Grundlæggende DDoS-beskyttelse til små steder og butikker
DDoS-angreb er ikke kun et problem for banker og spilstudier – små websteder bliver konstant fanget i eksplosionsradius. Hvordan de virker, og hvad de rent faktisk skal gøre, når man starter.
Det første tegn er næsten aldrig en sikkerhedsadvarsel. Det er webstedet, der er langsomt, så er webstedet meget langsomt, så hosting-dashboardet, der viser CPU, fastgjort til 100% og en supportbillet, der siger "har du kørt en kampagne?"
Når nogen bruger ordet DDoS, er det normalt gået i tyve minutter. Så det er værd at forstå formen af tingen, før du møder en - især det faktum, at der er to helt forskellige angreb, der gemmer sig under samme akronym, og de har brug for forskellige svar.
Hvorfor "distribueret" er hele problemet
DDoS står for Distribueret Denial of Service. Denial-of-service delen er enkel: overvælde et websted, så virkelige besøgende ikke kan komme ind. Den distribuerede del er det, der gør det svært at håndtere.
Trafikken kommer ikke fra ét sted, du kan blokere. Det kommer fra tusindvis af kompromitterede enheder spredt over hele verden - hjemmeroutere, overvågningskameraer, servere med svage adgangskoder, der ofte ejes af mennesker uden nogen idé om, at de deltager. Hver af dem sender et trickle. Sammen er de en brandslange, og der er ingen enkelt IP-adresse at droppe.
To angreb, to problemer
Oversvømmelser
Brute force-versionen: Send mere rå trafik, end din forbindelse kan bære. Disse måles i gigabit per sekund, de bruger ofte forstærkning - sender en lille forfalsket anmodning til en tjeneste, der svarer med et meget større svar rettet mod dig - og de er ligeglade med, hvad dit websted er. eller gør. Dit rør fyldes op, og legitime pakker har ingen steder at tage hen.
Det vigtige at forstå er, at du ikke kan løse dette på din server. Hvis nogen sender 50 Gbps med en forbindelse på 1 Gbps, betyder det ikke noget, at der kører noget i den anden ende af forbindelsen. Trafikken skal absorberes opstrøms, i et netværk med mere kapacitet end angrebet.
Oversvømmelser i applikationslag
DSe her version, og i stigende grad den mere almindelige mod små websteder. I stedet for rå volumen sender disse anmodninger, der ser legitime ud, men er dyre for dig at besvare: Søgeforespørgsler med usædvanlige vilkår, slutpunkter, der udløser en tung database join, en loginformular, noget uoverskueligt.
Trafikmængden kan være beskeden – et par tusinde anmodninger pr. minut, intet, der ville genere din båndbredde – mens din database smelter. En butik med et langsomt søgeendepunkt kan tages ned af et angreb, der er så lille, at ingen overvåger båndbredden overhovedet.
| Volumetrisk | Anvendelseslag | |
|---|---|---|
| Målt i | Gigabit pr. sekund | Anmodninger pr. sekund |
| Hvad det udtømmer | Din båndbredde | Din CPU og database |
| Det ser sådan ud | Åbenbart affald | Sandsynlige anmodninger |
| Stoppede af | Opstrømskapacitet | Bedøm grænser, cachelagring, udfordringer |
| Kan din server hjælpe? | Nr | Delvis |
Hvorfor små websteder bliver ramt overhovedet
Hvem ville angribe et lille sted?
- Udpressere en kort demonstration, så en betaling efterspørgsel
- En konkurrent, normalt omkring et salg eller en lancering
- Nogen, der tester en opstartstjeneste på et tilfældigt mål
- Sikkerhedsstillelse efter et angreb på en nabo hos din vært
Hvorfor det gør mere ondt
- Én server har et hårdt loft og ingen elasticitet
- Nedetid under en kampagne er direkte tabt indtjening
- Fælles hosting naboer kan tage dig ned med dem
- Ingen har vagt kl. 02.00
Det sidste punkt i venstre kolonne er værd at dvæle ved. På delt hosting kan et angreb rettet mod et helt uafhængigt websted på din server også tage din offline. Du behøver ikke at være et mål for at være et offer.
Forsvaret er en evne, du ikke ejer
Du kan ikke vinde en kapacitetskamp fra en enkelt server, og at købe en større server ændrer ikke aritmetikken - angriberen kan tilføje bots hurtigere og billigere, end du kan tilføje hardware.
Det, der virker, er at sætte et stort distribueret netværk foran dig. Et edge-netværk har tilstedeværelsespunkter i mange byer, hver med betydelig kapacitet, og trafikken absorberes og filtreres på tværs af dem i stedet for at konvergere på din ene boks. En oversvømmelse, der ville flade en enkelt oprindelse ankommer til halvtreds steder på én gang, bliver filtreret på hver, og hvad når du er, hvad der var legitimt.
Caching gør en overraskende mængde arbejde her også. Hvis 95% af anmodninger besvares fra kanten, absorberes en applikationsoversvømmelse, der er rettet mod cachebare webadresser helt - angriberen er DDoSing en cache, hvilket er, hvad caches er til.
