Защищаем сеть от DDoS-атак

Защищаем сеть от DDoS-атак

Дмитрий Карякин 6 ноября 2013

[email protected]

ведущий:

2 Copyright © 2013 Juniper Networks, Inc. www.juniper.net

Executive Intro Slide

  Защищаем сеть от DDoS-атак,

Карякин Дмитрий Системный инженер [email protected]


СОДЕРЖАНИЕ

§  DOS и DDoS атаки

§  Решение Junos DDoS Secure

§  Алгоритм CHARM

§  Демонстрация защиты от DDoS атак

§  Интерфейс управления и конфигурации


МОТИВЫ DDOS АТАК

Шантаж

“Заплатите, чтобы ваш сайт не переставал работать”

Криминальная активность

Другая активность

Политика / протест

Возмездие и “Потому что могу”

Последний оставшийся

Нанять сторонних лиц, чтобы вывести всех конкурентов и направить весь

трафик на свой сайт

Мгновенное переполнение

Резкое увеличение посещаемости

сайтов легитимными пользователями

Протестные флэшмобы

Координация атаки на государственные

ресурсы с применением

социального медиа

Кибер-война

Угроза для национальной безопасности государства

Хулиганство спортивных фанатов

Фанаты атакуют сайты клубов

соперников с целью нарушения продаж

билетов

Индивидуальные игроки

Подвергаются

атакам со стороны других игроков

Диверсионная завеса

DDoS маскирует хищение данных или другую атаку


ВЕКТОРЫ DDOS АТАК

ОБЪЕМНАЯ ЗАГРУЗКА “VOLUMETRIC”

•  Легко обнаруживается

•  Размер атак увеличивается

•  Частота атак увеличивается умеренными темпами

ПЕРЕГРУЗКА РЕСУРСОВ

•  Организованные флэшмобы через социальные медиа

•  Преимущественно легитимные запросы в момент крупных событий, имеющие ограниченный период действия.

МАЛОМОЩНЫЕ И МЕДЛЕННЫЕ АТАКИ

“LOW AND SLOW”

•  Рост атак значительно быстрее, чем volumetric-атаки – 25% от всех атак в 2013 (источник: Gartner)

•  Более сложные и трудно детектируемые

•  Целью является слабые стороны back-end инфраструктуры

•  Небольшой объем запросов может вывести из строя большой веб-сайт


Blank Slide

Junos DDoS Secure


РЕШЕНИЕ JUNOS DDOS SECURE

Акцент на доступности сервисов §  Конфиденциальность §  Целостность §  Доступность

  Приоритезация клиентов §  Дифференцирование между DDoS и перегрузкой

Применение stateful inspection для идентификации сессий и очистки трафика

Технология CHARM


ПРОБЕЛЫ В ЗАЩИТЕ, КОТОРЫЕ JUNOS DDOS SECURE СПОСОБЕН ЗАКРЫТЬ

Автодетектирование и устранение новых векторов атаки

Защита от атак типа low-and-slow

1

2


JUNOS DDoS SECURE: КАК ЭТО РАБОТАЕТ

§  Проверка пакетов на предмет соблюдения RFC

§  Пакеты неправильного формата или неверной последовательности отбрасываются

§  Индивидуальным IP-адресам назначается значение CHARM

§  Значение присваивается на основе поведения IP-источника

Механистический трафик

Низкое значение CHARM

Трафик, которого раньше не было

Среднее значение CHARM

Доверенный трафик, поведение, свойственное человеку

Высокое значение CHARM


JUNOS DDoS SECURE: КАК ЭТО РАБОТАЕТ

  Доступ зависит от порога CHARM для ресурса

§  Ниже порога – трафик сбрасывается

§  Выше порога – доступ разрешается

§  Минимум ложных срабатываний

  Порог CHARM изменяется динамически в зависимости от загрузки ресурса

§  Алгоритм с сохранением состояния проверяет время отклика ресурса

§  Серверные агенты не нужны

Применение политики на основе CHARM


JUNOS DDoS SECURE ПРОХОЖДЕНИЕ ПАКЕТА

Сброс пакета

Таблица поведения IP-адресов

Порог CHARM для ресурса

Сброс пакета

Пакет принят

Синтакси-ческий

Screener

Пока что ОК

Генератор CHARM

Добавлено значение CHARM

CHARM Screener

Packet Exits

Проверка пакета §  Проверка через фильтры §  Соответствие RFC §  Проверка порядка следования §  Состояние соединения TCP

