Atacurile DDoS din România: cum funcționează, cât costă și cum te aperi

Articol publicat în aprilie 2022, în contextul valului de atacuri DDoS asupra site-urilor din România. Principiile au rămas valabile.

Un atac DDoS (Distributed Denial of Service) blochează un site sau un serviciu prin trimiterea unui volum uriaș de cereri din multe surse simultan, până când serverul nu mai poate răspunde utilizatorilor reali. Nu cere un atacator foarte priceput: atacurile se cumpără ca serviciu. Impactul depinde însă de mecanismele de apărare ale țintei.

Pe scurt

• Un atac DDoS are nevoie de patru lucruri: o țintă, un scop, un buget și dispozitive „sacrificabile”.
• Atacurile se pot închiria ca serviciu, la prețuri de ordinul zecilor de dolari pe oră.
• Sursele de trafic sunt servere compromise, dispozitive infectate (botnet) și liste de adrese IP „curate”.
• Un site de prezentare pierde imagine; un magazin online pierde vânzări.
• Protecția: servicii anti-DDoS, filtrare, limitări și un calcul prealabil al pierderilor posibile.

Ce îi trebuie unui atacator

• o țintă clară: adresa sau serviciul vizat;
• un scop: notorietate, un mesaj, pagube;
• un buget: platforme DDoS, dispozitive infectate, echipamente, proxy-uri;
• un „sacrificiu”: adresele IP folosite ajung pe liste negre și devin inutilizabile.

Bugetul: de unde vine traficul

DDoS ca serviciu

Atacurile se pot cumpăra de pe platforme specializate, plătind în funcție de tip, durată și putere. La momentul articolului, o oră de atac asupra unei adrese IP costa în jur de 10–35 de dolari. Mulți „atacatori” doar plătesc, apoi se laudă cu „atacul” lor.

Servere compromise

Atacatorii compromit servere vulnerabile, adesea prin angajați păcăliți, și instalează scripturi care le păstrează accesul. Serverele sunt apoi folosite pentru DDoS, distribuire de malware sau campanii de phishing, iar accesul este adesea vândut mai departe.

Dispozitive infectate (botnet)

Calculatoare, telefoane, routere, televizoare sau electrocasnice smart infectate așteaptă comenzile atacatorului, la fel ca „zombii” din filme. Un exemplu cunoscut este botnetul Mirai.

Echipamente și liste de adrese IP

Aplicațiile de atac se obțin ușor. Ce contează sunt adresele IP folosite: cele deja cunoscute ca malițioase sunt blocate de firewall-uri, deci atacatorul trebuie să cumpere liste de adrese „curate”.

Sacrificiul

În timpul unui atac, adresele folosite sunt identificate de mecanismele de apărare și introduse pe liste negre, preluate apoi de multe alte sisteme. Atacatorul știe că acele adrese nu vor mai putea fi folosite. Acest lucru este valabil însă numai dacă ținta are mecanisme de apărare.

Impactul unui atac DDoS

Impactul diferă de la o infrastructură la alta, în funcție de durata atacului și de apărare. Blocarea temporară a unui site de prezentare afectează imaginea și comunicarea; un magazin online nu poate vinde nimic cât durează atacul. Infrastructurile cu protecție implementată pot trece aproape neobservat prin atac, fiindcă traficul malițios este blocat sau redirecționat rapid.

Măsuri de protecție

1. Echipamente sau servicii anti-DDoS: traficul trece prin infrastructura furnizorului, iar administratorul este doar notificat.
2. Permisiuni și acces configurate corect, cu liste de adrese permise și blocate.
3. Restricții sau limitări pe anumite intervale, în funcție de activitatea serviciului.
4. Filtrare geografică: dacă serviciul se adresează doar utilizatorilor din România, restricția pe țară reduce mult expunerea.

Contraatacul asupra surselor de trafic nu este o opțiune pentru o organizație privată: este ilegal și ar afecta în primul rând dispozitivele compromise ale unor victime nevinovate.

Un scenariu realist: magazinul online

Un magazin online stă pe un server dedicat sau partajat, protejat de mecanisme automate ale furnizorului. La un atac DDoS, furnizorul poate suspenda tot serverul ca să protejeze restul infrastructurii. Dimineața, magazinul este offline, urmează mesaje și telefoane cu administratorul și echipa tehnică, iar în tot acest timp clienții cumpără din altă parte.

Calculul util se face dinainte: dacă, de exemplu, 10–15% dintre clienți vin din afara țării, cât pierzi lunar blocând accesul extern pe timp de noapte, comparativ cu una-două zile în care magazinul este complet indisponibil pentru toți clienții?

Concluzie

Numărul atacurilor cibernetice crește, deci măsurile trebuie stabilite înainte de incident: calculul pierderilor posibile și măsuri adaptate serviciilor oferite, impactului și bugetului. ProDefence oferă audit de securitate web și de rețea pentru evaluarea expunerii.