Рамиль Хантимиров: Для снижения бизнес-рисков требуется специализированная защита от DDoS, а не провайдер или CDN

События в мире оказали огромное влияние на киберпространство в целом и на российский ИБ-рынок в частности. Мы побеседовали с Рамилем Хантимировым, сооснователем и генеральным директором компании StormWall, и узнали об изменениях ландшафта угроз в первом квартале 2022 года, а также о возможностях, которые в настоящее время есть у владельцев российских интернет-ресурсов.

За последние два месяца многие организации столкнулись с массированными DDoS-атаками. Насколько изменились интенсивность и сложность атак на российские веб-сайты?

Р. Х.: Прежде всего, выросло их количество. Если раньше нам в среднем приходилось одновременно отражать атаки на 5–10 клиентов, то сейчас — уже на 50–60.

Изменилась и сама специфика атак: теперь они запускаются в основном интернет-активистами. Раньше атаки инициировали хакеры, которые сначала выбирали жертву, изучали её особенности, а затем атаковали. Сейчас же в одном только «Телеграме» есть по крайней мере несколько групп с сотнями тысяч участников, которых целенаправленно обучают проведению атак и предлагают всё новые и новые цели для их реализации.

При этом очень активно идут разработка и совершенствование DDoS-инструментария: постоянно дорабатываются средства для организации атак, каждый день улучшаются методы их проведения, в результате чего атаки получаются очень мощными. В частности, мы фиксировали HTTP-флуд, достигавший на пике 700 тысяч запросов в секунду (RPS).

Впрочем, всё относительно. Большая часть атак, которые мы наблюдаем этой весной, идёт по протоколу HTTP; следовательно, это не тот сверхмощный пакетный флуд, что был в декабре-январе, когда, например, атаки, проводившиеся с использованием азиатского ботнета, достигали мощности 1,2 терабита в секунду.

Поскольку в большинстве случаев такие атаки были достаточно эффективными, мы ожидали, что и с началом этой кибервойны произойдёт нечто подобное. Но нынешние злоумышленники предпочитают атаки по протоколу HTTP, используя для их проведения множество виртуальных серверов (VPS), прокси-серверов и домашних компьютеров. Хактивисты нередко заражают даже свои домашние компьютеры, чтобы сделать их частью ботнета.

Но ведь такие атаки — это весьма грубая, неквалифицированная работа, не требующая особенных компетенций. Ведь за нынешними хактивистами не стоят серьёзные кибергруппировки, не так ли?

Р. Х.: Труд этот — действительно неквалифицированный, потому что большинство хактивистов понятия не имеют, что они делают. Но не стоит забывать при этом, что сами инструменты для проведения атак разрабатывают всё-таки люди достаточно компетентные.

В тех случаях, когда защиты нет или она подключена непрофессионально (например, не от специализированной компании, а от интернет-провайдера), она просто не справится. Чтобы отразить такую атаку, нужно серьёзное решение Anti-DDoS.

Большинство проводимых «вручную» атак — это стандартные атаки на канал или же на приложения, то есть уровня L7?

Р. Х.: По нашим данным, 90 % атак осуществляются на уровне L7. И это не только ручные атаки. Хакеры публикуют инструменты для осуществления атак — выкладывают их в открытый доступ и постоянно дорабатывают.

Косвенным следствием этого обязательно станет то, что даже когда вся эта буря стихнет, десятки тысяч человек будут обучены запускать DDoS-атаки и будут иметь инструменты для их проведения. Цели, правда, будут уже другими.

Сейчас же наиболее массовые атаки идут на уровне L7. На втором месте — атаки на DNS. Самыми яркими из них стали атаки на RU-CENTER, из-за которых половина рунета не могла функционировать в привычном режиме. Третье место занимают атаки уровня L3 и L4 — пакетный флуд. Они сейчас менее популярны потому, что, во-первых, их запуск стоит дороже, а во-вторых, у большинства компаний уже есть защита от них на уровне провайдера.

То есть можно утверждать, что даже когда эта волна атак схлынет, у злоумышленников будут бесценный опыт и технологии, которыми они смогут пользоваться и в дальнейшем?

Р. Х.: Более того, многие просто начнут зарабатывать на DDoS-атаках, например запуская их против своих бизнес-конкурентов.

