Vše, co jste chtěli vědět o DDoS útocích

Jako DDoS útoky jsou označovány ty útoky, jejichž základním cílem je znepřístupnit napadenou on-line službu legitimním uživatelům. Nejčastější formou DDoS útoků jsou tzv. volumetrické útoky. Při těchto útocích dochází k přetížení serverů a zahlcení přístupových linek či síťových zařízení (např. routerů a firewallů) falešným datovým provozem.

Druhou, neméně nebezpečnou formou útoku jsou tzv. aplikační útoky. V případě aplikačního útoku se na rozdíl od volumetrického útoku nejedná o významné zvýšení objemu přenášených dat, ale o mnohonásobný nárůst požadavků směřující na server oběti. Útočník si zároveň bere na mušku některou ze známých zranitelností cílového systému, jejíž zneužití vede k přetížení nebo pádu aplikačního serveru. V obou případech je však primárním záměrem útočníka znepřístupnit on-line služby legitimním uživatelům.

Při útocích typu DDoS útočníci využívají velkého množství počítačů a dalších síťových zařízení rozptýlených v rámci internetu s tím, že všechna tato zařízení cílí na jednu konkrétní on-line službu zvolenou útočníkem.

Mezi typické příznaky DDoS útoku patří především výrazné zpomalení napadené on-line služby, případně nedostupnost webových stránek či některých jejich částí. V některých případech se však může jednat jen o prostý výpadek služby zaviněný buď poruchou hardwaru, nebo nesprávně nakonfigurovaným softwarem na daném serveru.

Základem ochrany proti DDoS útokům je znalost charakteristik běžného datového provozu. Jakékoliv abnormality oproti běžnému provozu jsou varovným signálem, který může upozornit na počínající či již probíhající útok. Čím více toho o typickém provozu víte, tím jednodušší bude odhalit, zda se nacházíte pod DDoS útokem. Monitoring síťového provozu, alespoň v základní podobě, nabízí většina ISP a poskytovatelů hostingových služeb. V případě, že se ocitnete pod DDoS útokem, bude monitoring vykazovat abnormálně vysoký nárůst síťového provozu oproti běžnému provozu.

Pokud máte podezření, že se nacházíte pod DDoS útokem, můžete také využít službu Netstat, která je součástí operačního systému Windows. Po přepnutí do režimu příkazového řádku napište příkaz netstat -an. Pokud je vše v pořádku, zobrazí se vám různé IP adresy připojené na specifické porty. V případě DDoS útoku se zobrazí výpis stejných IP adres připojených do sousedících portů a spojení indikují, že dojde k vypršení časového limitu spojení.

V případě, že je na vás skutečně veden DDoS útok, nemáte času nezbyt a je třeba reagovat co nejrychleji, aby byl dopad útoku na vaši službu co nejmenší. Na základě vašeho požadavku jsme schopni přesměrovat váš datový provoz do masivní infrastruktury našich scrubbing center a útok v relativně krátkém čase neutralizovat. Centrální pracoviště monitoringu a řízení služby FlowGuard pracuje v režimu „24/7“, tj. v nepřetržitém provozu, přičemž dohled vykonávají zkušení specialisté s dlouholetou praxí v oboru.

Útoky typu DDoS jsou každým dnem nebezpečnější a propracovanější. Co dělat v případě, že by chtěli zaútočit na vás? Účinnou ochranou proti DDoS útokům je prevence, která spočívá ve včasném nasazení detekčních mechanismů a ve správné volbě řešení, které zajistí oddělení útoku od legitimních dat. Jednotlivé útoky nejsou zcela identické a liší se způsobem provedení i intenzitou. Každý typ útoku proto vyžaduje speciální přístup a zvláštní opatření.

Řešením je FlowGuard

Služba FlowGuard představuje technologicky vyspělé řešení, které poskytuje komplexní ochranu před DDoS útoky. Konkrétně lze ochranu proti DDoS útokům s využitím služby FlowGuard rozdělit na dvě části – na detekci a na mitigaci datového toku. FlowGuard využívá unikátní samoučící se mechanismy, díky kterým spolehlivě identifikuje nebezpečná data.

