DDoS (Distributed Denial of Service), czyli rozproszona odmowa usługi, to jeden z najpoważniejszych rodzajów zagrożeń dla współczesnych sieci telekomunikacyjnych. Celem takiego ataku jest wygenerowanie ogromnej liczby połączeń lub żądań kierowanych do określonej usługi, serwera, adresu IP albo całej infrastruktury sieciowej. Skala ruchu może być na tyle duża, że zaatakowane urządzenia i łącza nie są w stanie obsłużyć zarówno ruchu generowanego przez atakujących, jak i prawidłowego ruchu klientów.
Z perspektywy operatora telekomunikacyjnego szczególnie istotne są ataki o dużej skali, w których ruch nie pochodzi z jednego źródła, lecz z tysięcy, a niekiedy nawet setek tysięcy urządzeń znajdujących się w różnych miejscach Internetu. Takie urządzenia mogą zostać wcześniej zainfekowane złośliwym oprogramowaniem i włączone do tzw. botnetu. W momencie rozpoczęcia ataku wszystkie lub część urządzeń jednocześnie wysyła ruch w kierunku wybranego celu.
W przypadku niewielkiego ataku możliwe jest odfiltrowanie części niepożądanego ruchu bez większego wpływu na działanie pozostałych usług. Sytuacja wygląda inaczej, gdy skala ataku jest bardzo duża.
Atakujący mogą generować ruch liczony w ogromnych ilościach pakietów lub gigabitach na sekundę. Co istotne, ruch może docierać do infrastruktury operatora z wielu niezależnych źródeł jednocześnie. Może on być kierowany nie tylko bezpośrednio na pojedynczy serwer, ale również na adresy IP, urządzenia sieciowe czy inne elementy infrastruktury.
W takiej sytuacji operator musi możliwie szybko rozpoznać charakter ruchu, zidentyfikować jego źródła i zastosować odpowiednie mechanizmy filtrujące. Część ruchu jest automatycznie blokowana lub ograniczana, a zespoły techniczne na bieżąco monitorują sytuację i dostosowują zabezpieczenia do sposobu prowadzenia ataku.
Podjęcie przez operatora wszystkich dostępnych działań ochronnych nie oznacza, że w przypadku bardzo dużego ataku każda usługa będzie działać bez najmniejszego zakłócenia.
Mechanizmy ochronne mogą skutecznie ograniczyć skutki ataku, ale nie zawsze są w stanie całkowicie wyeliminować jego wpływ na infrastrukturę. Jeżeli do sieci operatora dociera ruch o skali przekraczającej możliwości danego fragmentu infrastruktury lub łączy tranzytowych, samo filtrowanie ruchu może nie wystarczyć do utrzymania pełnej dostępności wszystkich usług.
Należy również pamiętać, że operator nie ma kontroli nad urządzeniami i sieciami, z których pochodzi atak. Ruch może być generowany jednocześnie z wielu miejsc na świecie, a jego źródła mogą zmieniać się w trakcie trwania ataku. Operator może natomiast reagować na taki ruch we własnej infrastrukturze, współpracować z innymi operatorami i dostawcami tranzytu oraz wdrażać dodatkowe reguły filtrujące.
Dlatego ewentualna niedostępność usług podczas ekstremalnego ataku nie oznacza braku reakcji lub zaniedbania ze strony operatora. Jest konsekwencją charakteru ataku i jego skali, a działania podejmowane przez operatora mają przede wszystkim na celu możliwie szybkie ograniczenie jego skutków i przywrócenie prawidłowego funkcjonowania usług.
W ostatnim czasie obserwujemy zmasowane i intensywne ataki DDoS wymierzone w lokalnych operatorów telekomunikacyjnych w całej Polsce. Ich skala oraz sposób prowadzenia pokazują, że nie jest to problem dotyczący wyłącznie pojedynczych firm czy dużych centrów danych.
Dla lokalnego operatora telekomunikacyjnego szczególnym wyzwaniem jest sytuacja, w której atak obejmuje elementy infrastruktury wykorzystywane jednocześnie przez wielu klientów. Wówczas skutki mogą być odczuwalne przez większą liczbę użytkowników, nawet jeśli ich własne urządzenia i łącza działają prawidłowo.
W takich sytuacjach Fiberlink stale monitoruje swoją infrastrukturę, analizuje charakter ruchu i podejmuje działania mające na celu ograniczenie wpływu ataków na klientów. Priorytetem jest jak najszybsze wykrycie anomalii, odseparowanie szkodliwego ruchu i utrzymanie działania pozostałych usług.
W przypadku wystąpienia problemów z dostępem do usług najważniejsze jest zachowanie spokoju i stosowanie się do bieżących komunikatów Fiberlink.
Jeżeli operator poinformuje o trwającym ataku lub problemach wynikających z ataku DDoS, nie należy samodzielnie resetować routera, ONT ani innych urządzeń sieciowych, jeśli operator nie zaleci takiego działania.
Reset urządzenia klienta nie usuwa przyczyny problemu, jeżeli źródłem niedostępności jest atak na infrastrukturę operatora. Może natomiast dodatkowo utrudnić diagnostykę lub wydłużyć czas potrzebny na przywrócenie prawidłowego działania usług.
W czasie trwania incydentu najważniejsze informacje będziemy przekazywać na bieżąco. Zalecamy regularne sprawdzanie komunikatów Fiberlink i stosowanie się do przekazywanych w nich instrukcji.
Jeżeli problem dotyczy infrastruktury operatora, nie ma potrzeby wielokrotnego restartowania urządzeń ani wykonywania zmian w konfiguracji sieci domowej.
W przypadku dużego ataku działania ochronne mogą wymagać czasu. Sytuacja jest stale analizowana, a zastosowane mechanizmy zabezpieczające mogą być modyfikowane w zależności od sposobu, w jaki rozwija się atak.
Nie każdą awarię można usunąć natychmiast, szczególnie gdy jej przyczyną jest zewnętrzny, zmasowany atak na infrastrukturę telekomunikacyjną.
Ochrona przed DDoS zaczyna się również po stronie użytkownika. Stosowanie silnych haseł, wyłączanie niepotrzebnych usług dostępnych z Internetu oraz unikanie wystawiania urządzeń bezpośrednio do publicznej sieci znacząco ograniczają ryzyko przejęcia ich przez cyberprzestępców.
Nawet najbardziej zaawansowane systemy ochrony nie są w stanie całkowicie wyeliminować ryzyka zakłóceń podczas największych ataków. Ich zadaniem jest jak najszybsze wykrywanie zagrożeń, ograniczanie skutków ataku i utrzymanie możliwie najwyższej dostępności usług.
Fiberlink stale monitoruje swoją sieć i podejmuje działania mające na celu zapewnienie ciągłości usług oraz ochronę klientów przed skutkami cyberataków. W przypadku wystąpienia incydentu prosimy przede wszystkim o niepodejmowanie samodzielnych działań na urządzeniach oraz bieżące śledzenie komunikatów operatora.
