Ucuz internet ve erişilebilir bulut teknolojileri botnet olan bir dezavantajı vardır. Daha önce, siber suçlular onları yerel sunuculara göre yarattı. Bununla birlikte, bulut teknolojilerinin ve IoT'nin geliştirilmesiyle, cihazların, sanal makinelerin ve fiziksel sunucuların - botnetlerin potansiyel unsurları - katlanarak büyümüştür.
Uzmanlar, sunucusuz teknolojilerin geliştirilmesinin botnetlerin oluşturulmasını daha da basitleştireceğine inanıyorlar. İşte buna nasıl karşı koyabiliriz.
Bir teori ile başlayalım. Saldırıları başlatmak için hangi ekipman ve teknolojiler kullanılabilir? İşte bazı temel seçenekler:
Siber suçluların potansiyel olarak kullanabileceği bir diğer teknoloji de sunucusuz hesaplamadır. Hizmet Olarak İşlev (FAAS) gibi bulut hizmetlerinin geliştirilmesiyle, BotNet sahibinin herhangi bir altyapıya ihtiyaç duymayacağı, programa göre kod yürüten ve daha sonra kapatılabileceği varsayılmaktadır. Bu durumda, her tetikleyici aynı işlevin yeni bir örneğini oluşturur. Neyse ki, kontrollü deneyler dışında botnetler için sunucusuz bilgi işlem kullanma vakası henüz kaydedilmemiştir.
Sunucusuz teknolojilerin kötü niyetli kullanımı hala bir teori olsa da, daha geleneksel altyapıyı - fiziksel veya sanal olarak ele alalım. Çoğu durumda, saldırganlar bu altyapıyı kitle güvenlik açıklarını kullanarak bulaşır. Bu şekilde çalışır: Belirli bir markanın veya modelin yönlendiricilerinde bir kusur algılandığında, saldırganlar ağları tarar ve onlardan saldırı başlatmak için yönlendiricilere büyük miktarlarda kötü amaçlı yazılım yükler. Aynı şey fiziksel sunucular ve sanal makineler için de geçerlidir.
Siber suçlular, enfekte altyapının her düğümünde bir bot başlatır. Bu küçük komut dosyası, belirtilen işlevi otomatik olarak gerçekleştirir - bir DDOS saldırısı. Bu tür saldırıların sayısı her yıl büyür, gelen trafiğin hacmi artar ve sonuç olarak güvenlik çevresindeki yük daha ağır hale gelir.
Bulut sağlayıcıları bu yeni koşullarda nasıl hareket etmelidir? Tabii ki, artan trafik hacmini emecek şekilde filtreleme merkezlerinin kapasitesini artırmaya devam edebilirsiniz. Bununla birlikte, bu yeni zorluklara yol açacaktır: birincisi pahalıdır ve ikincisi, bu merkezler düzenli bakım, ekipman değiştirme ve daha fazlasını gerektirecektir. Bu nedenle, kötü niyetli trafiği engellemek ve meşru istekleri korumak isteyen çeşitli bulut ve barındırma sağlayıcıları yükü mümkün olduğunca yeniden dağıtmaya çalışır. CDN, yük dağılımı için mükemmeldir. İşte böyle çalışıyor.
Gcore’un Koruma Temizlik Merkezi üç seviyeden oluşur:
Bu çok seviyeli güvenlik sistemi, tüm istekleri analiz etmemizi sağlar. Bir IP'den bir URL için birçok istek olduğunu görürse, oturum işaretlenir ve engellenir. Sistem, kaynaklar üzerindeki ortalama yükü takip ettiği ve daha sonra normal ve anormal değerleri bağımsız olarak belirlediği için otomatik olarak fazla isteklere tepki verir. Böylece, meşru trafiğin geçmesine izin verir, ancak ilk koruma seviyesinde UDP/ICMP sel, amplifikasyon, syn-ack ve rst-syn seli gibi hacimsel atakları engeller. Durum başka bir saldırı vektörü ile daha da ilginç hale geliyor - HTTP sel.
HTTP Taşkın Koruması Nasıl Çalışır?
Tahliye merkezinin ikinci seviyesi - bot koruması - HTTP selinden korunmaktan sorumludur. Bu tür saldırılarla, ek kontrol olmadan şüpheli IP adreslerini engellememek için daha dikkatli olmalıyız, çünkü arkasında, NAT'ın arkasında, bilgisayarları enfekte olan meşru ziyaretçiler ve kullanıcılar var.
