Atak DDoS nie musi oznaczać włamania do sieci ani kradzieży danych. Jego celem może być po prostu wyłączenie usługi. W przypadku lokalnych operatorów telekomunikacyjnych skutki odczuwa jednak nie tylko zaatakowana firma, ale także setki lub tysiące jej klientów. Coraz częściej pojawia się też pytanie, czy część takich działań należy rozpatrywać w szerszym kontekście geopolitycznym.
DDoS jest atakiem wymierzonym przede wszystkim w dostępność. Jego celem nie musi być przejęcie danych czy włamanie do systemów operatora. Wystarczy doprowadzić do sytuacji, w której infrastruktura nie jest w stanie prawidłowo obsługiwać prawidłowego ruchu. Dla użytkownika kończy się to bardzo konkretnym problemem: internet zaczyna działać niestabilnie, usługi stają się niedostępne albo połączenie całkowicie przestaje funkcjonować.
W przypadku operatora telekomunikacyjnego znaczenie takiego ataku jest jednak większe niż w przypadku pojedynczej firmy. Lokalny ISP może nie być dużym przedsiębiorstwem, ale jego sieć jest elementem codziennego funkcjonowania całej grupy mieszkańców i firm. Jeżeli zostanie skutecznie zakłócona, problem nie dotyczy jednego systemu czy jednej usługi, lecz może zostać odczuty przez znaczną część lokalnej społeczności.
Skala, z którą lokalni operatorzy wcześniej się nie mierzyli
Najważniejszą zmianą jest dziś nie sama liczba ataków, ale ich skala i sposób prowadzenia. Mali i średni operatorzy coraz częściej spotykają się z sytuacjami, w których dotychczasowe mechanizmy ochrony okazują się niewystarczające, a infrastruktura musi radzić sobie z obciążeniem znacznie wykraczającym poza scenariusze, które wcześniej były przyjmowane przy projektowaniu sieci.
To istotna granica. Można bowiem przygotować sieć na awarię pojedynczego urządzenia, przerwę w działaniu łącza czy typowe przeciążenie wynikające ze wzrostu ruchu. Zupełnie innym scenariuszem jest sytuacja, w której ktoś celowo generuje ruch w taki sposób, aby doprowadzić do przeciążenia określonych elementów infrastruktury. Jeżeli skala takiego działania przekracza dotychczasowe doświadczenia operatora, problem przestaje być wyłącznie kwestią konfiguracji. Staje się testem całej architektury sieci.
Branża lokalnych ISP przez lata budowała infrastrukturę przede wszystkim pod kątem dostępności, wydajności i kosztów. Dziś do tej układanki coraz mocniej wchodzi odporność na celowe zakłócenia. I właśnie dlatego można mówić o jakościowej zmianie: operatorzy muszą przygotowywać się na rodzaj obciążenia, z którym jeszcze niedawno nie mieli praktycznie żadnego doświadczenia.
Dlaczego mały operator może być interesującym celem?
Odpowiedź nie musi mieć nic wspólnego z wielkością samej firmy. Z punktu widzenia atakującego istotne może być to, jak wiele osób i usług korzysta z danej infrastruktury. Lokalny operator może obsługiwać stosunkowo niewielki obszar, ale jednocześnie być podstawowym dostawcą łączności dla tysięcy gospodarstw domowych, przedsiębiorstw i lokalnych instytucji.
Właśnie ta koncentracja może powodować, że atak na jednego operatora daje większy efekt niż atakowanie pojedynczych użytkowników. Zamiast próbować zakłócić działanie wielu abonentów oddzielnie, można skierować działania przeciwko infrastrukturze, która ich łączy. W przypadku DDoS nie trzeba przy tym uzyskać dostępu do sieci. Wystarczy skutecznie wpłynąć na jej dostępność.
To również wyjaśnia, dlaczego wielkość operatora nie powinna być traktowana jako miara jego atrakcyjności jako celu. Niewielki ISP może mieć niewielki udział w rynku, ale bardzo duże znaczenie dla obszaru, który obsługuje.
DDoS nie oznacza automatycznie włamania
Z perspektywy klientów szczególnie ważne jest rozdzielenie dwóch pojęć: dostępności i bezpieczeństwa danych. Jeżeli operator pada ofiarą DDoS, podstawowym problemem jest przeciążenie infrastruktury i utrudnienie dostępu do usług. Sam fakt wystąpienia ataku nie oznacza, że napastnik uzyskał dostęp do danych klientów czy przejął systemy operatora.
To rozróżnienie jest istotne, ponieważ w przypadku awarii wywołanej DDoS użytkownik często nie ma możliwości samodzielnego ustalenia, co właściwie się wydarzyło. Z jego perspektywy internet po prostu nie działa. Przyczyna znajduje się jednak po stronie infrastruktury, która obsługuje jego połączenie.
Nie oznacza to oczywiście, że operator powinien ograniczyć analizę wyłącznie do samego przeciążenia. Poważny incydent wymaga sprawdzenia infrastruktury również pod kątem innych nieprawidłowości. DDoS może być samodzielnym działaniem, ale w określonych sytuacjach może również odwracać uwagę zespołu technicznego od innych aktywności. Dlatego po zakończeniu ataku potrzebna jest analiza całego zdarzenia, a nie tylko sprawdzenie, czy ruch wrócił do normalnego poziomu.
Ataki są coraz bardziej złożone
Zmienia się również sposób przeprowadzania DDoS. Współczesne ataki coraz częściej wykorzystują więcej niż jeden mechanizm jednocześnie, a ich charakter może zmieniać się w trakcie trwania incydentu. Z punktu widzenia operatora oznacza to, że nie istnieje jedno uniwersalne rozwiązanie, które można po prostu uruchomić i uznać problem za zakończony.
