DDoS-атаки та проєкт Fénix

Ви напевно колись не могли відкрити якийсь сайт або чули, що певні сайти були виведені з ладу так званою DDoS-атакою. Але що таке DDoS-атаки, хто зазвичай за ними стоїть і навіщо їх здійснюють?

Сама назва підказує, як така атака проявляється. Це абревіатура англійського виразу «Denial of Service», тобто відмова в обслуговуванні. Коли сервер зазнає такої атаки, вебсайт перестає відповідати, тобто припиняє надавати свої послуги. Перша літера «D» в назві означає «Distributed» (розподілена), тобто атаку здійснює одночасно велика кількість користувачів.

Коли група зловмисників вирішує атакувати сервер, вони домовляються відвідати певний вебсайт в один і той самий момент. Проте для DDoS-атак можуть використовуватися й погано захищені комп’ютери нічого не підозрюючих користувачів. Такі комп’ютери часто заражають заздалегідь, зазвичай так званим «бекдором». Це шкідливе програмне забезпечення, яке звичайний користувач навряд чи розпізнає. Якщо Ви підозрюєте зараження, зверніть увагу на такі ознаки, як зниження продуктивності процесора, гірший доступ до інтернету або проблемна поведінка програм. Проте єдиний стовідсотково надійний крок — завжди звернутися до ІТ-фахівця. Основною вимогою безпеки залишається захищений комп’ютер і актуальний антивірус.

Варто зазначити, що саме цього року трендом стали DDoS-атаки, які запускають великі ботнети, складені з вразливих пристроїв IoT (інтернету речей). Підключити до домашньої мережі камеру з типовими налаштуваннями — це як піти до лісу до ведмедів, намазавшись медом.

Перевантаження сервера запитами зловмисника

Сервери розраховуються на очікуване навантаження. Під час DDoS-атак зв’язок збивається, і сервер не може обробляти не лише запити зловмисника, а й запити клієнтів. Залежно від конфігурації деякі сервери перестають показувати сторінки з вмістом не лише на час атаки, а й деякі їхні елементи залишаються непрацюючими навіть після її завершення.

DDoS- і DoS-атаки особливі передусім тим, що вони не є кримінальним злочином і взагалі нічим незаконним. Відвідуючи вебсайт, зловмисники не вчиняють жодного злочину. При цьому жодні дані не викрадаються й не зловживаються; зловмисники просто «лише» перевантажують сервер понад його можливості. DDoS-атаки часто є справою різних активістів, які хочуть висловити свою незгоду з операторами сайтів або з їхнім вмістом. Але це може бути й, наприклад, форма конкурентної боротьби. За кордоном траплялися навіть випадки, коли DDoS-атака насправді була своєрідною партизанською рекламою продукту проти DoS. Проте мішенями DDoS-атак стають також новинні сервери й навіть банки. Іноді для припинення атаки вимагають викуп, зазвичай у криптовалюті біткоїн, щоб зберегти анонімність.

Як зрозуміти, що Ваш сервер став мішенню DDoS-атаки? Першою і головною ознакою є збій сервера або значне уповільнення. В операційних системах Windows і Linux є інструмент Netstat, який може допомогти з’ясувати, чи не стали Ви жертвою атаки. Достатньо відкрити командний рядок і ввести «netstat-an». DDoS-атаку можна розпізнати за списком IP-адрес, підключених до суміжних портів. Важливо також стежити за трафіком, адже під час DDoS-атаки він аномально зростає.

Хмарні сервіси

Як захиститися від DDoS-атак? У світі ІТ, на жаль, дуже мало що буває стовідсотковим. Дуже важлива профілактика. Найсучасніші маршрутизатори можуть автоматично розпізнавати аномальну поведінку, наприклад незвичайно велику кількість запитів, і блокувати доступ із цієї адреси. Деякі власники серверів намагаються запобігти DDoS-атакам, заздалегідь блокуючи доступ з певних країн, наприклад Китаю чи Росії. Розумним кроком є й посилення продуктивності сервера, тобто розрахунок його на дво-трикратний звичайний трафік. Цей захід окупається навіть для інтернет-магазинів, які зазвичай мають навантаження перед Різдвом, або для новинних серверів. Частковим рішенням може бути і використання хмарних сервісів.

Якщо атака вже триває, потрібна співпраця з Вашим інтернет-провайдером. Провайдер виконує кроки, необхідні для перенаправлення трафіку та посилення потужностей сервера. Якщо атака здійснюється з-за кордону, закордонні лінії відключають. Звісно, докладаються також зусилля, щоб виявити джерело й заблокувати його безпосередньо. Також можна вивести з роботи більш вимогливі елементи вебсайту й повідомити відвідувачів, що він недоступний.

У Чехії проєкт Fénix був створений у 2013 році як відповідь на масові DoS-атаки на великі чеські медіа. Його веде об’єднання NIX.CZ — нейтральна апаратна платформа для взаємного з’єднання мереж в інтернеті. Як свідчить назва проєкту, його мета — допомогти жертвам DoS-атак відродитися з попелу, тобто зберегти доступність інтернет-послуг для суб’єктів, що беруть участь у цій діяльності. Технічно це дуже складно, але простими словами: мережі-учасниці з’єднані за заздалегідь визначених умов так, щоб у разі масового перевантаження мережі можна було скоординовано відключити джерело атаки та забезпечити функціонування «внутрішнього інтернету», аби більшість трафіку зберігалася.

Можна сказати, що це своєрідний елітний клуб, але в найкращому значенні цього слова. Члени мають відповідати низці адміністративних і технічних вимог, а весь проєкт тримається на взаємній довірі та ентузіазмі заради спільної справи. Долучившись до проєкту Fénix, оператори не лише роблять важливий профілактичний крок, а й отримують гарантію, що в разі атаки їм не доведеться самотужки розв’язувати всю проблему.