Ddos-атака

Завтра, 3 июня в 15:00 в наших соцсетях выступит Георгий Тарасов, Product Manager в Qrator Labs.

Георгий выпускник ВМиК МГУ, работает в команде Qrator с 2012. Занимался разработкой, управлением проектами, собрал в компании команду pre-sales инженеров. Сейчас развивает в Qrator новый продукт, а именно защиту от онлайн-ботов.

План выступления

Задавайте вопросы в комментариях и Георгий ответит на них во время прямого эфира.

• Откуда я знаю о DDoS и почему могу рассказывать
• Каким образом DDoS причиняет боль, откуда берется тело атаки ботнеты, амплификация, пакеты, запросы
• Ботнеты. Как возникают, на каких устройствах размножаются, как находят владельцев ботнетов и привлекают к ответственности (пример с атакой на некий онлайн-банк в 2014, Krebs разоблачение vDOS)
  
• Общая инфа про методы защиты от DDoS блокировки отдельных запросов, источников, борьба на уровне глоб.маршрутизации. Коробки, ISP и сервисы.
  
• Защита в даркнете. Уязвимость Tor к атакам. EndGame.
• Косты: атака vs защита, почему такая большая разница
• Странные и забавные случаи атак из практики защиты клиентов.

До встречи в эфире!

Предыдущий эфир можно посмотреть тут, ещё больше наших спикеров по хэштегу #ruvds_анонсы

На прошлой неделе в наших соцсетях выступил Георгий Тарасов, Product Manager в Qrator Labs.

Георгий выпускник ВМиК МГУ, работает в команде Qrator с 2012. Занимался разработкой, управлением проектами, собрал в компании команду pre-sales инженеров. Теперь развивает в Qrator новый продукт, а именно защиту от онлайн-ботов.

Делимся с вами расшифровкой эфира и записью.

---

Всем привет, меня зовут Георгий Тарасов. Я работаю в компании Qrator Lботнетовabs, знаю кое-что о DDoS-атаках и методах противодействия этим угрозам. В основном на собственном опыте, на опыте работы с клиентами, которые страдают от DDoS-атак или знают про угрозы, исходящие от них, и заблаговременно принимают решение выстроить себе защиту, применять контрмеры, быть готовыми к такой активности.
Из общения с десятками, потом сотнями (сейчас уже, наверно, перевалило за тысячу) разных организаций складывается достаточно интересная картина того, откуда приходят атаки, почему они случаются, какие действия бизнеса могут к этому привести. И, конечно, техническая сторона дела: что происходит на стороне жертвы, что происходит на транзите в сети к жертве, кто еще может пострадать от атаки, и многие другие вещи.
Сегодня мы, я думаю, достаточно неформально поговорим: не будем затрагивать прописные истины, а посмотрим, скорее, на эффекты DDoS-атак, попробуем понять, почему они происходят, и как вести себя, оказавшись один на один с DDoS-ером, который пришел на ваш ресурс, на промо-сайт или на сайт бизнеса, которым вы занимаетесь.

Сначала, наверно, вставлю пару слов о себе. Меня зовут Георгий Тарасов, я учился в МГУ на факультете ВМК, мечтал заниматься распределенными вычислениями, суперкомпьютерами, но жизнь повернулась немного по-другому. После выпуска я пришел в компанию замечательных людей, которых тогда было немного чуть больше десятка. И там сказали мне: ты слышал что-то про DDoSатаки? Я сперва округлил глаза: что за DDoS-атаки? Хакерство, киберпреступность, что это такое? Мне тут же пояснили, я изучил начальное количество материалов, почитал статьи; на тот момент это был 2012 год в отношении DDoS и защиты от них царил полный Дикий Запад. То есть, сервисы еще не заняли главенствующее положение защитников для мелкого, среднего и большого бизнеса, каждый защищался подручными средствами, кто во что горазд, нанимал специалистов для настройки фаерволов. И посреди всего этого оказалась та компания, в которую я пришел и она стремилась наладить более-менее одинаково высокий по качеству сервис как для мелких сайтов, которых прикладывают чем-то таким прикладным-хозяйственным, так и для крупного бизнеса, перед которым стояли гораздо большие угрозы.

Год за годом рабочая стезя меня толкала все ближе к самим клиентам, к их кейсам, к историям с их подключением. В итоге, со временем, я пришел к тому, чтобы заниматься работой pre-sale. То есть, приходит заказчик он либо уже под атакой, либо ожидает ее, либо просто хочет построить защищенную инфраструктуру для своего бизнеса. Он хочет подключиться к сервису, защититься от атак, купить дополнительные услуги. Его нужно проконсультировать, выяснить, что наибольшим образом подходит ему, выслушать, какие риски у него есть сейчас и какие ожидаются, и совместить гору с горой: понять, какой спектр услуг, какой сетап в техническом и организационном плане более других подойдет для того, чтобы ему снять боль, напряжение и неприятности, с которыми он пришел.

Процедура онбординга у нас не всегда была простой и быстрой; иногда клиентов приходилось подключать месяцами, общаться с ними. Whiteboarding, построение схем, итеративный подход (это не сработало, пробуем другое) все это оказалось очень увлекательной деятельностью. Ну и плюс гигантская база контактов организаций из всех сфер интернет-активности, всех сегментов рынка, организаций из бизнеса и не из бизнеса, обучение, например. Каждый со своей уникальной инфраструктурой, целями, задачами, и со своими болями в отношении DDoS-атак. Из этого сложился интересный паззл, и сейчас он позволяет мне, поглядывая назад на этот опыт, двигаться дальше и помогать нашей компании диверсифицироваться по продуктам, запускать новые штуки. Сейчас, например, самая важная тема для меня это борьба со скреперами, именно с ботами из числа таковых, которые откровенно вредят, потому что скрепинг бывает разным. Мы конкретно боремся с теми, кто своим скрепингом, перебором, парсингом делают больно клиентам, которые к нам приходят. Это похожая, смежная, хотя и не совсем напрямую связанная активность с защитой от DDoS. Главное, что платформы и техстек используются похожие.

Вернемся к DDoS-атакам: мы о них говорим сегодня, и говорили также и полгода назад, и говорим помногу раз каждый год, но, тем не менее, они никуда не деваются. Они все еще с нами.
Надо сказать, что, несмотря на их эволюцию в техническом плане, появление новых векторов, рост полосы и рост интенсивности атак, те тулзы и подходы, которые DDoS-атаки используют, не слишком изменились за последние 30 лет. Давайте сравним это с хакерской активностью, со взломами, с поиском дырок, уязвимостей, различных способов проникновения через защиту чужого приложения и извлечения данных из него. У нас есть уязвимость в фреймворке, компоненте, инхаус-приложении; в нем обнаруживается дырка. Есть вектор атаки, который это эксплуатирует. Приходит ресерчер, приходит whitehat или случается реальная атака; разработчики, security-специалисты закрывают дырку. Она может позднее всплыть в видоизмененном виде снова, где-нибудь в новой версии фреймворка или в похожих решениях, но конкретный эпизод остается в истории. Дословного повторения мы вряд ли увидим.

С DDoS-атаками все по-другому. Абсолютно такие же векторы атак, использующие те же самые протоколы, ту же самую методу с точностью до сигнатуры трафика, продолжают долбить сайты и сети на протяжении десятилетий. Они нечасто сходят со сцены: сходят только векторы, использующие совсем устаревшие протоколы, которые оказываются закрыты на любом устройстве. Хотя и там иногда бывают приколы. Если мы посмотрим на список прикладных протоколов поверх транспортного протокола UDP, применяющихся в крупномасштабных volumetric-атаках с использованием амплификации, то увидим интересные экспонаты, которые, наравне с TNS, ATP, SSDB используются сплошь и рядом. Есть, например, MotD, RIPv1-протоколы. Пойди в любую компанию, спроси devops-ов или админов есть хоть один компонент или endpoint, слушающий или пишущий, который использует это? Скорее всего, на тебя посмотрят как на Рип ван Винкля из произведения Вашингтона Ирвинга, который проспал 100 лет и спрашивает какую-то нерелевантную музейную фигню. Тем не менее, если отверстие есть, то вода в него обязательно пойдет. Если где-то есть открытый порт для этого протокола и, не дай бог, есть какой-то стандартный системный компонент, который может слушать на этом порту, то атака может пойти туда. Поэтому зоопарк решений для организации DDoS не движется по исторической шкале из точки А в точку Б. Он от точки А продолжает прирастать вширь и вглубь всевозможными новыми методам по мере того, как новые протоколы появляются, развиваются, их внедряют крупные компании, и в них находятся свои приколы и схемы для того, чтобы принимающей стороне, читающей протокол, сделать больно.

Старые методы не сходят с арены. Простой пример: если посмотреть немного в историю, в первых зарегистрированных случаях крупных DDoS-атак в середине-конце 90-х, которые уже тогда попали в новости то есть, они не были замечены историками и исследователями спустя годы, а сделали заголовки сразу же использовался вектор TCP SYN Flood. То есть, это были атаки при помощи TCP SYN-пакетов. Любой человек, мало-мальски знакомый с тематикой DDoS-атак, который читал книги или смотрел презентации и статьи на эту тему, скорее всего, видел описание такой атаки на первых листах. Это, можно сказать, хрестоматийный случай генерации достаточно большого количества дешевого трафика, затраты на обработку которого на стороне сервера окажутся гораздо выше затрат на его создание со стороны атакующего ботнета, каких-то устройств, которые он использует. Если мы посмотрим в статистику атак за 2020-21 год, например, то увидим, что TCP SYN Flood никуда не делся, такие атаки все еще встречаются в дикой природе, и ими прикладывают крупных и мелких игроков бизнеса. Тулзы и ботнеты, которые генерируют TCP-трафик, тоже никуда не делись, потому что эта атака даже с поправкой на то, как изменилась производительность компьютеров и пропускная способность интернет-каналов и корпоративных сетей за последние 30 лет приводит к столь же эффективным результатам. От нее просто нет смысла отказываться. Другое дело, что мир уже научился чуть лучше от них защищаться, но и здесь есть некоторые оговорки.

О защите мы поговорим чуть позже, а пока попробуем посмотреть на цифры и ответить на вопрос: почему атаки случаются? Вот немного исторических данных, которые за прошедшие пару лет мы выудили из своих клиентов, организаций и бизнесов, с которыми мы работаем.


