Co się dzieje podczas ataku DDoS

Nic się nie włącza

Nie ma przycisku. Czyszczenie działa nieprzerwanie przed każdym serwisem, od czterech terabitów na sekundę w mniejszych lokalizacjach do dwunastu w największych, a decyzja o odrzuceniu pakietu jest podejmowana w sprzęcie na brzegu sieci, na drodze wejściowej. Pierwsze trzydzieści sekund ataku jest więc filtrowane dokładnie tak samo jak ostatnie trzydzieści, co nie jest prawdą w przypadku żadnego systemu, który musi wykryć atak, przekierować prefiks i czekać na propagację ogłoszenia.

Co widzisz od środka

Zazwyczaj nic. Odbity UDP, SYN flood, seria wzmocnionych odpowiedzi DNS: atak wolumetryczny o dowolnym kształcie jest odrzucany poza siecią i nigdy nie dociera do Twojego portu. Wykres w panelu to pokazuje. Liczniki interfejsu — nie.

To, co może do Ciebie dotrzeć, to wszystko, co jest nieodróżnialne od prawdziwego ruchu: wolny atak HTTP, strumień żądań do Twojego najdroższego punktu końcowego, próba ataku na dane uwierzytelniające. Warstwa 7 to miejsce, gdzie brzeg sieci nie może pomóc bez znajomości Twojej aplikacji, i właśnie do tego służy dodatek DDoS Pro: niestandardowe sygnatury, limity prędkości per ścieżka oraz osoba, która pisze je razem z Tobą w trakcie ataku.

Sprawdź najpierw własne limity, zanim wyciągniesz wnioski

Dobra połowa zgłaszanych nam ataków to wypełniona tabela conntrack lub przepełniona kolejka nasłuchu przy zwykłym poniedziałkowym ruchu.

sysctl net.netfilter.nf_conntrack_count net.netfilter.nf_conntrack_max
nstat -az TcpExtListenOverflows TcpExtSyncookiesSent
ss -s
journalctl -k --since "15 min ago" | tail -50

nf_conntrack: table full, dropping packet w logu jądra to Twój firewall mówiący o sobie, a nie sieć raportująca atak.

Co robimy

Wykrywanie jest oparte na przepływach i per cel. Dopasowanie sygnatury odrzuca zgodny ruch w ciągu sekund i nie rusza reszty Twoich danych. Tam, gdzie wolumen przekracza to, co serwis może pochłonąć, co zdarza się rzadko, adres docelowy jest filtrowany w całości przez określone okno czasowe, zamiast pozwalać na degradację dla wszystkich. Dostajesz e-mail z podaniem okna, liczonego w minutach.

Ruch ataku nigdy nie jest wliczany do limitu. To nie Twój ruch i nie prosiłeś o niego.

Co możemy Ci powiedzieć później

Wektor, szczytowa prędkość bitowa, szczytowa prędkość pakietowa, czas trwania oraz przybliżona geografia źródeł. To zawierają liczniki przepływów.

Czego nie możemy przekazać, to przechwycony ruch, ponieważ taki nie powstał. Nie rejestrujemy ruchu przechodzącego przez Twoją instancję, a ta polityka nie ma wyjątku, który włącza się, gdy ruch staje się wrogi. Szczegóły znajdziesz w tym, co logujemy. Ludzie czasem odczuwają to frustrująco w trakcie incydentu, ale to ta sama właściwość, która sprawia, że reszta polityki ma wartość.

Czego nie robić

• Nie zmieniaj adresu. Atak podąży za nim w ciągu minuty, a teraz Twój DNS jest również błędny.
• Nie restartuj. Restartowana instancja to wolniejsza instancja, a nie filtrowana.
• Nie wklejaj w panice reguł nftables na tysiąc linii. Cokolwiek odrzucisz na instancji, już przekroczyło najdroższą część sieci.
• Sprawdź najpierw /status. Jeśli sam serwis ma incydent, jest to opublikowane tam, zanim napiszesz zgłoszenie.

I tak otwórz zgłoszenie

ID instancji, znaczniki czasu ze strefą czasową, co dokładnie było objawem oraz czy usługa była dostępna z drugiej sieci. Mediana pierwszego czasu odpowiedzi wynosi jedenaście minut o każdej porze dnia, a podczas trwającego zdarzenia odpowiedź przychodzi od kogoś, kto już patrzy na wykres.