Головна » Блог » Безпека в мережі
На читання 10 хв Переглядів 1.1к. Опубліковано

DDoS-атаки: Класифікація та рішення для захисту від них

DDoS-атаки (розподілені атаки відмови в обслуговуванні) продовжують залишатися однією з найнебезпечніших загроз для сучасних інтернет-сервісів. Їхня мета – перевантажити ресурси сервера, порушити роботу сервісів або повністю вивести з ладу IT-інфраструктуру. Атаки можуть здійснюватися на різних рівнях моделі OSI: від мережевого рівня (ICMP, SYN Flood) до прикладного (HTTP Flood). У даній статті ми розглянемо основні види DDoS-атак, методи захисту та представимо практичні приклади конфігурації захисних механізмів для різних компонентів системи, включаючи DNS-сервіси (Bind та PowerDNS).

Зміст
  1. Основні види DDoS-атак
  2. Практичні приклади захисту на різних рівнях
  3. Захист на рівні ICMP
  4. Захист від SYN Flood
  5. Захист DNS-сервісів (Bind та PowerDNS)
  6. Захист сервера Bind
  7. Захист сервера PowerDNS
  8. Захист HTTP та веб-застосунків
  9. Додаткові заходи та комплексний підхід
  10. Висновок

Основні види DDoS-атак

Перед тим як перейти до практичних рекомендацій, розберемо, які типи DDoS-атак існують та в чому їх особливості:

  1. Атаки на мережевому рівні (Layer 3/4):
    Ці атаки спрямовані на перевантаження мережевих каналів та виснаження ресурсів серверів за рахунок великої кількості пакетів. Ключові приклади:
    • ICMP Flood. Масове надсилання ICMP-запитів (echo-request) може створити надмірне навантаження на мережу.
    • SYN Flood. При даній атаці зловмисники ініціюють велику кількість TCP-з’єднань, надсилаючи SYN-пакети, але не завершуючи процедуру встановлення з’єднання, що призводить до виснаження доступних з’єднань на сервері.
  2. Атаки на прикладному рівні (Layer 7):
    Атаки, спрямовані на веб-сервіси та застосунки, наприклад, HTTP Flood, при якому генерується величезна кількість HTTP-запитів до веб-сервера, що перевантажує обробку легітимних запитів.
  3. DNS-атаки:
    Атаки на сервіси DNS можуть призвести до відмови в обслуговуванні доменів. При цьому використовуються як загальні техніки DDoS, так і специфічні методи, спрямовані на вразливості конкретного програмного забезпечення – чи то Bind чи PowerDNS.

Способи захисту від DDoS атак

Практичні приклади захисту на різних рівнях

Захист на рівні ICMP

Проблематика:
При атаці типу ICMP Flood зловмисники надсилають велику кількість ICMP echo-запитів (ping), що може перевантажити як мережеве обладнання, так і кінцеві сервери.

Практичні заходи та приклади:

  • Фільтрація ICMP-пакетів через iptables:
    У Linux-системах можна використовувати iptables для обмеження або блокування ICMP-пакетів. Наприклад, для обмеження кількості вхідних ping-запитів можна застосувати наступну команду: 
    iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s --limit-burst 5 -j ACCEPT 
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP

    Тут правило дозволяє не більше одного запиту в секунду з можливістю короткочасного сплеску до 5 запитів. Усі інші пакети відкидаються. Такий підхід допомагає уникнути перевантаження мережі, зберігаючи можливість діагностики.

  • Налаштування rate limiting на обладнанні:
    Багато сучасних маршрутизаторів та міжмережевих екранів підтримують вбудовані можливості rate limiting. Налаштування цих параметрів дозволяє обмежити кількість ICMP-пакетів, що проходять через пристрій, що особливо важливо для розподілених атак, коли пакети надходять з різних джерел.
  • Використання систем моніторингу:
    Для оперативного виявлення аномалій в ICMP-трафіку рекомендується використовувати системи моніторингу (наприклад, Zabbix або Prometheus), які можуть сповістити адміністратора про різкі сплески ping-запитів.

Захист від SYN Flood

Проблематика:
SYN Flood-атаки експлуатують стандартний механізм встановлення TCP-з’єднання, змушуючи сервер виділяти ресурси для великої кількості «напіввідкритих» з’єднань. Це може призвести до виснаження пам’яті та відмови в обслуговуванні легітимних клієнтів.

Практичні заходи та приклади:

  • Використання SYN Cookies:
    SYN Cookies – це метод, який дозволяє серверу обробляти вхідні SYN-пакети без виділення ресурсів до моменту підтвердження з’єднання. У Linux дана функція зазвичай увімкнена за замовчуванням, але для впевненості можна перевірити налаштування: 
    sysctl net.ipv4.tcp_syncookies

    Якщо значення дорівнює 1, то функція увімкнена. Для увімкнення можна виконати:

    sysctl -w net.ipv4.tcp_syncookies=1
  • Налаштування параметрів TCP:
    Зміна налаштувань ядра Linux може підвищити стійкість до SYN Flood-атак. Приклад налаштування:

    sysctl -w net.ipv4.tcp_max_syn_backlog=2048 
sysctl -w net.ipv4.tcp_synack_retries=2 
sysctl -w net.ipv4.tcp_abort_on_overflow=1

    Тут збільшується розмір черги SYN-запитів і зменшується кількість спроб надсилання SYN-ACK, що допомагає швидше звільняти ресурси.

