Šiuolaikiniame pasaulyje, kai daugelis mūsų kasdienių veiklų vyksta internete, kibernetinis saugumas tampa vis svarbesnis. Nuo elektroninės bankininkystės iki socialinių tinklų ir debesijos paslaugų – visos šios sistemos gali tapti kibernetinių nusikaltėlių taikiniu. Viena iš dažniausiai pasitaikančių ir pavojingiausių grėsmių yra DDoS (Distributed Denial of Service) ataka.

DDoS atakos kelia didelį pavojų įmonėms, valstybinėms institucijoms ir pavieniams interneto vartotojams. Tokios atakos gali paralyžiuoti svetaines, internetines paslaugas ar net ištisas tinklo infrastruktūras, sukeldamos finansinius nuostolius ir pakenkdamos organizacijų reputacijai.

Šio straipsnio tikslas – aiškiai ir suprantamai paaiškinti, kas yra DDoS atakos, kaip jos veikia, kodėl jos vykdomos ir kokie metodai gali padėti apsisaugoti nuo jų poveikio.

Kas yra DDoS ataka?

1. DDoS (Distributed Denial of Service) termino paaiškinimas

DDoS ataka – tai paskirstyta paslaugų trikdymo ataka, kurios tikslas yra perkrauti tikslinį serverį, tinklą ar paslaugą dideliu užklausų srautu. Dėl šios perkrovos teisėti vartotojai negali pasiekti paslaugos, nes sistema tampa neatsakinga arba visiškai nustoja veikti.

DDoS atakos išskirtinumas yra paskirstytumas – ataka vykdoma ne iš vieno šaltinio, o iš daugelio užgrobtų įrenginių, sudarančių vadinamąjį botnetą. Šie įrenginiai gali būti kompiuteriai, serveriai, maršrutizatoriai ar net išmanieji įrenginiai, užkrėsti kenkėjiška programine įranga. Dėl šios priežasties DDoS atakas yra sunkiau sustabdyti, nes užpuolimo srautas kyla iš įvairių vietų visame pasaulyje.

2. Skirtumas tarp DoS ir DDoS atakų

Nors DoS (Denial of Service) ir DDoS (Distributed Denial of Service) atakos siekia to paties – sutrikdyti paslaugos veikimą – jų vykdymo būdas skiriasi:

Savybė	DoS ataka	DDoS ataka
Šaltinių skaičius	Vienas kompiuteris arba serveris	Daug užgrobtų įrenginių (botnetas)
Atakos galia	Ribota, nes priklauso nuo vieno įrenginio resursų	Labai didelė, nes naudojama daugybė užgrobtų sistemų
Aptikimas ir blokavimas	Lengviau aptinkama ir užblokuojama	Sudėtingiau sustabdyti dėl paskirstyto srauto

Kadangi DDoS atakos naudojasi paskirstytu tinklu, jų poveikis yra kur kas didesnis nei įprastų DoS atakų, todėl jos dažnai tampa didelių kibernetinių nusikaltimų dalimi.

3. DDoS atakų tikslai – kam jos naudojamos ir kodėl vykdomos?

DDoS atakos gali būti vykdomos dėl įvairių priežasčių, priklausomai nuo užpuolikų motyvų:

Finansinė nauda – kai kuriais atvejais DDoS atakos naudojamos siekiant išreketuoti įmones. Užpuolikai gali pareikalauti išpirkos mainais už atakos nutraukimą.
Verslo konkurencija – nesąžiningos konkurencijos atvejais įmonės gali užsakyti DDoS atakas prieš konkurentų svetaines ar paslaugas, kad šios prarastų klientus.
Politinis aktyvizmas (haktivizmas) – tam tikros grupės, pavyzdžiui, hakerių aktyvistai (Anonymous ir pan.), gali vykdyti DDoS atakas prieš vyriausybines institucijas ar organizacijas, protestuodami prieš jų veiksmus.
Asmeninės priežastys – kartais atakos gali būti vykdomos iš keršto, pavydo ar kitų asmeninių motyvų.
Dėmesio nukreipimas – DDoS ataka gali būti naudojama kaip priedanga kitam kibernetiniam nusikaltimui, pavyzdžiui, duomenų vagystei ar įsilaužimui į sistemą.

DDoS atakos tampa vis dažnesnės, o jų mastas ir sudėtingumas nuolat auga. Norint apsisaugoti, būtina suprasti jų veikimo principus ir taikyti tinkamas apsaugos priemones.

Kaip veikia DDoS ataka?

1. Pagrindinis veikimo principas – perkrovimas netikrais užklausų srautais

DDoS (Distributed Denial of Service) atakos esmė yra ta, kad į taikinį (serverį, tinklo įrenginį ar internetinę paslaugą) nukreipiamas didžiulis netikrų užklausų srautas, kuris viršija sistemos pajėgumus. Dėl šios perkrovos teisėti vartotojai nebegali pasiekti paslaugos, nes serveris arba tinklas nebespėja apdoroti tiek užklausų ir nustoja tinkamai veikti.

Pavyzdžiui, įsivaizduokime, kad restorane yra tik viena kasa, kuri gali aptarnauti ribotą klientų skaičių. Jei staiga šimtai žmonių pradeda užsakinėti maistą tuo pačiu metu, kasa tampa perpildyta ir niekas negali gauti užsakymo – tai yra DDoS atakos analogija realiame gyvenime.

2. Botnet tinklai ir jų vaidmuo DDoS atakose

Vienas iš efektyviausių DDoS atakų metodų yra botnetų naudojimas. Botnetas – tai užkrėstų įrenginių tinklas, kuriame gali būti:

Asmeniniai kompiuteriai
Išmanieji telefonai
Interneto maršrutizatoriai
IoT (daiktų interneto) įrenginiai, pvz., išmaniosios kameros ar televizoriai

Kenkėjiška programinė įranga užkrečia šiuos įrenginius ir leidžia užpuolikams nuotoliniu būdu juos valdyti. Kai prasideda ataka, visi botneto įrenginiai siunčia didžiulį srautą į pasirinktą taikinį, taip užkraudami jo resursus.

Vienas iš žymiausių botnetų pavyzdžių yra Mirai – šis botnetas 2016 m. buvo naudojamas didžiulei DDoS atakai prieš DNS paslaugų teikėją „Dyn“, dėl ko buvo sutrikdytos tokios paslaugos kaip Twitter, Netflix ir Reddit.

3. DDoS atakų vykdymo būdai ir technologijos

DDoS atakos gali būti vykdomos keliais skirtingais būdais, priklausomai nuo naudojamų technologijų ir taikomo metodo:

Automatizuotos užklausos – pavyzdžiui, siunčiami milijonai HTTP užklausų į svetainę, kad ji perkaistų ir nustotų veikti.
Atspindėtos (amplifikacinės) atakos – naudojami trečiųjų šalių serveriai (pvz., DNS ar NTP serveriai), kurie, gavę nedidelę užklausą, generuoja daug didesnį atsakymą ir nukreipia jį į auką.
Lėtosios atakos – pavyzdžiui, lėtosios HTTP užklausos, kurios laikomos atidarytos ilgą laiką, taip blokuojant serverio resursus.

Kadangi DDoS atakų būdai yra įvairūs, svarbu suprasti jų pagrindinius tipus.

Pagrindiniai DDoS atakų tipas

DDoS atakos skirstomos į tris pagrindines kategorijas:

Tūrio (volumetrinės) atakos – siekiama užtvindyti taikinį didžiuliu duomenų srautu.
Protokolinės atakos – taikomasi į tinklo ar protokolo pažeidžiamumus.
Programinės įrangos lygio atakos – vykdomos prieš interneto svetaines ar aplikacijas, išnaudojant jų veikimo mechanizmus.

Tūrio (volumetrinės) atakos

Šio tipo atakų tikslas – sukurti didžiulį srautą, kuris užblokuoja tinklo pralaidumą ir nebeleidžia teisėtiems vartotojams naudotis paslauga.

UDP flood – siunčiamos didžiulės apimties UDP (User Datagram Protocol) užklausos į atsitiktinius serverio prievadus, dėl ko serveris sunaudoja visus savo resursus bandydamas apdoroti šias užklausas.
ICMP flood – naudojamos ICMP (ping) užklausos, kurios bombarduoja serverį, siekiant jį perpildyti ir sustabdyti jo veikimą.
DNS amplification – užpuolikas siunčia užklausas į atvirus DNS serverius, padirbdamas aukos IP adresą. DNS serveriai siunčia didžiulius atsakymus aukai, taip perkraudami jos tinklą.

Protokolinės atakos

Šios atakos išnaudoja pažeidžiamumus tinklo protokoluose ir jų veikimo būduose.

SYN flood – siunčiamos didžiulės TCP SYN užklausų serijos, dėl kurių serveris išnaudoja savo resursus bandydamas užmegzti ryšį, tačiau niekada negauna atsako, todėl užstringa.
Ping of Death – siunčiami dideli, netinkamai suformuoti ICMP paketo fragmentai, kurie, sujungti į vieną, tampa per dideli ir sukelia serverio gedimą.
Smurf ataka – užpuolikas siunčia suklastotas ICMP užklausas į didelį tinklą, o atsakymai siunčiami atgal į auką, sukuriant didžiulį apkrovą.

Programinės įrangos lygio atakos

Šio tipo atakos nukreiptos į interneto svetaines ar aplikacijas ir dažniausiai nėra pagrįstos didžiuliu duomenų srautu, o išnaudoja tam tikrus svetainių veikimo mechanizmus.

HTTP flood – užpuolikas siunčia didelį kiekį teisėtų HTTP GET arba POST užklausų į svetainę, taip priversdamas serverį apdoroti daug procesų vienu metu.
Slowloris – ši technika naudoja lėtai siunčiamas HTTP užklausas, kurios lieka atidarytos ilgą laiką, taip blokuojant serverio ryšius ir neleidžiant kitiems vartotojams pasiekti paslaugos.
R.U.D.Y. (R U Dead Yet?) – lėtai perduodami dideli HTTP POST prašymai su mažais duomenų paketais, taip palaipsniui užimant visus serverio resursus.

Kaip atpažinti DDoS ataką?

DDoS atakos gali būti apgaulingai paprastos, tačiau jų poveikis gali būti pražūtingas tiek verslui, tiek individualiems vartotojams. Vienas iš svarbiausių aspektų norint efektyviai apsisaugoti nuo tokių atakų – gebėjimas jas laiku atpažinti. DDoS atakos požymiai dažnai yra panašūs į techninius gedimus ar tinklo trikdžius, todėl būtina atidžiai stebėti tam tikrus signalus.

Svetainės ar paslaugos sulėtėjimas arba nepasiekiamumas

Viena iš pirmųjų užuominų, kad vykdoma DDoS ataka, yra pastebimas interneto svetainės ar paslaugos veikimo sulėtėjimas. Vartotojai gali susidurti su:

Ilgai kraunančiais puslapiais
Dažnais klaidų pranešimais (pvz., „504 Gateway Timeout“ ar „503 Service Unavailable“)
Visišku svetainės ar paslaugos nepasiekiamumu

Kadangi tokie trikdžiai gali būti sukelti ir kitų priežasčių (pvz., serverio perkrovos, programinės įrangos klaidų), svarbu išanalizuoti, ar nėra kitų DDoS atakai būdingų požymių.