Ważne jest również to, że przeciążenie nie zawsze musi być widoczne wyłącznie na poziomie przepustowości. Inaczej zachowuje się infrastruktura obciążona ogromnym wolumenem danych, a inaczej urządzenie, które musi obsłużyć bardzo dużą liczbę pojedynczych żądań. Dlatego analiza DDoS wymaga patrzenia na sieć jako całość: od łączy i routingu, przez urządzenia brzegowe, po usługi, które są dostępne dla klientów.
Dla małych i średnich operatorów oznacza to konieczność zmiany podejścia do ochrony. Nie chodzi o posiadanie jednego „anty-DDoS”, ale o stworzenie takiej architektury, w której atakowany ruch można możliwie szybko zidentyfikować i ograniczyć, zanim jego skala wpłynie na pozostałą część sieci. Przy większych atakach szczególnego znaczenia nabiera możliwość filtrowania ruchu poza własną infrastrukturą oraz współpraca z dostawcami tranzytu i usług ochronnych.
Geopolityczny kontekst jest coraz trudniejszy do pominięcia
Dyskusja o DDoS nie może dziś całkowicie abstrahować od sytuacji geopolitycznej. W Europie obserwowane są kolejne cyberataki wymierzone w usługi publiczne i infrastrukturę cyfrową, a w części przypadków państwa regionu wskazują na aktywność grup powiązanych z Rosją. DDoS jest jednym z narzędzi, które mogą być wykorzystywane w działaniach określanych jako wojna hybrydowa, ponieważ pozwala stosunkowo szybko zakłócić działanie usługi i jednocześnie wywołać efekt informacyjny.
Nie można jednak na tej podstawie stwierdzić, że każdy atak na polskiego operatora jest elementem działań państwowych. Motywacje mogą być zupełnie inne, a przypisanie konkretnego incydentu wymaga odpowiednich dowodów. Z punktu widzenia bezpieczeństwa ważniejsze jest jednak to, że operatorzy muszą uwzględniać również scenariusz, w którym celem nie jest pieniądz ani pojedyncza firma, ale wywołanie zakłócenia i podważenie poczucia bezpieczeństwa użytkowników.
W przypadku infrastruktury telekomunikacyjnej efekt takiego działania może być szczególnie odczuwalny. Atak nie musi przecież dotyczyć ministerstwa czy dużego centrum danych. Jeżeli zakłócona zostanie działalność lokalnego ISP, skutki mogą pojawić się jednocześnie w wielu domach i firmach. Właśnie ta możliwość sprawia, że lokalne sieci należy postrzegać jako część szerszej infrastruktury cyfrowej.
Klient widzi awarię, operator widzi atak
To jedna z najważniejszych różnic w postrzeganiu DDoS. Abonent nie widzi ruchu przechodzącego przez sieć, nie wie, które urządzenie jest przeciążone i nie ma możliwości oceny, czy problem dotyczy jego połączenia, czy całego operatora. Dla niego sytuacja jest prosta: usługa nie działa.
Operator musi natomiast jednocześnie rozwiązać problem techniczny i zarządzać informacją. Jeżeli incydent jest poważny, komunikat skierowany do klientów powinien wyjaśniać, że przyczyną problemów jest zewnętrzny atak na dostępność infrastruktury, bez tworzenia wrażenia, że doszło automatycznie do przejęcia danych. Takie rozróżnienie ma znaczenie dla zaufania, szczególnie gdy cyberataki stają się coraz częstszym elementem funkcjonowania rynku telekomunikacyjnego.
Nie można również zapominać, że DDoS może mieć wymiar psychologiczny. Jeżeli użytkownik przez kilka godzin nie ma dostępu do internetu, nie interesuje go techniczna definicja ataku. Interesuje go odpowiedź na pytanie, czy jego operator jest bezpieczny i czy usługa wróci. Właśnie dlatego sposób reagowania i komunikowania incydentu staje się częścią odporności całej infrastruktury.
Zmieniła się definicja lokalnego operatora
Jeszcze kilka lat temu łatwo było patrzeć na lokalnego ISP przede wszystkim jak na przedsiębiorstwo świadczące usługę dostępu do internetu na określonym obszarze. Dziś taka definicja jest coraz mniej wystarczająca. Operatorzy stali się częścią infrastruktury krytycznej, od której zależy funkcjonowanie lokalnych społeczności, przedsiębiorstw i instytucji.
To dlatego skala obecnych ataków jest ważnym sygnałem dla całej branży. Nie chodzi tylko o to, że pojawiły się większe wolumeny ruchu czy bardziej złożone metody prowadzenia DDoS. Ważniejsza jest zmiana założenia, z którym projektowano wiele lokalnych sieci: że tak duży i celowy atak jest czymś mało prawdopodobnym.
Dzisiaj tego założenia nie można już przyjmować bezrefleksyjnie.
Lokalna sieć może stać się celem właśnie dlatego, że skupia w jednym miejscu dostęp do internetu dla dużej grupy użytkowników. Dla klienta operatora DDoS nie jest problemem cyberbezpieczeństwa w abstrakcyjnym znaczeniu. To po prostu brak internetu, niedostępne usługi i zakłócenia w codziennym funkcjonowaniu. Właśnie dlatego odporność lokalnych sieci zaczyna być nie tylko kwestią techniczną, ale również elementem bezpieczeństwa całego cyfrowego otoczenia.
Czytaj także:
