Ką daryti interneto puslapių savininkams, patiriantiems DDOS atakas?

Jūsų svetainė veikė puikiai – iki šios dienos ryto. Dabar ji nepasiekiama, telefonas karštas nuo klientų skambučių, o jūsų serverių monitoringo sistema rodo neįtikėtinus skaičius. Greičiausiai esate DDoS atakos auka. DDoS atakos – tai viena labiausiai paplitusių ir ekonomiškai žalingiausių kibernetinių grėsmių pasaulyje, nuo kurių neatsparūs nei mažų elektroninių parduotuvių puslapiai, nei didelių korporacijų infrastruktūra. Šiame straipsnyje išsamiai aptarsime, kas yra DDoS atakos, kaip jas atpažinti, ką daryti tiesiogiai atakos metu ir kaip pasirūpinti ilgalaike apsauga.

Kas yra DDoS ataka ir kaip ji veikia?

DDoS (angl. Distributed Denial of Service – paskirstytas paslaugų trikdymas) – tai kibernetinė ataka, kurios metu į vieną tikslinę sistemą, serverį ar tinklą iš daugybės šaltinių vienu metu siunčiamas milžiniškas duomenų srautas. Tikslas paprastas: perpildyti sistemą tiek, kad ji negalėtų aptarnauti teisėtų vartotojų ir nustotų veikti.

Skirtingai nuo paprasto DoS (angl. Denial of Service) išpuolio, kuris vykdomas iš vieno šaltinio, DDoS atakos yra koordinuojamos iš šimtų, tūkstančių ar net milijonų įrenginių. Šie įrenginiai dažniausiai yra užkrėsti asmeniniai kompiuteriai, išmanieji telefonai ar daiktų interneto prietaisai (maršrutizatoriai, IP kameros, išmanieji televizoriai), sudarantys vadinamąjį botnetą – robotų tinklą, kuriuo nusikaltėliai naudojasi be įrenginių savininkų žinios.

DDoS atakų tipai

DDoS atakos skiriasi pagal tai, kurią infrastruktūros dalį puola:

Volumetrinės atakos – labiausiai paplitęs tipas. Jų tikslas – išnaudoti visą turimo interneto kanalo pralaidumą milžinišku duomenų srautu. Tokios atakos gali generuoti šimtus gigabitų arba net terabitų per sekundę.

Protokolo atakos – nukreiptos prieš tinklo įrangos (ugniasienių, maršrutizatorių) ribotus resursus, išnaudojant TCP/IP protokolų silpnąsias vietas. Žinomiausia – SYN ataka, kai serveris apliejamas daugybe neužbaigtų prisijungimo užklausų.

Aplikacijos lygio atakos – pačios sudėtingiausios ir sunkiausiai atpažįstamos, nes imituoja tikrų vartotojų elgesį. HTTP GET / POST atakos, pavyzdžiui, siunčia tūkstančius iš pažiūros normalių užklausų į svetainę, kol serveris nebegali jų apdoroti.

Kaip atpažinti, kad esate DDoS atakos auka?

Ne kiekviena lėta svetainė ar serverio gedimas reiškia DDoS ataką, tačiau yra aiškių ženklų, į kuriuos reikia atkreipti dėmesį:

Neįprastai lėtas svetainės veikimas. Jei puslapiams užkrauti ima trukti dešimtys sekundžių arba jie visai neatsidaro, tai pirmas perspėjimo signalas.

Visiškas svetainės nepasiekiamumas. Vartotojai gauna klaidų pranešimus (pvz., 504 Gateway Timeout arba 503 Service Unavailable), o jūs patys taip pat negalite pasiekti savo puslapio.

Neįprastas srautas iš tų pačių IP adresų arba regionų. Jei jūsų analitikos įrankiai (pvz., „Google Analytics”, „Cloudflare” statistika) rodo, kad iš karto suplūdo tūkstančiai lankytojų iš neįprastų šalių arba vienas IP adresas generuoja šimtus tūkstančių užklausų, tai aiškus DDoS požymis.

Serverio resursų išnaudojimas. Stebėjimo įrankiai rodo, kad CPU, atmintis arba tinklo pralaidumas pasiekė 100 % – be jokios logiškos priežasties.

Normali serverio veikla po perkrovimo greitai vėl sutrinka. Jei problema nekyla dėl programinės įrangos klaidos, serveris po perkrovimo veiks vos kelias minutes, o tada vėl sustoja.

