Под атакой: кировские сайты подвергаются кибератакам из России, Германии и Финляндии
Мы побеседовали с руководителем регионального провайдера iHead Алексеем Кощеевым. Все это время он помогал компаниям справиться с вражескими нападениями и поделился опытом сохранения стабильности работы информресурсов.
- Когда начались активные DdoS-атаки на региональные ресурсы?
- С 16 марта текущего года.
- Какие ресурсы чаще всего подвергаются атакам? Только ли это СМИ или это интернет-ресурсы промпредприятий и др.?
- Чаще всего СМИ. Еще было несколько атак на интернет-магазин микроэлетроники, а также на сайты организаций с государственным участием.
- Сколько длятся кибератаки? Часы? Сутки? Недели?
- Недели. Причем могут 2-3 недели атаковать один и тот же сайт, потом перерыв на неделю и атака начинается снова.
- Становятся ли атаки мощнее с каждым днем?
- Прежде всего нужно сказать, что все атаки, с которыми мы сталкивались, относятся к типу распределенного HTTP-флуда (множество http или https запросов с большого количества устройств в сети Интернет). В одной из атак злоумышленники одновременно с HTTP также направляли паразитные запросы на FTP-сервер.
Максимально они раскрываются в том случае, если не предпринимать никаких мер. В этом случае происходит исчерпание процессорного ресурса или деградирует качество интернет-канала.
Используемые механизмы защиты не дают атакам полностью раскрыть свой потенциал, поэтому сложно сказать, что вот сегодняшняя атака была сильнее, чем неделю назад.
- Прослеживается ли системность таких нападений?
- В последнее время атаки обычно начинаются в пятницу или в субботу, в 8 или 10 утра. Можно только предполагать, с чем это связано. Конечно, системность присутствует.
- Какое максимальное количество пиковых запросов в секунду/час вы фиксировали?
- Максимум - 60 млн запросов в час, в секунду получается впечатляющая цифра - более 16 тысяч запросов. И это как раз была атака на Newsler.ru 28-30 мая.
- Из каких стран приходили запросы? Почему в этом списке, исходя из опыта Ньюслера, оказалась и Россия?
- Германия, Нидерланды, Финляндия, США, Россия, Китай, Украина, Индия... — вот страны, откуда фиксируем запросы. Наверное, чем больше устройств, подключенных к сети Интернет в той или иной стране, тем больше вероятность атаки из этой страны. Также может влиять пропускная способность и качество интернет-канала. В России, как мы знаем, с количеством устройств и качеством интернета все хорошо.
- С использованием каких инструментов проходят DdoS-атаки: могут ли использоваться «интернет вещи», гаджеты, смартфоны?
- Об инструментах атак можно судить пока только на уровне предположений.
Злоумышленники могут маскировать запросы под все, что угодно. Это могут быть:
- мобильные устройства пользователей (вероятно, через приложения, содержащие уязвимости, функциональность бэкдора),
- устройства из класса IoT (интернет-вещей),
- пользовательские маршрутизаторы, камеры и другие устройства, содержащие уязвимости,
- скомпрометированные или содержащие уязвимости сайты или даже серверы в сети интернет.
И даже открытый в браузере пользователя специальный сайт может использоваться для совершения атак (тут может быть как добровольное посещение такого сайта, так и неумышленное в результате каких-то действий пользователя).
- Какие наиболее действенные способы защиты от DdoS-атак?
- Атаки можно подавлять с использованием межсетевых экранов (или как еще их называют firewall, пакетный фильтр), внешних сервисов, которые пропускают до сервера с сайтом не все запросы, а какую-то очищенную часть, - конкретно у нас дополнительно используется вариант WAF (Web application firewall) собственной разработки, который анализирует запросы и решает передавать их или нет непосредственно к серверу приложений, на котором выполняется код сайта.
Волна DDoS-атак в России началась в феврале 2022 года. Первый всплеск был зафиксирован Минцифры РФ 26 февраля. Как сообщало ведомство, на портал госуслуг было совершено более 50 DDoS-атак мощностью более 1 Тбайт, а также «профессиональные целевые атаки». Также злоумышленники подвергли атакам сайты СМИ, арбитражных судов и других госведомств. А о сбоях и замедленной работе Системы быстрых платежей (СБП) из-за DDoS-атак также сообщал Центробанк. Подверглись атакам сайты крупных российских компаний. Тогда ответственность за кибер-нападение на интернет-провайдеров и правительственные сайты взяла на себя хакерская группировка Anonymous. Хакеры заявили, что из-за спецоперации объявили российскому правительству кибервойну. При этом федеральная система защиты от DdoS-атак, о которой говорили в Роскомнадзоре зимой, похоже, появится не скоро.
Отметим, что за счет плотной работы с провайдером, пользователи и партнеры Newsler.ru не ощутили проблем при использовании топового кировского информационного ресурса.