Без профессиональной защиты и раньше было сложно, а сейчас без неё просто невозможно обойтись.

При этом очень важно понимать, какая именно защита по-настоящему работает и будет ли эффективной та, которая уже подключена. Многие компании полагают, что, подключив защиту от провайдера за 5 тысяч рублей, они уже вполне обезопасили свои ресурсы от DDoS-атак. Однако когда начался весенний HTTP-флуд, выяснилось, что подобная защита с ним не может справиться — потому что она работает только на уровнях L3 и L4, а уровень L7 остается незащищённым. Это первое.

Второе. Даже если организация подключила защиту и на уровне L7, насколько та надёжна? Специализируется ли провайдер защиты на отражении DDoS-атак, достаточно ли у него для этого компетенций? Будет ли он помогать вам, если хакер начнёт атаку в воскресенье вечером? Сможет ли обеспечить поддержку в случае нестандартных атак?

В первые дни и недели спецоперации ходило много слухов о том, что рунет будет изолирован. Если этот сценарий в какой-то момент будет применён, спасёт ли это от такого большого количества атак — например, если отключить по региональному принципу всю Восточную Европу от остальной части Европы?

Р. Х.: Я не думаю, что это решит все проблемы. Во-первых, потому, что о полной изоляции речи всё-таки нет. Какие-то пути всё равно останутся, а значит, можно будет запускать атаки. И возникает вопрос: насколько устойчивы к атакам те устройства, которые будут осуществлять изолирование региональной сети?

Следующий момент: никто не отменял спуфинга, возможности прикрыться российскими IP-адресами, прикинуться российскими узлами.

И, наконец, третье: что мешает арендовать или заразить серверы в России и атаковать с них? И если защита не подключена или подключена неправильно, достаточно даже небольшой атаки, чтобы вывести сайт из строя.

Если канальные атаки фильтруются на уровне провайдеров, то с атаками на уровне приложений дело обстоит сложнее, и здесь возникают ещё и бизнес-риски, поскольку можно потерять, как минимум, часть легитимного трафика. Пришлось ли вам экстренно дорабатывать свои технологии, фильтры и алгоритмы с учётом того, что сейчас атаки выполняются в том числе реальными людьми, а не ботами?

Р. Х.: Надо сказать, в целом система защиты была готова принять эти атаки. Именно поэтому многие наши клиенты перешли к нам от других провайдеров Anti-DDoS. Тем не менее доработки делать всё же пришлось, и программисты у нас работали без выходных. Улучшали код, устраняли баги, но всё это — «под капотом», то есть для пользователя это прошло незаметно. Какой-то новый продукт выводить на рынок не понадобилось.

Нам очень повезло, что как раз перед началом кибервойны, в декабре-январе, нам довелось отражать достаточно мощные атаки — свыше 1 терабита в секунду.

Полученный опыт подтолкнул нас к тому, чтобы закупить новое оборудование и модернизировать свои точки присутствия во Франкфурте и Москве. Именно поэтому мы и выстояли.

То есть так удачно сложилось, что у компании был резерв оборудования?

Р. Х.: Да, мы купили серверы с 64-ядерными процессорами AMD EPYC. Ещё в январе мы написали об этом в своём блоге на сайте. Уже в конце февраля их пришлось срочно задействовать для отражения новых атак. В результате наша инфраструктура выдержала.

Кроме того, нам пришлось изменить работу технической поддержки: мы удлинили смены, увеличили их число и количество сотрудников, которые выходили одновременно дежурить. Всё это помогло обеспечить защиту большего числа клиентов, одновременно оказавшихся под атакой.

Возвращаясь к тому, насколько изменились атаки: есть одна «интересная» особенность у всех из них.

Если раньше атаки велись день-два, после чего, как правило, всё успокаивалось, то теперь, если ресурс один раз где-то «засветился», атаки на него уже в принципе не прекращаются.

Нелегитимный трафик регистрируется постоянно. Стоит открыть любой сайт, и становится видно, что он находится под защитой. Существуют списки атакуемых сайтов. В интернете есть такие страницы: открываешь их и видишь столбиком список целей, и через JavaScript начинается атака. У злоумышленников, видимо, эти сайты открыты на тысячах VPS, и туда всё время добавляются новые цели. При этом старые сайты также постоянно находятся под атакой, поэтому тоже требуют защиты от DDoS.

Говоря об атаках, следует упомянуть ещё IP Hijacking.

А что это такое?

Р. Х.: В начале марта мы обнаружили вредоносную деятельность некоторых украинских провайдеров. В частности, на один из российских банков была проведена следующая атака: крупный киевский провайдер начал анонсировать защищённый нами адрес, который назначен этому банку, c BGP Community на Blackhole (инструкция «отбрасывать весь трафик» для маршрутизатора — ред.). Хотя большинство провайдеров не принимают такой анонс, некоторые начали его принимать и распространять дальше. В итоге из половины локаций сайт был недоступен просто потому, что он «блекхолился», пакеты отбрасывались.

Пришлось контактировать со всеми провайдерами, с которыми связан этот киевский оператор, и просить их, чтобы они не принимали от него подобные вредоносные анонсы. Сам оператор решать проблему отказался, заявив, что якобы атака начата с этого адреса либо она на него нацелена, поэтому они его и «заблекхолили».

Такое поведение наносит вред деловой репутации. Ситуация в будущем наладится, а вот репутация этого провайдера надолго останется испорченной.

Р. Х.: И это — не единичный случай. Подобные ему обсуждаются в телеграм-группах сетевиков.

Таким образом, мы имеем дело с новым видом атаки. Понятно, что так всегда можно было делать, просто раньше этого не делали из соображений сетевой этики.

Другая интересная атака: многие провайдеры имеют серверы Google Global Cache (GGC), у которых в реверс-записях DNS указаны адреса Google. Злоумышленники назначали эти адреса атакующим машинам, и поскольку их реверс-записи в DNS указывают на GGC, многие системы защиты отказывались их блокировать. Таким образом злоумышленникам удавалось обходить защиту от DDoS-атак.

И ещё из интересного. Недавно увидели в некоторых пабликах, что хакеры решили заработать на нестабильной ситуации: они сделали мобильное приложение, где можно приобрести некие «коины» (от англ. coin, «монета» — ред.). Деньги якобы будут тратиться на DDoS-атаки, а впоследствии эти «коины» вырастут в цене и их можно будет вывести обратно. Таким образом, выстраивается финансовая пирамида, основанная на DDoS-атаках.

Это косвенно говорит о том, что ребята уже думают, как монетизировать свои новые знания, поэтому с окончанием спецоперации DDoS-атаки не закончатся.

Впрочем, ничего принципиально нового за время нынешних весенних атак придумано не было, кроме изощрённого способа с хайджекингом и Google DNS. DDoS-атаки изначально имеют сложный характер, так как в них участвует большое количество разнообразных устройств: и ПК пользователей, и прокси-узлы, и серверы. К тому же злоумышленники постоянно модифицируют свои методы. Но всё равно это — обычный флуд, с которым качественная защита от DDoS должна уметь справляться.

Насколько увеличилась ваша клиентская база за последние полтора месяца?

Р. Х.: К нам пришли более 100 новых заказчиков.

Это в основном коммерческие организации или есть и госструктуры?

Р. Х.: Есть и коммерция, и госструктуры. Переходят к нам в основном по трём причинам. Первая: у некоторых организаций защиты вообще не было, но теперь она понадобилась. Вторая причина: защита была подключена, но, как выяснилось, она не работала. (Это, кстати, — самая распространённая причина.) И третья — это импортозамещение: многие западные провайдеры Anti-DDoS, например Imperva, ушли с рынка, и их клиентам пришлось искать другие варианты защиты.

Про импортозамещение. Переезжать с зарубежных «насиженных» сервисов бывает болезненно: ты уже привык к определённому уровню обслуживания. Кроме того, у многих изначально негативное отношение к российским сервисам. В вашем случае, на какой уровень сервиса и технической поддержки может рассчитывать заказчик?

