В сентябре 2016 года блог Брайана Кребса получил DDoS мощностью около 620 Гбит/с, а французский хостер OVH сообщил о трафике, приближающемся к 1 Тбит/с. Источник в обоих случаях один – ботнет из десятков тысяч заражённых устройств интернета вещей: IP-камер, видеорегистраторов, домашних роутеров. Исходный код вредоноса Mirai, собравшего эту сеть, опубликован в открытом доступе. Это значит, что атаки такого масштаба перестали быть редкостью и доступны почти любому. Разберём механику и то, что должны сделать корпоративные и государственные ИТ-службы уже сейчас.

Почему IoT-ботнеты так опасны

Mirai не взламывает прошивки. Он перебирает несколько десятков заводских пар «логин-пароль» по протоколам Telnet и SSH. Производители камер и роутеров оставляют admin/admin или root/12345, пользователи их не меняют – устройство заражается за секунды после появления в сети. Каждый такой узел слаб по отдельности, но их сотни тысяч, они подключены к широким каналам и работают круглосуточно.

Отсюда два следствия. Первое: объём атаки больше не упирается в ресурсы атакующего – он арендует чужие. Второе: фильтровать такой трафик по списку «плохих» адресов бесполезно, источники разбросаны по всему миру и постоянно меняются. Атака идёт на L3/L4 (UDP-, SYN-флуд), но всё чаще и на уровень приложений – имитирует легитимные HTTP-запросы, которые сложно отличить от реальных пользователей.

Что это значит для корпоративной и государственной инфраструктуры

Большинство организаций считают, что DDoS – проблема публичных сайтов. Это не так. Под удар попадает всё, что смотрит наружу: VPN-шлюзы, порталы госуслуг, API партнёрских интеграций, почтовые релеи, DNS. Падение одного звена роняет цепочку сервисов, которые на него опираются.

Особенно уязвим периметр, выросший исторически, без единой точки контроля трафика. Если внешние запросы к legacy-системам идут напрямую, а не через управляемый шлюз, защищать их приходится поштучно. Здесь помогает архитектурная дисциплина – мы писали о ней в материале про API-шлюзы перед унаследованными системами: единая точка входа даёт место, где можно применять rate limiting, фильтрацию и аварийное отключение. То же касается государственных контуров: если электронный документооборот завязан на внешний доступ, его доступность во время атаки становится вопросом непрерывности работы ведомства.

Практические меры защиты

Полностью отразить терабитный флуд силами одной организации нельзя – нужен оператор очистки трафика. Но снизить риск и ущерб реально:

  • Запас по полосе и облачная очистка (scrubbing). Договоритесь с провайдером или специализированным сервисом о перенаправлении трафика на фильтрацию при превышении порога. Делать это в момент атаки уже поздно.
  • Защита DNS. Используйте Anycast и резервируйте зоны у двух независимых провайдеров. DNS – частая и удобная мишень.
  • Rate limiting и геофильтрация на периметре. На уровне шлюза ограничивайте частоту запросов и отсекайте регионы, из которых вы заведомо не обслуживаете клиентов.
  • Свои IoT-устройства. Камеры, турникеты, датчики на вашей сети – потенциальные участники чужого ботнета. Смените пароли, закройте Telnet, вынесите их в изолированный сегмент без выхода в интернет.
  • Поведенческий анализ. Атаки на L7 маскируются под живой трафик. Отличить бота от пользователя помогают модели на основе метрик поведения – мы разбирали подход в статье про машинное обучение в продакшене.
  • План реагирования. Заранее распишите роли, контакты провайдера и пороги эскалации. Во время атаки импровизация стоит дорого.

Вывод

Публикация кода Mirai превратила мощный DDoS в массовую угрозу, и опираться он будет на чужие незащищённые устройства – в том числе на ваши. Защита строится не из одного продукта, а из архитектуры периметра, договорённостей с операторами очистки и отрепетированного плана. Оценить устойчивость инфраструктуры и спроектировать защиту разумнее заранее, в ходе аудита информационной безопасности, а не в момент, когда атака уже пришла к вам.