DDoS-атака с усилением (amplification) — атака с отражением, при которой небольшие запросы с подменённым адресом отправителя заставляют сторонние серверы слать жертве во много раз более крупные ответы.
Как работают атаки с усилением
Атакующий отправляет запросы по UDP — этот протокол не проверяет отправителя — тысячам общедоступных серверов, подставляя в качестве источника IP-адрес жертвы (спуфинг). Серверы отвечают жертве, и каждый ответ во много раз больше запроса. Это соотношение называют коэффициентом усиления. Чаще всего злоупотребляют такими протоколами:
- DNS — открытые резолверы, отвечающие на «тяжёлые» запросы вроде ANY или записей DNSSEC;
- NTP — устаревшая команда
monlistс коэффициентом в несколько сотен; - Memcached — открытые кэширующие серверы с коэффициентом в десятки тысяч;
- SSDP, CLDAP, SNMP, CharGEN и некоторые VPN- и игровые сервисы на базе UDP.
Почему это важно
Усиление позволяет небольшому ботнету или одному арендованному серверу генерировать потоки в сотни гигабит в секунду и прячет атакующего за ни в чём не повинными отражателями. В феврале 2018 года GitHub подвергся атаке мощностью 1,35 Тбит/с через открытые серверы memcached — на тот момент рекордной. Усиление остаётся основным инструментом DDoS-атак, которые продают сервисы «бутеры» и «стрессеры», наряду с флудом от ботнетов.
Как защититься
- Сетевым операторам — блокировать трафик с подменёнными адресами с помощью входящей фильтрации (BCP 38, RFC 2827).
- Не открывать в интернет DNS-резолверы, NTP, memcached и SNMP; отключать устаревшие команды и ограничивать частоту ответов.
- Использовать сервисы очистки трафика или CDN с достаточной ёмкостью, чтобы поглощать объёмные атаки.
- Заранее подготовить план реагирования вместе с провайдером, включая фильтрацию злоупотребляемых портов на его стороне.