Služba může pracovat ve dvou režimech, a to cloudovém, nebo hybridním. V případě cloudového řešení je veškerý provoz trvale přesměrován do FlowGuard cloudu, který automaticky čistí provoz a odráží útoky. V případě hybridní varianty nasazení služby FlowGuard je u chráněného subjektu umístěno hardwarové zařízení (tzv. CPE), které slouží k detekci útoků. FlowGuard lze integrovat s libovolným CPE zařízením, které umožňuje export informací o datových tocích. Mezi dodavatele ověřených zařízení patří významní výrobci, jako např. Flowmon, Radware, Arbor, CheckPoint nebo Cisco.

Pokud je identifikován útok, dochází k aktivaci obranného mechanismu, kdy je datový tok přesměrován do masivní infrastruktury tzv. scrubbing centra. Zde jsou infikovaná data očištěna od nebezpečného obsahu a do síťové infrastruktury chráněné on-line služby odchází jen legitimní datové toky. Díky tomu zůstává i v případě rozsáhlého útoku chráněná služba stále dostupná. V běžném režimu služba FlowGuard neustále vyhodnocuje datové toky tak, aby v případě zachycení varovných signálů byla připravena na odražení útoku.

Nasazení služby FlowGuard je vhodné tam, kde by přerušení dostupnosti kritických on-line služeb DDoS útokem způsobilo vysoké finanční ztráty, nebo ohrozilo provoz strategicky významného subjektu. Typickým příkladem jsou např. e-shopy, platební brány či softwarové aplikace poskytované jako služba, nebo síťová infrastruktura úřadů, dodavatelů energií či podobných institucí. Výhodou pro české a slovenské uživatele je skutečnost, že vývoj služby FlowGuard probíhá v České republice, je zde umístěno minimálně jedno z bezpečnostních center a zároveň zde sídlí i centrum technické podpory.

Kromě ochrany proti DDoS útokům nabízí služba FlowGuard i ochranu proti některým dalším hrozbám. S využitím doplňkového modulu DLP (Data Leak Prevention), který pseudonymizuje osobní údaje uložené na serverech, pomáhá naplňovat požadavky evropské směrnice GDPR, přičemž zajišťuje také informování oprávněných osob na potenciální bezpečnostní incidenty. Modul WAF (Web Application Firewall) pak slouží k ochraně webových aplikací a eliminuje útoky popsané v OWASP TOP10.

Škody, které DDoS útoky způsobují, jsou v principu dvojího charakteru. Kromě přímých finančních ztrát, které lze snadno vyčíslit a které se případ od případu mohou pohybovat v závislosti na délce a intenzitě útoku od několika set tisíc, až po stovky milionů korun, utrpí s velkou pravděpodobností také vaše reputace.

Zákazníci předpokládají, že poskytovatel on-line služby, kterou využívají, věnuje maximální pozornost zabezpečení své síťové infrastruktury. V případě, že je výrazným způsobem ohrožena dostupnost služby, často odcházejí ke konkurenci. Odolnost proti DDoS útokům se z tohoto hlediska jeví jako nesporná konkurenční výhoda.

Útoky spadající do této kategorie zneužívají vlastností síťového protokolu ACK. V praxi dochází k použití ACK nebo PUSH ACK paketů v okamžiku, jakmile je zahájeno spojení TCP-SYN mezi hostujícím serverem a klientem. Tyto pakety zajišťují po dobu trvání relace komunikaci týkající se předávaných informací mezi oběma účastníky spojení, a to do chvíle, než je relace uzavřena. V průběhu útoku typu ACK Flood přichází na server oběti velké množství podvržených ACK paketů, které nemají souvislost s žádnou aktuálně otevřenou relací. V důsledku toho dojde k vyčerpání systémových zdrojů sloužících k vyhodnocování příchozích paketů a následně ke snížení výkonu nebo jeho úplnému zhroucení.

