Статистика противодействия DDoS-атакам за июль

Публикуем данные по отражённым атакам за июль. В этом месяце разберём кейс атаки, которая маскировалась под легитимные соединения и обходила стандартную защиту.

Как мы разоблачили атаку под прикрытием TCP-рукопожатия

В июле на инфраструктуру клиента произошла атака, которая на первый взгляд выглядела как типичный TCP SYN flood. Она вызвала резкий рост количества новых подключений и создала нагрузку на сетевое оборудование. Однако стандартная контрмера TCP SYN Authentication не сработала, поскольку атакующие хосты не зависали на этапе рукопожатия, а полностью его завершали, устанавливали соединение и почти сразу разрывали его, не передавая никаких данных. Это выбивало атаку из-под действия классических правил защиты, рассчитанных на «зависшие» полуоткрытые соединения, ведь источники формально вели себя как легитимные клиенты.

За выявление вредоносных источников по поведенческим признакам в системе защиты отвечает модуль Zombie Detection. Инженеры GlobalNet проанализировали профиль трафика и настроили в этом модуле функцию Flexible Zombie, задав FCAP-выражение proto tcp and tflags S/S и порог скорости SYN-пакетов. Порог установили ниже интенсивности атакующих хостов, но выше активности обычных пользователей, поэтому легитимные соединения не блокировались. Правило начало автоматически заносить в blacklist источники, превышавшие этот порог, независимо от того, завершали они рукопожатие или нет, и атака была нейтрализована без ручного вмешательства и без влияния на легитимный трафик.

Настройте защиту до первой атаки
Преднастроенная защитная сессия запускает митигацию автоматически в момент атаки, исключая экстренное подключение под нагрузкой. Настроить защиту заранее можно бесплатно, а первые 48 часов атаки сервис также работает без оплаты.

Напишите на antiddos@gblnet.ru или оставьте заявку на gblnet.ru для уточнения технических подробностей.