Защита каналов связи от распределенных атак

1.

Защита каналов
связи от
распределенных
атак

2.

DDoS – защита сервисов
Distributed Denial of Service (DDoS) – распределенная атака на
ресурсы, цель которой частичная или же полная недоступность
сервисов.
Сама атака осуществляется при помощи инфицированных хостов
(зомби), численность которых может достигать сотен и тысяч.
С развитием IoT эффективность атак, равно как и ресурсы
атакующих заметно возросли.
Ручной режим контрмер не эффективен, ввиду огромного
количества источников. Зачастую, источники поддельные.
Результат успешной атаки – полная утилизация внешних
каналов связи и недоступность критичных сервисов.
Продолжительность простоя непредсказуема.
DDoS – что это?
DDoS

3.

DDoS – защита сервисов
Интернет-банкинг
Онлайн продажи
Фондовые биржи
Правительственные
порталы
Почему защита от DDoS актуальна?
$300
Стоимость 2-х дневной заказной атаки,
мощностью 225 Гб/с
$8 трл.
*Сумма ущерба от кибератак к 2022 году
*по данным Всемирного экономического форума

4.

DDoS – защита сервисов
Примеры крупных DDoS-атак
Mafiaboy – атака, повлекшая недоступность
CNN.com, Amazon.com, eBay и Yahoo.
Длительность – неделя.
2,3 Тб/с – атака, длительностью 3 дня.
Для сравнения: средний, потребляемый, канал Клиента
составляет 5 Мб/с (объем атаки вмещал 460 000
клиентских каналов)
Mirai – атака, использовавшая IoT.
Результат атаки – недоступность сервисов Airbnb,
GitHub, Netflix, Reddit и Twitter.
Атака на Cloudflare – достигала пика в 754
миллиона пакетов в секунду и продолжалась 4 дня.

5.

DDoS – защита сервисов
Май 2020 – сайты госорганов, нацкомпаний
и eGov подверглись DDoS-атакам
Сентябрь 2020 – атаке подверглись
образовательные платформы Kundelik,
Bilimland и OnlineMektep.org
40% – рост DDoS-атак в РК в прошлом
году
А что у нас?

6.

DDoS – защита сервисов
Атаки на инфраструктуру
Атаки на приложения
Атаки с использованием
уязвимостей
Атаки, типа флуд
Чистый трафик до Клиента
Локальный центр очистки (трафик не
покидает пределы страны)
Защита в режиме реального времени.
Никаких настроек по редиректу

7.

DDoS – защита сервисов
DDOS
Protect
DDoS Attacks
Client
Layer 3/4
Beeline
Layer 7
Good Traffic
Мониторинг трафика
Поддержка 24/7
Нулевой CapEx ввиду отсутствия
необходимости закупа оборудования

8.

DDoS – защита сервисов
DDOS
Protect
Client
Резервный канал Интернет (Beeline)
Internet
Основной канал Интернет (сторонний оператор)
Возможность предоставления на резервных каналах клиента
При атаке переключение и защита в минимальные сроки
Легкое подключение текущих клиентов
Возможность предоставления услуги как дополнительный сервис

9.

DDoS – защита сервисов
L7
Объёмные
Прикладные
Инфраструктурные
Переполнение пропускной способности
каналов и перегрузки серверов
(например, SYN flood)
Меньше трафика, выше сложность; цель
- прикладные сервисы: HTTP, SMTP, DNS
и HTTPS
Современные атаки нацеливаются на
инфраструктуру в целом (включая
СЗИ, сеть и сервера)
Проблемы:
Проблемы:
Проблемы:
Сервисы недоступны
Незаметны для традиционных
защитных мер
Комплексность защиты
Может использоваться для сокрытия
утечки данных
Несколько векторов воздействия
Быстрорастущий тип атак
Комбинация различных видов атак
Рост объемов атак
Сложно выявить
Легко реализовать
Легче реализовать
Требуется защита нескольких
площадок

10.

DDoS – защита сервисов
Q&A
Каковы гарантии защиты?
Что если защита не
поможет?
Имеет Интернетканалы
Новый клиент
Имеет выделенный
канал
У меня много
разнородного трафика.
Могут ли быть ложные
срабатывания?
Защита от DDoS в
выделенных каналах
менее актуальна. В услуге
не нуждается
Условия предоставления сервиса будут
описаны в SLA. Однако, Клиента можно
уверить в том, что от большинства атак
он будет защищен. Исключение –
крупные атаки в сотни гигабит. Но
такие атаки стоят крайне дорого.
Анализ на основе поведения не
позволит ошибочно
идентифицировать угрозы и
блокировать приложения в
легитимном трафике. Сброс
блокировки через 60 секунд, чтобы
избежать ошибочного блокирования
.

11.

DDoS – защита сервисов
Дополнительные опции:
+
SD-WAN
Защита от DDoS может быть дополнена возможностью предоставления
услуги SD-WAN (канал + оборудование + обслуживание)
+
WAF
Кроме прочего, критичные веб-ресурсы могут быть обеспечены защитой
от атак соответствующего уровня.

12.

SD-WAN – услуга «под ключ»
Аренда каналов
Возможность физического соединения офисов
Необходимость оборудования, настройки
Отсутствие какой-либо инспекции либо защиты
Мониторинг, управление и иные операции на стороне Клиента
Непрозрачность и отсутствие гибкости
Защита трафика
Услуга SD-WAN
Акцент на приложения
Internet/IP VPN
Эффективность передачи
Возможность физического соединения офисов
Оборудование (равно как и настройка) на стороне Beeline
Полноценная защита трафика
Мониторинг (24/7), управление и иные операции на стороне Beeline (в короткие сроки)
Зона ответственности Beeline
Зона ответственности Beeline
IP VPN
SD-WAN

13.

WAF – защита веб-ресурсов
Легимитивный трафик
WAF
Хакеры
0-day
Боты
OWASP Top 10
XSS
Полноценная защита Веб-приложений Клиента в
режиме реального времени
Машинное обучение анализирует трафик и выявляет
аномалии в поведении
Низкий порог ложных срабатываний
Соответствие регуляторным требованиям (PCI DSS,
ISO 27001 и т.д.)