Staigus nenormalus tinklo srautas

Normalus tinklo srautas dažniausiai svyruoja priklausomai nuo paros laiko ir savaitės dienos. Tačiau staigus ir didžiulis srauto padidėjimas be aiškios priežasties gali reikšti DDoS ataką.

Pavyzdžiui, jei tinklalapis paprastai sulaukia 1 000 lankytojų per dieną, tačiau staiga šis skaičius išauga iki 100 000 per kelias minutes, tai gali būti ženklas, kad vyksta DDoS ataka.
Nenormalus srautas gali būti matomas ir tinklo stebėjimo įrankiais, kurie rodo neįprastus duomenų siuntimo ir gavimo srautus.

Didelis resursų naudojimas be aiškios priežasties

DDoS atakos metu serveriai gali pradėti naudoti neįprastai daug resursų:

CPU ir RAM apkrova staiga išauga, nors aktyvių vartotojų nėra daug.
Duomenų perdavimo kiekiai stipriai padidėja, net jei joks papildomas turinys nėra įkeliamas ar atsisiunčiamas.
Užklaustų duomenų bazės įrašų kiekis išauga, nors nėra jokių kampanijų ar pardavimų šuolio.

Jei sistemos apkrova didėja be aiškios priežasties, būtina atidžiau išanalizuoti galimus kenkėjiškus veiksmus.

Netikėti IP adresų srautai iš skirtingų geografinių vietovių

Kadangi DDoS atakos dažnai vykdomos naudojant botnetus, užkrėsti įrenginiai gali būti iš skirtingų šalių ir net žemynų. Kai kurie signalai, į kuriuos reikia atkreipti dėmesį:

Didelis srautas iš šalių, iš kurių paprastai jūsų paslauga nesulaukia lankytojų.
Daug užklausų iš IP adresų, kurie priklauso žinomiems proxy serveriams arba duomenų centrams.
Neįprasti modeliai, pavyzdžiui, didžiulis srautas iš vienos organizacijos ar vieno interneto paslaugų teikėjo.

Naudojant tinklo stebėjimo ir analizės įrankius, galima pastebėti šiuos anomalinius srautus ir greitai reaguoti.

DDoS atakų pasekmės

DDoS atakos gali turėti rimtų padarinių tiek verslui, tiek pavieniams vartotojams. Be akivaizdaus paslaugų trikdymo, jos gali sukelti ilgalaikę žalą organizacijos finansams, reputacijai ir net duomenų saugumui.

Finansiniai nuostoliai dėl paslaugų nepasiekiamumo

Jei svetainė ar paslauga tampa nepasiekiama, verslas gali prarasti pajamas:

Elektroninės parduotuvės gali prarasti pardavimus, nes klientai negali apsipirkti.
Paslaugų tiekėjai gali patirti nuostolius dėl neįvykdytų sandorių ar sutrikdytų prenumeratų.
Įmonės, kurios priklauso nuo debesijos paslaugų, gali prarasti produktyvumą, jei jų vidiniai įrankiai tampa neprieinami.

2018 m. viena didžiausių pasaulio kompanijų „Amazon“ patyrė trumpą, bet labai brangiai kainavusį DDoS išpuolį – skaičiuojama, kad per kelias minutes buvo prarasta apie 100 mln. dolerių.

Prekės ženklo reputacijos žala

Jei įmonė dažnai tampa DDoS atakų auka, tai gali turėti ilgalaikį poveikį jos reputacijai. Klientai gali:

Prarasti pasitikėjimą paslauga, jei ji dažnai neveikia.
Rinktis konkurentų pasiūlymus, jei jie atrodo stabilesni.
Abiejoti įmonės gebėjimu užtikrinti patikimą ir saugią paslaugą.

Pavyzdžiui, jei finansinė institucija tampa DDoS atakos taikiniu, klientai gali sunerimti, kad jų pinigai nėra saugūs, net jei pati ataka nėra nukreipta į jų sąskaitas.