Р. Х.: Мы предоставляем сервис самого высокого уровня, начиная с того момента, когда рассказываем клиенту об услугах, которые ему подходят — и он уже чувствует, что люди понимают, чем занимаются. Также мы знакомим с нашей системой защиты — с личным кабинетом, со множеством настроек и API, с возможностью менять параметры защиты самостоятельно либо обратиться за помощью к нам. Кроме того, наша техподдержка доступна в чате, в «Телеграме», по телефону, электронной почте, а также через тикет-систему каждый день, без выходных, 24×7. Максимальное регламентированное время ответа — 15 минут. На самом деле обычно мы отвечаем быстрее.

Можно с уверенностью сказать, что уровень нашего сервиса зачастую даже превосходит зарубежные аналоги. Объясняется это, наверное, тем, что мы изначально работаем не только в России, наши клиенты находятся в 68 странах мира.

В первые же дни ушли с рынка такие крупные компании, как Akamai. Это, конечно, не массовый рынок, но многие крупные заказчики в России использовали этот сервис, и им пришлось экстренно искать альтернативу. Насколько быстро можно перейти к вам? Допустим, защита «отвалилась» и нужно экстренно вставать под другую. Можно ли технически это сделать за день или даже быстрее?

Р. Х.: Можно и быстрее. Если речь идёт о защите сайтов, то мы обычно выдаём свои IP-адреса и заказчику нужно просто переключить DNS. Время распространения записи в DNS — от нескольких минут до нескольких часов.

Если речь идёт о защите собственной сети заказчика, его собственного префикса или сайтов на собственных префиксах, то это занимает немного больше времени, но всё равно не больше одного дня понадобится, чтобы запустить BGP-сессию, анонсировать префиксы и дождаться, когда провайдеры их примут. Очень быстро! Другое дело, что, когда атака уже началась, процесс переключения на другого провайдера защиты клиент воспринимает очень болезненно. Даже несколько часов простоя интернет-ресурсов нередко грозят огромными денежными и репутационными потерями.

Вы предоставляете компаниям комплексный сервис? У вас ведь есть WAF и защищённый хостинг? К вам можно переехать в ЦОД?

Р. Х.: Наш хостинг предназначен скорее для небольших проектов. Мы всё-таки специализируемся на защите и предпочитаем, чтобы инфраструктурные услуги предоставляли наши партнёры. Но — да, у нас есть хостинг, выделенные виртуальные серверы, чтобы клиенту было удобно переехать. Мы также предоставляем защиту от DDoS-атак в комплексе с WAF.

Как проявила себя эта связка в свете последних событий и насколько полезной оказалась возможность встать на свой защищённый хостинг?

Р. Х.: Функциональности защиты от DDoS хватает, чтобы полностью справиться именно с DDoS-атакой. Другое дело, что злоумышленники будут работать дальше. Не смогут «завалить» ресурс при помощи DDoS-атак — начнут искать другие уязвимости. И вот здесь, конечно, WAF очень поможет. Мы уже видели, как «утекли» базы российских компаний, таких как «Яндекс.Еда» или «СДЭК». И сейчас без WAF оставаться рискованно — это показали и недавние атаки на Rutube, и утечка базы «Гемотеста».

Где физически находится ваш ЦОД? Или у вас их несколько?

Р. Х.: У нас пять точек присутствия по всему миру. Одна находится в Москве, причём на самом деле это — две точки, которые друг друга резервируют. Также есть точки во Франкфурте (в двух дата-центрах), в Вашингтоне, Гонконге и Алма-Ате.

Соответственно, это позволяет фильтровать атаки ближе к источнику. Например, когда для атак использовался азиатский ботнет (их мощность достигала 1,2 терабита в секунду), половина атаки шла из Азии и мы фильтровали её в Гонконге, а ещё треть — из США, и мы подавляли её уже там.

Наша распределённая сеть позволяет обеспечить клиенту более качественный сервис.

Тем не менее некоторые клиенты хотят, чтобы их ресурсы анонсировались только в России. Такие требования мы также исполняем.

Затронули ли вашу компанию санкции — например, в части поставок оборудования или технической поддержки систем, которые вы используете?

Р. Х.: Нужно сказать, что разработка, которую мы используем — а это и система очистки на уровнях L3 и L4, и система очистки уровня L7, и DDoS-сенсор, — полностью наша, собственная, поэтому мы не пострадали так, как другие компании, например работавшие на базе технологий Arbor. Здесь у нас бизнес-процесс никак не нарушился.