1

Вычисление значения CHARM для пакета §  Обращается к таблице поведения IP-адресов §  Функция времени и поведения §  Лучше поведение = лучше CHARM

2

Поведение записано §  Поддержка до 64M профайлов

§  Старые профайлы устаревают первыми

3 Вычисление порога CHARM Отклик ресурса

4

Тревога или Сброс §  Порог CHARM §  Значение CHARM

5

Контроль доступа на основе технологии CHARM


JUNOS DDoS SECURE: УПРАВЛЕНИЕ РЕСУРСАМИ

Время отклика Ресурса 2 начало ухудшаться, JDDoS поднял порог CHARM для ограничения трафика атаки. Легитимный трафик проходит без ограничений, в то время как атакующий начинает полагать, что его атака была успешной, т.к. его запросы не проходят.

Resource 1 Resource 2 Resource 3 Resource ‘N’

Трафик атаки на Ресурс 2 снижается и атака переключается на Ресурс3. Junos DDoS Secure реагирует путем динамического увеличения порога для Ресурса 3 ограничивая трафик атаки

Resource Control


ЭВРИСТИЧЕСКАЯ МИНИМИЗАЦИЯ ПОСЛЕДСТВИЙ

Junos DDoS Secure Эвристический анализ Трафик DDoS атаки PC управления

Легитимный трафик

Трафик DDoS атаки


Ресурсы



ПРЯМОЕ ПРЕИМУЩЕСТВО: УМЕНЬШЕНИЕ ПОСЛЕДСТВИЙ ПЕРЕПОЛНЕНИЯ HTTP-ЗАПРОСАМИ

 

CHARM распознает быстрые запросы

страниц и соответственно

снижает значение для пакета

CHARM проактивно защищает от

переполнения SYN-запросами и уменьшает последствия

CHARM проактивно защищает исходящий

канал

Web сервер

Время

Использование

ресурсов

Интернет поток

Легитимные пользователи

A A

A A

A A

A

A A

A A

Z Z

A A

A A

A

A A

A A

Z Z

A A

A A

A

A A

A A

Z A

A A

A A

A

A A

A A

A A

A

A A

A

A

A A

A

A A

A

A A A A

A

A A

A

A A

A

A A

A

A A

Attackers


CHARM СГЛАЖИВАЕТ ТРАФИК

0

10

20

30

40

50

60

70

80

90

100

Time

Res

ourc

e C

HA

RM

Sca

le %

Defended Traffic

Good Traffic Charm

Attack Traffic Charm

Charm Threshold

Traffic if Undefended

Resource Saturated

Good

Bad

Charm

Scale

 


DDOS SECURE: ЗАЩИЩАЕМЫЕ УРОВНИ

 

Application

Presentation

Sessions

Transport

Network

Data Link

Physical

Application

Transport

Internet Network Access

Physical

Layer 2-4 and Application (http / dns / sip) Protection


ЧТО ЗАЩИЩАЕТ JUNOS DDOS SECURE?