Понятно, что атака это не какое-то действие по расписанию, она скорее похоже на стихийное бедствие. Ты не знаешь, когда она произойдет, но ты всегда должен быть готов ее встретить. Длится она обычно недолго за исключением отдельных кейсов, которые мы еще рассмотрим; прилетела, все сломала, везде навалила мусора и исчезла, как будто ее и не было. Жертве остается перезагружать сервера, перезапускать базы и возвращать свой ресурс в онлайн.

DDoS-атаки

Мотивация к DDoS-атакам, про которую мы успели узнать она, в некоторой степени, строится на возможности обогатиться на этой теме. У нас есть вот такие данные об этой истории.


То есть, все эти пункты, по которым кто-то может организовать DDoS-атаку на другого, вполне объяснимы. Личная неприязнь, политические вопросы и убеждения; недобросовестная конкуренция про это будет отдельная история, которую мы, наверно, много раз уже рассказывали, но, может быть, не все из присутствующих в нашем эфире ее слышали. Сейчас уже вы вряд ли увидите ситуацию, когда один банк заказывает DDoS-атаку на другой, им выгоднее сосуществовать в инфополе, чем пытаться друг друга положить; это оружие обоюдоострое. Вряд ли вы увидите и интернет-магазин, который DDoS-ит трафиком другой, даже если мы говорим про крупный ретейл.

Тем не менее, на заре нашей юности был интересный эпизод: существовал один интернет-магазин кедровых бочек. Он не продавал кедровое масло или кедровые орешки продавал конкретно бочки для промышленного использования пищевиками. Это был их основной бизнес, продавались бочки через сайт; можно сказать, они одними из первых стали это делать. И, когда с клиентом пообщались по поводу атак на него, оказалось, что существуют другие интернет-магазины кедровых бочек, и между ними реально происходит кровная вражда: конкуренты постоянно DDoS-ят сайты друг друга, в нонстоп-режиме, пытаясь завернуть поток клиентов. Ну, много ли клиентов для кедровых бочек можно сказать, что это одни и те же люди, которые приходят либо в одно место, либо в другое, и вряд ли будут заказывать в обоих местах сразу. Поэтому за этот ручеек клиентов шла борьба не на жизнь, а на смерть.

Другой забавный случай из истории конкуренции и DDoS-атак, который у нас тоже произошёл это сайты магов, волшебников, эзотериков, предсказателей, шаманов, заклинателей и прочих бизнесменов из этой сферы, так скажем. Оказалось, что вместо порчи, сглаза и всяких проклятий друг на друга за увод клиентов и нарушение публичной репутации они используют более современные и технические методы, заказывая у DDoS-еров атаки на сайты друг друга.

Эти два случая запомнились мне очень хорошо, потому что ни в одном другом легальном рыночном сегменте мы не наблюдали подобной войны бизнесов, находящихся на одном уровне когда конкретные бизнесы борются друг с другом с помощью таких недобросовестных методов. Конечно, есть еще серая зона, с который мы, как компания, не работаем; есть и откровенно нелегальные активити, где DDoS-атаки происходят ежечасно, но речь не о них.

Что мы знаем про облик DDoS-атаки в наше время? Что это часы паразитной нагрузки, или всплеск трафика на 5 секунд, который вырубает маршрутизатор? На самое деле, если взять среднее по больнице с учетом морга и крематория, получится ни то, ни другое. Что-то опосредованное. В прошлом году медиана длительности, по данным из нашего годового отчета, была около 5 минут;

понятно, что сюда попадают достаточно крупные атаки в частности, потому, что крупномасштабную атаку на десятки-сотни гигабит полосы банально дорого держать часами. Почему мы сейчас обсудим.

Касаемо ботнетов и их задействованности в современном DDoS-ландшафте.

Самый большой ботнет, который мы наблюдали, и от атаки с которого мы защищали клиентов это порядка 200 тысяч источников. Это уникальные IP-адреса речь идет не об источниках трафика, о которых мы можем предполагать из емкости атаки, а об атаках, где используются валидные сессии, при которых источник должен себя подтвердить через TCP-handshake или более вышестоящие протоколы и сессии. То есть, это валидные устройства пользователей интернета, с которых приходил в сторону жертвы DDoS-трафик.

Нельзя сказать, что весь DDoS в мире приходит с подобных классических ботнетов. Я сейчас кратко опишу, в порядке прописных истин, как они вообще появляются, чтобы потом не останавливаться на этом. Ботнет это сеть устройств, подконтрольная злоумышленнику, который имеет возможность выполнять определенные действия на каждом из устройств этой сети например, генерировать трафик. За счет этого происходит распределённая атака на отказ в обслуживании: злоумышленник дает команду, устройства шлют трафик в различном виде и на разных уровнях пакеты, запросы, битики к цели, которую он хочет вывести из строя. Так мы привыкли видеть DDoS-атаки: есть тысячи зараженных машин, и хакер со своего C&C-центра машины, с которой осуществляется управление централизованно посылает броадкастом команду. Например, слать UDP-трафик на адрес Х, что и происходит. Но сейчас этот процесс может выглядеть немного по-другому, потому что существенный пласт атак использует подход с амплификацией (усилением) трафика. Его идея заключается в том, что напрямую ботнет трафик на ресурс жертвы не шлет. Задача ботнета сгенерировать некоторый начальный поток трафика, который может быть небольшим (порядка сотни мегабит), и за счет эксплуатации особенностей прикладных протоколов на базе UDP например, DNS заставить большое количество DNS-серверов в сетях (во многих сетях есть большое количество DNS-серверов, которые не защищены от использования их в таких атаках) принимать запрос, не особо проверяя, от кого он, и выполнять его. Например, они отгружают доменную зону размером в десятки килобайт на некоторый адрес, который непонятно кому принадлежит, и непонятно, этот ли адрес присылал этот запрос. Таким образом, начальный поток трафика проходит через тысячи DNS-серверов, которыми хакер непосредственно не управляет эти сервера просто находятся в интернете и готовы обработать query, не проверяя, от кого он приходит. За счет такой схемы сотня мегабит трафика, которую злоумышленник сгенерировал с помощью относительно небольшого ботнета (это может быть всего несколько десятков машин) превращается в десятки гигабит в секунду полосы, которая летит с этих name-серверов в сторону жертвы.

Что с таким случаем делать? Забанить источники, от которых пришел трафик так можно забанить половину интернета, потому что они прямого отношения к хакеру и ботнету даже не имеют. Здесь нужны другие механизмы борьбы с этим трафиком как минимум, его нужно куда-то слить, чтобы он не попал на машину, которая находится под ударом, и при этом не запоминать адреса источников и не пытаться применять к ним какие-то санкции.
Получается, что часть атак по-прежнему приходит напрямую с ботнетов с использованием валидных сессий и валидных IP-адресов, а часть в основном, те, которые применяют метод амплификации приходит совсем не с самих ботнетов. Ботнеты там используются только как свеча зажигания в моторе. Так было не всегда; амплификация это сравнительно новая история. Если посмотреть на крупные кейсы, то мы живем с атаками такого типа только последние 10 лет, возможно меньше. Другое дело, что именно сделало их настолько популярными, что именно сделало их опасность такой же большой, как и у традиционных методов здесь интересно будет рассмотреть, наверно, самый известный публике случай, который произошел в 2016 году. Тогда мир узнал о том, что ботнеты это не только зараженные вирусами компьютеры, а еще и IPTV-камеры, кофеварки, микроволновки, умные дома, ворота с Wi-fi и прочее. В какой-то момент развитие, популярность и распространенность интернета вещей разнообразных устройств с доступом в интернет достигло критической точки, на которой злоумышленникам стало интересно использовать именно их вместо более сложных в эксплуатации ПК, корпоративных серверов, публичных серверов и так далее, для генерации трафика.

Знаменитый ботнет Mirai базировался на десятках тысяч IPTV-камер конкретных производителей, на которых стояла одна и та же прошивка, никакой защиты от внешнего управления не предусматривалось, а выход в интернет не всегда был завязан на локальную сеть. Хотя бы админка может быть доступна через интернет, и этого уже достаточно для того, чтобы использовать маленькую железяку для генерации трафика. И, хотя одна камера много нагенерировать не сможет у нее канал маленький таких устройств десятки и сотни тысяч, и они максимально размазаны по миру. Опасность такой атаки, с точки зрения традиционных методов защиты, очень велика. Этим воспользовались авторы Mirai и те, кто последовал за ними, скопипастив этот подход и развернув свои ботнеты. 2016-17 годы стали настоящим всплеском с точки зрения атак с амплификацией, которые использовали в качестве корневого источника трафика подобного рода ботнеты. Эта история продолжается и сейчас: коробки продолжают выходить новые, и их защищенность от взлома и эксплуатации осталась на таком же уровне, потому что на первом месте стоит дешевизна и массовость производства. Другое дело, что мир уже научился чуть лучше защищаться от них, как и в случае с атаками SYN Flood. Гонять такого рода потоки трафика с IPTV-довольно затруднительно, security-люди уже слишком привыкли к такой истории.

По поводу называть героев по имени я, к сожалению, не могу / не буду этого делать. Но эта информация в принципе публичная, можно почитать расследования по поводу Mirai. Если кому-то будет интересно, мои контакты будут у организаторов я смогу поделиться ссылками на интересный материал, в том числе тот, который я сам изучаю, и который пишет наша компания на эту тему. Но история именно с Mirai, камерами и тем, как эта активность была обнаружена это уже достояние истории, и с ней можно много где ознакомиться.

Так или иначе, эта история никак не завершилась. Другое дело, что остальные методы атак подтянулись по своей опасности и интенсивности к тому, что продемонстрировал Mirai в 2016 году. Тогдашние атаки были примерно на 600-700 гигабит в секунду полосы, на тот момент невиданные цифры. Это почти в 10 раз превосходило виденные в дикой природе доселе атаки. Сейчас такими цифрами никого не удивишь: с момента возникновения Mirai рост полосы атак давно перевалил за терабит в секунду и продолжает расти. Широкополосные соединения и надежные магистральные сети провайдеров этому способствуют.

