Zapłaciłeś okup za DDoS? Atak i tak wróci - jak się przygotować?
65 views
Szantaż DDoS w Polsce: dlaczego zapłacony okup nie chroni sieci operatora
Coraz więcej polskich operatorów ISP i data center zgłasza się do nas z tym samym scenariuszem: na skrzynkę kontaktową trafia wiadomość z groźbą ataku DDoS na sieć firmy, jeśli w krótkim czasie nie zostanie zapłacony okup. Nasz zespół był także włączony w rozmowy w tej sprawie z Centralnym Biurem Zwalczania Cyberprzestępczości. Skala zjawiska jest realna.
Poniżej opisujemy w jaki sposób LiveShield jest w stanie poradzić sobie z atakami SYN-ACK a także z jego mieszanymi wersjami. Ważne: nie należy czekać na otrzymanie maila. Wtedy może być już za późno na reakcję.
Co się dzieje, gdy operator nie zapłaci
Groźba bywa realizowana. Najczęściej w formie ataku SYN-ACK reflection, czyli zalewu odpowiedzi TCP generowanych przez odbite od losowych hostów w internecie pakiety SYN ze sfałszowanym adresem źródłowym ofiary - atakujący nie musi kontrolować dużego botnetu wysyłającego ruch bezpośrednio, wystarczy że wykorzysta miliony serwerów w sieci jako niechętnych pośredników. Coraz częściej widzimy też ataki mieszane, łączące SYN-ACK flood z innymi wektorami wolumetrycznymi jednocześnie, co znacznie utrudnia klasyczną, ręczną reakcję zespołu NOC.
Zapłata okupu nie kończy sprawy
To jeden z ważniejszych wniosków z przypadków, które obserwowaliśmy: zapłacenie okupu nie gwarantuje spokoju. Kwota żądana za "odstąpienie od ataku" rośnie z każdą kolejną godziną zwłoki, a mimo zapłaty ataki i tak wracają - często po pewnym czasie, czasem od tej samej grupy, czasem od innej, która trafiła na informację, że dany operator już raz zapłacił. Zapłata potwierdza tylko, że adres jest aktywny i skłonny do negocjacji, co w praktyce zwiększa ryzyko kolejnych prób.
Dlaczego lepiej zabezpieczyć się wcześniej
Największym błędem, jaki widzimy u operatorów, jest reagowanie dopiero po otrzymaniu groźby. Zabezpieczenie sieci - szczególnie przy mniejszych łączach - wymaga czasu na wdrożenie, konfigurację i testy, a szantażyści dają na decyzję zwykle kilka godzin. Mieliśmy przypadek operatora z relatywnie małym łączem, u którego czas potrzebny na pełne przygotowanie ochrony był znacznie dłuższy niż okno czasowe podane w wiadomości z groźbą - w takiej sytuacji działanie reaktywne po prostu przychodzi za późno.
Jak działa LiveShield AIF
LiveShield AIF (Advanced Inline Filter) to moduł do filtracji ruchu, zaprojektowany między innymi pod ataki typu SYN-ACK reflection/amplification - czyli te wykorzystywane właśnie w szantażu DDoS, o którym pisaliśmy powyżej.
W przeciwieństwie do standardowego LiveShield, który pracuje pasywnie na kopii ruchu (SPAN/TAP) i reaguje przez FlowSpec/RTBH, AIF stoi fizycznie inline - między routerem brzegowym a BRAS-em/koncentratorem. Widzi cały ruch dwukierunkowo, w czasie rzeczywistym, śledzi stan połączeń TCP i może go aktywnie przepuszczać albo odrzucać, zamiast tylko generować reguły dla routera.
LiveShield pomógł już wielu operatorom w Polsce uporać się z tego typu incydentami i obecnie prowadzimy kolejne wdrożenia u firm, które chcą mieć ochronę gotową zanim taka wiadomość w ogóle trafi na ich skrzynkę.
Wdrożenie ochrony trwa krócej niż licznik w mailu z żądaniem okupu - ale tylko jeśli zaczniesz wcześniej. Zapraszamy do kontaktu:
