tehdy, když origin server zároveň odmítá spojení odjinud než z rozsahů ochranné služby, což se vynutí firewallem nebo ověřením klientského certifikátu. Bez tohoto omezení útočník ochranu jednoduše obejde a udeří přímo na server.

Zdroje

1. Denial-of-service attack(otevře se v novém okně)Wikipedia
2. RFC 4987: TCP SYN Flooding Attacks and Common Mitigations(otevře se v novém okně)IETF, 2007
3. RFC 2827: Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing(otevře se v novém okně)IETF, 2000
4. OWASP Cheat Sheet Series(otevře se v novém okně)OWASP
5. AWS Best Practices for DDoS Resiliency(otevře se v novém okně)Amazon Web Services

Související pojmy

• CDNCDN je síť serverů rozmístěných po světě, které drží kopie vašeho obsahu a doručují ho z místa nejblíže návštěvníkovi. Zkracuje dobu načtení, snižuje zátěž původního serveru a tlumí špičky v provozu.
• Load balancerLoad balancer je síťová nebo aplikační komponenta, která rozděluje příchozí provoz mezi více serverů nebo služeb. Zvyšuje dostupnost, umožňuje škálování a chrání uživatele před výpadkem jedné instance tím, že směruje požadavky jen na cíle, které podle kontrol zdraví a zvolené strategie dokážou odpovědět.
• Rate limitingRate limiting je řízení toho, kolik požadavků, akcí nebo událostí smí klient provést za určité období. Používá se u API, webových aplikací i interních služeb, aby chránilo kapacitu systému, zpomalilo zneužití a rozdělilo dostupné zdroje spravedlivěji mezi uživatele, aplikace nebo IP adresy.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• API GatewayAPI Gateway je vstupní vrstva mezi klientem a sadou backendových služeb, která přijímá požadavky, směruje je na správné API, vynucuje bezpečnostní pravidla a často řeší limity, logování nebo transformace odpovědí. Pomáhá skrýt vnitřní strukturu systému a sjednotit chování pro web, mobilní aplikaci i partnery.
• Archivace dokumentůArchivace dokumentů je řízené ukládání dokumentů, které už nejsou běžně používány, ale musí zůstat čitelné, dohledatelné a prokazatelné po určenou dobu. V praxi spojuje pravidla retence, metadata, oprávnění, ochranu před změnou a postup pro bezpečné vyřazení po skončení právního nebo obchodního důvodu.
• Automatické škálováníAutomatické škálování je řízení výpočetní kapacity služby podle aktuální nebo očekávané zátěže bez ručního zásahu operátora. Systém přidává či odebírá instance, kontejnery, vlákna nebo jiné prostředky podle metrik a pravidel, aby aplikace zvládla špičky, neplatila zbytečnou rezervu a zůstala stabilní.
• BackpressureBackpressure je mechanismus, kterým pomalejší část systému dává rychlejší části najevo, že má zpomalit, počkat nebo zahodit část práce. Používá se u streamů, front, sítí a event-driven aplikací, aby se nekonečně nehromadila data v paměti a aby přetížení nespadlo až na celý proces.