Что такое атака типа «отказ в обслуживании» (DoS)? Определение и примеры

Zpedia

Атака типа «отказ в обслуживании» (DoS) — это кибератака, в ходе которой киберпреступники нарушают работу интернет-хоста для его предполагаемых пользователей. Это достигается путем отправки целевой сети или серверу постоянного потока трафика, например мошеннических запросов, что перегружает систему и не позволяет ей обрабатывать легитимный трафик.

Как работает атака DoS?

В ходе атаки типа «отказ в обслуживании» хакер использует программу для отправки на сервер вредоносного трафика. Запросы, составляющие этот трафик, кажутся поступающими от легитимных пользователей, поэтому сервер проверяет запрос за запросом. По сути, «обслуживание» «отказывается» для легитимных пользователей из-за последующей потери пропускной способности и сетевых ресурсов.

Атакованная система или данные становятся недоступными для пользователей, которым они нужны. Атаки DoS часто используются для вымогательства, потому что, например, бизнес, который не может предоставить свои услуги клиентам, может потерять доход и понести репутационный ущерб. В этом смысле DoS похож на вымогательство, но заложником является сервис жертвы, а не ее данные.

В чем разница между атакой DoS и атакой DDoS?

Если атака DoS поступает только из одного источника, то атака типа «распределенного отказа в обслуживании» (DDoS) одновременно отправляет мошеннические запросы из нескольких источников. Как правило, злоумышленник использует группу интернет-соединенных устройств, иногда в глобальном масштабе, чтобы перегружать целевой сервер, что может быть гораздо проще, чем атака DoS.

Такая группа инфицированных компьютеров называется ботнетом. Ботнеты работают синхронизированно, ожидая инструкций от злоумышленника по одному IP-адресу, чтобы начать атаку флудом. Эти атаки обычно запланированы к началу в определенное время и могут длиться часы или даже дни.

Сервер, подвергающийся атаке DoS, может просто закрыть единственное соединение, через которое поступает атака. Атаки DDoS гораздо опаснее и труднее для предотвращения, потому что приток трафика поступает из нескольких источников одновременно.

Кроме того, злоумышленники теперь используют устройства Интернета вещей (IoT), чтобы сделать свои ботнеты еще более опасными, сократив количество ручных процессов. А именно, они могут использовать устройства IoT, чтобы гораздо легче синхронизировать свои ботнет-устройства, повышая эффективность своих атак.

Какие исторически значимые атаки DoS были совершены?

Атаки DDoS гораздо более распространены, чем атаки DoS, главным образом потому, что атаки DDoS гораздо труднее остановить и, следовательно, могут осуществляться в течение более длительного периода времени.

Поставщики облачных услуг часто становятся жертвами DDoS из-за их врожденной уязвимости к таким угрозам. Вот несколько более недавних случаев, которые попали в заголовки новостей:

• Amazon: В феврале 2020 года Amazon пережила одну из крупнейших DDoS-атак, когда-либо зарегистрированных. Используя рефлексию протокола легкого доступа к каталогу без соединения (CLDAP), злоумышленники атаковали клиента Amazon Web Services (AWS) со скоростью 3,3 терабайта в секунду (TBps) в течение трех дней.
• GitHub: В феврале 2018 года злоумышленники отправили 1,35 терабайта в секунду на серверы GitHub в течение 20 минут. «Десятки тысяч уникальных конечных точек» содержали «более тысячи различных автономных систем», которые запустили атаку.
• Google: В октябре 2020 года Google пережила шестимесячную атаку UDP-усиления, которая была организована на трех китайских интернет-провайдерах (ISP), отправляющих более 2,5 терабайта мусорных данных в секунду на серверы Google.

Как можно выявить атаку DoS?

Поставщики инфраструктуры, как правило, не фильтруют объявления маршрутов, которые говорят людям, как добраться из одного места в интернете в другое. Более важно то, что они также, как правило, не фильтруют пакеты для проверки источника трафика. Эти два условия облегчают злоумышленникам отправку атакующего трафика к цели.

Злоумышленники обычно мотивированы тремя вещами: враждебностью к цели (типичная мотивация для хактивистских атак), вымогательством и желанием обокрасть кого-то, когда сервис им не предоставляется. Хотя нет ранних признаков атаки DoS, опытный специалист по безопасности может обнаружить трафик, который отправляет злоумышленник, чтобы определить, являетесь ли вы жизнеспособной целью или нет.

