Dlaczego ataki wolumetryczne i aplikacyjne to wciąż największa zmora administratorów?

Ataki typu DDoS (Distributed Denial of Service) dzielimy na trzy główne kategorie, z którymi na co dzień zmagają się zespoły SysOps i DevOps. Pierwsza to ataki wolumetryczne, w których atakujący wykorzystuje botnety, aby brutalnie zapchać pasmo sieciowe ofiary gigantycznym strumieniem śmieciowego ruchu. Drugi typ to uderzenia protokołowe (np. klasyczny SYN flood), których celem jest wyczerpanie tablic połączeń firewalla lub serwera poprzez inicjowanie fałszywych żądań (np. zjawisko odrzucania przez serwer tysięcy niekompletnych ramek TCP). Trzecią i obecnie najbardziej podstępną kategorią są ataki aplikacyjne w warstwie siódmej (L7). Zamiast wysyłać terabajty danych, napastnicy imitują naturalny ruch przeglądarki. Konrad Tarnawski podkreśla, że wysyłając niewielką liczbę ciężkich zapytań HTTP POST czy manipulując nagłówkami, atakujący jest w stanie całkowicie ubić backendową bazę danych lub doprowadzić serwer Nginx do błędu Out of Memory. Robi to, zmuszając aplikację do wykonywania kosztownych operacji logiki biznesowej, a wszystko to kosztuje go zaledwie ułamek zasobów w porównaniu z klasycznym atakiem sieciowym.

Jak tanie żarówki IoT i luki w protokołach stają się bronią w rękach hakerów?

Eksplozja urządzeń IoT to dla cyberprzestępców prawdziwa żyła złota. Wynika to z faktu, że producenci taniej elektroniki stawiają na miniaturyzację i niski pobór prądu, całkowicie lekceważąc standardy bezpieczeństwa. Jak zauważa Konrad Tarnawski, z pozoru niewinna żarówka Wi-Fi posiada na pokładzie mikrokontroler z pamięcią RAM i łącznością bezprzewodową, co pozwala na zainstalowanie w niej złośliwego oprogramowania. Kiedy złączymy setki tysięcy takich niezabezpieczonych żarówek, lodówek czy kamer IP w jeden botnet (jak legendarny Mirai), atakujący uzyskują zdolność generowania uderzeń rzędu kilkuset gigabitów na sekundę. Innym ulubionym mechanizmem agresorów jest tzw. amplifikacja (np. DNS Reflection). Atakujący wysyła małe zapytanie (np. do otwartego serwera DNS lub serwera NTP) z podmienionym adresem źródłowym (IP spoofing), w efekcie czego niczego nieświadomy serwer zwraca do ofiary gigantyczną, wielokrotnie zwielokrotnioną odpowiedź, całkowicie zatykając jej łącze, minimalnym nakładem własnych zasobów.

Jak skutecznie filtrować ruch w iptables i mitygować proste ataki?

Zatrzymanie potężnego ataku wolumetrycznego na poziomie pojedynczego serwera VPS jest niemożliwe – zanim zablokujesz IP, zapchane zostanie fizyczne łącze operatora. Można jednak skutecznie bronić się przed mniejszymi incydentami lub atakami aplikacyjnymi L7 za pomocą odpowiedniej konfiguracji Linuksa. Jak wskazuje ekspert, największym błędem administratorów jest filtrowanie w najpopularniejszym, ale późnym łańcuchu INPUT. Zdecydowanie wydajniejszym rozwiązaniem jest wycinanie śmieciowego ruchu już na wczesnym etapie tablicy raw i łańcucha PREROUTING. Zrzucanie tam pakietów ze statusem INVALID odbywa się jeszcze przed wejściem pakietu do silnika śledzenia połączeń (Connection Tracking), co drastycznie oszczędza CPU i RAM maszyny. Warto również wdrażać mechanizmy limitowania połączeń z jednego adresu IP (np. moduł hashlimit), nakładać restrykcyjne timeouty w konfiguracji Nginx/Apache dla zabezpieczenia przed atakami typu Slowloris, a w nowszych kernelach stawiać na XDP/eBPF, które pozwalają filtrować pakiety z zawrotną prędkością bezpośrednio na karcie sieciowej.

Przygotuj swoją infrastrukturę na wszystko z SysOps/DevOps Polska!

Utrzymanie serwerów to dziś nie tylko wdrażanie aplikacji, ale ciągła walka z oporem materii i brutalnym ruchem z zewnątrz. Chcesz wiedzieć więcej, jak chronić swoje usługi przed upadkiem?

• Wpadnij na jesienne Meetupy SO/DO: Dołącz do tysięcy inżynierów podczas bezpłatnych, stacjonarnych spotkań w całej Polsce. Wymieńmy się doświadczeniami o architekturze odpornej na DDoS! Zapisy i kalendarz znajdziesz tutaj: https://www.sysopspolska.pl/.
• Webinary AI Now: Bezpieczeństwo i AI idą dziś ramię w ramię. Chcesz wiedzieć, jak nowoczesne modele pomagają w analizie anomalii sieciowych? Bądź z nami na darmowych spotkaniach: https://www.ainowpolska.pl/.
• Zarządzanie bezpieczeństwem Linuksa i sieci to umiejętność, którą trzeba ciągle ćwiczyć. Jeśli chcesz zaktualizować swoją wiedzę z obszarów takich jak twarda administracja, iptables czy Kubernetes Security, wpadaj na nasze warsztaty prowadzone przez ekspertów-praktyków. Pełna oferta czeka tu: https://www.sysopspolska.pl/szkolenia/.

Obejrzyj pełne nagranie z prelekcji: Mamo, nie teraz, właśnie odpalam botnet – Konrad Tarnawski