Методика защиты от DoS и DDoS атак

После того, как был идентифицирован подозрительный трафик, пришло время реагировать на нападение и, в данном случае, вариантов адекватной реакции совсем немного. В первую очередь это связано с тем, что в процессе DoS атак используются поддельные исходные IP-адреса, которые в большинстве случаев генерируются случайным образом.

Одним из мероприятий по противодействию атакам такого характера является ограничение допустимого предела или rate limit. Лучший способ немедленной помощи, доступный большинству компаний, должно быть «ограничение допустимого предела» злонамеренного типа трафика. Ограничение допустимого предела накладывает ограничение на пропускную способность, которую определенный тип трафика может потреблять в данный момент времени. Это может быть достигнуто путем удаления полученных пакетов, когда превышен некоторый порог.

Например, компания Cisco предлагает способ, который позволяет ограничить ICMP пакеты, используемые в нападении:

interface xy

rate-limit output access-group 2020 3 000 000 512 000 786 000 conform-action

transmit exceed-action drop

access-list 2020 permit icmp any any echo-reply

Этот пример поднимает интересную проблему, которая была отмечена ранее. Например, ограничение SYN flood, направленное на вычислительную систему, отклонит и легитимный и нелегитимный трафик, так как все законные подключения требуют начального установления связи. Это комплексная проблема, не имеющая однозначного решения. Нельзя защитится от таких типов DoS нападений, не жертвуя частью легитимного трафика.

Отметим, что использование других способов защиты также вполне возможно, однако они должны в той или иной степени зависеть от типов фильтрации таких объектов как «черные дыры» и обладать возможностью изменения маршрутизации.

Важно отметить, что адресная фильтрация — не всегда является наилучшим способом защиты от DDoS нападений, даже если было заблокировано нападение на межсетевой защите, то все еще большие порции входящего трафика могут затруднить прохождение законного трафика.

Чтобы эффект от DDoS нападения был снижен, нужно в вышестоящей цепочке блокировать трафик и, вполне возможно, на устройствах, которые управляются большими провайдерами, что, по сути, означает, что многие из механизмов, которые утверждают, что предотвращают DDoS нападения, в конечном счете, являются бесполезными для маленьких сетей и их конечных пользователей.

Более того, сам факт предотвращения DDoS нападения, в некоторый момент, не может зависеть от выстраивания механизма защиты.