Ataki DDoS na sieci operatorskie to dziś nie jedna technika, lecz wiele różnych, a każda uderza w inne miejsce infrastruktury. O skutkach decyduje więc czas wykrycia i to, czy reakcja jest dopasowana do rodzaju ataku. LiveShield, polski system do wykrywania i filtracji ataków DDoS dla operatorów, wykrywa atak i zakłada pierwszą regułę filtrującą w czasie poniżej 1 sekundy od jego rozpoczęcia. Poniżej opisujemy, jak wygląda cała reakcja i jak przygotować się na atak, zanim do niego dojdzie.
Dlaczego jedno zabezpieczenie nie wystarcza na ataki DDoS?
Ataki DDoS różnią się metodami, a nie tylko wielkością. Reguła, która zatrzymuje jeden typ ruchu, bywa bezużyteczna wobec innego.
Operator widzi w swojej sieci jednocześnie kilka rodzin ataków. Ataki odbite i wzmacniane (reflection i amplification) wykorzystują usługi takie jak DNS, NTP, SSDP, CLDAP czy Memcached i kończą się falą ruchu UDP z dobrze znanych portów oraz pofragmentowanymi pakietami. Osobną grupę tworzą zalewy małymi pakietami UDP oraz pakietami ICMP. Ataki na TCP nie ograniczają się do SYN flood: równie skuteczne bywają zalewy pakietami SYN-ACK, ACK i RST, które wyglądają jak część zwykłych połączeń.
Do tego dochodzi carpet bombing, czyli atak rozłożony na całą podsieć. Żaden pojedynczy adres nie przekracza własnego progu, ale suma ruchu wysyca łącza lub obciąża router brzegowy. Wreszcie ataki wolumetryczne, które przekraczają pojemność łączy do upstreamów. Tu żadna lokalna filtracja nie pomoże, bo łącze jest wysycone, zanim ruch dotrze do Waszych urządzeń.
Z tego wynika podejście warstwowe: szybka detekcja, filtracja dopasowana do charakterystyki ruchu, a dla największych ataków współpraca z upstreamami. Tak właśnie działa LiveShield.
Jak LiveShield wykrywa atak?
LiveShield analizuje kopię ruchu z portu SPAN lub z TAP-a i porównuje ją z progami ustawionymi osobno dla każdego protokołu, adresu IP i podsieci. Nie korzysta z NetFlow, który jest zwykle próbkowany i eksportowany z opóźnieniem. Analiza każdego pakietu z kopii ruchu nie wymaga czekania na eksport danych. Atak jest wykrywany, a pierwsza reguła zakładana w czasie poniżej 1 sekundy od jego rozpoczęcia.
Progi wyraża się w pakietach i bitach na sekundę, osobno dla każdego protokołu: od ogólnych (IP, TCP, UDP), przez usługi nadużywane w atakach (DNS, NTP, SSDP itp.), po flagi TCP (np. SYN, SYN-ACK, ACK, RST); LiveShield obsługuje znacznie więcej protokołów. Można je ustawić dla pojedynczego adresu i dla całej podsieci. Progi per podsieć pozwalają wykryć carpet bombing, a automatyczna agregacja zawęża regułę do najmniejszego zakresu adresów, który obejmuje atakowane IP. Dzięki temu ruch pozostałych abonentów nie jest zatrzymywany razem z atakiem.
Progi dobiera się do usług działających w sieci. Inaczej wygląda prefiks z abonentami domowymi, a inaczej adres serwera WWW, dlatego dla takich adresów tworzy się osobne, bardziej szczegółowe prefiksy z dostosowanymi progami. Na początku zalecamy okres obserwacji bez filtracji, żeby sprawdzić, czy progi nie wywołują fałszywych alarmów. Sposób wykrywania opisujemy szerzej w artykule Jak LiveShield wykrywa atak DDoS?, a wynik testu na realnym ataku w tekście Czy LiveShield zareaguje na atak DDoS w 1 sekundę?.
Co dzieje się w pierwszych sekundach ataku?
Po wykryciu ataku LiveShield wysyła regułę FlowSpec na routery brzegowe, a w ciągu kilku sekund uzupełnia ją o węższe, bardziej szczegółowe reguły.
