Подготовка к атакам типа "отказ в обслуживании" и реагирование на них

[Carder]

Хотя организации не могут избежать атак типа «отказ в обслуживании», существует ряд мер, которые организации могут реализовать, чтобы подготовиться к атакам и потенциально снизить их воздействие. Подготовка к атакам типа «отказ в обслуживании» до того, как они произойдут, - безусловно, лучшая стратегия, очень сложно отреагировать, когда они начнутся, и усилия на этом этапе вряд ли будут эффективными.

Введение​

Атаки типа «отказ в обслуживании» предназначены для нарушения или ухудшения работы онлайн-сервисов, таких как веб-сайты, электронная почта и DNS. Для достижения этой цели злоумышленники могут использовать ряд подходов для отказа в доступе законным пользователям онлайн-сервисов, например:

• использование нескольких компьютеров для направления большого объема нежелательного сетевого трафика на онлайн-сервисы в попытке использовать всю доступную пропускную способность сети
• использование нескольких компьютеров для направления индивидуализированного трафика на онлайн-сервисы в попытке потребить ресурсы обработки онлайн-сервисов
• захват онлайн-сервисов с целью перенаправить законных пользователей с этих сервисов на другие сервисы, контролируемые злоумышленником.

Хотя организации не могут избежать атак типа «отказ в обслуживании», существует ряд мер, которые организации могут реализовать, чтобы подготовиться к атакам и потенциально снизить их воздействие. Подготовка к атакам типа «отказ в обслуживании» до того, как они произойдут, - безусловно, лучшая стратегия, очень сложно отреагировать, когда они начнутся, и усилия на этом этапе вряд ли будут эффективными.
В то время как основная цель организации, вероятно, состоит в том, чтобы не допустить, чтобы они сами стали жертвой атак типа "отказ в обслуживании", все организации могут принять меры для обеспечения того, чтобы злоумышленник не мог злоупотреблять своими собственными онлайн-сервисами для проведения атак типа "отказ в обслуживании", направленных на другие.

Подготовка к атакам типа "отказ в обслуживании"​

Прежде чем принимать какие-либо меры по подготовке к атакам типа «отказ в обслуживании», организации должны определить, существуют ли бизнес-требования к их онлайн-сервисам, чтобы противостоять атакам типа «отказ в обслуживании», или приемлемо ли для организации временный отказ в доступе к онлайн-сервисам.
Если организации желают повысить свою способность противостоять атакам отказа в обслуживании, им следует, где это целесообразно и практически, принять следующие меры до начала любых атак типа отказа в обслуживании:

• Определите, какие функциональные возможности и качество обслуживания приемлемы для законных пользователей онлайн-сервисов, как поддерживать такие функциональные возможности и без каких-либо функциональных возможностей можно обойтись во время атак типа «отказ в обслуживании».
• Обсудите с поставщиками услуг подробности их стратегий предотвращения и смягчения атак типа «отказ в обслуживании». В частности, поставщик услуг:
  • способность противостоять атакам отказа в обслуживании
  • любые расходы, которые могут быть понесены клиентами в результате атак типа "отказ в обслуживании"
  • пороговые значения для уведомления клиентов или отключения их онлайн-сервисов во время атак типа «отказ в обслуживании»
  • предварительно утвержденные действия, которые могут быть предприняты во время атак типа «отказ в обслуживании»
  • механизмы предотвращения атак типа «отказ в обслуживании» с вышестоящими поставщиками (например, поставщиками услуг уровня 2) для блокирования вредоносного трафика как можно дальше в восходящем направлении.
• Защитите доменные имена организации с помощью блокировки регистратора и подтверждения правильности данных регистрации домена (например, контактных данных).
• Обеспечьте круглосуточное ведение контактной информации поставщиков услуг и предоставление поставщикам услуг круглосуточной контактной информации для своих клиентов.
• Установите дополнительные внешние контактные данные (например, номер мобильного телефона и неорганизационный адрес электронной почты), чтобы поставщики услуг могли использовать их в случае сбоя обычных каналов связи.
• Внедрите мониторинг доступности с предупреждениями в реальном времени для обнаружения атак типа «отказ в обслуживании» и измерения их воздействия.
• Отделите важные онлайн-сервисы (например, почтовые сервисы) от других онлайн-сервисов, которые с большей вероятностью будут нацелены (например, сервисы веб-хостинга).
• Предварительно подготовьте статическую версию веб-сайта, которая требует минимальной обработки и пропускной способности, чтобы обеспечить непрерывность обслуживания при атаках типа «отказ в обслуживании».
• Используйте облачный хостинг от крупного поставщика облачных услуг (желательно от нескольких крупных поставщиков облачных услуг для обеспечения избыточности) с высокой пропускной способностью и сетями доставки контента, которые кэшируют нединамические веб-сайты. При использовании сети доставки контента избегайте раскрытия IP-адреса веб-сервера, находящегося под контролем организации (называемого исходным веб-сервером), и используйте брандмауэр, чтобы гарантировать, что только сеть доставки контента может получить доступ к этому веб-серверу.
• Используйте службу предотвращения атак типа «отказ в обслуживании».