Variací na ACK Flood Attack je tzv. Fragmented ACK Attack. Tento typ útoku využívá paketů o velikosti 1500 bajtů k tomu, aby zahltil relativně velkou šířku přenosového pásma. Vzhledem k faktu, že tyto pakety obvykle prochází skrz routery, ACL, firewally a IDS/IPS bez překážek, útočník může snadno vyčerpat celou kapacitu přístupové linky. Útoky typu Fragmented ACK tak ovlivňují provoz a výkon všech serverů v síti oběti.

Jak již sám název napovídá, cílem tohoto útoku není vyčerpání kapacity přenosové linky, ale útok na konkrétní aplikaci. Tento typ útoku bývá také označován jako Layer 7 DDoS Attack. Útočník v rámci probíhajícího útoku přetěžuje specifické funkce nebo prvky webové stránky oběti, a to na aplikační vrstvě ISO/OSI modelu. Zaměřuje se na tu část aplikace, která serveru zabere nejvíce času na zpracování, a na ni vede velké množství požadavků. Postupem času se server dostane do stavu, kdy nebude schopen všechny požadavky odbavovat. Útoky typu Application Level Attack jsou většinou prováděny s určitým záměrem, jako je např. přerušení transakcí nebo přístupu do databáze. Na rozdíl od volumetrického útoku není tento typ útoku tak náročný na realizaci. Útočníkovi k němu zpravidla postačí mnohem méně zdrojů, přičemž potřebuje pouze dostatečný počet útočících strojů. Během útoku se útočník snaží, aby si napadený server myslel, že se jedná o běžný provoz, ale přitom se zaměřuje na specifické zranitelnosti cílové aplikace. Mezi nejrozšířenější útoky tohoto typu patří tzv. HTTP Flood Attack a Slowloris Attack.

Tento poměrně rafinovaný způsob útoku využívá k zesílení svého účinku tzv. otevřené resolvery, což jsou DNS servery poskytující své služby nejen uživatelům své vlastní sítě, ale i uživatelům nacházejícím se mimo ni. Útočník z podvržené IP adresy, která je identická s IP adresou oběti, zasílá na tyto DNS servery velké množství poměrně malých dotazů, což má za následek to, že oběť je následně zahlcena množstvím několikanásobně větších odpovědí, které si ve skutečnosti nevyžádala. Vzhledem k rozdílům ve velikosti mezi zasílanými a přijímanými dotazy může útočník bez problémů zahltit rychlejší linku oběti, i když sám má pomalejší linku.

Tento typ útoků se sice řadí mezi ty nejjednodušší typy útoků, ale to mu ani v nejmenším nic neubírá na jeho nebezpečnosti. Je postaven na využití tzv. botnetů, tj. sítí počítačů, nebo chytrých zařízení, které byly ovládnuty škodlivým kódem. Tento typ útoku však může být také veden i z jednotlivých stanic. HTTP Flood Attack patří mezi invazivní útoky, které cílí především na služby webových serverů. Útočník při tomto typu útoku vysílá velké množství legitimních HTTP GET paketů, čímž se snaží maximálně vytížit zdroje cílového systému. Výsledkem je pokles výkonu, navýšení odezvy a mnohdy dokonce nedostupnost serveru.

Protokol ICMP (Internet Control Message Protocol) je jedním z hlavních internetových protokolů. Slouží k odesílání různých chybových hlášení či diagnostik. Tento protokol zasílá jednosměrné odkazy, přičemž není používáno žádné ověřování. To dovoluje vzdálenému útočníkovi, aby provedl útok. Při tomto typu útoku útočník zasílá na cílový server abnormálně vysoké množství paketů ICMP různého typu, a to zejména ty, které využívají službu „ping“. Ten se snaží zpracovat každou příchozí žádost, což může vést právě k odepření služby. Jedná se o obyčejný záplavový útok, který nabývá na větší síle, pokud na něj oběť odpovídá. Důsledkem útoku typu ICMP Flood Attack je značné zpomalení internetových aplikací, případně odpojení od internetu.