В плане оборудования и поддержки, конечно, сейчас пока нет возможности купить поддержку западных вендоров — к примеру, на Juniper, Cisco и так далее. Что же касается самого оборудования, то, как я уже сказал, мы смогли вовремя расширить свою сеть.

Сейчас у нас в Москве и Франкфурте стоят кластеры очистки ёмкостью в 1,6 терабита в секунду каждый. А каналы связи (uplink) у нас по всей сети имеют ёмкость 2,5 терабита в секунду. И даже если мы будем расширять их, у нас есть достаточный запас ёмкости очистителей, чтобы «переварить» атакующий трафик.

Что касается оборудования в России, то будем решать проблемы по мере их поступления. Уверен, что способы купить оборудование найдутся. Просто это будет сложнее, дороже, дольше и так далее, но сделать это всё же возможно.

Последние события наглядно показали: люди думали, что они под защитой, а это оказалось не так, и фактически деньги они платили зря. На ваш экспертный взгляд, как можно отличить качественную защиту от DDoS-атак от той, которую сейчас не предлагает только ленивый? Как заказчику понять, что именно этот сервис — надёжный?

Р. Х.: Существует несколько параметров, по которым проводится такая оценка. Во-первых, специализируется ли компания на DDoS-защите или это просто побочный продукт, которым занимаются два человека, и то не на полный рабочий день. Одно дело — поставить себе какую-то «железку» и перепродавать её клиентам, а другое — предоставлять собственный сервис и постоянно его дорабатывать, чтобы более эффективно фильтровать активно меняющиеся атаки. А они сейчас меняются каждый день.

Таким образом, обращаться нужно в специализированную компанию. Никакая защита от провайдера или от вендора, который занимается, например, «CDN, а ещё защитой», не сможет в достаточной степени снизить бизнес-риски.

Во-вторых, нужно посмотреть, кто клиенты у этой компании: насколько это серьёзные организации, есть ли среди них предприятия похожего профиля, как давно они этой защитой пользуются. Сколько лет самой компании, какая у неё репутация. Оказывается ли техническая поддержка круглосуточно, на выходных и по праздникам. Можно ли подключить ресурс оперативно, уже под атакой. Где находятся точки присутствия и сколько их всего. Если точка присутствия только одна, тогда и ёмкость окажется небольшой, и возможности резервирования не будет. Так же как и возможности эффективно фильтровать распределённые атаки.

Необходимо обратить внимание и на параметры самой услуги: на каких уровнях обеспечивается защита, только на L3 и L4 или ещё и на L7? Если на L7, то как эта защита осуществляется? Работает ли она с раскрытием приватных ключей SSL или есть опция защиты без их раскрытия, и каким образом она реализуется? Нужно обязательно вникнуть во все эти вопросы.

Обязательно нужно запросить демонстрацию личного кабинета, чтобы понять, какими параметрами можно управлять. Можно ли самостоятельно управлять режимами защиты и вносить исключения? Можно ли вообще выключить защиту, например для теста, чтобы выяснить, работает она или нет?

Вот эти факторы и формируют в конечном итоге ценность сервиса: как он работает, насколько компетентна команда, насколько удобно будет в дальнейшем с этим сервисом взаимодействовать.

Последнее и очень важное: нужно обязательно протестировать сервис атаками — заказать пентест или самостоятельно его провести, чтобы посмотреть, что будет.

Кажется, сейчас с тестированием проблем нет. Скорее атака сама тебя найдёт. Но если ситуация не экстренная и время позволяет, необходимо вникнуть в технические детали, чтобы потом не получилось как у тех заказчиков, о которых сегодня шла речь: думали, что защищены, а оказалось, что нет.

Р. Х.: У нас был смешной случай. Мы сразу же провели сеанс Zoom для заказчика, на которого в воскресенье началась атака, всё им объяснили, выработали план, поставили под защиту, отфильтровали атаку. На неделе обсуждаем стоимость предоставленных услуг, а они говорят, что у них бюджета нет, потому что они купили Arbor и ещё защиту со стороны провайдера. И сейчас у них две защиты, резервирующие друг друга. Они все деньги на это потратили, а выяснилось, что ни то ни другое не работает.