Злоумышленники отправят большое количество запросов, например, в разные части веб-сайта, чтобы проверить, уязвимы ли веб-серверы к атаке DoS. Эти ранние веб-«треморы» являются признаком того, что ваша организация может подвергнуться атаке.

При наличии надлежащего мониторинга сетевой безопасности ваша команда кибербезопасности может анализировать сетевой трафик и выявлять закономерности в пакетах, которые являются четкими признаками атаки. Чтобы определить, подвергаетесь ли вы атаке в режиме реального времени, вам нужно наблюдать за метаданными ваших сетевых устройств, т. е. маршрутизаторов и коммутаторов — задача, которую легче выполнить с помощью качественного инструмента мониторинга.

Типы атак DoS

Существует четыре основных типа атак DoS, которые направлены на эксплуатацию или вымогательство систем и данных:

• Перенаправление браузера: пользователь запрашивает загрузку страницы, но хакер перенаправляет пользователя на другую, вредоносную страницу.
• Закрытие соединения: злоумышленник закрывает открытый порт, отказывая пользователю в доступе к базе данных.
• Уничтожение данных: хакер удаляет файлы, что приводит к ошибке «ресурс не найден», когда кто-то запрашивает этот файл, или, если приложение содержит уязвимость, которая оставляет его открытым для атак инъекции, злоумышленник может отказать в обслуживании, удалив таблицу базы данных.
• Истощение ресурсов: злоумышленник будет неоднократно запрашивать доступ к определенному ресурсу, перегружая веб-приложение, что приводит к его замедлению или краху из-за неоднократной перезагрузки страницы.

Типы атак DDoS

Вот несколько конкретных примеров атак DDoS, которые стоит запомнить:

• SYN-флуд: злоумышленник эксплуатирует TCP-коммуникацию (SYN-ACK), отправляя большое количество пакетов SYN, что потребляет ресурсы целевой системы.
• Спуфинг: злоумышленник имитирует пользователя или устройство и, завоевав доверие, использует поддельные пакеты для запуска кибератаки.
• Атака DDoS на уровне приложения: как следует из названия, эта атака, после ее развертывания, будет эксплуатировать уязвимость или неправильную конфигурацию в приложении и отказать пользователю в доступе к приложению или его использованию.
• Флуд системы доменных имен (DNS): также известный как атака усиления DNS, злоумышленник нарушает разрешение DNS для данного доменного имени, перегружая его серверы.
• Флуд протокола интернет-контрольных сообщений (ICMP): также известный как флуд ping, злоумышленник подделывает исходный IP-адрес и создает атаку smurf. Этот метод также может быть использован для отправки «пинга смерти», при котором большой пакет вызывает переполнение буфера.
• Флуд протокола пользовательских датаграмм (UDP): злоумышленник перегружает случайные порты своей цели, что затем потребляет ресурсы и отвечает пакетами «назначение недоступно».

Предотвращение атаки DoS

Атаки DoS или DDoS могут произойти в любое время, но при наличии надлежащих лучших практик вы можете убедиться, что ваша организация имеет все необходимые инструменты и протоколы для сильной защиты.

Вот пять способов предотвратить атаку DoS:

• Создайте план реагирования на DoS-атаку. Проверьте свою систему и выявите любые потенциальные недостатки безопасности, уязвимости или пробелы в защите. Опишите план действий на случай атаки.
• Защитите свою инфраструктуру. Эффективные облачные решения для брандмауэра, мониторинга трафика и разведки угроз, такие как обнаружение или предотвращение вторжений, значительно повышают ваши шансы на отражение DoS-атак.
• Понимайте предупреждающие признаки. Обратите внимание на медленную работу сети, простои веб-сайта, перебои или внезапное увеличение спама. Все это требует немедленных действий.
• Используйте облачные сервисы. Облачные ресурсы обеспечивают вам большую пропускную способность, чем локальные, и поскольку ваши серверы не находятся в одном месте, злоумышленникам будет труднее атаковать вас.
• Следите за необычной активностью. Это позволит вашей команде безопасности обнаруживать и устранять DoS- или DDoS-атаки в режиме реального времени. В следующем разделе мы рассмотрим способы, с помощью которых вы можете полностью снизить риск DoS- и DDoS-атак.

Как можно снизить риск DoS-атаки?

