Post on 05-Dec-2014
description
Организация защиты для распределенных интеллектуальных ресурсов и облачных сервисов
Алексей Афанасьев, Менеджер проектa DDoS Prevention Kaspersky Lab Russia Alexey.Afanasyev@kaspersky.com
«Лаборатория Касперского»
| 07 June 2012 PAGE 2 |
Лидер российского рынка
Защита почти 300 миллионов рабочих мест
Почти 10 миллионов активаций продуктов в месяц
220 патентов по всему миру
Более 2300 сотрудников, из них 800 в R&D
Более 130 OEM-партнеров
Один из крупнейших производителей решений для обеспечения информационной безопасности
Защита сетевой инфраструктуры любой компании
| 07 June 2012 PAGE 3 |
Простое управление
Единая консоль
Применение политик
Понятный интерфейс
Подробные
отчеты
Защита виртуальной
среды
Автоматическая защита
Высокая
производительность
Максимальная эффективность
Прозрачность
Защита физической
инфраструктуры
Защита в реальном времени
Мощные
инструменты контроля
Поддержка
большинства платформ
Защита мобильных устройств
Защита данных при утере/краже
Поддерживаемые
ОС: Android, Blackberry, Windows, Symbian
Kaspersky Security для виртуальных сред Ключевые преимущества
Антивирусное ядро, удостоенное многочисленных наград
Централизованное управление
Минимальное влияние на производительность
Исключение ситуаций «шквального» сканирования и обновления
Автоматическая защита новых виртуальных машин
Высокий уровень технической поддержки
Высокая плотность ВМ
Быстрая окупаемость
| 07 June 2012 PAGE 4 |
Откуда такая осведомленность
| 07 June 2012 PAGE 5 |
Интернет
Информирование о изменении статуса
Постоянный опрос выявленных управляющих центров
Date Type Bot Arguments
[http] http://moscow-post.ru 2011.06.14 20:05:21 MSD
START skill.ddos/xzrw0q.com numthreads: 100
[http] http://moscow-post.ru/server/classes/class.db.php 2011.06.14 20:05:21 MSD
START skill.ddos/xzrw0q.com numthreads: 100
[http] www.9796024.ru 2011.06.14 20:04:03 MSD
START skill.ddos/nyamazama.com
numthreads: 400
[http] www.autoclimat.ru 2011.06.14 20:04:03 MSD
START skill.ddos/nyamazama.com
numthreads: 400
[http] www.autoklimat.ru 2011.06.14 20:04:03 MSD
START skill.ddos/nyamazama.com
numthreads: 400
[http] www.autotavi.ru 2011.06.14 20:04:03 MSD
START skill.ddos/nyamazama.com
numthreads: 400
[http] www.climatavto.ru
| 07 June 2012 PAGE 6 | Мифы и реалии DDoS угрозы
Базис
Мы антивирусная компания Аналитический центр, работающий в режиме 24/7 Уникальные технология выявления BOT-сетей по статистическим и поведенческим признакам Команда, профессионально занимающаяся защитой от DDOS Мощная, распределенная система очистки
| 07 June 2012 PAGE 7 |
Несколько фактов о DDoS атаках
| 07 June 2012 PAGE 8 |
HTTP Flood
SYN Flood
ICMP Flood
UDP Flood
TCP Data Flood
DNS имя
IP адрес
Средняя мощность 350 Мбит/с
Распределение источников DDoS-трафика по странам 2011 год
| 07 June 2012 PAGE 9 |
Распределение атакованных сайтов по категориям деятельности 2011 год
| 07 June 2012 PAGE 10 |
Лидером по количеству жертв остался сегмент интернет-торговли
— 25% всех зарегистрированных атак.
Доля атак на государственные сайты постепенно растет.
Распределение DDoS-атак по часам 2011 год
| 07 June 2012 PAGE 11 |
DDoS-боты начинают работать в районе 9-10 часов утра, рабочий день у ботов ненормированный и продолжается до глубокой ночи — только в 4 утра бОльшая часть ботнетов уходит на покой.
.