Tzv. mutivektorové útoky patří mezi ty nejsložitější a zároveň i nejnebezpečnější útoky, se kterými se lze setkat. Útočníci při nich využívají kombinaci různých nástrojů a postupů, kdy útok je veden na aplikační i síťovou vrstvu najednou, a to s cílem maximalizovat dopad takového útoku. Multivektorové útoky bývá poměrně těžké zmírnit, protože zasahují síťovou infrastrukturu oběti několika způsoby najednou a výrazně tak poškozují či narušují řadu procesů.

Jedná o poměrně zastaralou formu útoku, který představuje nebezpečí pro počítače pracující na platformě některé ze starších a zranitelnějších verzí operačních systémů.

Nástroje, pomocí kterých lze takový útok realizovat, využívají známých zranitelností těchto systémů. Princip těchto útoků spočívá v tom, že útočník vysílá do cílového počítače roztříštěné nebo poškozené pakety, přičemž obvykle se jedná o pakety typu ICMP. Výsledkem je výrazné zpomalení nebo zastavení kritických systémových procesů, což má za následek zhroucení systému, které je v případě starších verzí operačního systému Windows reprezentováno tzv. „modrou obrazovkou smrti“.

Programy označované jako Nukes jsou na internetu volně dostupné a vzhledem k jejich jednoduchosti je dokáže použít i naprostý začátečník. Po spuštění takového programu stačí jen zadat IP adresu cílového počítače a pak již jen čekat, než se tento počítač zhroutí. To se ovšem stane jen v případě, že je počítač oběti zranitelný vůči chybám, které daný program zneužívá.

Tento typ útoků ohrožuje systémy pracující na principu „klient-klient“, kde komunikace neprobíhá prostřednictvím serveru, ale přímo mezi uživateli. Obvykle se jedná o sítě, kde si uživatelé navzájem sdílejí velké množství dat. V současnosti jsou sítě typu Peer-to-Peer prakticky již na ústupu a jsou zpravidla využívány jen k nelegální distribuci obsahu, převážně toho multimediálního. Princip takového útoku spočívá v zneužití chyby klientské aplikace (např. DC++) k přerušení stávajícího spojení a pokusu o připojení k oběti. V případě, že je útok dobře proveden, může být oběť vystavena mnohasettisícovému počtu žádostí o připojení. Tento typ útoku se sice dá poměrně snadno odfiltrovat, při masivním útoku však může i sama filtrace vyústit v pád systému. Útočník přitom nemusí komunikovat přímo s klientem, aby dosáhl svého cíle. Navíc, automatizované procesy, které technologie P2P využívá, umožňují zesílení útoku, a to s bezděčným souhlasem oběti.

Ačkoliv se tento typ útoku již v dnešní době může zdát prakticky nepoužitelný, stojí za zmínku. Útočník v tomto případě využíval chyby v implemetaci protokolu TCP/IP k zneužití programu „Ping“, což je síťový nástroj používaný pro ověření, zda vzdálený počítač pracuje a komunikuje. V minulosti neuměla řada systémů zpracovat ping větší než 65 535 bajtů, což je maximální velikost paketu v protokolu IP. Pokus o zpracování abnormálně velkého paketu obvykle způsobil chybu, která následně vedla k selhání systému, který nebyl odolný vůči takovým chybným paketům. Útočníkova identita se dala snadno zfalšovat a útočník ani nepotřeboval detailní znalost operačního systému počítače oběti, na který útočil, stačila mu IP adresa. Útoky typu Pink of Death Attack v současné době většinou již nevedou ke zhroucení napadeného systému, ale mohou jej výrazně zpomalit. V nedávné minulosti se objevil nový typ Ping of Death útoku, známý jako Ping Flood. Ten probíhá tak, že útočník odesílá ICMP pakety rapidní rychlostí přes ping bez toho, aniž by čekal na odpověď. Pokud se oběť snaží o odpověď, dojde k zahlcení odchozí komunikace cílové linky. Tyto útoky zpravidla probíhají prostřednictvím botnetů a jedná se tedy často o poměrně masivní DDoS útoky.

Útok typu Slowloris Attack je velmi nenápadný, ale o to více zákeřnější. Zcela minimální datový provoz stačí útočníkovi k tomu, aby třeba i s pomocí jednoho počítače vyřadil z provozu libovolný webový server. Program, který tento útok umožňuje, funguje tak, že otevře mnoho síťových spojení a snaží se je udržet otevřená co nejdéle. Toho dosáhne tak, že http požadavky posílá velice pomalu, po částech a těsně před vypršením časového limitu. Server drží tato spojení otevřená, ale vzhledem k faktu, že může zároveň držet otevřený jen omezený počet spojení, musí další požadavky na spojení odmítat a zbytku světa je tak nedostupný. Tento typ útoku je velmi těžké odhalit, protože k žádné zjevné abnormalitě vlastně nedošlo – na serveru je vše v pořádku, tedy až na to, že nezvládá obsluhovat příchozí požadavky.

Při tzv. „Šmoulím útoku“ zasílá útočník na IP adresu oběti velké množství ICMP paketů, tj. pingů, a to s falešnou zdrojovou IP adresou. Jelikož má většina zařízení v síti ve výchozím nastavení odesílání odpovědi na zdrojovou IP adresu, snaží se automaticky o odpověď. A pokud je v síti velký počet počítačů, které tyto pakety přijímají a reagují na ně, je počítač oběti brzy zaplaven provozem. To může vést k takovému zpomalení služby, že s ní nebude možné pracovat. Princip tohoto útoku je podobný jako u ICMP Flood, ale navíc mu přidává zesílení. Dosahuje toho tím, že místo zaslání pingu přímo na IP adresu oběti posílá ping do sítě, přičemž nastaví zdrojovou IP adresu na IP adresu oběti. Všechny počítače z cílové sítě tak oběti odpoví paketem „ICMP Echo reply“. Čím vyšší počet počítačů v dané síti, tím bude útok škodlivější.

Jeden z nejčastějších a zároveň nejjednodušších útoků je tzv. SYN Flood Attack. Cílem útoku tohoto typu je dočasné znemožnění funkčnosti určité služby, například http (web) nebo SMTP (e-mail). Jeho princip spočívá v odeslání velkého počtu žádostí vzdálenému počítači se snahou o navázání falešného připojení. Napadený systém se snaží pro každé z těchto připojení vyhradit určité prostředky, čímž zcela vyčerpá své dostupné systémové prostředky a počítač tak přestane reagovat na další pokusy o připojení.

Tento typ útoků je postaven na využití jedné z vlastností TCP protokolu, a to na tzv. three-way handshake. Třísměrné potřesení rukou, jak zní český překlad, si klade za cíl ověřit, zda obě strany doopravdy stojí o spojení. V praxi to funguje tak, že klient pošle na server paket SYN (tzn. „synchronizovat“). Server uzná (tj. „acknowledge“) žádost o synchronizaci a pošle zpět paket s příznaky SYN a ACK. Ve třetím kroku klient pošle paket ACK. SYN Flood Attack funguje pouze tehdy, pokud server přidělí prostředky pro nové spojení v okamžiku, kdy obdrží paket SYN, a to ještě před tím, než obdrží paket ACK. Útočník má přitom dva způsoby, jak zařídit, aby server tento paket neobdržel. Jednak jej může prostě opomenout, nebo může poslat paket SYN s falešnou IP adresou a server tak pošle paket SYN-ACK úplně někam jinam a paketu ACK se nedočká.

Útoky typu Teardrop využívaly bezpečnostní chybu v implementaci TCP/IP, která byla typická pro starší operační systémy. Mohly ohrozit operační systémy Windows 3.1x, Windows 95 a Windows NT, ale i starší verze operačního systému Linux. V nových operačních systémech již tato chyba neexistuje.

Tento typ útoku zneužíval skutečnost, že některé operační systémy nezvládaly korektně reagovat na špatně fragmentovaný IP paket. Pokud je IP paket příliš velký, systém jej rozdělí. IP pakety jsou tedy po cestě rozděleny na menší části, které se na cílovém počítači opět složí do původní podoby a velikosti. Každý z těchto fragmentů obsahuje informaci o tom, kterou část paketu nese.