Intet af dette hjælper, hvis din virkelige IP-adresse er offentlig. Angribere slår det op - i gamle DNS-poster, i mailoverskrifter, i certifikatgennemsigtighedslogfiler - og rammer det direkte og omgår din beskyttelse helt. Skift IP-adressens oprindelse, når du bevæger dig bag et kantnetværk, og konfigurer det til kun at acceptere trafik fra kanten.
Hvad skal man gøre, mens det sker
Bekræft, hvilken slags det er
Båndbredde mættet, eller CPU mættet med beskeden båndbredde? Det spørgsmål afgør alt, hvad du gør næste gang.
Ikke begynde at blokere lande i panik
Det føles afgørende, det blokerer normalt kunderne, og angrebet bevæger sig simpelthen. Nå det sent, ikke først.
Skru op for caching
Hæv TTL'er og cachelagre aggressivt, herunder ting, du normalt ville efterlade dynamiske. En forældet side slår ingen side.
Sæt en udfordring på de dyre endepunkter
Søg, log ind, alt, hvad der ikke kan gemmes. En proof-of-work-udfordring koster intet som helst i en rigtig browser og gør automatiseret volumen uøkonomisk.
Tjek, at din oprindelse faktisk er skjult
Hvis trafikken stadig ankommer direkte, kan intet ved kanten hjælpe dig. Firewall oprindelsen til kanten netværkets intervaller.
Skriv ned, hvad der skete
Bagefter, mens den er frisk. Angreb gentager sig ofte fra de samme mennesker, og anden gang er meget roligere, hvis du har noter.
Ofte stillede spørgsmål
Hvad er et DDoS-angreb?
En DDoS, eller distribueret lammelsesangreb, oversvømmer et websted med trafik fra tusindvis af separate kompromitterede enheder, så legitime besøgende ikke kan komme igennem. Fordi trafikken stammer fra mange kilder på én gang i stedet for en, er der ingen enkelt adresse at blokere, og den samlede volumen kan langt overstige, hvad en enkelt server eller forbindelse kan håndtere.
Kan en lille hjemmeside blive ramt af et DDoS-angreb?
Ja, og det sker regelmæssigt. Små websteder er målrettet af afpresningsfolk, der søger en hurtig betaling, af konkurrenter omkring salg og lanceringer, og af folk, der tester angrebstjenester på vilkårlige mål. På delt hosting kan et websted også tages offline som følgeskader fra et angreb rettet mod en ikke-relateret nabo på samme server.
Hvordan stopper jeg et DDoS-angreb?
Du kan ikke forhindre, at en server bliver angrebet – en volumetrisk oversvømmelse mætter forbindelsen, før noget på din server kører. Den effektive tilgang er at sidde bag et distribueret kantnetværk, der absorberer og filtrerer trafik på tværs af mange steder, cache aggressivt, så de fleste anmodninger aldrig når din oprindelse, anvende satsgrænser og udfordringer på dyre slutpunkter, og sørg for, at din oprindelige IP er skjult og kun accepterer trafik fra kanten.
Hvad er forskellen mellem DDoS med volumen og anvendelseslag?
Et volumetrisk angreb har til formål at udtømme din båndbredde med ren trafikvolumen, målt i gigabit pr. Sekund, og skal absorberes opstrøms for din forbindelse. Et angreb i applikationslag sender et meget mindre antal anmodninger, der er individuelt dyre at betjene - tunge søgninger, uoverskuelige sider, loginforsøg - udmattende CPU og databasekapacitet i stedet for båndbredde, og afbødes med caching, hastighedsbegrænsende og udfordringer.
Beskytter et CDN mod DDoS?
Væsentligt for begge typer. En CDN's distribuerede kapacitet absorberer volumetriske oversvømmelser, der ville overvælde en enkelt oprindelse, og dens cache besvarer de fleste ansøgningslagsforespørgsler uden at involvere din server overhovedet. Beskyttelsen gælder kun, hvis din oprindelige IP er skjult og firewalled for kun at acceptere trafik fra CDN - ellers kan angribere omgå det ved at målrette oprindelsen direkte.
Skal jeg blokere lande under et DDoS-angreb?
Det er som regel det forkerte første skridt. Landeblokke føles afgørende, men blokerer pålidelige kunder, og et distribueret botnet skifter simpelthen til kilder i tilladte lande. Caching mere aggressivt, satsbegrænsende dyre slutpunkter og anvendelse af udfordringer til mistænkelig trafik er mere præcise og billigere. Behandl geografisk blokering som en foranstaltning i sent stadie, og gennemgå den, når angrebet slutter.
Den ubehagelige sandhed om DDoS er, at forberedelsen skal ske før angrebet, fordi der ikke er meget du med fordel kan gøre indefra. Den gode nyhed er, at forberedelsen er kort: Sid bag et netværk med kapacitet, skjul din oprindelse og cache nok til, at det meste af din trafik aldrig rører en server overhovedet.
Se, hvordan NordicCDN gør dette for dit websted:
Mads har arbejdet med IT – mest som vært – siden han var 16. Han tog tidligt ejerskab i en SaaS-virksomhed og var med til at udvide den til Visma, har opbygget og drevet datacenternetværk og fungeret som CTO for et dansk datacenter. Han startede NordicCDN for at gøre hurtig og sikker infrastruktur enkel at bruge.