Duomenų saugumo pavojai (jei ataka naudojama kaip priedanga)

Kartais DDoS ataka yra tik „dūmų uždanga“ – užpuolikai gali vykdyti tokią ataką norėdami nukreipti IT komandos dėmesį ir tuo pačiu metu:

Vykdyti įsilaužimą į sistemas.
Vogti jautrią informaciją, pvz., klientų duomenis ar mokėjimo kortelių informaciją.
Įdiegti kenkėjišką programinę įrangą organizacijos infrastruktūroje.

Tokiais atvejais DDoS ataka veikia kaip „širma“, uždengianti tikruosius užpuolikų tikslus.

Teisinės ir reguliacinės pasekmės

DDoS atakos gali turėti teisinių padarinių tiek užpuolikams, tiek ir nukentėjusioms organizacijoms:

Reguliavimo institucijos gali reikalauti įmonių užtikrinti geresnę IT saugumą. Jei įmonė neužkerta kelio DDoS atakoms, ji gali būti laikoma atsakinga už klientų duomenų praradimą.
Baudos ir sankcijos – kai kuriuose sektoriuose (pvz., finansiniame ar sveikatos priežiūros) DDoS atakos sukelta paslaugų praradimo trukmė gali būti laikoma rimtu reguliavimo pažeidimu.
Teisiniai ginčai su klientais – jei paslauga buvo nepasiekiama ilgą laiką, kai kurie vartotojai gali reikalauti kompensacijos už nuostolius.

Kaip apsisaugoti nuo DDoS atakų?

DDoS atakos yra viena iš sudėtingiausių kibernetinių grėsmių, nes jas vykdo išskaidyti botnet tinklai, kurie generuoja milžiniškus užklausų srautus. Norint efektyviai apsisaugoti, būtina taikyti įvairias prevencines, aktyvias ir ilgalaikes strategijas.

1. Prevencinės priemonės

Geriausias būdas apsisaugoti nuo DDoS – pasiruošti iš anksto. Tai apima tinklo infrastruktūros sustiprinimą ir įvairių apsaugos priemonių diegimą.

Užkardų (firewall) ir įsibrovimų prevencijos sistemų naudojimas

Tinklo užkardos (firewall) gali aptikti ir blokuoti įtartinus duomenų paketus dar prieš jiems pasiekiant serverį.
Įsibrovimų aptikimo ir prevencijos sistemos (IDS/IPS) analizuoja tinklo srautą ir blokuoja įtartinus ryšius, susijusius su DDoS veikla.
Web Application Firewall (WAF) apsaugo internetines svetaines nuo HTTP flood ir kitų taikomųjų atakų.

CDN ir debesijos sprendimai srauto paskirstymui

Turinio pateikimo tinklai (CDN) gali padėti paskirstyti srautą tarp kelių serverių, sumažinant krūvį vienam tiksliniam taškui.
Debesijos pagrindu veikiantys DDoS apsaugos sprendimai leidžia automatizuotai aptikti ir filtruoti atakas, sumažindami jų poveikį pagrindiniam tinklui.

Tinklo srauto stebėjimas ir anomalijų aptikimas

Reguliarus tinklo srauto stebėjimas leidžia greitai nustatyti neįprastus užklausų šuolius, kurie gali reikšti prasidedančią DDoS ataką.
SIEM (Security Information and Event Management) sistemos analizuoja ir fiksuoja įtartinus įvykius realiuoju laiku, taip leidžiant greitai reaguoti į grėsmes.

2. Apsauga atakos metu

Jei DDoS ataka jau vyksta, būtina imtis greitų veiksmų, kad būtų kuo labiau sumažintas jos poveikis.

Srauto filtravimas ir IP blokavimas

Naudojant geografinį IP blokavimą, galima apriboti srautą iš tam tikrų regionų, jei ataka vykdoma iš konkrečių šalių.
Automatiniai filtrai ir taisyklės padeda atskirti legitimius vartotojus nuo botnet užklausų.