Princip útoku spočívá v tom, že útočník záměrně rozdělí některé IP pakety do několika částí tak, aby se navzájem překrývaly. V normálním provozu na sebe pakety navazují, ale v tomto případě je cílový stroj nedokáže zpracovat, protože s takovou situací nepočítá a dojde tak nakonec k jeho zhroucení.

Zkratka UDP představuje internetový protokol, který je znám jako User Datagram Protocol. Tento protokol má na starosti komunikaci v síti, podobně jako TCP. Oproti protokolu TCP ale nevyužívá ověřování navázání, průběhu a vypršení času komunikace. Je díky tomu podstatně rychlejší, ale na druhou stranu také snadno zneužitelný k útoku typu UDP Flood Attack.

Ten probíhá tak, že útočník pošle velké množství UDP paketů na náhodné porty cílového serveru, který musí na pakety zareagovat. Nejprve proto zkontroluje, zda tyto porty sleduje nějaká z jeho aplikací. Jakmile zjistí, že ne, musí odpovědět informací, že cílová destinace je nedostupná. Tu posílá paketem internetového protokolu ICMP, který slouží pro odesílání chybových zpráv.

Server musí podle pravidel komunikace odpovědět na každý UDP paket, který přijme. V případě, že jich obdrží obrovské množství a snaží se na všechny odpovědět, vyčerpá tím svou internetovou konektivitu a někdy i další prostředky. Server se útokem naprosto zahltí a jakákoli jiná komunikace se stane nemožnou.

Útočníci se velmi rychle naučili využívat k DDoS útokům i různá jednoúčelová zařízení, která jsou připojena k internetu – tedy tzv. internet věcí. Ten se již stal nedílnou součástí života moderních domácností. V případě takového útoku neútočí síť ovládnutých počítačů, ale desítky až stovky tisíc různých zařízení, jako jsou např. webkamery, dětské chůvičky, routery, set-top boxy, chytré televize, nebo řídící jednotky chytrých domácností.

Nedostatečné zabezpečení přibližně jedné miliardy takových zařízení, připojených k internetu, vytváří prostředí, které může být zneužito k on-line útokům, a to doslova s devastujícími důsledky. Takto zneužitá IoT zařízení zahltí DNS servery obrovským množstvím komunikačních požadavků. Tím zatíží síťovou infrastrukturu natolik, že přestane stíhat vyřizovat požadavky uživatelů a v nejhorším případě se zcela zhroutí. Jelikož jsou jednotlivé DNS servery vzájemně propojené, dochází často k řetězové reakcí, kdy se tento problém šíří i na další DNS servery.

Jako útok nultého dne jsou označovány takové typy útoků, které se snaží využít zranitelnosti používaného software, pro kterou ještě neexistuje obrana ve formě aktualizace operačního systému či konkrétního software. Název útoku „nultý den“ je odvozen od skutečnosti, že uživatel je ohrožen až do chvíle, než je vydána oprava – tzn. stále se nachází ve výchozím postavení, tedy v nultém dni. K provedení útoku využívá Zero-day Atack tzv. exploit, což je popis využití programátorské chyby, která způsobuje zmiňovanou zranitelnost. Exploity jsou většinou snadno dostupné na internetu a útočníci je často vytvářejí se zlými úmysly.

Zero-day DDoS funguje několika způsoby. Útočníci většinou cílí na internetové prohlížeče, které jsou nejrozšířenější a využívá je velké množství lidí. Často také posílají e-maily, zneužívající zranitelná místa poštovních programů či webmailových aplikací, a to zejména při jejich nakládání s chybně formátovaným tělem e-mailu nebo přílohami. Útočníci mohou také navrhnout škodlivý kód tak, aby napadl operační systém a kradl důvěrná data, jako jsou např. bankovní hesla a osobní informace. Vzhledem k tomu, že Zero-Day exploity dokážou poměrně jednoduše obejít bezpečnostní prvky, je po nich obrovská poptávka. Exploit může být nebezpečný i po zveřejnění opravy (aktualizace), která chybu opravuje, jelikož ne všichni uživatelé si aktualizace instalují.