  • Фільтрація SYN-пакетів через iptables:
    Можна додатково обмежити кількість вхідних SYN-пакетів з одного IP:

    iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT 
iptables -A INPUT -p tcp --syn -j DROP

    Таке правило допомагає зменшити ймовірність перевантаження системи при атаках з одного джерела.

  • Використання спеціалізованих систем IDS/IPS:
    Програмні та апаратні системи виявлення та запобігання вторгненням (IDS/IPS) можуть виявляти аномальний потік SYN-пакетів і автоматично блокувати підозрілі IP-адреси.

Пропонуємо ознайомитися з встановленням та налаштуванням nftables firewall в Ubuntu як одним із методів захисту від DDoS атак.

Захист DNS-сервісів (Bind та PowerDNS)

DNS-сервіси є критичною ланкою для забезпечення доступності інтернету, і їх захист від DDoS-атак вимагає особливої уваги. Розглянемо практичні приклади для двох популярних DNS-серверів.

Захист сервера Bind

Проблематика:
Атаки на Bind можуть включати як масовий потік DNS-запитів, так і спроби використати вразливості для виконання DDoS-атаки.

Практичні заходи:

  • Обмеження зонального обміну (zone transfers):
    Для підвищення безпеки налаштуйте файл конфігурації named.conf, обмеживши список довірених серверів для обміну зонами: 
    zone "example.com" IN {
    type master;
    file "db.example.com";
    allow-transfer { 192.168.1.2; 192.168.1.3; };
};

    Тут дозволено обмін тільки з серверами з вказаного списку.

  • Rate limiting:
    У Bind можна використовувати вбудовані можливості обмеження кількості запитів. Увімкніть опцію rate-limit у конфігураційному файлі:

    options {
    rate-limit {
        responses-per-second 5;
        window 5;
    };
};

    Це правило обмежує кількість відповідей на запити, що надходять з одного IP, що допомагає знизити навантаження при атаках.

  • Моніторинг та логування:
    Налаштуйте розширене логування для своєчасного виявлення аномальних сплесків трафіку. Наприклад:

    logging {
    channel default_debug {
        file "data/named.run";
        severity dynamic;
    };
};

    За допомогою таких налаштувань можна швидко виявити початок атаки та вжити заходів щодо її локалізації.

Захист сервера PowerDNS

Проблематика:
PowerDNS, як сучасна альтернатива Bind, також піддається DDoS-атакам, особливо при використанні в умовах високого навантаження.

Практичні заходи:

  • Розподіл навантаження:
    Для зменшення навантаження на один сервер рекомендується використовувати балансувальники навантаження. Наприклад, можна застосувати HAProxy для розподілу запитів між кількома інстансами PowerDNS: 
    frontend pdns_front
    bind *:53
    mode tcp
    default_backend pdns_back

backend pdns_back
    mode tcp
    balance roundrobin
    server pdns1 192.168.1.10:53 check
    server pdns2 192.168.1.11:53 check
  • Аутентифікація та шифрування:
    Для критичних операцій, таких як оновлення зон, використовуйте механізми аутентифікації. У PowerDNS можна налаштувати ключі TSIG для забезпечення безпеки зональних оновлень:

    zone "example.com" {
    type master;
    file "example.com.zone";
    also-notify = 192.168.1.10;
    allow-notify = 192.168.1.10;
    update-policy { grant TSIG-key example.com. any; };
};

    Для шифрування обміну даними можна налаштувати TLS на рівні транспортного каналу.

  • Аналіз логів та моніторинг:
    Регулярне відстеження логів PowerDNS та застосування спеціалізованих систем моніторингу (наприклад, Grafana у зв’язці з Prometheus) дозволяють своєчасно виявляти аномалії та реагувати на них.

Крім того, Ви можете використовувати RoundRobin DNS для балансування DNS запитів та підвищення відмовостійкості.

Захист HTTP та веб-застосунків

Проблематика:
HTTP Flood-атаки спрямовані на перевантаження веб-серверів шляхом надсилання великої кількості запитів. Такі атаки можуть бути особливо небезпечними для застосунків, де навіть незначна затримка або помилка можуть призвести до значних втрат.

Практичні заходи:

  • Веб-аплікаційні міжмережеві екрани (WAF):
    Використання WAF (наприклад, ModSecurity) дозволяє фільтрувати підозрілий HTTP-трафік. Приклад базової конфігурації для Apache з ModSecurity: 
    <IfModule security2_module>
    SecRuleEngine On
    SecRequestBodyAccess On
    SecResponseBodyAccess Off
    SecRule REQUEST_HEADERS:User-Agent "^(?:curl|wget)" "id:1001,deny,status:403,msg:'Forbidden User-Agent'"
</IfModule>

    Це правило блокує запити з типовими користувацькими агентами, які часто використовуються ботами.