Bunun olmasını önlemek için çok aşamalı analizler kullanıyoruz:
İlk yöntem - JS Challenge - belirli bir görevle istemciye bir JavaScript kodu göndermeyi teşvik eder. Bir kullanıcı meşru ise ve tipik bir botun aksine, JavaScript destekli bir tarayıcı kullanıyorsa, testi fark etmeden bile geçeceklerdir - trafik ışıklarını ve bisikletleri işaretlemeleri gerekmeyecektir.
İkinci yöntem - JS captcha - daha az zeki, ancak daha güvenilirdir. Mücadeleyi tamamladıktan sonra, müşteri geçici olarak doğrulanmış IPS listesine dahil edilir. Diğer şeylerin yanı sıra, test sırasında, bot koruması için yararlı olan ve gelecekte kullandığımız bilgileri öğreniyoruz (örneğin, tarayıcı sürümü).
Filtreleme merkezi, veritabanında olmayan veya açıkça gayri meşru olan TLS'nin içinde bir karma tespit ettiğinde - örneğin, kullanıcı aracısında 'İnternet Explorer' diyerek kıvrılmadan bir JA3 karması alınır - merkez onu engeller veya bir çek başlatır .
Testin tüm bu aşamaları, bot korumasının yüksek seviyede nasıl çalıştığını açıkça göstermektedir. Ama içeride, daha düşük bir seviyede ne olur?
Ciddi saldırılar durumunda, L3 - L4'e yapılan saldırıları engelleyen EBPF ile entegrasyon etkinleştirilir. Böylece, filtreleme merkezinin aşırı yüklenmesi riskini de azaltırız.
En üstten algoritmik yöntemlerle birlikte düşük seviyeli analiz teknolojilerinin birleşik kullanımı, hem kötü niyetli hem de meşru trafik aynı IP adresinden gelse bile meşru trafiğin bloke olma olasılığını azaltır. Yanlış pozitif oranımız%0.01'den azdır.
Neden EBPF kullanmaya karar verdik? Çekirdeğin içine yerleştirilmiş bir monolit olduğu için - daha önce kullanılan (DPDK) ile uyumlu olarak, bazı sorunlar daha kolay çözülebilir ve bazen tamamen ortadan kaldırılabilir. Örneğin, DPDK'nın aksine, EBPF bir ağ arayüzünde başka bir rolle birlikte kullanılabilir. Bu nedenle, gelecekte, güçlü 3. nesil Intel® Xeon® ölçeklenebilir işlemcilerde çalışan CDN düğümlerinde daha aktif olarak kullanmayı planlıyoruz.
GCORE büyük bir içerik dağıtım ağına sahiptir - toplam kapasite saniyede yaklaşık 100 TB trafiktir, ancak aynı zamanda, gelen kanalın yetersiz kullanılırken, giden trafiğin% 85'i (içerik alan müşteriler) için dubleks kanal kullanılır. CDN ve EBPF'nin entegrasyonu sayesinde, bu kapasiteleri trafik temizliğine bağlamayı planlıyoruz ve müşteriye mümkün olduğunca yakın kalıyor.
GCORE kullanıcıları kapsamlı bir korumaya sahiptir: hem hacimsel DDO'lar gibi genel saldırılardan hem de maskelenebilen veya meşru trafikle karıştırılabilen saldırılardan. Tüm bunlar, WAF ile entegre olma yeteneği ile birlikte, müşterilerin yığın ağında, taşıma ve uygulama katmanlarında yapılan saldırıların sonuçlarını azaltmasına izin verir.
Gcore tarafından desteklenen
Akamai, müşterilerinden birine karşı Avrupa'daki en büyük DDO'ları engelledi.
Akamai Avrupa'da yeni rekor kıran DDOS saldırısını durdurdu
Google Blocks En büyük HTTPS DDOS saldırısı 'Bugüne kadar bildirilen'
Emotet botnet artık kuantum ve blackcat fidye yazılımını itiyor
DDOS 2022'de saldırı trendleri: UltraShort, Güçlü, MultiVector Saldırıları
Kaynak: Bleeping Computer