В нашем облаке реализована услуга защиты от DDoS на базе ПО СКАТ DPI (Система Контроля и Анализа Трафика, использующая технологию Deep Packet Inspection, глубокого анализа трафика).
В системе реализованы следующие механизмы противодействия DoS и DDoS:
- Защита от DDoS (LOIC и т.п.) на основе теста Тьюринга (Human Detection)
- Защита от TCP SYN Flood
- Защита от fragmented UDP Flood
Дополнительно для отражения DDoS атак используется развернутый в облаке WWW сайт для проведения теста Тьюринга (Human Detector).
Механизм работы защиты от DDoS в облаке
Для осуществления DDoS атаки злоумышленник имеет в распоряжении большую сеть удаленно управляемых компьютеров (BOTNET) и ему нет необходимости скрывать IP-адрес каждого из них.
В этом случае злоумышленник может просто имитировать действия легитимных пользователей сайта, но благодаря большому количеству участвующих в атаке компьютеров (иногда таких компьютеров может быть несколько сотен тысяч), даже такие действия вызовут большую нагрузку на сайт и приведут к отказу в обсаживании.
Обычно злоумышленники выбирают для вызова наиболее ресурсоемкие запросы к атакуемому сайту, чтобы минимизировать число участвующих в атаке компьютеров, IP адреса которых будут после атаки засвечены.
Часто для защиты от подобных атак с разной степенью эффективности применяются различные поведенческие стратегии (behavioral DDoS protection), которые позволяют определить отклонения в нормальном поведении. Мы же предлагаем простой и очень эффективный подход - использование теста Тьюринга (странички с CAPTCHA, от англ. Completely Automated Public Turing test to tell Computers and Humans Apart), компьютерного теста, используемого для того, чтобы определить, кем является пользователь системы: человеком или компьютером.
Защита работает следующим образом:
- При превышении порогового значения, например, комфортного для сайта количества запросов в секунду, активируется защита.
- К работе с сайтом допускаются только пользователи, находящиеся в белом списке, все остальные перенаправляются на страничку с CAPTCHA для проверки на «человечность». Эта страничка расположена на отдельном сервере в облаке, способном выдержать нагрузку BOTNET любого размера.
- Пользователи, успешно прошедшие тест, добавляются в белый список и дальнейшая их работа с сайтом ничем не омрачена.
- Пользователи, не прошедшие тест (боты), не могут продвинуться дальше детектирующей странички и создать какую-либо нагрузку на атакуемый сайт.