Типы DDoS-атак 2011 год
| 07 June 2012 PAGE 12 |
Акцент в последнее время смещается именно на атаку приложения. Простейшие атаки на канал научились отбивать операторы, злоумышленникам пришлось искать новые, интеллектуальные методы нападения.
Виды HTTP-Flood. Эволюция
2008 2011
| 07 June 2012 PAGE 13 |
HTTP Flood SYN Flood ICMP Flood UDP Flood TCP Data Flood
HTTP Flood SYN Flood UDP Flood ICMP Flood TCP DATA flood
Типы DDoS-атак. Виды HTTP-Flood 2011 год
| 07 June 2012 PAGE 14 |
Лишь в одном случае из 10 проводятся сложные атаки, когда злоумышленники пытаются замаскировать действия ботов под поведение настоящих пользователей.
Распределение целей атак по именам сайтов и по IP-адресам 2011 год
| 07 June 2012 DDoS атаки: мифы и реальность PAGE 15 |
Акцент в последнее время смещается на атаку по IP-адресу. Причина проста: большинство схем фильтрации работает по именам.
Один из мифов про DDoS
| 07 June 2012 PAGE 16 |
0
10
20
30
40
50
60
менее 50 50-100 100-200 200-300 300-400 400-500 более 500
Средняя скорость – около 300 Мбит/с
Цифры прошедшего полугодия
Максимальная мощность атак, отраженных Kaspersky DDoS Prevention, по сравнению с первым полугодием 2011 увеличилась на 20% и составила 600 Мбит/с или 1 100 000 пакетов/секунду (UDP-flood короткими пакетами по 64 байта). Средняя мощность отраженных Kaspersky DDoS Prevention атак выросла на 57% и составила 110 Мбит/с. Самая протяженная DDoS-атака, зафиксированная во втором полугодии, продолжалась 80 дней 19 часов 13 минут 05 секунд и была нацелена на туристический сайт Средняя продолжительность DDoS-атак составила 9 часов 29 минут
| 07 June 2012 PAGE 17 |
История с закрытием Ex.ua По материалам donbass.ua и др. интернет изданий
31 января 2012 Закрытие крупнейшего файлообменника Украины - EX.UA (возбуждение уголовного дела по статье УК “нарушение авторского права и смежных прав”)
1 февраля 2012 Недоступны сайты:
• prezident.gov.ua (официальный сайт президента Украины) • rada.gov.ua (официальный сайт Верховной Рады ) • kmu.gov.ua (правительственный портал, сайт Кабинета министров Украины) • partyofregions.org.ua. (сайт Партии регионов)
1 февраля 2012 Потерян доступ к базе всех законодательных документов Украины: (информационный ресурс zakon.rada.gov.ua)
2 февраля 2012
• В социальных сетях создаются группы с названиями типа "СВОБОДУ EX.UA“ (только в одной из них более двадцати тысяч пользователей).
• Проводится голосование - какой web-ресурс "валить" следующим, а также даются инструкции - как это сделать, обладая минимальным знаниями.
• Звучат призывы "не валить сайты, а валить власть"
| 07 June 2012 PAGE 18 |
Теневые бизнесы вокруг DDoS
Продажа софта Заказные атаки «Загрузки» ПО Сдача сетей в аренду Вымогательство
| 07 June 2012 PAGE 19 |
Ущерб экономике страны Моральный аспект
Конкурентная борьба Вымогательство Мошенничество Месть
Результаты: • Недовольство клиентов • Недовольство контрагентов • Репутационный ущерб • Срыв бизнес процессов • Отвлечение от главного (хищения) • Прямой ущерб (торговые площадки)
| 07 June 2012 PAGE 20 |
DDoS-атака против конкурентов http://www.securelist.com/ru/analysis/208050712/Obzor_DDoS_atak_vo_vtorom_kvartale_2011_goda
История: Во время проведения компанией «Аэрофлот» тендера на выбор платежной системы были проведены DDoS-атаки на сервис Assist
Результат: Система Assist была недоступна в момент принятия решения по тендеру.