Pierwsza reguła to reguła wstępna. Dla typowych protokołów nadużywanych w atakach, takich jak NTP, DNS, SSDP, CHARGEN, CLDAP czy Memcached, gotowy filtr jest zakładany od razu po przekroczeniu progu. Reguły trafiają do routerów przez BGP FlowSpec i są stosowane sprzętowo. Zalecana konfiguracja ogranicza je do ruchu przychodzącego do sieci, więc ruch lokalny, wewnątrz sieci, nie jest filtrowany.
Ruchu TCP i UDP nie da się odciąć w całości, bo zatrzymany zostałby normalny ruch użytkowników. Tu działa filtrowanie zaawansowane. LiveShield próbkuje pakiety z ataku i uczy się jego charakterystyki: portu źródłowego i docelowego, długości pakietu, adresów IP. Na tej podstawie tworzy węższe reguły i sprawdza, jaką część ruchu z ataku zatrzymują. Takie reguły pojawiają się po kilku sekundach, zależnie od ustawień próbkowania. Zasady działania opisuje dokumentacja filtrowania zaawansowanego.
Co zrobić, gdy atak jest większy niż łącza?
Trzeba go zatrzymać u dostawcy tranzytu. Gdy ruch ataku przekracza pojemność łączy do upstreamów, filtrowanie na routerze brzegowym nie wystarcza, bo łącze jest wysycone, zanim pakiety do niego dotrą.
Reguły FlowSpec mogą być wysyłane do upstreama, który udostępnia taką usługę. Atak wolumetryczny zatrzymuje się wtedy po stronie dostawcy, zanim wysyci Wasze łącza, a dalej przechodzi czysty ruch.
Jeśli upstream nie przyjmuje reguł FlowSpec albo to nie wystarcza, atak zatrzymuje blackholing (RTBH): upstream odrzuca cały ruch kierowany do atakowanego adresu. To rozwiązanie z kompromisem, bo tracony jest też legalny ruch do tego adresu, dlatego LiveShield łączy je z precyzyjnym FlowSpec i ogranicza jego skutki uboczne. Blackholing działa zwykle u dostawców tranzytu IP, a na peeringach prywatnych i IXP bywa niedostępny lub nieskuteczny. Skutki uboczne ogranicza się na dwa sposoby:
- trasę blackholingu można wysłać wyłącznie do upstreamów tranzytowych (global) i nie stosować jej lokalnie, więc ruch z peeringów i IXP nadal dociera do sieci,
- w wariancie selektywnym trasa jest ogłaszana tylko tym upstreamom, których łącza faktycznie są wysycane. Wymaga to rozróżnienia upstreamów po VLAN-ach w standardzie IEEE 802.1Q.
Dla wybranych prefiksów można też skonfigurować przekierowanie ruchu po wykryciu ataku (Traffic Diversion): do wskazanego VRF lub adresu IP.
Mechanizm Event Pipelines pozwala dodatkowo przy zdarzeniach takich jak start ataku czy założenie reguły wysłać e-mail lub webhook albo uruchomić własny skrypt, dzięki czemu operator może podpiąć własne działania.
Jak odfiltrować ruch, który wygląda jak legalny?
Sprawdzając stan połączeń, a nie sam typ pakietu. Do tego służy LiveShield AIF.
Ataki typu ACK, SYN-ACK czy RST flood przechodzą przez filtry protokołowe, bo pojedynczy pakiet wygląda jak część zwykłej sesji TCP. AIF działa między routerem brzegowym a wnętrzem sieci (np. BRAS) i śledzi stan połączeń w obu kierunkach. Pakiety, które nie pasują do żadnego znanego połączenia, są odrzucane, a legalny ruch przechodzi dalej. Prefiksy, do których wolno łączyć się z zewnątrz, na przykład serwery, definiuje się na liście dozwolonych.
AIF uzupełnia FlowSpec, ale go nie zastępuje. Nie zatrzyma ataku, który wysyca łącza do upstreamów, bo ten musi zostać zatrzymany wcześniej, u dostawcy. Dlatego w LiveShield warstwy działają razem: detekcja i reguły FlowSpec, współpraca z upstreamami przy największych atakach i AIF dla ruchu, który wygląda jak legalny.
Co zrobić, gdy te wszystkie metody to za mało?
Przy największych atakach może się zdarzyć, że filtracja na routerach brzegowych, reguły FlowSpec u upstreamów i blackholing nie wystarczą albo nie wchodzą w grę. Jeśli operator ma umowę z zewnętrznym centrum czyszczenia ruchu (scrubbing center), LiveShield może uruchomić dedykowany skrypt, który po przekroczeniu zdefiniowanych progów przekieruje ruch do tego centrum.
