Atacul DDoS (din engleză, Distributed Denial of Service, adică refuzul serviciului prin atac distribuit) este o încercare de a face un site sau un serviciu indisponibil, trimițându-i mult mai multe cereri decât poate procesa. Seamănă cu o mulțime care se înghesuie la ușa unui magazin, astfel încât clienții reali nu mai pot intra. Magazinul nu este jefuit și nu i se strică nimic, dar este închis de fapt.
Spre deosebire de alte atacuri informatice, scopul de obicei nu este să fure date, ci să întrerupă activitatea, să facă presiuni sau să provoace pagube de imagine.
Cum funcționează un atac DDoS
Un singur calculator care trimite cereri este ușor de oprit: se blochează adresa lui. Ideea „distribuită” rezolvă această problemă pentru atacator, fiindcă cererile vin din mii sau milioane de surse diferite, deci nu există o adresă unică de blocat.
Rețelele de dispozitive controlate
Atacatorii folosesc de obicei o rețea de dispozitive infectate, numită botnet. Poate fi vorba de calculatoare, camere de supraveghere, routere sau alte obiecte conectate la internet, la care proprietarii nu s-au gândit să schimbe parola implicită sau să facă actualizări. Infectarea se face prin tehnicile descrise la malware. Proprietarul dispozitivului de multe ori nu observă nimic, poate doar o încetinire.
La un semnal al atacatorului, toate aceste dispozitive trimit cereri către aceeași țintă, în același timp.
Ce se epuizează la țintă
Atacul poate viza resurse diferite:
- lățimea de bandă, când conexiunea țintei este umplută de trafic inutil, ca o șosea blocată;
- resursele serverului, când fiecare cerere obligă serverul la calcule costisitoare;
- conexiunile, când se deschid mult mai multe legături decât poate gestiona echipamentul, în logica protocoalelor descrise la TCP și UDP.
Tipuri de atacuri DDoS
| Tip | Ce vizează | Analogie |
|---|---|---|
| Volumetric | Lățimea de bandă | Strada blocată de mulțime |
| De protocol | Echipamentele de rețea și conexiunile | Ghișeu supraîncărcat cu formulare goale |
| La nivel de aplicație | Funcții costisitoare ale site-ului | O mie de oameni care cer același document complex |
Cele din ultima categorie sunt cele mai greu de recunoscut, pentru că fiecare cerere în parte arată normal. Doar volumul și tiparul trădează atacul. Uneori sunt folosite și servere intermediare care amplifică traficul, astfel încât o cerere mică produce un răspuns mare trimis victimei.
De ce este greu de oprit
Pe de o parte, traficul rău seamănă cu cel bun. Un site care are o campanie reușită sau apare într-un reportaj poate primi și el un val uriaș de vizitatori reali, iar sistemele de apărare trebuie să distingă între cele două situații. Pe de altă parte, sursele sunt împrăștiate geografic, deci blocarea după țară sau după adresă este doar parțial eficientă. În plus, serviciile de „închiriere” a atacurilor au făcut ca acestea să fie accesibile și unor persoane fără pregătire tehnică, ceea ce a crescut frecvența lor.
Cum se apără organizațiile
Nu există o protecție totală, dar un set de măsuri reduce mult impactul.
- Distribuirea traficului. Rețelele de livrare a conținutului, descrise în articolul despre CDN, absorb o mare parte din trafic pe servere aflate în multe locuri.
- Filtrarea. Servicii specializate analizează traficul și elimină cererile care par automate sau abuzive înainte să ajungă la server.
- Limitarea cererilor. Un utilizator sau o adresă nu poate trimite mai multe cereri decât o limită rezonabilă într-un interval scurt.
- Capacitate de rezervă și scalare. Resursele pot fi mărite temporar, după modelul din scalarea în cloud, deși costurile cresc.
- Configurare corectă. Un firewall bine configurat oprește multe tipuri de trafic nedorit.
- Plan de reacție. Contacte la furnizorul de internet sau de hosting, pași stabiliți și un mod de comunicare cu clienții.
Pentru o organizație care depinde de disponibilitatea online, merită discutat cu un specialist în securitate și cu furnizorul de hosting un plan adaptat dimensiunii ei.
Ce poți face ca utilizator obișnuit
Nu ești de obicei ținta, dar dispozitivele tale pot fi folosite fără știrea ta. Schimbă parolele implicite ale routerului și ale camerelor conectate, ține la zi actualizările, după cum se explică în articolul despre securitatea routerului, și evită aplicațiile din surse dubioase. Dacă un site important nu se deschide, nu înseamnă automat că este un atac: poate fi o simplă defecțiune.
Ce merită reținut despre atacul DDoS
- Un atac DDoS blochează accesul la un serviciu prin volum mare de cereri, nu prin furt de date.
- Cererile vin din mii de dispozitive infectate, adesea fără știrea proprietarilor.
- Există atacuri care umplu conexiunea, care suprasolicită echipamentele sau care vizează funcții ale aplicației.
- Apărarea combină filtrarea, distribuirea traficului, limitarea cererilor și un plan pregătit.
- Securizarea propriilor dispozitive reduce riscul de a ajunge, fără să știi, parte dintr-un botnet.
Întrebări frecvente
Un atac DDoS fură datele mele?
În mod normal nu. Scopul lui este să facă serviciul indisponibil. Uneori însă este folosit ca diversiune, în timp ce se desfășoară alte activități, așa că organizațiile urmăresc și alte semne.
Poate dispozitivul meu să facă parte dintr-un atac?
Da, dacă este infectat sau are o parolă implicită și acces din internet. De aceea contează actualizările și schimbarea parolelor pentru routere, camere și alte aparate conectate.
Cât durează un atac DDoS?
Poate dura de la câteva minute la mai multe zile. Unele atacuri vin în valuri scurte, repetate, ca să epuizeze echipa care apără.
Este legal să faci un atac DDoS?
Nu. Provocarea intenționată a indisponibilității unui sistem este infracțiune în majoritatea țărilor. Pentru detalii legale, consultă un avocat sau autoritățile competente.
Cum îmi dau seama dacă site-ul meu este atacat?
Semnele sunt încetinirea bruscă, erori frecvente și un trafic neobișnuit de mare din surse necunoscute. Contactează furnizorul de hosting și cere ajutorul unui specialist pentru confirmare.