  • Кешування контенту та використання CDN:
    Інтеграція з системами кешування та CDN (наприклад, Cloudflare, Akamai) дозволяє знизити навантаження на основний сервер, оскільки частина запитів обробляється на периферійних вузлах. Налаштування кешування може бути виконане як на рівні веб-сервера, так і на рівні застосунку.
  • Обмеження кількості запитів:
    Для захисту від перевантаження можна налаштувати обмеження на кількість запитів з одного IP-адреси через серверні або міжмережеві правила. Приклад для Nginx:

    http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
    server {
        location / {
            limit_req zone=one burst=5 nodelay;
        }
    }
}

    Тут вказано, що з одного IP дозволяється один запит в секунду з можливістю короткочасного сплеску до 5 запитів.

  • Моніторинг аномального трафіку:
    Використовуйте системи логування (наприклад, ELK stack) для аналізу HTTP-запитів. Це дозволить оперативно реагувати на сплески активності, характерні для DDoS-атак, і вживати заходів щодо фільтрації або блокування підозрілих джерел.

Додаткові заходи та комплексний підхід

Аналіз та оперативне реагування:
Захист від DDoS-атак – це не разова налаштування, а постійний процес. Важливо інтегрувати всі вищеописані заходи в єдину систему моніторингу та реагування. Використання таких інструментів, як Zabbix, Prometheus, Grafana та систем логування (ELK), дозволяє оперативно відслідковувати аномалії в трафіку та вживати заходів до того, як атака досягне критичного рівня.

План реагування:
Наявність плану реагування на інциденти – ключовий елемент захисту. Такий план має включати:

  • Контактні дані відповідальних спеціалістів.
  • Процедури сповіщення внутрішніх та зовнішніх служб.
  • Чітку послідовність дій для перемикання трафіку або підключення резервних ресурсів.
  • Документовані кроки щодо відновлення роботи сервісів після атаки.

Взаємодія з провайдерами та спеціалізованими сервісами:
Часто DDoS-атаки мають розподілений характер, що ускладнює їх локалізацію та фільтрацію на рівні організації. У цьому випадку корисним буде співпраця з інтернет-провайдерами та спеціалізованими компаніями з захисту від DDoS (наприклад, Arbor Networks, Radware, Cloudflare). Ці провайдери можуть запропонувати рішення для перенаправлення трафіку, фільтрації та масштабування ресурсів, що значно знижує ризик відмови в обслуговуванні.

Використання апаратних рішень:
Деякі компанії обирають апаратні рішення для захисту своїх мереж. Це можуть бути спеціалізовані DDoS-апаратні фільтри, які аналізують трафік у режимі реального часу та блокують підозрілі пакети. Такі пристрої часто інтегруються з загальними системами безпеки підприємства.

Оновлення та тестування системи захисту:
Регулярне тестування та аудит налаштувань безпеки дозволяє виявляти вразливості до того, як вони будуть експлуатовані зловмисниками. Проводьте періодичні стрес-тести, щоб перевірити ефективність налаштувань, та оновлюйте програмне забезпечення, дотримуючись рекомендацій виробників.

Висновок

Захист від DDoS-атак – складне завдання, що вимагає комплексного підходу. Як показано в даній статті, успішна стратегія включає в себе багаторівневий захист, який охоплює мережевий (ICMP, SYN Flood), прикладний (HTTP Flood) та сервісний (DNS) рівні. Практичні приклади, наведені вище, демонструють, як за допомогою інструментів Linux (iptables, sysctl), спеціалізованих програмних рішень (ModSecurity, балансувальники навантаження) та апаратних засобів можна суттєво підвищити стійкість інфраструктури.

Важливо пам’ятати, що DDoS-атаки постійно еволюціонують, і єдиний спосіб залишатися захищеним – це постійне оновлення захисних заходів, моніторинг трафіку та оперативне реагування на інциденти. Наявність чітко задокументованого плану реагування, тісна співпраця з провайдерами та регулярне тестування системи безпеки дозволяють мінімізувати ризики та забезпечити стабільну роботу сервісів навіть в умовах інтенсивних атак.

Сучасні методи захисту дозволяють не лише виявляти та фільтрувати атакуючий трафік, але й розподіляти навантаження між кількома серверами, що особливо актуально для критичних сервісів, таких як DNS. Використання методів rate limiting, SYN Cookies, обмежень на рівні ICMP та HTTP, а також інтеграція з сучасними системами моніторингу створюють надійний бар’єр проти DDoS-атак.

Таким чином, комплексний підхід, що поєднує технічні заходи, планування та оперативне реагування, є ключем до успішного захисту від DDoS-атак. Застосовуючи описані практичні приклади, адміністратори зможуть не лише знизити ризик перевантаження інфраструктури, але й оперативно реагувати на можливі загрози, забезпечуючи стабільну роботу сервісів та захищаючи дані користувачів.

Оцініть статтю
© 2025 Virtirio