Реагирование на атаки типа "отказ в обслуживании"​

Организации, которые хотят попытаться противостоять атакам типа «отказ в обслуживании», но не подготовились заранее, должны, где это целесообразно и практически, принять следующие меры, отмечая, что они будут гораздо менее эффективными, чем если бы они были в состоянии надлежащим образом подготовиться заранее:

• Обсудите с поставщиками услуг их способность немедленно выполнять любые ответные действия, отмечая, что поставщики услуг могут быть не в состоянии или не желать этого или могут взимать дополнительную плату за услуги, не предусмотренные контрактами.
• Временно переносите онлайн-сервисы на облачный хостинг, размещенный у крупного поставщика облачных услуг (желательно от нескольких крупных поставщиков облачных услуг для обеспечения избыточности) с высокой пропускной способностью и сетями доставки контента, которые кэшируют нединамические веб-сайты. При использовании сети доставки контента избегайте раскрытия IP-адреса исходного веб-сервера и используйте брандмауэр, чтобы гарантировать, что только сеть доставки контента может получить доступ к этому веб-серверу.
• Используйте службу предотвращения атак типа "отказ в обслуживании" на время атак типа "отказ в обслуживании" [1] [2].
• Преднамеренно отключите функциональность или удалите контент из онлайн-сервисов, которые позволяют текущей атаке типа «отказ в обслуживании» быть эффективной (например, реализовать заранее подготовленную версию веб-сайта с низким уровнем ресурсов, удалить функцию поиска или удалить динамический контент или очень большие файлы).

Как избежать участия в атаках типа "отказ в обслуживании"​

Организации должны гарантировать, что они не участвуют невольно в атаках типа «отказ в обслуживании», которые могут повлиять на другие организации и / или отдельных лиц. При этом ключевой риск заключается в обнаружении неправильно настроенных или защищенных служб, которыми можно злоупотреблять в рамках атаки с усилением трафика.
Чтобы гарантировать минимизацию риска для других, организациям следует принять следующие меры:

• уделите первостепенное внимание обзору протоколов, как указано в публикации US-CERT UDP-based Amplification Attacks по адресу https://www.us-cert.gov/ncas/alerts/TA14-017A
• отслеживать новые векторы амплификации по мере их выявления и соответствующим образом анализировать
• настроить элементы управления входящим и исходящим доступом к сети, чтобы ограничить доступ к авторизованным службам и объектам
• если не требуется, заблокируйте анонимный публичный доступ к услугам, подверженным усилению
• если блокирование или применение контроля доступа невозможно или нецелесообразно, рассмотрите возможность внедрения механизма ограничения скорости для уменьшения последствий злоупотреблений
• по возможности защитите конфигурацию открытых служб на уровне приложения, чтобы ограничить риск злоупотреблений.