24 grudnia w sieci Orange Polska odnotowano atak typu Distributed Denial of Service o wolumenie sięgającym 1,5 terabita na sekundę oraz 134,5 mln pakietów na sekundę. Zdarzenie miało miejsce w okresie świątecznym i było kolejnym przypadkiem ataku wolumetrycznego o bardzo dużej skali, obserwowanego w krajowej infrastrukturze operatorskiej w ostatnich miesiącach.
Sam fakt wystąpienia ataku nie jest zaskoczeniem, ponieważ DDoS pozostaje jednym z najczęściej wykorzystywanych narzędzi destabilizacji usług sieciowych. Zwracają jednak uwagę jego parametry, które potwierdzają dalszy wzrost intensywności ruchu generowanego przez źródła atakujące oraz łatwość osiągania wolumenów, które jeszcze niedawno były rzadkością poza największymi sieciami globalnymi.
Wybór terminu nie wydaje się przypadkowy. Okres świąteczny charakteryzuje się zwiększonym ruchem generowanym przez użytkowników końcowych, innym trybem pracy zespołów operacyjnych oraz ogólnie wyższym obciążeniem infrastruktury. Takie warunki sprzyjają prowadzeniu ataków wolumetrycznych, ponieważ utrudniają jednoznaczne odróżnienie ruchu legalnego od niepożądanego oraz zwiększają presję na systemy ochronne.
Z dostępnych informacji wynika, że celem ataku był pojedynczy adres IP. Jest to istotne, ponieważ pokazuje zmianę w charakterze zagrożeń. Ofiarą nie musi być już rozbudowana infrastruktura ani usługa o masowym zasięgu. W praktyce oznacza to, że każdy podmiot korzystający z publicznego adresu IP może stać się celem ataku o bardzo dużej skali, niezależnie od wielkości czy znaczenia prowadzonej działalności.
Od strony technicznej był to klasyczny atak wolumetryczny, którego celem było zajęcie dostępnej przepustowości. Wykorzystano kilka znanych technik, w tym fragmentację pakietów IP, masowe generowanie ruchu UDP oraz DNS, a także mechanizmy amplifikacyjne. Tego typu kombinacje nie są nowe, jednak ich użycie w wolumenach terabitowych znacząco podnosi wymagania wobec systemów detekcji i mitygacji.
Incydent z 24 grudnia nie był odosobniony. Wcześniejszy, również bardzo silny atak zarejestrowany w maju.
Czytaj także:
