DDoS по IP і на сервер: як атакують інфраструктуру, а не тільки сайт

Коли говорять про DDoS, зазвичай уявляють «покладений» сайт. Але удар може бити глибше — по самій IP-адресі та серверу, тобто по інфраструктурі. Побутова назва такого сценарію — ддос по айпі: замість конкретної сторінки мішенню стає сама мережева адреса, за якою може ховатися десяток сервісів одразу. Розберемо, що таке ддос-атака на сайт у порівнянні з ударом по інфраструктурі й чому оптимізація сторінок тут безсила. Загальну механіку розібрано в матеріалі DDoS-атака: що це і як працює.

Два рівні мішені: сайт і сервер

Щоб не плутатися, варто чітко розвести два питання.

• Удар по сайту. Він цілиться в конкретний вебзастосунок: перевантажує сторінки, форми, внутрішній пошук. Сервер живий, канал вільний, але застосунок не встигає обробляти запити. Цей сценарій розібрано в матеріалі DDoS-атака на сайт.
• Удар по серверу. Він цілиться в мережеву адресу або сам вузол. Якщо на ньому «висить» кілька сайтів, поштовий сервіс, API та база даних — під ударом опиняється все одразу, незалежно від того, наскільки добре написаний кожен окремий сайт.

Головна підступність нападу по IP в тому, що він забиває канал ще на підході до сервера. Трафік реальних відвідувачів просто не проштовхується крізь затор — і навіть ідеально оптимізований сайт це не рятує.

Чому інфраструктурний удар особливо болісний

• Ефект доміно. Один перевантажений вузол тягне за собою всі сервіси на ньому. Впав сервер — замовкли й сайт, і пошта, і застосунок водночас.
• Складніший захист. Тут не допоможуть налаштування на рівні сайту: потрібні заходи на боці мережі, провайдера чи дата-центру.
• Розкритий IP — постійна вразливість. Якщо реальна адреса сервера «засвітилася» одного разу, нападник може повертатися до неї знову, обходячи вебфільтри й б'ючи напряму.

Технічні різновиди таких ударів — об'ємні, що забивають канал, і протокольні, що виснажують обладнання, — описано у статті Види DDoS-атак.

Звідки нападник дізнається реальний IP

Схований за хмарним фільтром сервер — це добре, але адреса часто «витікає» повз нього. Типові шляхи:

• старі DNS-записи від часів, коли сайт працював без захисту;
• субдомени (пошта, панель адміністрування, тестовий майданчик), що ведуть просто на сервер;
• заголовки листів, надісланих із того самого вузла;
• сервіси, які самі розкривають адресу — наприклад, звернення від сервера до сторонніх ресурсів.

Тому недостатньо один раз поставити фільтр: реальний IP після цього треба змінити й ретельно перекрити всі місця, де він міг лишитися.

Що робити, якщо адресу вже розкрито

Зміна IP — не панацея, а лише перший крок, і робити його треба правильно. Якщо просто переїхати на новий IP, не сховавши його за фільтром, історія повториться за кілька днів: нападник знайде новий IP тими самими шляхами, що й попередній. Тому послідовність така: спершу поставити хмарний фільтр, потім перевести сервер на «чистий» IP, відомий лише фільтру, і аж тоді ретельно вичистити старі DNS-записи, субдомени та поштові заголовки, які могли її видати. Пропустите один пункт — уся робота марна.

Як захистити сервер та його IP

• сховати реальний IP за хмарним фільтром чи CDN, щоб увесь трафік ішов крізь проміжний фільтр, а не напряму;
• підключити анти-DDoS на рівні провайдера або дата-центру — саме там гасять об'ємні потоки;
• закрити зайві порти й сервіси фаерволом: що менша поверхня, то менше шляхів для удару та витоку адреси;
• рознести критичні сервіси. Пошта, база даних і сайт на різних вузлах означають, що падіння одного не тягне за собою решту;
• моніторити мережевий канал, а не лише навантаження сайту, щоб побачити затор на підході.

Комплексний підхід зібрано у статті Захист від DDoS, а системне реагування організації описує управління інцидентами ISO/IEC 27035.