Примеры признаков запросов:

2016

анализ DDoS

• статический или динамический запрос
• время обработки запроса
• объём памяти, который потребовался для обработки этого запроса

---

Примеры признаков сессий:

2016

анализ DDoS

• пользуется ли посетитель последней версией браузера;
• совпадают ли язык интерфейса его браузера с тем языком, который выбрал он в настроках на сайте;
• загружает ли посетитель статику;
• сколько раз запрошен favicon.ico;
• ззаходил ли посетитель на страницу оформления заказа.

---

Методики

2016

защита от DDoS методики DDoS

Простые DDoS атаки или сливы могут блокироваться ipset, так как iptables достаточно быстро начинает тормозить. Для большого списка (более сотни) адресов оправданно использовать ipset. При использовании ipset могут возникать и проблемы: нужно писать отдельные скрипты, чтобы таблицы ipset создавались до применения правил файрволла, иначе модуль ipset для iptables будет выдавать ошибку и не применять правила при загрузке.

DDoS может осуществляется после поиска уязвимости в пропускной способности веб-сайта. Т.е. не тупо долбится по сетевой нагрузке в какой-то из веб-сайтов на уровне сетевого стека, а именно выясняются какие-то уязвимости, связанные с тонкими местами в архитектуре. Т.е. предположим, что у нас в момент регистрации нового пользователя есть большой объем работы, связанный с чем-то. Что мы можем сделать? Мы можем загрузить этот веб-сайт количеством пустых регистраций, чтобы его системы завалились от этой работы, и он не смог отвечать по своим типичным сценариям — показы страниц и т.д.

Подписывание идентификаторов ресурсов и защита API от DDoS-атак. Причина, по которой системы с активным кэшем подвержены некоторым атакам, заключается в том, что злоумышленник может легко сконструировать идентификатор ресурса. Независимо от того, является ли идентификатор числовым ID (таким, как в нашем примере), закодированным в base64 GUID, как в API GraphQL, или UUID, как в большинстве документ-ориентированных баз данных, проблема заключается в том, что, когда сервер получает запрос, ему неизвестно, существует ли запрошенный ресурс. Единственный способ это выяснить – выполнить обращение, либо к кэшу, либо к основному источнику данных, и дождаться ответа. Для того, чтобы сервер, ни к чему не обращаясь, смог бы определить, существует ли запрошенный ресурс, идентификаторы ресурсов можно подписать.

Методики Ростелекома для AS12389 ROSTELECOM-AS. Есть две подсистемы: подсистема выявления аномалий: осуществляет сбор с помощью протоколов сетевой телеметрии (J-Flow v5/9, Netstream, IPFIX) и анализ данных о трафике на collector'ах; и подсистема фильтрации: осуществляет блокировку паразитного трафика (Flow Specification фильтры; Black-Hole Routing — при оказании AntiDDoS сервиса не используется; Интеллектуальная фильтрация в Центрах очистки трафика). По мнению автора в России наибольшую популярность снискали следующие решения:

1. Arbor Networks SP и TMS
2. Radware DefensePro
3. МФИ Софт Периметр
4. Иновентика технолоджес InvGuard
5. NSFocus ADS и NTA
6. Huawei AntiDDoS8000/10000

Разновидностями DDoS являются: Smurf DDos, Ping of Death и SYN flood, DDoS-атаки Layer 7 – это отправка безобидных на вид запросов, которые выглядят как результат обычных действий пользователей. Обычно для их осуществления используют ботнеты и автоматизированные инструменты. Известные примеры — Slowloris, Apache Killer. Группировки Armada Collective, Lizard Squad, RedDoor и ezBTC могут за деньги организовывать DDoS.

К атакам Layer 7 прибегают в основном профессиональные хакеры. Принцип следующий: берется «тяжелый» URL (с файлом PDF или запросом к крупной БД) и повторяется десятки или сотни раз в секунду. Атаки Layer 7 имеют тяжелые последствия и трудно распознаются.

Протокол UDP подвержен спуфингу – замене адреса. Например, если нужно атаковать сервер DNS по адресу 56.26.56.26, используя атаку DNS Amplification, то можно создать набор пакетов с адресом отправителя 56.26.56.26 и отправить их DNS-серверам по всему миру. Эти серверы пришлют ответ по адресу 56.26.56.26. Тот же метод работает для серверов NTP, устройств с поддержкой SSDP. Правило Best Current Practice (BCP) 38 рекомендует провайдерам конфигурировать шлюзы для предотвращения спуфинга – контролируется адрес отправителя, исходная сеть. Но такой практике следуют не все страны. Кроме того, атакующие обходят контроль BCP 38, переходя на атаки типа Stateful, на уровне TCP.

Включение DNS Response Rate Limiting (RRL) снизит вероятность того, что сервер будет задействован в атаке DDoS Reflection – уменьшится скорость его реакции на повторные запросы. RRL поддерживают многие реализации DNS.

DDoS перекрывают в том числе через Hetzner online. ovh.co.uk - еще один ресурс.

---

Статьи

2017.04.04 - добавлено; 2016 - проверена работа ссылок

Критерии выбора поставщика услуг нейтрализации DDoS-атак от Qrator Labs, Wallarm, NGENIX.

FastNetMon - A high performance DoS/DDoS load analyzer built on top of multiple packet capture engines (NetFlow, IPFIX, sFLOW, SnabbSwitch, netmap, PF_RING, PCAP).

Дайджест: 40 материалов на тему DDoS-атак и защиты от них - статья на habr, в которой подборка статей на данную тематику

Интервью с ддосером или на чем зарабатывают вандалы - статья на habr, в которой trezy@xmpp.jp повествует о том, что наиболее сложно DDoS для Incapsula, Qrator, CloudFlare, Sucuri и малоизвестные хостинги: ака kms-hosting, simpliq

Телнет и ботнет - статья на habr, в которой temujin@habr приводит статистику открытых портов и немного аналитики

Немного о типах DDoS-атак и методах защиты - статья на habr - рассматривает "различные виды DDoS-атак, а также способы защиты от них". В том числе TCP SYN Flood, Fragmented UDP Flood, Smurf-атаки, DNS-атака с усилением, TCP Reset.

DNS Best Practices, Network Protections, and Attack Identification - статья на cisco - Maliciously Abusing Implementation Flaws in DNS, Protections for Spoofing, Detecting and Preventing DNS Attacks using Cisco Products and Features, DNS Tools and Resources.