Czym jest atak DDoS i jakie wywołuje skutki?

DDoS (Distributed Denial of Service) to rozproszony atak na dostępność serwera, aplikacji lub sieci, którego celem jest utrudnienie albo uniemożliwienie korzystania z usług przez uprawnionych użytkowników. Atak polega na wyczerpywaniu zasobów zaatakowanego systemu za pomocą ruchu lub żądań pochodzących z wielu źródeł.

Skutków DDoS może być wiele, lecz najczęściej jest nim niedostępność strony internetowej, zakłócenie działania aplikacji, przerwanie rozgrywki online lub problemy z usługami operatora telekomunikacyjnego. Atak może przeciążać przepustowość łączy, możliwości przetwarzania pakietów, obsługę połączeń albo zasoby potrzebne do działania konkretnej aplikacji.

Jak działa atak DDoS?

Usługi internetowe korzystają z ograniczonych zasobów, wśród których możemy wymienić przepustowość połączenia, moc obliczeniową procesora, pamięć i liczbę jednocześnie obsługiwanych sesji. Atak DDoS jest ukierunkowany na wyczerpanie tych zasobów, przez co system zaczyna reagować wolniej, odrzuca prawidłowe połączenia lub staje się całkowicie niedostępny.

Ruch wykorzystywany do ataku najczęściej pochodzi z botnetu, czyli sieci urządzeń przejętych przez cyberprzestępców. Mogą do niej należeć komputery, serwery, routery, kamery oraz inne urządzenia podłączone do Internetu, określane zbiorczo jako IoT. Ich właściciele często nie wiedzą, że sprzęt wykonuje polecenia atakującego.

W atakach wykorzystywane bywają również wynajęte lub przejęte serwery w centrach danych, a część metod opiera się na kierowaniu do ofiary odpowiedzi z cudzych usług sieciowych. Dlatego nie każdy system uczestniczący w przesyłaniu ruchu musi być zainfekowany złośliwym oprogramowaniem.

Charakterystyczne dla DDoS jest wiele źródeł ruchu, która utrudnia jego odfiltrowanie – zablokowanie pojedynczego adresu IP ma niewielki lub żaden wpływ na atak, jeżeli pozostały ruch nadal dociera z wielu innych miejsc.

Czym różni się DoS od DDoS?

DoS, czyli Denial of Service, jest ogólnym określeniem tego typu ataku na dostępność usługi. DDoS stanowi jego rozproszoną odmianę, w której wykorzystywanych jest wiele źródeł. Przy porównywaniu obu nazw termin „DoS” często odnosi się do wariantu prowadzonego z pojedynczego źródła.

Określenie „rozproszony” opisuje źródła ruchu, a nie liczbę osób kierujących atakiem. Rozległa infrastruktura może być kontrolowana przez grupę sprawców albo przez pojedynczą osobę, która uzyskała do niej dostęp.

Jakie są rodzaje ataków DDoS?

Najczęściej wyróżnia się ataki wolumetryczne, ataki na protokoły oraz ataki na warstwę aplikacji. Podział ten wskazuje przede wszystkim zasoby, które mają zostać przeciążone, a poszczególne metody mogą być łączone w jednym ataku.

Ataki wolumetryczne

Ataki wolumetryczne polegają na generowaniu ruchu mającego zająć dostępną przepustowość połączenia. Jeżeli ilość danych przekracza możliwości łącza do zaatakowanej sieci, prawidłowe pakiety mogą być opóźniane lub odrzucane, co utrudnia korzystanie z usług.

Przykładami są UDP flood i ICMP flood, czyli zalewanie celu dużą liczbą pakietów wykorzystujących odpowiednie protokoły. Atak może przeciążyć również łącza prowadzące do chronionej infrastruktury, dlatego zabezpieczenia działające dopiero na końcowym serwerze nie zawsze wystarczają do ograniczenia skutków.

Ataki na protokoły i obsługę połączeń

Ta grupa obejmuje metody wyczerpujące zasoby związane z przetwarzaniem ruchu i utrzymywaniem stanu połączeń. Mogą dotyczyć serwerów, zapór sieciowych oraz urządzeń rozdzielających ruch pomiędzy serwerami.