Užklausų limitavimas ir CAPTCHA naudojimas

Rate limiting (užklausų limitavimas) gali apriboti tam tikram IP adresui leidžiamų užklausų skaičių per sekundę.
CAPTCHA reikalavimas prisijungimo ar duomenų pateikimo formose padeda sumažinti automatizuotų botų veiklą.

Greita reagavimo strategija ir incidentų valdymas

Iš anksto parengtas incidentų reagavimo planas leidžia greitai identifikuoti ir izoliuoti paveiktas sistemas.
Bendradarbiavimas su interneto paslaugų teikėjais (ISP) gali padėti nukreipti ar sustabdyti srautą iš užkrėstų tinklų.

3. Ilgalaikės strategijos

DDoS atakų grėsmė niekada neišnyks, todėl būtina imtis ilgalaikių priemonių, kurios sumažins tikimybę tapti taikiniu.

Kibernetinio saugumo mokymai darbuotojams

Darbuotojai turi būti mokomi atpažinti ir reaguoti į DDoS atakas.
IT specialistai turėtų žinoti, kaip valdyti incidentus ir pritaikyti tinkamus apsaugos mechanizmus.

Paslaugų teikėjų su DDoS apsauga pasirinkimas

Renkantis debesijos paslaugas ar prieglobą (hostingą), verta rinktis tiekėjus, kurie siūlo įmontuotą DDoS apsaugą.
Kai kurie interneto paslaugų teikėjai (ISP) taip pat siūlo DDoS mitigavimo paslaugas, kurios gali automatiškai atpažinti ir filtruoti atakas.

Reguliarūs testavimai ir pasirengimo pratybos

Organizacijos turėtų reguliariai vykdyti DDoS simuliacijas, kad įvertintų savo pasirengimą.
Penetraciniai testai gali padėti nustatyti silpnas vietas ir užtikrinti, kad apsaugos mechanizmai veikia efektyviai.

Apibendrinimas

DDoS atakos tebėra viena iš didžiausių kibernetinio saugumo problemų, nes:

Jų įvykdymas yra santykinai pigus ir paprastas, tačiau padaryta žala gali būti milžiniška.
Atakos metodai nuolat tobulėja, todėl organizacijos turi nuolat stiprinti savo apsaugą.
DDoS gali būti naudojamos ne tik kaip kenkėjiškos atakos, bet ir kaip politinių protestų ar konkurencinės kovos įrankis.

Svarbiausios apsaugos priemonės ir jų taikymo būtinybė

Apsauga nuo DDoS reikalauja kompleksinio požiūrio, apimančio:

Prevencines priemones, tokias kaip tinklo užkardos, CDN, tinklo stebėjimas.
Greitą reagavimą atakos metu, įskaitant IP blokavimą, užklausų limitavimą ir srauto filtravimą.
Ilgalaikį pasirengimą, kuris apima mokymus, reguliarius testavimus ir bendradarbiavimą su saugumo paslaugų teikėjais.

Ateities tendencijos ir technologijos kovojant su DDoS

Kova su DDoS atakomis nuolat vystosi, ir ateityje tikimasi dar didesnio saugumo sprendimų tobulėjimo:

Dirbtinio intelekto (AI) naudojimas atakų aptikimui ir neutralizavimui realiu laiku.
5G tinklų saugumo stiprinimas, nes naujos technologijos gali sukelti dar didesnes atakų bangas.
Blockchain technologijos integracija į apsaugos sistemas, siekiant užtikrinti didesnį atsparumą paskirstytoms atakoms.

Atsižvelgiant į tai, kad DDoS atakos nesiliauja ir tampa vis sudėtingesnės, organizacijos ir individualūs vartotojai privalo aktyviai investuoti į apsaugos priemones. Tik taip galima sumažinti riziką ir užtikrinti sklandų skaitmeninių paslaugų veikimą.