DDoS-атака з посиленням (amplification) — атака з відбиттям, за якої невеликі запити з підробленою адресою відправника змушують сторонні сервери надсилати жертві в багато разів більші відповіді.
Як працюють атаки з посиленням
Зловмисник надсилає запити через UDP — цей протокол не перевіряє відправника — тисячам загальнодоступних серверів, підставляючи як джерело IP-адресу жертви (спуфінг). Сервери відповідають жертві, і кожна відповідь у багато разів більша за запит. Це співвідношення називають коефіцієнтом посилення. Найчастіше зловживають такими протоколами:
- DNS — відкриті резолвери, що відповідають на «важкі» запити на кшталт ANY чи записів DNSSEC;
- NTP — застаріла команда
monlistз коефіцієнтом у кілька сотень; - Memcached — відкриті кешувальні сервери з коефіцієнтом у десятки тисяч;
- SSDP, CLDAP, SNMP, CharGEN і деякі VPN- та ігрові сервіси на базі UDP.
Чому це важливо
Посилення дає змогу невеликому ботнету або одному орендованому серверу генерувати потоки в сотні гігабіт за секунду й ховає зловмисника за ні в чому не винними відбивачами. У лютому 2018 року GitHub зазнав атаки потужністю 1,35 Тбіт/с через відкриті сервери memcached — на той час рекордної. Посилення лишається основним інструментом DDoS-атак, які продають сервіси «бутери» та «стресери», поряд із флудом від ботнетів.
Як захиститися
- Мережевим операторам — блокувати трафік із підробленими адресами за допомогою вхідної фільтрації (BCP 38, RFC 2827).
- Не відкривати в інтернет DNS-резолвери, NTP, memcached і SNMP; вимикати застарілі команди й обмежувати частоту відповідей.
- Використовувати сервіси очищення трафіку або CDN із достатньою ємністю, щоб поглинати об’ємні атаки.
- Заздалегідь підготувати план реагування разом із провайдером, зокрема фільтрацію портів, якими зловживають, на його боці.