В июне 2012 в России судебная система заинтересовалась DDoS-атаками и за организацию этой атаки предъявила обвинения Павлу Врублевскому
Отметим: Павел Врублевский владелец компании Chronopay — крупнейшей процессинговой фирмы России конкурирующий с сервисом Assist • P.S. Cчитается, что Павел Врублевский является организатором одной из крупнейших
спамерских парнерок «Rx-promotion».
| 07 June 2012 PAGE 21 |
| 07 June 2012 Противостояние стихии по имени «DDoS» PAGE 23 |
Категории клиентов
Были под атакой Ждут атаки Сомневаются
или не верят
| 07 June 2012 PAGE 24 |
Из мифотворчества
Наверняка Вы слышали о 1, 2, 5, 10, 20 и более Гигабитных атаках
ЗАЧЕМ СТОЛЬКО, ЕСЛИ Типовое подключение организации к Интернету – 2 канала по 200 Мбит/с = 200 Мбит/с
Коммутационное оборудование «ложится» от потока пакетов в 50 000 пакетов в секунду = 19 Мбит/с
Приложение способно обработать всего 4 запроса в секунду
| 07 June 2012 PAGE 25 |
Виды заблуждений
Пораженческие Эти заблуждения заставляют опускать руки даже грамотных
телекоммуникационных инженеров и специалистов по безопасности
Чрезмерно оптимистичные Эти заблуждения расхолаживают и вселяют чувство ложной уверенности в
своей защищенности
| 07 June 2012 PAGE 26 |
Пораженческие
От DDOS невозможно защититься В общем же случае, речь идет о противостоянии людей и техники, а людям свойственно ошибаться. Это выражается в том, что у атак есть почерк (типовые пакеты, типовые обращения), а это значит, что их можно выявлять и на этом строить защиту.
Защитить от DDOS могут только провайдеры Да, действительно, провайдеры могут помочь в отражении атаки. Но это не их бизнес. Услуги по защите от DDoS скорее направлены на защиту собственной инфраструктуры.
В остальном, зачастую, провайдеры используют типовые методы защиты, основанные на общесетевой статистике.
Все равно мне забьют канал… Это вполне возможно. Но наша система защиты – это несколько распределенных точек, которые подключены к сети Интернет настолько производительными каналами связи, что может вобрать в себя атаку любой сложности.
| 07 June 2012 PAGE 27 |
Оптимистичные
Я читал о том, как можно настроить сервер, чтобы он устоял Да, такие рекомендации существуют. Они действительно повышают устойчивость сервера к атакам на 200-300 %. Но требуется не менее 1000 процентов «запаса». Я распределил ресурсы, арендовал несколько IP-адресов и создал производительный кластер Атака, чаще всего, бывает направлена на DNS-имя ресурса. Кроме того, в случае атаки на полосу пропускания, кластеризация любая вычислительная мощность сервера будет бесполезна. Я арендовал достаточный канал Это поможет, но лишь отчасти. Например, мощность канала может оказаться достаточной для того, чтобы исчерпать ресурсы сервера приложений.
| 07 June 2012 PAGE 28 |
Где установить защиту?
| 07 June 2012 PAGE 29 |
Kaspersky DDoS Prevention
| 07 June 2012 PAGE 30 |
ё
Без атаки
Во время атаки
Демо. Результаты работы системы.
| 07 June 2012 PAGE 31 |
Демо. Отчеты
| 07 June 2012 PAGE 32 |
Варианты решений защиты от DDoS-атак
Самостоятельно построить защиту Обратиться к сервис провайдеру Использовать функции защиты входящие в программные комплексы для …………………………
Может обратиться к профессионалам? Подключение к специализированным сервисам, осуществляющим защиту от DDoS-атак
| 07 June 2012 PAGE 33 |
Ключевые особенности Kaspersky DDoS Prevention
Защита любых сервисов и приложений
Собственная технологическая платформа
5 лет опыта
Единое решение, не зависящее от текущих поставщиков Интернет-услуг
Глобальная распределенная система фильтрации
Внедрение без инфраструктурных изменений
Мониторинг аномалий в режиме 24х7
Аналитическое сопровождение атаки
PAGE 36 | | 07 June 2012
Thank You
Савельев Михаил Менеджер проектов Kaspersky Lab Russia Департамент стран EEMEA