Ką daryti tiesiogiai DDoS atakos metu: žingsnis po žingsnio

Kai jau aišku, kad esate atakuojami, kiekviena minutė svarbi. Čia pateikiamas aiškus veiksmų planas.

1. Nedelsdami susisiekite su savo hostingo paslaugų teikėju

Tai pats svarbiausias ir greičiausias pirmasis žingsnis. Jūsų hostingo tiekėjas turi technines priemones, kurių jūs, kaip svetainės savininkas, paprastai neturite: galimybę blokuoti srautą tinklo lygmeniu, dar prieš jam pasiekiant jūsų serverį.

Skambindami ar rašydami nurodykite:

• Tikslų laiką, kada prasidėjo problemos.
• Koks yra simptomas (lėtumas, nepasiekiamumas, serverio perkrova).
• Ar turite galimybę stebėti serverio žurnalus (angl. logs) ir ką juose matote.

Didesni Lietuvoje veikiantys hostingo paslaugų teikėjai – „Hostinger”, „Telia”, „Cgates” ar kiti – turi atskirą kibernetinio saugumo komandą arba bent jau protokolus tokiems atvejams.

2. Aktyvuokite „Cloudflare” arba kitą DDoS apsaugos sprendimą

Jei dar nenaudojate turinio paskirstymo tinklo (CDN) su DDoS apsauga, atakos metu pereiti prie jo vis dar galima, nors tai gali šiek tiek užtrukti (DNS pakeitimai paprastai įsigalioja per 24–48 valandas). „Cloudflare” siūlo nemokamą planą su bazine DDoS apsauga, o mokami planai suteikia pilnesnę apsaugą.

Kai DNS yra nukreipiamas per „Cloudflare”, visas į jūsų svetainę nukreiptas srautas pirmiausia praeina pro jų filtravimo sistemas, kurios atskiria teisėtus lankytojus nuo kenksmingų užklausų.

3. Blokuokite įtartinus IP adresus ir regionus

Jei turite prieigą prie serverio valdymo skydelio arba ugniasienės (angl. firewall) nustatymų, galite rankiniu būdu blokuoti IP adresus arba net ištisus geografinius regionus, iš kurių kyla ataka.

Tai galima padaryti per:

• cPanel / Plesk – daugelyje hostingo valdymo skydelių yra IP blokavimo funkcija.
• „Cloudflare” ugniasienė – leidžia blokuoti šalis arba nustatyti iššūkio (CAPTCHA) reikalavimą įtartinam srautui.
• Serverio lygio įrankiai – jei turite prieigą prie serverio per SSH, galima naudoti iptables arba fail2ban.

Svarbu: Blokuodami ištisus regionus rizikuojate blokuoti ir teisėtus vartotojus. Šią priemonę naudokite tik tada, kai tikrai žinote, iš kur kyla ataka.

4. Įjunkite „I’m Under Attack” režimą

„Cloudflare” turi specialų režimą, vadinamą „I’m Under Attack Mode” (esu atakuojamas). Jį aktyvavus, kiekvienas lankytojas prieš patekdamas į svetainę turi išlaikyti automatinį JavaScript iššūkį, kuris užtrunka kelias sekundes. Robotai ir automatizuotos atakų programos šio iššūkio neišlaiko, o tikri žmonės – taip.

Šį režimą aktyvuoti galima tiesiai iš „Cloudflare” valdymo skydelio.

5. Fiksuokite visus įrodymus

Atakos metu svarbu fiksuoti visus įrodymus:

• Serverio žurnalų (logų) kopijos.
• Ekraninės nuotraukos iš monitoringo sistemų.
• Tikslūs laikai, kada ataka prasidėjo ir pasibaigė.
• Preliminarus žalos įvertinimas (prastovos laikas, prarastos pajamos).

Šie duomenys bus reikalingi tiek jūsų hostingo paslaugų tiekėjui, tiek, jei nuspręsite kreiptis į teisėsaugos institucijas.

6. Pranešite kompetentingoms institucijoms

Jei DDoS ataka padarė apčiuopiamos žalos (pavyzdžiui, sukėlė nuostolių verslui, lėmė duomenų praradimą ar nutekėjimą), apie tai reikia pranešti:

• Lietuvos Respublikos kriminalinei policijai arba Elektroninių nusikaltimų tyrimo skyriui.
• Nacionaliniam kibernetinio saugumo centrui (NKSC) – tai pagrindinė Lietuvos institucija, atsakinga už kibernetinių incidentų valdymą. NKSC teikia pagalbą tiek verslo, tiek valstybinėms organizacijoms, patiriančioms kibernetines atakas. Informaciją galima pateikti el. paštu arba per NKSC portale esančią incidentų pranešimo formą.