Что касается того, что из этой активности видели у себя мы. Несмотря на то, что Mirai это была в основном западная история, кусочек долетел и до наших клиентов в России. Это случилось на следующий год после его возникновения: к нам прилетела самая крупная на тот момент для РФ атака, которая составляла порядка 500 гигабит в секунду. Конечно, полтерабита уже было довольно популярной цифрой в мировой DDoS-ологии, но для сайтов Рунета, чьи инфраструктуры было расположены в России и подключены к нашим провайдерам, это было что-то с чем-то. К счастью, мы довольно быстро и эффективно пришибли атаку, и последующие встречи с подобного рода ботнетами уже не были сюрпризами ни для нас, ни для наших заказчиков.

DDoS-атаки в даркнете

У меня в повестке дня есть интересный вопрос: рассказать о том, что происходит в DDoS-атаками в даркнете. То есть, организация, проведение, методы, способы защиты. Тематика DDoS-атак в даркнете для нас, как для компании, никогда особого интереса не представляла: по понятным причинам, клиенты из даркнета к нам защищаться не приходят. Специфика занятий, на которых они зарабатывают деньги, и их собственная база пользователей, приходящих к ним на ресурсы, не располагает к тому, чтобы в такого рода отношения с сервисами защиты входить. Конечно, в мире есть исключения. Понятно, что где спрос там и предложение, и конкуренция в даркнете имеет примерно те же виды и обличия, что и в публичной сети. Поэтому DDoS-атака как способ выключить конкурента или заставить кого-то заплатить выкуп за то, чтобы его перестали DDoS-ить, постепенно, уйдя из заголовков новостных статей в публичном интернете, продолжает цвести пышным цветом в Tor-сетях и в даркнете в целом.

Понятно, что структура Tor несколько отличается от того, что мы имеем в публичной сети. Связь даркнета с публичным интернетом, которая осуществляется через экзит-ноды (гард-ноды) сама по себе является узким местом и не располагает к тому, чтобы большое количество трафика организовано лилось из даркнета в паблик (и наоборот). Тем не менее, в стародавние времена (2012-14 годы) такая штука, как сокрытие C&C-центра ботнета, существующего в публичной сети, внутри Tor-сетей, имела место быть. То есть, хакер держит свой C&C-компьютер в даркнете, через Tor отсылает управляющий трафик на ботнет, находящийся в публичной сети, и уже в публичной сети происходит атака на сайт. Для злоумышленника профит в том, что, если C&C в публичной сети можно отловить есть конкретные методы, которыми владеют ИБ-шники и форензики, по поиску управляющих центров, их перехвату и поиску владельцев то в даркнете это сделать гораздо труднее. Но эта лавочка просуществовала недолго, по ряду причин. Во-первых, сама работа C&C, рассылающего управляющий трафик по десяткам, сотням или сотням тысяч машин для начала атаки даже такая нагрузка, небольшая с точки зрения публичной сети (control point traffic), для Tor очень заметна и существенна. В 2013 году, когда один из крупных ботнетов поселил свой C&C-центр на onion-ресурс, трафик, который он генерировал, оказался достаточно заметным, чтобы замедлить работу целого сегмента Tor-сети. Не всем это понравилось, конечно. А самое главное, что в случае, когда атака уже случилась или была предотвращена, и расследованием атаки занимаются правоохранительные органы, инфосек-компании, эксперты-форензики, то, если ботнет был скомпрометирован, ниточки ведут в экзит-ноды тора. И по шапке получает, как и всегда в этом случае, владелец экзит-нода. Сам хакер не подвергается непосредственной угрозе, но закрытие экзит-нода и привлечение владельца к ответственности (хотя владелец и не имеет отношения конкретно к этим атакам) приводит к невозможности использовать инфраструктуру Tor в дальнейшем, в том числе и для других подобных действий. Поэтому, чтобы не пилить сук, на котором сидят сами организаторы атак, эту активность они преуменьшили, и сейчас она уже не столь заметна.

Что касается поиска контрольных центров ботнета и их владельцев это не совсем наша история. Мы занимаемся конкретно защитой от атак, а не расследованиями и поиском организаторов, хотя информация, которая у нас есть, помогает инфосек-компаниям заниматься своим делом конкретно, поиском. Один такой кейс прошел в большой степени на моих глазах, поэтому я с удовольствием им поделюсь. В 2014 году на одного из наших клиентов крупный банк с большим онлайн-присутствием произошла серия DDoS-атак, достаточно интенсивных. Мы сумели их отфильтровать и защитить клиента. Клиент не остановился на этом и обратился к инфосек-специалистам для поиска источников атаки и ее организаторов. У них были соображения о том, что ряд атак, происходивших на их ресурс, используя примерно одинаковый технический стек, вполне могли происходить из одного и того же места и быть одной и той же природы то есть, скорее всего, заказчик и организатор были те же самые. Что сделали люди из инфобеза: они достаточно быстро нашли сам ботнет, с которого генерировался трафик это было самое простое. А потом они подселили свой собственный honeypot такую же машину в этот ботнет, чтобы поймать момент, когда придет управляющая команда на атаку какого-нибудь ресурса. При очередном кейсе атаки они не только обнаружили машину, управлявшую началом и процессом атаки, но и выяснили, что с той же самой машины были обращения на атакуемый ресурс. То есть, злоумышленник-организатор атаки параллельно с кручением ручек для отправки мусорного трафика сам заходил на ресурс почекать, как он там, живой еще или свалился. По этим двум признакам его и нашли, сопоставили, нашли владельца машины. Дальше история уже переросла в уголовное дело; конец был довольно прозаический, и к технической сфере отношения не имеет. Тем не менее, понятно, что с даркнетом похожая история прокатывает труднее. Выход будет, естественно, на владельца экзит-нода, а что с ними бывает в России я уже говорил.
Это что касается атак из Tor-сетей наружу, теперь по поводу происходящего внутри самого даркнета. Там DDoS цветут пышным цветом, всех сортов и мастей. Что интересно например, в нашей статистике за последнюю пару лет можно увидеть, что атаки на 7 уровне то есть, на уровне приложений, те, которые используют HTTP, HTTPS-запросы, выбирают конкретные URL

Q: Посадить удалось? Если нет, то все равно безнаказанно будут нападать

Да, доказать и привлечь к уголовной ответственности злоумышленника удалось. Правда, это случилось не в Российской Федерации, а в соседней стране.

так вот, атаки на уровне приложения сейчас составляют в статистике лишь малую часть. Большая часть атак, которые мы видим регулярно это TCP, UDP, пакетные флуды, амплификации. То есть, более примитивные методы, которые дешевле стоят в организации, для которых есть куда больше тулзов, чтобы их быстро развернуть и начать. Для них не нужно большой подготовки перед атакой на какой-то сайт достаточно развернуть эту пушку в общем направлении жертвы и долбануть из нее. Прикладные атаки это всегда некоторый предварительный ресерч, выяснение того, как работает приложение, которое будут атаковать, как работает инфраструктура, куда эффективнее всего долбить в какие URI, в какие компоненты приложения. Эта работа стоит денег организатору, и по затратам такие методы атак выходят гораздо выше, чем дженерик-средства. А дженерик-средства популярны и дешевы в том числе и потому, что со времен Mirai, с 15-16 года, отрасль организации DDoS-атак и вообще активности на этой почве стала сервисной.


То есть, такое понятие, как устроить DDoS на заказ написать какому-нибудь хакеру, сказать ему, чтобы он положил некоторый сайт в определённое время этого уже практически нет. Потому что владельцы ботнетов и владельцы тулзов для организации ботнетов нашли более прибыльный способ зарабатывать на своем ремесле. DDoS as a service работает примерно так же, как и любой легальный сервис по подписке защита, CDN, ускорение сайтов. Ботнет предоставляется клиенту в shared-виде: то есть, некоторая часть мощностей предоставляется заказчику в пользование на определенное время за определенный прайс. Допустим, 5 минут атаки с существенной полосой будут стоить 10 долларов. Понятно, что маржинальность для владельцев все равно высокая: это гораздо выгоднее, чем one-time заказы от сомнительных личностей, которые и сдать властям могут. Сервисная работа куда более опосредована и не контактирует с заказчиком напрямую, при этом задействованность такого ботнета в атаках получается гораздо выше. То есть, зараженные устройства используются для генерации мусорного трафика гораздо более эффективно. Такие сервисы их еще называют бутеры растут как грибы; их искореняют, их сносят, находят организаторов, но они тут же вырастают снова. Самый знаменитый пример бутеров это сервис под названием vDOS, который держал под контролем часть ботнета Mirai, предоставляя его в shared-формате всем желающим. У них даже был сайт в публичной сети, довольно посещаемый, а оплату они принимали вообще через PayPal. Собственно, именно через PayPal эксперты-форензики и нашли организаторов; ими оказались двое израильских студентов, которые предпочли такой способ зарабатывания денег учебе и карьерным перспективам. Их привлекли к ответственности, но, по последним новостям все ограничилось общественными работами; возможно, мы еще увидим их либо в новой ипостаси бизнеса, либо уже на службе у какой-нибудь спецслужбы государства.

Так или иначе, такая модель то есть, вместо того, чтобы заниматься разработкой метода DDoS-атаки под конкретную жертву, делать сервис, на который можно прийти, заплатить криптовалютой и арендовать ботнет для атак на 5 минут (или на 10, или на час) и приводит к тому, что большая часть атак получается очень дженерик. Они не специфичны ни по конкретной цели, ни по протоколу, ни по особенностям генерации трафика. Они длятся недолго, так как в задачу DDoS-атаки в первую очередь входит запугивание жертвы. Если это не какая-то политическая история, то неважно, будет ли сайт жертвы лежать 5 минут или час. Если жертва согласится заплатить выкуп или иным способом пойти навстречу злоумышленникам, то тут и одной минуты достаточно, а раз так, то зачем переплачивать. Те атаки, которые выделяются из этого ландшафта, бывают гораздо интереснее, и на них как раз и нужно учиться и мы этим занимаемся.

То есть: ландшафт DDoS-атак изменился в вот такую сторону, и те вещи, которые выделяются из него количественно или качественно представляют наибольший интерес.

Касательно даркнета есть еще одна интересная история. Техстек, который там используется, проходит те же стадии эволюции, которые публичный интернет проходил десятки лет назад. Уязвимость конкретных веб-серверов, уязвимость устройств, которые используются для размещения ресурса в даркнете, к самым примитивным методам DDoS-атак, никуда не делась. Она потихоньку устраняется, но, так как этим не занимаются специализированные компании, это происходит спонтанно и медленно. Методов завалить ресурс, размещенный в даркнете, великое множество их был миллион, и сейчас осталось прилично. Если зайти на GitHub и поискать тулзы, с помощью которых можно вывести из строя ресурс, размещенный в даркнете, то можно найти совершенно курьезные способы. Такие примитивные вещи, как медленная атака GET-запросами, с которой справился бы любой, даже бесплатный, сервис по защите от DDoS и ботов (а если бесплатный не справляется, то можно заплатить 20 долларов CloudFlare и решить этот вопрос, или самому настроить балансировщик) были все так же эффективны против onion-сайтов пару лет назад. Подобные методы публично доступны и не требуют больших ресурсов, то есть, большого ботнета, для организации атаки. Довольно частая история на Tor-ресурсы приходят не DDoS, а нераспределенные DoS-атаки. Достаточно определенной последовательности запросов с одной конкретной машины, чтобы погасить Tor-сервер.


Такая ситуация сохранялась; например, фикс Tor-браузера 0.4.2 закрыл дырку, которая позволяла запросами из этого браузера завалить любой ресурс в даркнете, затратив 0 рублей на атаку.

Защита в даркнете

Что касается защиты в даркнете это тоже забавная история. В конце концов, adhoc-security-сообщество, которое там существует, пришло к выводу, что защищаться таки надо. Появилась такая штука, как EndGame: это тулкит для защиты от DDoS на своей конкретной машине, которая публикует ресурс в Tor.

Используются такие компоненты, как Nexi бесплатный фаервол для NGINX, а также конфиг самого NGINX и настройки сетевого фаервола. С точки зрения тех историй, которые происходят в публичной сети, EndGame это курам на смех; это то, что студент в рамках курса по internet security учится делать в первую очередь. Настройка фаервола на своей машине, если там крутится NGINX настройка его параметров, чтобы нельзя было завалить его медленной атакой, защита от небольшого SYN Flood. Никакого rocket science. Все это достаточно простые с технической и организационной точки зрения действия. Тот факт, что такая защита стала популярной историей в даркнете, говорит о том, что эволюционировать там еще есть очень далеко куда. Возможно, именно инфраструктурная разделенность таких сетей приводит к тому, что более крутые решения, которые есть по эту сторону, там не приживаются.

Есть еще один аспект, не совсем технический, который может являться важным здесь. Защита от DDoS для бизнеса может осуществляться по-разному. Это может быть коробка, которая фильтрует трафик. Это может быть огромная сеть из коробок, фильтрующая за пределами инфраструктуры. Это может быть батарея коробок, стоящая у интернет-провайдера, которая занимается тем же самым поиском аномалий в трафике и блокировкой плохих источников. Все эти вещи не нужны ситуативно: за них нужно хвататься не тогда, когда атака уже идет. Тогда уже поздно. Эти вещи должны быть всегда наготове; фактически, вам продают гарантию того, что, если атака случится, эти вещи справятся с ней, и на вас, на ваших пользователей, на доступность вашего ресурса это не повлияет негативным образом. Эти гарантии не очень применимы в даркнете, где нет конкретных identity того, кто предоставляет этот ресурс, и того, кто его приобретает и использует. Поэтому adhoc-защита на своей собственной машине, которая поможет от самых примитивных методов, но при распределенной атаке, генерирующей большую полосу, ничего не сможет сделать, там используется и там имеет право на жизнь. Такая история.

Забавные случаи из практики

Если говорить о забавных кейсов из опыта работы с клиентами, из опыта подключения мы говорим про публичную сеть, конечно. Я уже рассказывал про конкуренцию, это наш staple case, что называется, когда мы говорим про разные сегменты бизнеса. Еще забавны технически вещи, происходящие у наших клиентов на этапе онбординга и на этапе пилотной работы, первых недель и месяцев подключения к защите. Как правило, они связаны с тем, что некоторые пользователи может быть, даже вполне легитимные ведут себя очень интересным образом, совершенно не похожим на всех остальных. То же самое можно сказать и про ресурсы, которые мы защищаем. Некоторые ресурсы очень интересным образом подходят к вопросам общения с юзерами, имея свои трактовки протокола HTTP. Иногда это приводило к недопониманию и к конкретным инцидентам, которые разрешались даже без взаимного негатива, а с улыбкой и со смехом.

Когда мы говорим про уровень приложения и атаки на этом уровне, зачастую трафик этих атак мало отличается от запросов, которые делают нормальные пользователи. В этом и состоит интерес и сложности таких атак. Если не брать в расчет эффект от их работы и источники, из которых приходят эти запросы, они могут быть неотличимы от паттерна нормальных пользователей. Здесь приходится использовать более глубокий поведенческий анализ, смотреть на сессию каждого юзера от handshake и до выхода с ресурса, чтобы понять, что он вообще сейчас делал на ресурсе хорошее или плохое, не причинил ли он какой-то вред, не стало ли остальным юзерам худо от запросов из этого конкретного источника? На такие вопросы нашей автоматике приходится отвечать ежесекундно для сотен разных клиентов и для тысяч сайтов. Иногда граничные случаи поведения пользователей попадают в поле зрения системы и сводят ее с ума.

Простой пример это когда пользователь с абсолютно, в целом, легальной линией поведения, работает как планировщик задач, посещая новостные страницы на ресурсе в строго определенное время. Начинает в .00 минут утра, заканчивает в .00 минут вечера. При этом действия, которые пользователь совершает, не причиняют никакого вреда: это не парсинг и не скрепинг, он просто ходит по статьям, пишет комменты и отвечает на них.
Придраться не к чему кроме того, что он каждый день стартует и заканчивает в одно и то же время, и объем работы, которую он проделывает на ресурсе, получается несоизмеримо больше, чем у всех пользователей, которые не были определены как боты. У нас были разные гипотезы на этот счет; пару раз мы его случайно банили, после чего он писал в abuse ресурса по поводу того, что, собственно, происходит. В конце концов, мы махнули рукой мало ли, может быть, это контент-райтер, который явно работает в две смены без выходных и перерывов. В любом случае, пока такие юзеры время не приносят, принимать какие-то санкции к ним мы не считаем нужным.

Другой случай с обратной стороны, это когда ресурс ведет себя странно по отношению ко всем пользователям. У нас был заказчик, одна из функциональностей ресурса которого заключалась в том, чтобы предоставлять пользователям сгенерированные отчеты в виде DOC-файлов. Каждый такой отчет весил порядка 200 Мб, с картинками и таблицами. Забавным было то, что генерация отчета на сервере начиналась по нажатию кнопки на веб-странице. После этого сервер уходил в себя думать, генерил отчет и по готовности отсылал его одним куском, не нарезая на chunks, через HTTP file transfer, в рамках ответа на запрос. Шутка заключалась в том, что этот файл генерировался на сервере десятки минут. В какой-то момент наша служба поддержки получила от клиента заявку с просьбой увеличить время таймаута на обработку запроса на наш reverse proxy до 20 минут. Сначала люди не поверили своим глазам и пошли разбираться: как так, 20 минут на таймаут на запрос? Зашли на сайт, проверили, получилось именно так: с момента нажатия кнопки соединение продолжается 20 минут, после чего сервер наконец выгружает файл, и его можно получить. Экспериментальным путем скорее, даже трезвым оценочным взглядом стало понятно, что десяток пользователей, одновременно попавших на сайт, могут случайно устроить DDoS и полностью вывести сервер из обращения без какого-либо злого умысла, труда и затрат. И это не хабраэффект, когда десятки тысяч людей ломятся на инфоресурс одновременно, а сервер не может обработать их всех из-за нехватки производительности; здесь просто интересная история с ответами на запросы приводит к тому, что сервер не может так работать. Мы со своей стороны, конечно, порекомендовали делить файл на chunks, отправлять его кусочками, формировать отчеты в фоне и прочее.

В интернете есть ресурсы, которые работают по похожему принципу то есть, они by design уязвимы к атакам любой интенсивности и сложности организации. Вообще ничего не нужно, чтобы вывести такой сайт из строя. Есть API, работающие таким же примерно образом (тяжеловесные ответы, дорогие в обработке запросы к API, синхронная работа API). Сам факт этого приводит к тому, что DDoS-атаки случаются в разных местах даже без участия злоумышленников, хакеров, без всякой задней мысли. Когда мы сталкиваемся с такими ситуациями, мы стараемся консультировать заказчика насчет того, где у него странность в приложении и как ее можно исправить. И, конечно, пополняем свой паноптикум забавных архитектурных решений, которые мы ни в коем случае никому бы не рекомендовали имплементировать.

Буду рад ответить на любые вопросы их можно будет оставить в статье на Хабре или написать мне по контактным данным.

Ссылки для чтения:

• История с атакой на банк
• Разоблачение бутера vDOS: тут и тут
• Уязвимость DoS в Tor
• Endgame защита для Tor-сайтов:
• Наш свежий отчет по DDoS-угрозам

Предыдущую расшифровку нашего эфира можно посмотреть тут, ещё больше наших спикеров по хэштегу #ruvds_расшифровка

Все онлайн-бизнесы нуждаются в стабильной и надёжной инфраструктуре. Самые продвинутые рекламные кампании, стратегии выхода на рынок и удержания клиентов теряют смысл, если сайт магазина систематически недоступен, а приём платежей работает через раз. Всё это справедливо и для киберпреступного бизнеса. В этом посте мы расскажем, как устроена хакерская инфраструктура и какими способами обеспечивается бесперебойная работа криминальных сервисов.



У каждой кибергруппировки свой специфический набор требований к сетевой инфраструктуре. Кому-то нужны временные серверы для подбора паролей, сетевого сканирования или рассылки фишинговых писем, другим требуется пуленепробиваемый хостинг, скрытый за цепочкой обратных прокси. Однако всё разнообразие сводится к нескольким типовым сценариям:

• хостинг сайтов с нелегальным или сомнительным контентом,
• хостинг управляющей инфраструктуры,
• хостинг сервисных приложений и компонентов,
• хостинг анонимайзеров, прямых и обратных прокси,
• выделенные серверы для проведения сканирования и брутфорс-атак,
• платформы для фишинга и рассылки спама.

Таким образом, криминальная сетевая инфраструктура в общем случае состоит из следующих областей:

• услуги специального хостинга,
• хостинг на базе скомпрометированных серверов,
• услуги по обеспечению конфиденциальности и анонимности,
• DNS-сервисы.

Рассмотрим эти компоненты подробнее и начнём с услуг специального хостинга.

Пуленепробиваемый (bulletproof) хостинг

Любая нелегальная деятельность рано или поздно приводит к тому, что связанные с ней ресурсы становятся объектом внимания правоохранительных органов. И тогда IP-адреса этих ресурсов блокируют, серверы изымают, а домены разделегируют. Такая ситуация приводит к срыву кибератак и необходимости затрат на организацию новой инфраструктуры. Чтобы избежать такой ситуации, нелегальные структуры прибегают к услугам сервисов, которые обладают иммунитетом к запросам полиции.

Например, законодательство Белиза и Сейшельских Островов позволяет компаниям, предоставляющим услуги такого хостинга, игнорировать все запросы правоохранительных органов, относящиеся к размещаемым на их мощностях ресурсам. В результате многие пуленепробиваемые хостинги размещаются именно там.

Другой пример размещение криминального хостинга в частном доме. Именно такой нелегальный дата-центр, в котором находилось более 100 серверов, недавно обнаружила и ликвидировала полиция Украины.

Сервисы fast-flux

Fast-flux вполне легальная технология, которая используется для обеспечения повышенной доступности услуг и балансировки нагрузки с помощью постоянного переключения разрешения доменного имени на пул IP-адресов. Преступникам же такой подход позволяет добиться повышенной устойчивости к взлому и перехватам, позволяя скрыть местоположение своего сервера. Пул IP-адресов часто используется для организации цепочки обратных прокси-серверов и может обеспечиваться несколькими ресурсами: арендованными облачными VPS, узлами бот-сети или скомпрометированными машинами.


Схема работы fast-flux в качестве сервиса промежуточного уровня. Источник (здесь и далее, если не указано иное): Trend Micro

Суть метода fast-flux заключается в использовании коротких TTL (time-to-live) для A-записей в DNS. Это предотвращает кэширование доменного имени на промежуточных DNS-серверах и заставляет их всегда запрашивать разрешение от объявленных серверов системы доменных имён (DNS). Малые значения TTL позволяют злоумышленникам c высокой частотой направлять домен на IP-адреса в составе выделенного пула и обеспечивать доступность сервиса, даже если какие-то из адресов будут скомпрометированы или забанены провайдером.


Характерные для fast-flux DNS-записи

Значения TTL, показанные красным цветом, установлены с необычайно малым количеством повторных попыток и минимальным временем TTL (в секундах). При нормальных обстоятельствах это создаст дополнительную нагрузку на DNS-сервер, однако в случае с fast-flux целью является подавление механизма кэширования, чтобы клиенту выдавался актуальный IP-адрес, который в настоящее время предоставляется инфраструктурой быстрого потока.

Услуги fast-flux обычно стоят дороже, чем пуленепробиваемый хостинг, поскольку их оператору приходится поддерживать пул IP-адресов для обеспечения инфраструктуры быстрого потока, а это требует дополнительных затрат.


Стоимость услуг fast-flux составляет 100 долларов США за два домена в месяц, в то время как стоимость ежемесячной аренды bulletproof-сервера 10 долларов США

Защита от DDoS-атак

Киберпреступные группировки конкурируют между собой ничуть не меньше, чем легальные организации, а в качестве средства конкурентной борьбы устраивают атаки на отказ в обслуживание ресурсов конкурентов с помощью Layer4- и Layer7-методов. Именно поэтому многие bulletproof-сервисы предлагают хостинг с защитой от DDoS-атак или услугу защиты от DDoS, которой можно воспользоваться для своего ресурса.

Как правило, такие услуги предоставляются путём размещения перед защищаемым сервером специализированного ресурса, подобного WAF (Web Application Firewall, веб-брандмауэр).

VDS из скомпрометированных хостов

Скомпрометированные серверы часто используются для хостинга в течение одного или нескольких этапов их жизненного цикла криминальной монетизации.

Для захвата управления используются:

• уязвимости в серверном ПО,
• bruteforce-атаки,
• похищенные API-ключи,
• хищение учётных записей через подключенные сервера,
• фишинговые и мошеннические кампании.

Подбор пароля, как правило, используется в атаках на сервисы SSH, VNC и RDP.
Учётные данные для доступа к захваченным серверам впоследствии продаются на подпольных интернет-магазинах:


Интернет-магазин учёток для доступа к скомпрометированным RDP-серверам

Для захвата более защищённых серверов могут потребоваться уязвимости нулевого дня, которые также предлагаются на киберфорумах.


Объявление о продаже уязвимости в OpenSMTPD, которая позволяет скомпрометировать серверы под FreeBSD, NetBSD, Debian, Fedora и Alpine Linux и использовать их для хостинга

Компрометация облачных хостингов

С точки зрения злоумышленника Google Cloud и Microsoft Azure чрезвычайно доступные ресурсы, поскольку оба позволяют пользователям с подключённой к учётной записи банковской картой попробовать услуги бесплатно. Это привело к тому, что злоумышленники активно собирают данные аккаунтов Google с подключёнными банковскими картами, а затем используют их для запуска экземпляров выделенных серверов. Для начинающих хакеров публикуются подробные туториалы:


Руководство по открытию хостинга Google Cloud из скомпрометированной учётной записи Google

Для тех, кто не хочет утруждать себя взломом аккаунтов, существуют магазины, предлагающие уже взломанные учётки Microsoft Azure и Google Cloud.

Socks, Proxy и туннели SSH

SOCKS и прокси-сервисы позволяют злоумышленникам скрываться, не привлекая к себе слишком много внимания и не вызывая обнаружения с помощью инструментов мониторинга сетевой безопасности.

Ввиду востребованности этого инструмента относительно легко найти ресурсы, предлагающие приобрести SOCKS прокси, причём оплатить покупку можно криптовалютой.


Прайс-лист на SOCKS прокси, которые можно оплатить с помощью Bitcoin и Ethereum


Ещё один способ сокрытия коммуникации туннелирование в легитимные протоколы, например, в SSH:


Прайс-лист на SSH-туннели

Цена SSH-туннелей зависит от страны расположения. Местоположение очень важно для некоторых видов незаконной деятельности. Например, антифрод-системы банков соотносят информацию о владельце карты с геолокацией IP-адреса, по которому была предпринята попытка её использования. Поэтому преступники готовы платить больше, чтобы купить туннель, который соответствует не только нужной стране, но и городу.

Анонимизирующие VPN

Ещё один востребованный в киберкриминальной среде сервис анонимные VPN, причём в этой части предпочтения группировок разделились: одни предпочитают использовать легальные коммерческие VPN, подобные NordVPN или ProtonVPN, другие арендуют аналогичные услуги на подпольном рынке, третьи самостоятельно создают инфраструктуру на базе OpenVPN, WireGuard или SoftEther.

Один из признаков, косвенно свидетельствующих о том, что для предоставления VPN-услуг используются скомпрометированные хосты, является указание срока гарантии доступности услуги. Чем меньше числа, тем более подозрительны эти службы. Вряд ли легальный VPN-провайдер напишет в условиях, что В случае, если предоставленные учётные данные не будут работать в течение следующих 24 (48 или 72) часов, новые учётные данные будут предоставлены бесплатно. Но это именно то, что обычно присутствует в предложениях нелегальных сервисов.


Объявление о продаже короткоживущих VPN

Другой подозрительный признак возможного преступного характера анонимизации услуг срок действия договора. Легальные VPN-провайдеры предоставляют услуги минимум на месяц, в то время как в криминальной среде встречаются предложения VPN-сервисов на срок не более одного дня. Трудно представить себе случаи законного использования для которых достаточно такого незначительного времени. Однако для криминала этого вполне достаточно, чтобы

• проверить действительность скомпрометированных банковских карт,
• проверить действительность скомпрометированных учётных записей,
• зарегистрировать учётные записи на облачных платформах или на платформе для контент-хостинга,
• сделать мошенническую рассылку в соцсетях,
• запустить вредоносную рекламную кампанию.

Инфраструктурные предложения теневого кибербизнеса не ограничиваются относительно стандартными сервисами. Изучая объявления, можно встретить довольно интересные услуги, которые пока востребованы нишевыми клиентами, либо представляют собой набирающие популярность тенденции.

Мобильные рабочие места

Некоторые поставщики предлагают желающим воспользоваться пуленепробиваемыми мобильными рабочими местами, к которым не смогут получить доступ посторонние.



И хотя формально политика этого сайта запрещает распространение вредоносных программ, мы обнаружили на форуме рекламу, намекающую, что другие вредоносные действия допустимы:



В предложении упоминается полная анонимность, невозможность определения местоположения пользователя, высокоскоростное подключение к интернету, защита от DDoS, микшер исходящего трафика и пять различных VPN. Несмотря на то, что прямое сканирование портов, брутфорс и распространение вредоносного ПО не допускаются, с помощью таких АРМ злоумышленник может совершать и другие преступные действия.

Анонимизирующие микшеры трафика

Tor не единственный способ спрятаться от бдительного ока правоохранителей и конкурентов. Сервисы, предлагающие непробиваемые рабочие места, разработали собственные микшеры трафика с использованием географически распределённой сети маршрутизаторов. Этот трафик смешивается с трафиком анонимных VPS, которые периодически перемещаются между дата-центрами, расположенными в разных странах, что ещё больше затрудняет трассировку таких систем.

Также доступны пользовательские сервисы для объединения VPN-соединений, Tor и географически распределённых наборов маршрутизаторов. Эти комбинации позволяют создать настолько сложную цепь хостов и редиректоров, отследить которую практически невозможно.


Предложение цепочки обфускации трафика

Например, один из сервисов предлагает воспользоваться такой цепочкой:
Хост VPN1 VPN2 TOR шлюз для скачущего трафика (bouncing traffic) микшер трафика географически распределённые маршрутизаторы для скачущего трафика удалённый рабочий стол (RDP) для работы подключение через другие географически распределённые маршрутизаторы Tor-серверы выходной узел точка назначения.

Выводы

Наше исследование показало, что киберпреступная инфраструктура значительно более развита, чем предполагали многие исследователи. Мы считаем, что именно этот компонент является одним из наиболее зрелых аспектов криминального бизнеса. Сетевые черви уступают место троянским программам, эксплойты браузеров целевым фишинговым атакам, а на смену бизнес-модели кражи информации приходит прямое вымогательство. Однако инфраструктура, на которой базируются все эти действия, остаётся востребованной и постоянно развивается, предлагая новые технически сложные услуги.

Киберпреступники нуждаются в надёжном сервисе, который позволит им действовать, как можно дольше скрываясь от органов правопорядка. Этот спрос породил целую индустрию полулегальных услуг, которые обслуживают киберпреступников, косвенно помогая криминалу. Проблема заключается в том, что предоставление надёжных, не поддающихся отслеживанию услуг хостинга само по себе не является незаконным. Решение этой проблемы является очень важной частью головоломки для тех, кто борется с киберпреступностью как с глобальной проблемой.

Один из факторов успеха любого онлайн-бизнеса использование надёжной и устойчивой инфраструктуры: иметь онлайн-бизнес значит быть онлайн. Это справедливо как для легального бизнеса, так и для киберпреступного. Наш свежий отчёт завершает серию исследований о рынке нелегального хостинга. В первой части мы рассказали о хакерской инфраструктуре и нелегальных интернет-услугах, во второй о том, как злоумышленники используют захваченные серверы и как обнаружить такие взломы. Последняя часть посвящена пуленепробиваемому хостингу (bulletproof hosting, BPH). В этом посте наиболее важные и интересные выводы из этого исследования.

Что такое пуленепробиваемый хостинг

Пуленепробиваемый хостинг, или BPH, это хостинг, который позволяет вести нелегальную деятельность, запрещённую у обычных провайдеров: размещение вредоносных программ, пиратского контента или похищенных данных.
BPH-провайдеры либо игнорируют жалобы и запросы от правоохранительных органов, либо заранее предупреждают клиентов, чтобы у них было время адаптировать свой бизнес. Во многих случаях BPH позволяют злоумышленнику скрыть свою истинную личность.


Разновидности BPH. Виды услуг и стоимость. Источник (здесь и далее, если не указано иное): Trend Micro

BPH, использующий короткоживущую инфраструктуру, состоящую из захваченных или скомпрометированных серверов, имеет высокий уровень устойчивости. Провайдеры BPH не является официальными владельцами ресурсов, доступ к которым предоставляют, поэтому любые претензии прилетят к настоящему владельцу, а не к ним. Следствие этого является то, что любой хост в их сети может быть удалён в любое время, например, после того как владелец обнаружит компрометацию.
Такие BPH крайне дёшевы и удобны для проведения быстрых операций: распространения спама, размещения реверсивных прокси, массового сканирования и брут-форса. Даже если захваченный сервер будет изъят или удалён, потеряется лишь незначительная часть информации.
Другая разновидность BP-хостеров перепродаёт услуги легальных компаний. Их пуленепробиваемость обеспечивается благодаря способности реселлеров точно соответствовать потребностям киберкриминала, а также за счёт налаженных отношениях с легальными хостинг-провайдерами при обработке запросов о злоупотреблениях. В некоторых случаях реселлеры могут выступать в роли посредников при разрешении конфликтов и споров между поставщиками и потребителями хостинговых услуг.
Для систем, требующих длительных периодов доступности, более жизнеспособным подходом является хостинг в центрах обработки данных, где BPH-провайдер владеет инфраструктурой. Такие провайдеры, как правило, стратегически распределяют свои ресурсы и строят или арендуют инфраструктуру по всему миру, принимая во внимание местные правовые нормы, географические и национальные особенности, профессионализм местных правоохранительных органов и уровень коррупции в государственных учреждениях. Такой BPH самый дорогой, но и самый стабильный.

Способы обеспечения непробиваемости

Каждый BPH-провайдер имеет ограниченный перечень услуг, которые тот оказывает криминалитету. В зависимости от соглашений с вышестоящими провайдерами они публикуют перечень строго запрещённой деятельности и список того, что считается допустимым.

Использование особенностей законодательства
Источником таких ограничений являются различия в законодательствах разных стран, поэтому предмет особенного внимания BPH-провайдеров регион размещения дата-центра, информация о регистрации компании и партнёры по сетевому пирингу.


Криминальные активности и их степень приемлемости в разных странах. Y (yes) означает, что указанные действия, по отзывам пользователей подпольных хостинг-услуг, возможны с использованием серверов, расположенных в отмеченной стране, N (no) для указанных действий серверы в этой стране решительно не рекомендуются, M (maybe) использование серверов возможно, но с некоторыми ограничениями

Одна из популярных стран для размещения BPH-инфраструктуры Украина. Причина этого в том, что государственное регулирование и правоприменение этой страны во многих случаях значительно менее жёсткие по сравнению с соседними странами. В то же время действия правоохранителей Украины менее предсказуемы: известны случаи, когда СБУ проводили самостоятельные расследования и арестовывала владельцев пуленепробиваемых хостингов.

Швейцария и Нидерланды также популярны у владельцев BPH как страны, подходящие для создания компаний-прокладок для проведения прокси-хостинга. Это обусловлено тем, что в соответствии с законодательством этих стран хостинг заблаговременно получает уведомление о жалобе, что даёт возможность переместить системы в безопасные локации.
Законодательство Китая достаточно терпимо относится к рассылке спама и сетевому сканированию, однако крайне жёстко реагирует на все виды деятельности, связанные с азартными играми или политической активностью.
В Канаде для изъятия контента требуется длительная подготовка документов, на основании которых выносится решение суда, а уже потом производятся действия с оборудованием и данными.
В США считается допустимым размещение порнографического контента за исключением, разумеется, детского порно, однако рассылка спама, сетевое сканирование и брутфорс приводят к многочисленным жалобам. Помимо этого, правоохранители США нетерпимо относятся к нарушениям законодательства о копирайте (DMCA и другие подобные акты).
В России очень строго относятся к порнографическим материалам, и большая часть порнографического контента считается недопустимым. На многих хостингах к категории запрещённых относятся материалы, связанные с наркотиками и политическим контентом. Однако пользователи таких провайдеров отмечают, что их те проявляют значительную гибкость, заранее предупреждая о поступивших жалобах, а также терпимо относятся к вредоносной деятельности, пока она не направлена против российских компаний и граждан.
Сейшельские острова, Белиз, Доминикана и Панама крайне популярны как место для размещения BPH из-за хороших интернет-каналов и лояльных законов, которые допускают весьма неторопливое реагирование на любые жалобы. Для таких BPH-сервисов даже появился термин офшорный хостинг.

Анонимность
Одна из важнейших характеристик BPH это степень анонимности. Возможность скрыть личность владельца криминального ресурса, принимать анонимные платежи в криптовалютах, регистрировать домены на фиктивные данные и другие подобные свойства являются определяющими при выборе платформы для криминального хостинга.


Реклама анонимного хостинга

Анонимность рекламируют даже некоторые законные хостинговые платформы. Например, компания Domains by Proxy строит бизнес на сокрытии личности клиента от большинства публичных запросов. Однако следует отметить, что компания всё-таки реагирует на запросы о раскрытии информации о владельце сайта в случае получения претензий, связанных с нарушением авторских прав.


Реклама Domains by Proxy

Гибкость и адаптивность
Эти характеристики чрезвычайно важны для BPH-провайдеров. Их практическим проявлением может быть, например, перемещение серверов или виртуальных машин из одной страны в другую, если в прежней локации возникли неожиданные юридические проблемы. Это гарантирует, что вредоносная служба продолжит работать несмотря на попытки правоохранительных органов изъять оборудование. В комплекте с внешним реверсивным прокси-сервером такая хостинговая модель идеально подходит для BPH-услуг с высокой степенью доступности.

Защита от DDoS
Надёжная сетевая инфраструктура лишь половина дела. Как и любой другой сайт в интернете, киберпреступные ресурсы могут стать мишенью для кибератак, начиная от отказа в обслуживании (DoS) и заканчивая попытками взлома. Вероятность таких инцидентов у таких ресурсов выше, чем у обычных сайтов: недовольные пользователи могут быть и на обычных сайтах, но посетители хакерских ресурсов, с большей вероятностью могут устроить атаку.
Простой во время DDoS-атаки может повлиять на репутацию ресурса, в результате чего его аудитория переметнётся к конкурентам, а владелец сайта потеряет доход.
DDoS-атаки могут проводиться на различных уровнях модели OSI. Как правило, атаки на уровень 7 требуют более сложных методов, но при этом от них сложнее защититься, чем от банального SYN-flood (уровень 4). Именно поэтому многие сайты используют профессиональные сервисы, которые защищают их от DoS-атак на прикладном уровне, и криминальные форумы в этом плане ничем не отличаются от легальных ресурсов.


Экран одного из сервисов по защите от DDoS-атак

Анти-скрапинг
Ещё одна проблема, с которой сталкиваются операторы криминальных форумов при выборе хостинга, заключается в том, что многие поисковые системы, организации, правоохранительные органы и исследователи пытаются автоматизировать процесс выявления нелегального контента.
Собранная информация затем публикуется в отчётах об угрозах или используется в расследованиях, проводимых правоохранительными органами. Это может привлечь нежелательное внимание и нанести вред репутации форума.
Для предотвращения скрапинга на различных хостингах используются разные механизмы. Например, для гостей может быть ограничено количество страниц, которые они могут просмотреть в течение суток.


Уведомление системы защиты от скрапинга

Другие форумы используют капчу или контрольные вопросы, чтобы удостовериться, что имеют дело с живым человеком.

Рекомендации по противодействию

Противодействовать криминальным ресурсам, размещённым на BPH довольно сложно. В ходе работы над исследованием мы разработали следующие методы, которые могут помочь выявить компании, предоставляющие услуги нелегального хостинга. Вот что можно сделать:
определить, какие диапазоны IP-адресов находятся в публичных чёрных списках; особое внимание уделить адресам, связанным с большим количеством публичных запросов о злоупотреблениях, поскольку это может указывать на деятельность BPH;
проанализировать поведение автономной системы и данные пиринга это также может помочь выявить активность, связанную с BPH.
после обнаружения одного хоста BPH использовать полученный цифровой отпечаток, чтобы найти другие, которые могут быть связаны с тем же провайдером.
В качестве мер, которые могут способствовать прекращению деятельности подпольных хостинговых компаний без необходимости обнаружения или отключения их серверов мы предлагаем следующие:
отправка должным образом оформленных запросов о злоупотреблениях подозреваемому провайдеру нелегального хостинга и его вышестоящим партнёрам;
добавление диапазонов IP-адресов сетей BPH в популярные чёрные списки;
увеличение эксплуатационных расходов BPH для подрыва прибыльности их бизнеса;
подрыв репутации провайдера BPH в киберпреступном подполье создание аккаунтов на подпольных форумах и публикация от их имени постов, в которых высказываются сомнения в безопасности BPH или его возможном сотрудничестве с властями.

Я Владислав Чернов специалист по кибербезопасности компании Creative Motion Development. Обеспечение контроля за безопасностью сайтов наша ежедневная рутина и мы порой забываем, что очевидные для нас вещи для многих не очевидны. В этой статье, я расскажу о мерах, которые стоит предпринять, для повышения безопасности вашего сайта.

Хакеры атакуют не менее 50 000 веб-сайтов каждый день. Это тревожные цифры, учитывая, что почти каждый бизнес присутствует в Интернете. Атаки нацелены на все предприятия, включая малые и средние предприятия около 43% атак нацелены на малые предприятия. Веб-сайты содержат много конфиденциальной информации, в том числе личные данные, такие как адреса электронной почты, имена, дата рождения, номера кредитных карт и т. Д. Сегодня защита конфиденциальности информации закреплена в большинстве нормативных актов о соответствии информации. Принятие передовых методов обеспечения безопасности веб-сайтов это шаг к соблюдению этих правил. Таким образом, компаниям необходимо понимать основные методы повышения безопасности своих веб-сайтов. Перед этим важно сначала понять угрозы и риски для доступности, целостности и конфиденциальности веб-сайта.

Общие риски безопасности веб-сайтов

DDoS-атаки

DDoS-атаки одна из самых распространенных угроз безопасности веб-сайтов. В ходе атак хакеры перегружают трафик целевого веб-сайта поддельными IP-адресами. Атаки не позволяют обычным пользователям получить доступ к ресурсам веб-сайта, отказывая им в доступе. Например, Банк Испании подвергся DDoS-атаке в 2018 году. В результате этого веб-сайт банка был отключен от сети, что не позволило пользователям получить доступ к онлайн-сервисам.

Вредоносные программы и вирусы

Вредоносное ПО это вредоносная компьютерная программа, а вредоносные приложения представляют собой самую большую угрозу безопасности веб-сайта. Кибер-злоумышленники ежедневно создают и выпускают не менее 230 000 образцов вредоносного ПО. Вредоносное ПО может быть доставлено различными способами, например с помощью рекламы с вредоносным ПО и скрытых загрузок. Вредоносное ПО может использоваться для удаленного мониторинга всех действий на веб-сайте и сбора пользовательских данных, например паролей. Вредоносное ПО представляет опасность как для владельца веб-сайта, так и для пользователя. Вредоносное ПО может распространяться на веб-серверы или отдельные компьютеры пользователей.

Спам

Мошенники размещают на сайте спам-сообщения, чтобы заманить пользователей. Хотя спам не обязательно наносит вред сайту, он может раздражать и вызывать проблемы с безопасностью для пользователя. Например, хакеры нацелены на пользователей со спам-сообщениями, замаскированными под рекламные акции или предложения. Любопытные пользователи, которые нажимают на сообщения, будут перенаправлены на внешние ссылки. Спам также может содержать вредоносные программы, которые пользователь скачивает сразу после нажатия. Кроме того, ботов можно использовать для постоянного обновления спам-сообщений в загруженной части веб-сайта. Это не только раздражает клиентов, пытающихся получить доступ к ресурсам или услугам веб-сайта, но также может оттолкнуть их.

Регистрация домена WHOIS

Все владельцы веб-сайтов должны зарегистрировать свои веб-сайты в определенном домене. Домены требуют от владельцев предоставить некоторую личную информацию для идентификации. Информация регистрируется в базах данных WHOIS. В дополнение к личной информации владельцы веб-сайтов должны предоставить другие типы информации, такие как серверы имен URL-адресов, связанные с веб-сайтом. Хакеры или инсайдеры могут использовать предоставленную информацию для отслеживания местоположения сервера, используемого для хранения информации веб-сайта. После обнаружения сервер можно использовать в качестве шлюза для доступа к веб-серверу и его взлома.

Черные списки сайтов поисковой системы

Некоторые поисковые системы, такие как Google, Bing и другие, заносят в черный список веб-сайты, на которых отсутствуют надлежащие меры безопасности. Таким образом, попадание в черный список не означает угрозы безопасности. Вместо этого сайт работает хуже при оптимизации поисковых систем и может даже не отображаться в результатах поиска. Это серьезно влияет на услуги, предоставляемые через веб-сайт. Например, бизнес, полагающийся на свой веб-сайт для продажи товаров и услуг через электронную коммерцию, может столкнуться с более низкими продажами и сокращением трафика, если он находится в черном списке. Недавний опрос показал, что рейтинг SEO по крайней мере 74% атакованных веб-сайтов подвергается негативному воздействию. Таким образом, предприятиям необходимо внедрять передовые методы обеспечения безопасности веб-сайтов, чтобы защитить их рейтинг в поисковых системах.

Лучшие методы повышения безопасности веб-сайтов

Угрозы безопасности веб-сайтов могут затронуть любой бизнес. С ростом сложности, скорости и интенсивности кибератак компаниям необходимо руководствоваться тезисом "когда атака может поставить под угрозу их веб-сайты", а не, "если атака случится". Незащищенный веб-сайт уязвим для множественных атак, угрожающих безопасность организации, а также конфиденциальности и безопасности пользователей. Ниже приведены наиболее эффективные методы, которые следует соблюдать сегодня.

Использование протоколов HTTPS

Протокол HTTPS должен быть приоритетом для всех владельцев сайтов. Это не только жизненно важно для обеспечения безопасной связи между веб-сервером и клиентом, но также улучшает базовый стандарт безопасности для всех веб-сайтов. Во-первых, он убеждает пользователей, что все коммуникации, осуществляемые через веб-сайт, безопасны. Протокол HTTPS по сути сообщает посетителям веб-сайта, что информация, которую они запрашивают или просматривают с веб-сервера, не может быть перехвачена или изменена третьими лицами. Во-вторых, веб-браузеры, такие как Google Chrome, идентифицируют и отмечают все веб-сайты, на которых отсутствуют протоколы безопасности HTTPS. Каждый раз, когда посетитель заходит на сайт, он получает уведомление о том, что он небезопасен. Некоторые посетители не захотят продолжать пользоваться услугами веб-сайта, помеченного как небезопасный. Это может оттолкнуть новых посетителей от посещения сайта, что приведет к снижению интерактивного взаимодействия с клиентами.

Кроме того, безопасность HTTPS не позволяет хакерам получить доступ к любому из кодов, используемых для разработки веб-сайта. Злоумышленники иногда изменяют код веб-сайта без защиты HTTP, чтобы отслеживать и получать доступ ко всей информации, которую посетители предоставляют при взаимодействии с веб-сайтом. Информация может включать личные данные, такие как данные кредитной карты, пароли и имена пользователей, а также дату рождения. Что еще более важно, протокол HTTPS позволяет веб-сайту повысить свой рейтинг SEO. Поисковая система, такая как Google, использует меры безопасности HTTP, чтобы вознаграждать веб-сайты более высоким ранжированием в результатах поиска.

Организация может дополнить меры безопасности HTTPS, использовав сертификат Secure Socket Layer (SSL). Безопасность SSL шифрует все коммуникации между сервером и пользователем веб-сайта. Таким образом, он не мешает хакерам распространять вредоносное ПО или проводить атаки. Вместо этого он шифрует информацию, чтобы гарантировать ее недоступность в случае успешной атаки. Благодаря реализации безопасности SSL пользовательские данные остаются защищенными от атак, таких как атаки типа человек посередине (MITM). Сертификаты SSL особенно необходимы для веб-сайтов, обрабатывающих большое количество личных данных, таких как платформы электронной коммерции. Однако все компании должны защищать свои веб-сайты с помощью сертификатов HTTPS и SSL, независимо от услуг, которые они предоставляют через сайты.

Частые обновления программного обеспечения

Для эффективной работы веб-сайтов необходимо использовать различные программные инструменты. Они включают в себя системы управления контентом плагины для веб-сайтов, программное обеспечение WordPress и другие. Обновление программных инструментов жизненно важно для обеспечения безопасности веб-сайта. Помимо исправления сбоев и ошибок, снижающих производительность веб-сайта, обновления программного обеспечения также устанавливают новейшие меры безопасности и исправления. Кибер-злоумышленники могут использовать устаревшие программные инструменты для эксплуатации своих уязвимостей, получая таким образом точку входа для выполнения атак на веб-сайт.

Кроме того, хакеры также используют такие технологии, как искусственный интеллект, для автоматизации кибератак. Это достигается за счет создания интеллектуальных ботов, которые непрерывно сканируют уязвимые веб-сайты и проводят атаки для их использования. Отсутствие последних обновлений предоставляет хакерам больше уязвимостей для выполнения. Это подвергает веб-сайт большему количеству рисков безопасности, ставя под угрозу безопасность и конфиденциальность всех услуг и информации. Владельцы веб-сайтов должны рассмотреть возможность использования автоматизированных решений, которые проверяют и устанавливают обновления программного обеспечения сразу после их выпуска. Таким образом, компании могут гарантировать, что все программные инструменты их веб-сайтов обновлены и не содержат уязвимостей, которые можно использовать.

Достаточное управление паролями

Невозможно переоценить необходимость принятия эффективных решений для управления паролями. Несмотря на то, что пароли являются самым простым способом обеспечения безопасности веб-сайта, они также представляют наибольший риск для безопасности, если ими не управлять должным образом. Исследование, которое показало, что 25% созданных паролей можно взломать менее чем за три секунды, открывает глаза на то, почему владельцы веб-сайтов должны серьезно относиться к своей практике управления паролями. Любой человек с базовыми навыками может использовать хакерские инструменты, такие как John the Ripper, для взлома пароля. Имея это в виду, какие рекомендуемые методы защиты паролей могут позволить компании повысить безопасность своего веб-сайта?

Во-первых, частая смена паролей это главный метод защиты паролей. Например, администраторам веб-сайтов следует периодически менять свои пароли, чтобы снизить риски взлома пароля злоумышленником. Кроме того, пароли должны быть достаточно сложными, чтобы их нельзя было взломать, но достаточно простыми для запоминания. Однако создание сложных паролей, состоящих из множества букв, таких как буквы, цифры и специальные символы, может быть непросто для запоминания.