Skrypt uruchamia się w ramach mechanizmu Event Pipelines, a przekierowanie polega na zmianie ścieżki ruchu dla wskazanych prefiksów. Ruch czyści wtedy dostawca, z którym macie umowę. LiveShield nie zastępuje takiej usługi, tylko decyduje, kiedy z niej skorzystać.
To rozwiązanie ostateczne, na sytuacje, w których pozostałe metody zostały już wykorzystane. Konfiguruje się je indywidualnie, z uwzględnieniem warunków umowy z dostawcą.
Jak przygotować się na atak z LiveShield?
Przygotowanie zaczyna się od kilku ustaleń po stronie operatora, jeszcze przed instalacją. Oto kolejność, którą polecamy:
- Umów się na spotkanie z nami. Omówimy Waszą specyfikację i ustalimy kolejne kroki, a pozostałe punkty tej listy pomogą przygotować się do rozmowy. Najłatwiej na stoisku LiveShield w Nałęczowie lub mailowo jeszcze przed konferencją.
- Sprawdź, co oferują Wasze upstreamy. Zapytaj każdego dostawcę tranzytu o blackholing (RTBH) i akceptowane community oraz o to, czy przyjmuje reguły FlowSpec. Odpowiedzi warto mieć na piśmie, zanim będą potrzebne. Pytania do dostawcy tranzytu opisujemy w artykule Co się dzieje, gdy atak DDoS przekracza przepustowość łącza uplink?
- Spisz modele swoich routerów brzegowych. Nie każdy router deklarujący obsługę FlowSpec stosuje reguły w sprzęcie. Z taką listą sprawdzimy, które urządzenia obsłużą FlowSpec, a gdzie pozostanie blackholing. Szczegóły opisuje artykuł BGP FlowSpec i RTBH w praktyce operatora.
- Oszacuj szczytowy ruch i pojemność łączy do upstreamów. To podstawa doboru sprzętu. Serwer przetwarzający pakiety powinien być serwerem fizycznym, a liczba potrzebnych rdzeni zależy od ruchu: orientacyjnie jeden rdzeń fizyczny na każde 10 Gb/s, plus rdzenie na system i pozostałe moduły. Więcej w artykule Wymagania sprzętowe dla systemu anty-DDoS.
- Wskaż, skąd pobierzemy kopię ruchu. Wystarczy port SPAN lub optyczny TAP, który nie obciąża urządzenia produkcyjnego. Jeśli ruch z poszczególnych upstreamów ma być rozróżniany, potrzebne są VLAN-y w standardzie IEEE 802.1Q.
- Zdecyduj, kto reaguje na alerty. Ustal, kto w zespole dostaje powiadomienie i które działania mają uruchamiać się automatycznie. LiveShield generuje też raport KSC z wykrytych ataków, który ułatwia zgłoszenie incydentu.
- Zaplanuj wdrożenie. Zalecamy zacząć od okresu obserwacji bez filtracji, żeby dostroić progi do Waszego ruchu. Potem filtrację włącza się stopniowo, a blackholing uzgadnia z upstreamami.
Kto stoi za LiveShield?
LiveShield to polski produkt tworzony przez LiveSolutions. Jesteśmy autorami rozwiązania, które skutecznie wspierało operatorów w filtracji ostatnio popularnych ataków tzw. „Pana z żabki”.
Gdzie porozmawiać o Waszej sieci?
Na Zjeździe MiŚOT w Nałęczowie.
Zapraszamy na wykład Mateusza Gołębiewskiego, CEO LiveShield, we wtorek 27 października o godz. 12:40 w sali prelekcyjnej oraz na stoisko LiveShield. Omówimy, jak dziś wyglądają ataki na sieci operatorskie i jak na nie skutecznie reagować. Przejdziemy też wspólnie przez topologię Waszej sieci, upstreamy i sposób reakcji na atak, bez zobowiązań.
Chcecie przygotować się do spotkania? Porozmawiajmy już przed konferencją! Napiszcie na office@liveshield.net. Możemy omówić Waszą specyfikację, a także zarezerwować dla Was konkretną godzinę na stoisku.
Sprawdź, jak LiveShield działa w praktyce:
Zobacz stronę LiveShield →