Ilgalaikė apsauga nuo DDoS atakų

Geriausia DDoS apsauga – ta, kuri veikia dar prieš atakai prasidedant. Štai pagrindinės prevencinės priemonės.

Naudokite CDN su DDoS apsauga

Turinio paskirstymo tinklai (CDN) ne tik pagreitina svetainės veikimą, bet ir yra viena efektyviausių priemonių prieš DDoS atakas. „Cloudflare”, „Akamai”, „AWS Shield”, „Fastly” – visos šios platformos kuria milžinišką buferinę zoną tarp atakuotojų ir jūsų serverio.

„Cloudflare” nemokamas planas tinkamas mažoms svetainėms; vidutiniam ir dideliam verslui rekomenduojami „Pro” arba „Business” planai, suteikiantys pažangesnes apsaugos funkcijas.

Konfigūruokite ribojimo taisykles (angl. rate limiting)

Serverio lygio arba CDN lygio taisyklės, ribojančios, kiek užklausų vienas IP adresas gali siųsti per tam tikrą laiką, labai sumažina aplikacijos lygio atakų efektyvumą. Pavyzdžiui, galima nustatyti, kad vienas IP adresas per minutę galėtų siųsti ne daugiau kaip 100 užklausų.

Pasirinkite hostingą su apsauga

Rinkdamiesi hostingo paslaugų teikėją, atkreipkite dėmesį, ar jo paslaugose įskaitytas bent bazinis DDoS apsaugos lygis. Kai kurie tiekėjai tai siūlo kaip standartinę paslaugą, o kiti – kaip papildomą mokamą paslaugą. Prieš pasirašant sutartį verta paklausti tiekėjo, kokios jo galimybės atakų atveju.

Turėkite krizių valdymo planą

Daugelis įmonių DDoS atakos scenarijų apgalvoja tik tada, kai jau per vėlu. Krizių valdymo planas turėtų apimti:

• Aiškius kontaktus (hostingo tiekėjo avarinė linija, NKSC kontaktai, IT administratorius).
• Atsakomybių pasiskirstymą (kas ką daro atakos metu).
• Komunikacijos strategiją – ką ir kaip komunikuoti klientams, kai svetainė neveikia.
• Atsarginės svetainės arba statinio puslapio planą, kurį galima greitai aktyvuoti.

Reguliariai atlikite saugumo auditą

Kibernetinis saugumas – ne vienkartinis darbas, o nuolatinis procesas. Reguliarūs saugumo auditai, slaptažodžių keitimas, programinės įrangos atnaujinimai ir hostingo planų peržiūra padeda laiku pastebėti pažeidžiamas vietas.

DDoS atakos ir teisinis aspektas Lietuvoje

Lietuvoje DDoS atakų organizavimas ir vykdymas yra nusikalstama veika. Baudžiamasis kodeksas numato atsakomybę už neteisėtą poveikį informacinėms sistemoms (BK 198 straipsnis ir kt.). Bausmė gali siekti kelerių metų laisvės atėmimo, priklausomai nuo žalos dydžio ir kitų aplinkybių.

Jei galite nustatyti atakos šaltinį – net jei tai yra serveriai užsienyje – būtinai kreipkitės į teisėsaugą. Lietuva bendradarbiauja su Europolu ir kitomis tarptautinėmis organizacijomis, tiriančiomis kibernetinius nusikaltimus.

Išvados: pasiruoškite iš anksto, kol dar nevėlu

DDoS atakos – tai ne tik didelių korporacijų problema. Net nedidelė elektroninė parduotuvė ar vietinis informacinis portalas gali tapti atakos taikiniu – konkurentų užsakymu, politiniais motyvais ar tiesiog dėl to, kad nusikaltėliai internete nuomoja savo pajėgumus už nedidelę kainą.

Geriausia apsauga – tai prevencija: tinkamas CDN, patikimas hostingo tiekėjas, ribojimo taisyklės ir aiškus veiksmų planas. Tačiau net ir neturint visų šių priemonių, greitai ir metodiškai reaguojant galima sumažinti atakos žalą iki minimumo.

Investicija į kibernetinį saugumą visada yra mažesnė nei potenciali žala dėl prastovų, prarastų klientų ir reputacijos nuosmukio. Pasirūpinkite savo svetainės apsauga šiandien – rytoj gali būti per vėlu.