По поводу сертификатов SSL и приватных ключей. Вы требуете раскрытия приватного ключа для того, чтобы эффективно фильтровать атаки на уровне L7, или это опционально?

Р. Х.: Есть два режима защиты: с раскрытием и без него. Способ с раскрытием более универсален. Он позволяет делать больше, потому что мы можем встраивать интерактивные проверки. Мы можем проверить, поддерживает ли браузер разные функции, например редиректы, JavaScript и тому подобное. Это также влияет на принятие решения о том, легитимный ли это клиент и можно ли его пропустить.

В ряде случаев ключи раскрывать нельзя — например, если обрабатывается конфиденциальная информация или нужно обеспечить требования PCI DSS. В таких случаях работает защита без раскрытия, и происходит это следующим образом. На наши анализаторы направляется поток логов по UDP или с WAF. Анализатор обрабатывает эти запросы с использованием как сигнатурных методов, так и методов основанных на построении нормальной модели поведения посетителя на сайте с помощью механизма машинного обучения. В случае существенных отклонений осуществляется блокировка на уровне L3 и L4. Это происходит, когда запросов слишком много, или они слишком нетипичные, или клиент получает слишком много подозрительных ошибок.

Расскажу такой случай. У одного банка, нашего клиента, сайт-«визитка» был защищён с раскрытием, а сеть была под нашей защитой по BGP. При этом раскрыть приватный ключ мобильного банка они, естественно, не могли. Когда началась атака на приложения мобильного банка, они «упали» и специалисты банка начали в авральном режиме настраивать отправку логов в сторону Anti-DDoS (это нужно для подключения защиты «без раскрытия»). Как только они её настроили, просто «по щелчку» атака буквально за пару минут полностью отфильтровалась. Механизм таков: сначала на защищаемый сервер «пролетает» атака буквально на пару минут, затем у нас появляются логи, после чего мы начинаем «банить» IP-адреса, с которых действуют злоумышленники.

Раскрытие ключей — дело тонкое. Лично мне психологически трудно передавать ключи. Непонятно, что потом с этим будет. Если есть варианты без раскрытия, то для многих это, конечно, плюс.

Р. Х.: Есть ещё гибридный вариант, который для некоторых компаний оказался очень удобным. Чтобы не раскрывать свой приватный ключ, а под атакой подключить защиту с раскрытием, клиенты просто выбирают опцию «Let’s Encrypt» у нас в личном кабинете. При этом для них выпускается свой сертификат-ключ.

Каковы планы по развитию на следующий год? Что вы планируете разрабатывать, что хотите выпустить в этом году?

Р. Х.: Сейчас разработки ведутся по плану, который был принят ещё в конце прошлого года. И в современной реальности план оказался достаточно актуальным. Во-первых, мы постоянно работаем над улучшением личного кабинета. Наши пользователи замечают, что там периодически появляются новые функции.

В этом году также планируется крупный релиз, который позволит использовать больше параметров. Идёт эволюционное развитие нашей разработки.

Второе — новый большой проект, который уже совсем скоро выйдет, — партнёрский личный кабинет, White Label. Он позволяет предоставлять услуги под собственным брендом, загружать свои логотипы, заводить собственных пользователей в личном кабинете и использовать StormWall исключительно как сервис поверх своего сервиса. Эта услуга ориентирована на хостинг-провайдеров, дата-центры, интернет-провайдеров, а также тех партнёров, которые просто хотят перепродавать её под своим брендом.

Есть и другие интересные вещи.

Во-первых, по программным продуктам. Мы планируем выпуск новой версии нашего сенсора, который уже внесён в реестр российского софта. Он обнаруживает атаки и переключает сеть на защиту StormWall. Он позволяет отслеживать текущую ситуацию — какие атаки были и идут сейчас, рисует графики и выявляет типы этих атак.

Многие решения, имеющиеся на международном рынке, стали сейчас недоступными для российских компаний. Поэтому мы решили сделать средство обнаружения атак, которое будет доступно российским операторам.

Как мы убедились, некачественная защита от DDoS не справляется с атаками. Это именно то, за что люди платят деньги нам и другим компаниям, которые занимаются этим специализированно.

Спасибо за интересное и содержательное интервью. Желаю удачи!