Przykładem jest SYN flood, wykorzystujący mechanizm nawiązywania połączeń TCP. Duża liczba rozpoczętych, lecz niedokończonych procedur nawiązywania połączeń może zajmować zasoby potrzebne do obsługi kolejnych użytkowników. Skuteczność takiego ataku zależy między innymi od zastosowanych zabezpieczeń i sposobu obsługi połączeń przez dany system.

Ataki na warstwę aplikacji

Ataki aplikacyjne, określane również jako ataki warstwy siódmej modelu OSI (L7), są skierowane w działanie konkretnej usługi, na przykład strony internetowej lub interfejsu API, przez który komunikują się aplikacje. Mogą polegać na masowym wysyłaniu żądań HTTP lub HTTPS, co określa się jako HTTP flood.

Koszt obsługi żądania bywa znacznie większy niż koszt jego wysłania, zwłaszcza gdy wymaga ono wykonania obliczeń albo zapytania do bazy danych. Z tego powodu atak aplikacyjny może zakłócić usługę bez zajmowania całej przepustowości łącza. Rozpoznanie utrudnia podobieństwo żądań atakujących do prawidłowych działań użytkowników.

Ataki odbiciowe i wzmacniające

Odbicie ruchu, czyli reflection, polega na wykorzystaniu innych systemów jako pośredników wysyłających odpowiedzi do ofiary. W atakach tego rodzaju może być stosowane podszywanie się pod źródłowy adres IP celu, przez co odpowiedzi trafiają do niego zamiast do rzeczywistego nadawcy zapytań.

Wzmocnienie, czyli amplification, występuje wtedy, gdy stosunkowo niewielkie zapytanie wywołuje znacznie większą odpowiedź. Przykładem jest DNS amplification, wykorzystujący nieprawidłowo zabezpieczone, publicznie dostępne serwery DNS. Odbicie i wzmocnienie opisują sposób generowania ruchu, dlatego mogą być jednocześnie elementem ataku wolumetrycznego.

Jak mierzy się skalę ataku DDoS?

Do oceny DDoS wykorzystuje się kilka parametrów, ponieważ sama ilość przesyłanych danych nie pokazuje wszystkich sposobów przeciążenia systemu.

1 Tb/s odpowiada 1000 Gb/s, czyli bilionowi bitów na sekundę. Jest to miara natężenia transmisji, a nie liczby zapytań. Dwa ataki o takim samym natężeniu w Gb/s mogą różnić się liczbą pakietów i wpływem na urządzenia sieciowe, a mniejszy transfer może wystarczyć do przeciążenia kosztownej w obsłudze funkcji aplikacji.

Jakie są skutki i objawy ataku DDoS?

Skutki zależą od celu ataku oraz miejsca powstania przeciążenia. Niedostępność pojedynczej strony może dotyczyć jej serwera, natomiast atak na współdzieloną infrastrukturę operatora, hostingu lub usługi DNS może wpłynąć na wiele niezależnych usług i użytkowników.

Możliwe objawy obejmują:

• długi czas otwierania stron i uruchamiania aplikacji;
• błędy połączenia oraz przekroczenie czasu oczekiwania na odpowiedź;
• niedostępność witryny, serwera gry lub innej usługi;
• wzrost opóźnień i utratę pakietów;
• przerywanie sesji albo brak możliwości nawiązania nowego połączenia.

Podobne objawy mogą występować podczas zwykłej awarii, problemów z konfiguracją lub nagłego wzrostu liczby prawidłowych użytkowników. Potwierdzenie DDoS wymaga analizy ruchu, dzienników systemowych i parametrów działania infrastruktury, a sam niski wynik testu prędkości nie pozwala określić przyczyny problemu.

Jak długo trwa atak DDoS?

Atak może mieć postać krótkiego skoku ruchu, długotrwałego przeciążenia lub powtarzających się fal. Pojedyncze uderzenia mogą trwać sekundy lub minuty, natomiast kampania obejmująca kolejne ataki może utrzymywać się przez wiele dni.