Что еще более важно, бизнес должен использовать только услуги веб-хостинговой компании, которая использует двухфакторную или многофакторную аутентификацию. Такие схемы аутентификации обеспечивают дополнительный уровень безопасности. Кто угодно может предоставить действительное имя пользователя и пароль, но только законный пользователь может предоставить необходимые аутентификаторы. Например, перед получением доступа от пользователя может потребоваться предоставить уникальный код, доступный только законному пользователю. Это не позволяет инсайдерам, имеющим доступ к паролям своих коллег, использовать их для несанкционированных действий, которые могут поставить под угрозу безопасность веб-сайта.

Безопасные личные устройства

Многие организации концентрируются на внедрении рекомендованных методов обеспечения безопасности веб-сайтов, забывая, что их личные устройства могут угрожать безопасности их сайтов. Хакеры часто нацелены на персональные компьютеры, чтобы закрепиться на защищенном веб-сайте. Например, кража логинов FTP кибер-злоумышленники могут использовать вредоносное ПО для внедрения вредоносных данных и файлов на веб-сайт. Более того, хакеры считают, что легче выполнять атаки на веб-сайты, используя персональные компьютеры в качестве шлюза. Следовательно, защита персонального компьютера должна быть приоритетной практикой безопасности веб-сайта.

Есть несколько способов, с помощью которых компании могут защитить любые персональные компьютеры. Они включают использование антивирусных и антивредоносных продуктов. Хотя некоторые могут усомниться в жизнеспособности таких продуктов в противодействии текущим угрозам, они необходимы. Они защищают пользователя в онлайн-сообществе, предотвращая загрузку или установку вредоносных файлов. Кроме того, они могут быстро идентифицировать вредоносное ПО, присутствующее на вставленном USB-накопителе или жестком диске, тем самым блокируя им доступ к компьютеру. Кроме того, использование брандмауэров с строгими правилами брандмауэра может блокировать входящие вредоносные соединения, которые хакеры используют для доставки вредоносных программ. Безопасность веб-сайта во многом зависит от защищенных личных устройств, и поэтому владельцы и администраторы веб-сайтов должны обеспечить максимальную защиту.

Адекватные меры контроля доступа

Контроль доступа является неотъемлемой частью успеха любой программы безопасности. То же самое касается защиты веб-сайтов. Компании, управляющие веб-сайтом, должны определить права доступа для разных пользователей, которые могут получить доступ к сайту. Необходимость в строгом контроле доступа возникает из-за того, что человеческая деятельность является основной причиной кибератак. Недавнее исследование показало, что 95% кибератак происходят по вине человека, что подтверждает это утверждение. Сотрудники с разрешениями на доступ к определенным областям веб-сайта могут совершать ошибки, которые приводят к разрушительным атакам. Чтобы устранить риски, владельцам веб-сайтов необходимо развернуть надежные механизмы контроля доступа.

Средства контроля доступа повышают безопасность веб-сайта, ограничивая количество лиц, действия которых могут привести к ошибкам. Определив, что не все сотрудники должны иметь доступ к веб-сайту, компания может создавать политики контроля доступа на основе ролей. Это гарантирует, что доступ к веб-сайту будет ограничен пользователями с определенными ролями. Например, не было бы необходимости разрешать создателю контента доступ к закодированной части веб-сайта. Доступ к нему должен иметь только разработчик или администратор сайта. То же самое относится ко всем ролям, включая внешних разработчиков, приглашенных блоггеров, консультантов или дизайнеров.

Минимальная привилегия доступа, обычно называемая принципом минимальных привилегий или минимальных полномочий, является важным элементом контроля. Это позволяет сотрудникам или сторонним работникам получить доступ только к той части, которая им необходима для выполнения работы. Для человека, которому требуется особый доступ, применение этого принципа гарантирует, что человек получает доступ только к части в течение указанного времени и с определенной целью. Это исключает вероятность ошибочной ошибки, которая может привести к нежелательным нарушениям безопасности веб-сайта.

Изменение настроек конфигурации по умолчанию

Изменение настроек безопасности по умолчанию это метод обеспечения безопасности, который многие компании обычно игнорируют. Как упоминалось ранее, кибер-злоумышленники стали создавать ботов, предназначенных для автоматического сканирования уязвимых веб-сайтов. Боты также используются для сканирования веб-сайтов, использующих программные инструменты, содержащие параметры безопасности конфигурации по умолчанию. Дело в том, что настройки по умолчанию могут не обеспечивать безопасность и защиту, необходимые для удовлетворения уникальных потребностей данной среды. В результате программы, использующие настройки по умолчанию, очень уязвимы для атак. Злоумышленники могут использовать ботов для идентификации веб-сайтов с одинаковыми настройками по умолчанию, чтобы их можно было использовать с помощью одного и того же вируса или вредоносного ПО. После развертывания веб-сайта компании должны изменить настройки по умолчанию, например, для управления контентом. Некоторые из параметров, которые следует изменить, включают, помимо прочего:

• Пользовательские элементы управления
• Права доступа к файлам
• Настройки комментариев
• Информационная видимость

Частые резервные копии веб-сайтов

Основная предпосылка всех процедур безопасности быть готовым к худшему. Компании всегда должны быть готовы стать жертвой атаки. Атака на веб-сайт может привести к его компрометации и последующей недоступности, и, очевидно, ни одна компания не захочет оказаться в такой ситуации. Регулярное резервное копирование веб-сайта важная мера для сохранения конфиденциальности и безопасности любой связанной информации. Резервная копия веб-сайта состоит из регулярных копий всех основных компонентов сайта. Он позволяет владельцу веб-сайта сохранять и восстанавливать важные данные, когда веб-сайт разрушается в результате атаки. Основные компоненты, которые необходимо включить в резервную копию веб-сайта, включают темы, плагины, базы данных и важные файлы.

Кроме того, резервные копии жизненно важны для безопасности веб-сайта, поскольку они позволяют восстановить чистую версию веб-сайта, если взлом приводит к потере и разрушению, или если обновление программного обеспечения приводит к сбою веб-сайта. Резервное копирование должно быть главной практикой безопасности веб-сайтов, поскольку они просты и необходимы для поддержания целостности, доступности и конфиденциальности. Большинство хостов веб-сайтов предоставляют организациям простые способы создания резервных копий и управления ими. Они могут использовать панели, предназначенные для управления клиентом, для поддержки резервного копирования или использовать плагины резервного копирования, расположенные в таких инструментах, как WordPress.

Непрерывный мониторинг

Владельцы веб-сайтов не могут идентифицировать вредоносные программы и вирусы, так как они способны скрываться и часто неуловимы. Это способствует тому, что вредоносные программы считаются одной из наиболее распространенных угроз безопасности веб-сайтов. Однако при непрерывном и последовательном мониторинге предприятия могут выявлять действия, указывающие на присутствие вредоносного ПО или других незаконных программ.

Ниже приведены некоторые из важнейших признаков, указывающих на проблемы с безопасностью веб-сайтов, которые необходимо решить:

• Информация для входа в учетные записи пользователей осуществляется без их согласия.
• Файлы веб-сайта изменяются или удаляются без ведома или согласия владельца.
• Если сайт неоднократно зависает и вылетает
• Когда результаты поисковой системы показывают заметные изменения, такие как предупреждения о вредоносном контенте или занесение в черный список
• Если наблюдается быстрое увеличение или падение посещаемости сайта

Наличие вышеперечисленных признаков может означать, что сайт заражен. Компания может выбрать ручной процесс мониторинга, когда сотрудники службы безопасности берут на себя ответственность за визуальный мониторинг деятельности веб-сайта. Но это может оказаться неэффективным. Операторы-люди могут быть не в состоянии контролировать веб-сайт 24/7, что приводит к тому, что некоторые нарушения безопасности остаются незамеченными. Поэтому настоятельно рекомендуется использовать автоматизированные процессы мониторинга. Автоматические сканеры более эффективны, поскольку они могут непрерывно контролировать веб-сайт и при этом обеспечивать его нормальную работу. Это также устраняет высокие затраты и неэффективность ручного мониторинга. В любом случае некоторые инструменты мониторинга предназначены не только для выявления аномального поведения, но и для принятия корректирующих действий.

Развертывание межсетевых экранов

Использование брандмауэров одна из наиболее широко применяемых мер безопасности веб-сайтов. Брандмауэр защищает веб-сайт, блокируя вредоносные соединения, которые могут поставить под угрозу его безопасность. Компании создают и поддерживают правила безопасности, которые созданы для удовлетворения потребностей в безопасности в контексте услуг и среды компаний. Например, правила брандмауэра, созданные для платформы электронной коммерции, отличаются от правил, определенных для портала регистрации. Существует два типа межсетевых экранов, используемых для повышения безопасности веб-сайтов. Это брандмауэры сети и веб-приложений.

Сетевые брандмауэры обычно используются организациями, которые управляют своими серверами, и провайдерами веб-хостинга. Брандмауэры обеспечивают безопасность веб-сайтов, выявляя и блокируя вредоносные сценарии между веб-серверами, работающими в сети. С другой стороны, брандмауэры веб-приложений используются для защиты определенного веб-сайта. Брандмауэр веб-приложений предотвращает доступ вредоносных сценариев к веб-серверу, тем самым защищая веб-сайт от взлома. Блокировка вредоносного трафика защищает веб-сайт, а также экономит пропускную способность и время загрузки учетной записи веб-хостинга.

Создание плана сетевой безопасности

Подводя итог основным методам обеспечения безопасности веб-сайтов, необходимо разработать и поддерживать план их реализации. Чаще всего организации придерживаются неорганизованного подхода к управлению процессами безопасности веб-сайтов, что приводит к минимальным результатам. Поэтому, прежде чем даже применять какие-либо меры безопасности, жизненно важно разработать действенный и подробный план безопасности веб-сайта. В плане должны быть изложены цели, которых организация хочет достичь с помощью мер безопасности.

Основной его целью будет повышении безопасности веб-сайта. План безопасности веб-сайта должен дополнительно идентифицировать приложения, безопасность которых требует приоритетного отношения, и процессы, которые будут применяться при тестировании их безопасности. Хотя схемы безопасности веб-сайтов в разных организациях могут отличаться, можно применить следующий контрольный список из шести шагов.

1. Сбор информации по основным вопросам безопасности
2. Планирование процесса противодействия
3. Выполнение плана по обнаружению уязвимостей, если таковые имеются
4. Документируйте результаты
5. Устраните выявленные уязвимости, исправив надлежащим образом
6. Проверить безопасность сайта