§  Servers §  Routers §  Firewalls §  Load Balancers §  NAT §  Multiple Gateways, asymmetric routes §  URL

 


ПОРТАЛЫ – МУЛЬТИАРЕНДНОСТЬ

  Виртуализация внутри Virtual Junos DDoS Secure §  Каждый портал защищает определенный набор IP-адресов §  Множественная аренда

  Пользователи / клиенты имеют возможность управлять только своим порталом

§  Аутентификация §  Характеристики сервера §  Обзор инцидентов §  Статистическая информация §  Отчеты по email


РАЗВЕРТЫВАНИЕ JUNOS DDOS SECURE

  Работает как L2 мост §  Один двунаправленный путь передачи данных через два сетевых интерфейса

§  Нет IP-адресации на сетевых интерфейсах §  Включается в существующий Ethernet сегмент §  Нет необходимости переконфигурировать других сетевые устройства

§  При установке время прерывания существующего потока данных не превышает нескольких секунд

  Управление - out of band, через третий L3 интерфейс

  Поддерживается отказоустойчивая конфигурация §  Передача состояния между несколькими устройствами JDDS осуществляется через четвертый интерфейс


ПРИМЕРЫ РАЗВЕРТЫВАНИЯ

 

Web сервер

Маршрутизатор Коммутатор

Web сервер

Коммутатор

X


 

ПРИМЕР КОМПЛЕКСНОГО РАЗВЕРТЫВАНИЯ

Switch

Web Server

Switch

Router Router Router

Router* Router*

Switch** Switch**

Switch Switch

Web Server

* Firewall

** Load Balancer


JUNOS DDOS SECURE ВАРИАНТЫ РЕАЛИЗАЦИИ

§ 1Gbps Virtual Appliance (ESX и KVM)

§ 10Gbps 1U appliance с функцией обхода при сбое §  Оптические порты (10G SR/LR)

§  Медные порты (10M/100M/1G)

§ Оба варианта могут разворачиваться обособленно или в составе Active – Standby пары

§ или Active – Active (Asymmetric Routing)


СПЕЦИФИКАЦИЯ АППАРАТНОЙ ПЛАТФОРМЫ

Характеристика J-DDOS-SEC-AP4 J-DDOS-SEC-AP1 J-DDOS-SEC-AP2 J-DDOS-SEC-AP3

Пропускная способность в каждом направлении

1G 10G

Количество защищаемых IP 64 000 64 000

Количество отслеживаемых IP (v4/v6)

32 000 000 64 000 000

Одновременных ТСР сессий 4 000 000 4 000 000

Скорость установки сессий 750 000 в секунду 750 в секунду

Интерфейсы 1G RJ45 10GBASE-T/ SX / LR

Габариты, высота 1RU 1RU


ОДНО БАЗОВОЕ ШАССИ ЧЕТЫРЕ МОДЕЛИ ПЛАТФОРМЫ

  Модели и сетевые адаптеры

Процессор 8 Core Xeon @ 2.9GHz

Память 32GB

HDD 2x300GB 10K RPM SAS, RAID-1

Блок питания 2 шт.

  Базовое шасси (все модели)

Модель SKU Сетевые адаптеры 1200-C J-DDOS-SEC-AP4 Два порта 1G RJ45 с обходом

1210-SR J-DDOS-SEC-AP2 Два порта 10GASE-SR с обходом

1210-LR J-DDOS-SEC-AP1 Два порта 10GASE-LR с обходом

1210-TX J-DDOS-SEC-AP3 Два порта 10GASE-T с обходом

Сетевые адаптеры не заменяются Замена с случае выхода из строя (RMA и т.д.)


СХЕМА ЛАБОРАТОРНОГО СТЕНДА

 

Web сервер

Коммутатор

Злоумышленник Пользователь

Режимы работы: •  логирование

•  защита

Атаки на веб-сервер: •  SYN flood

•  HTTP stress test

•  Slow-rate HTTP GET

•  Slow-rate HTTP POST

•  Slow-rate HTTP read

Отклик от веб-сервера: •  Время отклика пропорционально количеству одновременных соединений

Junos DDoS Secure

Производит регулярные легитимные запросы на веб-сервер


Blank Slide

ВОПРОСЫ

Technology

Защищаем сеть от DDoS-атак