DDoS Defense 101 (2015)

Transcript

1. DDoS Defence 101 Артём Гавриченков <ag@qrator.net>
2. WWW.QRATOR.NET История • Первые атаки – 1999-2000 гг.
3. WWW.QRATOR.NET История • Первые атаки – 1999-2000 гг. • 2005: модель STRIDE - Spoofing Identity - Tampering with Data - Repudiation - Information Disclosure - Denial of Service - Elevation of Privileges
4. WWW.QRATOR.NET [D]DoS
5. WWW.QRATOR.NET [D]DoS • DoS – эксплуатация уязвимостей в ПО
6. WWW.QRATOR.NET [D]DoS • DoS – эксплуатация уязвимостей в ПО • DDoS – исчерпание ресурсов компьютерной системы
7. WWW.QRATOR.NET Цели • Ограничение доступа к информации • Месть • Вымогательство • Конкуренция
8. WWW.QRATOR.NET Цели • Ограничение доступа к информации • Месть • Вымогательство • Конкуренция
9. WWW.QRATOR.NET Цели • Ограничение доступа к информации • Месть • Вымогательство • Конкуренция
10. WWW.QRATOR.NET Цели • Ограничение доступа к информации • Месть • Вымогательство • Конкуренция
11. WWW.QRATOR.NET Цели • Ограничение доступа к информации • Месть • Вымогательство • Конкуренция
12. WWW.QRATOR.NET Типы  атак
13. WWW.QRATOR.NET Типы  атак
14. WWW.QRATOR.NET Типы  атак !
15. WWW.QRATOR.NET Типы  атак • L2 • L3 • L4 • L7
16. WWW.QRATOR.NET Типы  атак • L2 «Забивание» канала: ICMP Flood, * Amplification… • L3 • L4 • L7
17. WWW.QRATOR.NET Типы  атак • L2 Amplification: • L3 • L4 • L7 • NTP • DNS • SNMP • SSDP • CHARGEN • RIPv1 • Bittorrent!
18. WWW.QRATOR.NET Типы  атак • L2 Amplification: • L3 • L4 • L7 • NTP • DNS • SNMP • SSDP • CHARGEN • RIPv1 • Bittorrent!
19. WWW.QRATOR.NET Типы  атак • L2 Amplification: • L3 • L4 • L7 • NTP • DNS • SNMP • SSDP • CHARGEN • RIPv1 • Bittorrent!
20. WWW.QRATOR.NET Типы  атак • L2 «Забивание» канала: ICMP Flood, * Amp… • L3 Нарушение функционирования сетевой инфраструктуры • L4 • L7
21. WWW.QRATOR.NET Типы  атак • L2 «Забивание» канала: ICMP Flood, * Amp… • L3 Нарушение функционирования сетевой инфраструктуры • L4 Эксплуатация слабых мест TCP-драйвера • L7
22. WWW.QRATOR.NET Типы  атак • L2 «Забивание» канала: ICMP Flood, * Amp… • L3 Нарушение функционирования сетевой инфраструктуры • L4 Эксплуатация слабых мест TCP-драйвера • L7 Деградация Web-приложения
23. WWW.QRATOR.NET Параметры  атак • L2 Gbps • L3 Pps, … • L4 Pps, … • L7 Rps/IPs
24. WWW.QRATOR.NET Противомеры • L2 Полоса! • L3 Аналитика • L4 Анализ поведения и эвристика • L7 Поведенческий, корреляционный анализ, мониторинг
25. WWW.QRATOR.NET Расследование? • Очень сложно • ОЧЕНЬ ДОРОГО • В основном, благодаря ошибкам атакующих
26. WWW.QRATOR.NET Сетевая  архитектура   • «Земной» хостинг • «Облачный» хостинг • CDN
27. WWW.QRATOR.NET Оценка  рисков Probability/Impact Matrix Trivial Minor Moderate Significant Severe Rare Unlikely Moderate Likely Very Likely Impact: Severe Probability: Moderate/Unlikely
28. WWW.QRATOR.NET Оценка  рисков Хостинг Облако CDN L2 L3 L4 L7
29. WWW.QRATOR.NET Оценка  рисков Хостинг Облако CDN L2 High L3 Low L4 High L7 High
30. WWW.QRATOR.NET Оценка  рисков Хостинг Облако CDN L2 High Moderate L3 Low Low L4 High Low L7 High High
31. WWW.QRATOR.NET Оценка  рисков Хостинг Облако CDN L2 High Moderate Moderate L3 Low Low High L4 High Low Low L7 High High Low
32. WWW.QRATOR.NET Оценка  рисков Хостинг L2 High L3 Low L4 High L7 High • Что ни размещай, в т.ч. специализированное оборудование • У приложения должен быть запас производительности (2x) • INSTANT RELOCATION
33. WWW.QRATOR.NET Оценка  рисков Облако L2 Moderate L3 Low L4 Low L7 High • BGP Anycast! • 500 Гбит/с – не шутки • У приложения должен быть запас производительности (2x) • «DoS via billing»
34. WWW.QRATOR.NET Оценка  рисков CDN L2 Moderate L3 High L4 Low L7 Low • BGP Anycast • Защищённый DNS-сервер
35. WWW.QRATOR.NET Сетевая  архитектура   • Anycast-адрес – это вообще полезно! • IPv4, кстати, заканчивается • IPv6 плохо внедряется • Anycast можно арендовать
36. WWW.QRATOR.NET Сетевая  архитектура   • Приложение, отвязанное от платформы • Docker? • Документация
37. WWW.QRATOR.NET Сетевая  архитектура Возможности для защиты от DDoS нужно предусматривать заранее: • В протоколе • В архитектуре • В реализации
38. WWW.QRATOR.NET Сетевая  архитектура Защита – это не продукт, а процесс • Своевременное обновление • Реагирование на тенденции • Реагирование на инциденты
39. WWW.QRATOR.NET Дивный  новый  мир • IPv4 NAT – боль • Приходится блокировать NAT pool’ы целиком • Размер пространства IPv6 – БОЛЬ • Придётся банить подсетями, иначе никак
40. WWW.QRATOR.NET Дивный  новый  мир • IPv4 NAT – боль • Приходится блокировать NAT pool’ы целиком • Размер пространства IPv6 – БОЛЬ • Придётся банить подсетями, иначе никак
41. WWW.QRATOR.NET Спасибо за внимание! Artyom Gavrichenkov <ag@qrator.net>