Czas trwania nie przesądza o skuteczności: krótkie przeciążenie może przerwać aktywne sesje, a dłuższy atak może zostać w dużej części odfiltrowany, dlatego badacze tego typu incydentów uwzględniają również jego natężenie, zastosowane metody i rzeczywisty wpływ na dostępność usług.

Czy DDoS oznacza włamanie lub wyciek danych?

DDoS jest przede wszystkim atakiem na dostępność – sam mechanizm przeciążenia nie wymaga uzyskania dostępu do kont użytkowników, odczytania ich haseł ani pobrania bazy danych, dlatego wystąpienie DDoS nie jest równoznaczne z wyciekiem informacji.

Jednocześnie rozpoznanie takiego ataku nie potwierdza automatycznie, że nie doszło do innego incydentu. DDoS może towarzyszyć próbom włamania lub odwracać uwagę administratorów od innych działań, dlatego bezpieczeństwo danych i dostępność usług wymagają odrębnej oceny. Urządzenia tworzące botnet mogą być wcześniej przejęte, podczas gdy sam cel ataku doświadcza przeciążenia bez przełamania jego zabezpieczeń.

Na czym polega ochrona przed DDoS?

Ochrona anty-DDoS obejmuje wykrywanie ataku, rozpoznawanie jego charakteru oraz ograniczanie ruchu powodującego zakłócenia, przy zachowaniu możliwości obsługi prawidłowych użytkowników. Stosowane zabezpieczenia powinny odpowiadać rodzajowi zagrożenia i zasobom, które mogą zostać przeciążone.

Do najważniejszych rozwiązań należą:

• monitorowanie ruchu i anomalii — porównywanie bieżącej aktywności z typowym działaniem sieci lub aplikacji, aby wcześnie wykrywać nietypowe zmiany;
• filtrowanie ruchu i usługi scrubbingowe — analizowanie ruchu w systemach ochronnych, odrzucanie rozpoznanych pakietów atakujących i przekazywanie prawidłowego ruchu do chronionej infrastruktury;
• ochrona po stronie dostawców łączy — ograniczanie ataku przed dotarciem do odcinka, którego przepustowość mogłaby zostać wyczerpana;
• WAF i ograniczanie liczby żądań — filtrowanie żądań do aplikacji internetowych oraz kontrolowanie częstotliwości ich obsługi;
• CDN i rozproszenie obsługi — dostarczanie części treści z wielu serwerów oraz rozkładanie ruchu, co może zmniejszać obciążenie serwera źródłowego;
• plan reagowania na incydenty — określenie sposobu współpracy z dostawcami, zasad komunikacji i kolejności przywracania usług.

WAF chroni przede wszystkim aplikacje internetowe i nie zastępuje zabezpieczeń przed przeciążeniem łączy. Podobnie zwiększenie mocy serwera może pomóc tylko wtedy, gdy to jego zasoby stanowią ograniczenie. Skuteczna ochrona wymaga dopasowania kilku mechanizmów, a jej możliwości zależą od konfiguracji, parametrów infrastruktury i przebiegu ataku.

Co może zrobić użytkownik, który odczuwa skutki DDoS?

W przypadku problemów z dostępnością warto sprawdzić komunikaty dostawcy Internetu lub administratora usługi i przekazać zgłoszenie opisujące objawy, czas wystąpienia oraz konkretne niedostępne serwisy. Informacja, czy zakłócenia dotyczą jednego urządzenia, jednej strony czy większej liczby usług, pomaga ustalić zakres problemu.

Jeżeli przeciążenie występuje w sieci operatora lub po stronie serwera, restart domowego routera nie usuwa jego przyczyny. Dalsze czynności diagnostyczne najlepiej wykonywać zgodnie ze wskazówkami obsługi technicznej, która może sprawdzić sytuację po stronie infrastruktury.

Użytkownik może natomiast ograniczać ryzyko wykorzystania własnego sprzętu w botnecie poprzez aktualizowanie oprogramowania, zmianę domyślnych haseł i wyłączanie niepotrzebnego zdalnego dostępu do urządzeń. Takie działania zmniejszają możliwość przejęcia sprzętu, choć same nie chronią przed skutkami ataku prowadzonego na zewnętrzną usługę.