Плохая позиция безопасности и видимость могут открыть дверь не только для DoS- и DDoS-атак, но и для других угроз, таких как вредоносное ПО, вымогательство, фишинг и многое другое. Чтобы обеспечить безопасность вашей организации и максимизировать ваши шансы на эффективное устранение DoS- и DDoS-атак, вам нужна надлежащая защита от DoS- и DDoS-атак. Вот несколько способов, с помощью которых вы можете снизить вероятность того, что вас атакуют с помощью DoS или DDoS:

• Получите защиту из облака. Облачная защита позволяет вам распространить политику на всех ваших пользователей — где бы они ни находились и какое бы устройство ни использовали — и обеспечивает вам полный контроль над вашей средой. Кроме того, благодаря автоматическим обновлениям и отсутствию необходимости вручную исправлять или настраивать систему, вы всегда готовы защищаться от последних угроз.
• Принимайте расширенные решения по обнаружению и реагированию (XDR). XDR — это эволюция обнаружения и реагирования на конечных точках (EDR), которая обеспечивает вам видимость угроз на конечных точках, а также понимание потенциальных рисков для данных и облачной безопасности — все это с включенной целостной разведкой угроз. Это остановит поток ложных срабатываний, с которыми обычно сталкивается команда безопасности, освободив их для более продуктивной работы.
• Рассмотрите возможность создания центра операций безопасности (SOC). Облачный SOC позволяет вам охватить области, на которые у вашей команды безопасности может не хватить ресурсов. А именно: обеспечение облачной политики, обнаружение и реагирование на угрозы, защита данных и даже, в некоторых случаях, соответствие требованиям. Как и XDR, управляемый SOC дает вам и вашей команде свободу сосредоточиться на более важных вопросах.
• Внедрите архитектуру нулевого доверия. По данным Gartner, к 2025 году не менее 70% новых развертываний удаленного доступа будут обслуживаться в основном с помощью ZTNA вместо VPN-сервисов, по сравнению с менее чем 10% в конце 2021 года. Это связано с тем, что безопасность на основе нулевого доверия предоставляет доступ только на основе контекста (т. е. пользователя, устройства, местоположения и приложения), обеспечивая, чтобы злоумышленники были исключены при любых обстоятельствах.

Когда речь заходит о нулевом доверии, только один поставщик предлагает нулевое доверие, созданное в облаке. Как оказалось, это тот же поставщик, который сотрудничает с лучшими архитекторами XDR, чтобы вы могли обнаруживать угрозы на всех ваших конечных точках, облаках и данных. Этот поставщик — Zscaler.

Как Zscaler может помочь

Zscaler — единственный поставщик услуг безопасности с платформой, достаточно мощной для защиты от современных угроз, включая DoS- и DDoS-атаки. Zscaler Private Access™ (ZPA™) является частью Zscaler Zero Trust Exchange™, самой популярной и широко используемой платформы безопасности SSE (Security Service Edge) в мире.

Уникальный дизайн ZPA основан на четырех ключевых принципах:

• Подключайте пользователей к приложениям, не помещая пользователей в сеть
• Никогда не предоставляйте приложениям доступ к несанкционированным пользователям
• Включите сегментацию приложений без сегментации сети
• Обеспечьте безопасный удаленный доступ без использования VPN-устройств

ZPA обеспечивает простой, безопасный и эффективный способ доступа к внутренним приложениям. Доступ основан на политиках, созданных администратором ИТ в портале администратора ZPA и размещенных в облаке Zscaler. На каждом устройстве пользователя установлена наша программа Zscaler Client Connector, которая обеспечивает соответствие устройства пользователя требованиям и создает безопасный микротуннель к облаку Zscaler, когда пользователь пытается получить доступ к внутреннему приложению.

Рядом с приложением, работающим в публичном облаке или центре обработки данных, ZPA размещает наш App Connector, развернутый как виртуальная машина, который используется для создания микротуннеля к облаку Zscaler. Z-Connector устанавливает исходящее соединение с облаком и не получает никаких входящих запросов на соединение, тем самым предотвращая DDoS-атаки.

В облаке Zscaler облачный брокер безопасности доступа (CASB) одобряет доступ и объединяет соединение между пользователем и приложением. ZPA на 100% программно-определяем, поэтому не требует устройств и позволяет пользователям пользоваться преимуществами облака и мобильности, сохраняя при этом безопасность своих приложений — преимущества, недостижимые с помощью традиционных методов сетевого подключения и устаревших локальных брандмауэров.

Часто задаваемые вопросы