Обзор Orange Internet Umbrella, сервиса защиты от DDoS-атак

1. Введение
2. Актуальные тенденции
3. Архитектура Orange Internet Umbrella
4. Особенности сервиса Orange Internet Umbrella
5. Тестирование сервиса Orange Internet Umbrella
1. 5.1. Регистрация в сервисе
2. 5.2. Проведение тестирования
3. 5.3. Ликвидация и смягчение выявленных DDoS-атак
4. 5.4. Итоги тестирования
6. Выводы

Введение

В современных реалиях исполнение DDoS-атак становится всё сложнее — как по реализации самих нападений, так и по выбору конечных целей. Множество исследований указывают на то, что рост пропускной способности каналов связи и производительности сетевого оборудования влекут за собой ежегодное увеличение в геометрической прогрессии интенсивности, мощности и сложности таких типов атак.

Специалисты Orange Business Services в своём блоге отмечают, что в результате DDoS-атак по всему миру примерно 12 % компаний теряют более 1 млн долларов США в час, порядка 77 % российских предприятий несколько раз в год подвергаются подобным кибернападениям, а 37 % из них — четыре и более раз. Также отмечается неуклонный рост доли DDoS-атак, которые используются в качестве отвлекающего манёвра от основного вредоносного воздействия на сетевое оборудование компании, и частоты их включения в состав сложных и многоступенчатых киберопераций злоумышленников.

Кажущаяся на первый взгляд простота DDoS-атак на самом деле скрывает в себе большой потенциал для преступников. Например, проведение такой атаки на корневые сетевые серверы компании-цели может привести к отказу в обслуживании множества промышленных сегментов её сети, что непременно повлечёт за собой нарушение и остановку производственных и бизнес-процессов. Если же подумать более масштабно, то успешные DDoS-атаки на крупные корневые DNS-концентраторы могут нарушить адресацию в больших сегментах интернета, и последствия этого сейчас будет тяжело спрогнозировать. Единственное, что можно отметить, — это то, что потребуется большое количество финансовых и временных ресурсов для восстановления работоспособности оборудования, а самое главное — компания понесёт трудно восполняемые репутационные потери.

Более подробно о различных видах DDoS-атак и их классификации можно узнать в наших ранее опубликованных статьях «DDoS-атака (Distributed Denial of Service)» и «Что собой представляет DDoS-атака».

Актуальные тенденции

Наиболее остро необходимость защиты от DDoS-атак всё мировое сообщество ощутило в связи с недавно произошедшим глобальным событием, а именно — распространением по всему миру коронавирусной инфекции COVID-19. Подавляющая часть работодателей перевела своих сотрудников на удалённый режим работы и начала предоставлять услуги только в онлайн-режиме, а обыденная жизнь граждан по всему миру полностью перешла в интернет. Это событие не могло не отразиться и на конечных целях DDoS-атак.

Согласно отчёту аналитического центра «Лаборатории Касперского» в первом квартале 2020 года основными целями DDoS-атак стали сайты медицинских компаний и служб доставки, а также игровые и образовательные платформы. Если же говорить о количественных и качественных показателях DDoS-атак, то по всем параметрам наблюдается их стабильный рост. Так, например, общее количество атак по отношению к предыдущему отчётному периоду увеличилось на 100 %. Атаки стали длительнее, наблюдается явный рост как средней, так и максимальной их продолжительности.

Если же говорить без привязки к сложившейся ситуации, то необходимость защиты от DDoS-атак актуальна для каждой компании, которая осуществляет свою деятельность используя сеть «Интернет». Дополнительными и весомыми аргументами в пользу применения средств защиты служат наличие и обработка внутри компании критически важной клиентской и собственной конфиденциальной информации, а также наличие значимых и непрерывных бизнес-процессов, приостановка которых — даже на незначительное время — может негативно повлиять на компанию в целом. В большинстве своём к таким компаниям можно отнести:

• финансовые учреждения и предоставляемые ими сервисы, в том числе и криптовалютные биржи,
• страховые компании,
• правительственные учреждения и госкомпании,
• производственный и энергетический секторы,
• компании жилищно-коммунального хозяйства,
• IT- и телеком-компании,
• медицинские организации,
• ритейл.

Сервис Internet Umbrella, о котором мы сегодня будем рассказывать, является средством защиты от DDoS-атак. Он полностью функционирует на стороне компании-провайдера Orange Business Services и базируется на платформе оборудования Netscout / Arbor Networks. Настройка Internet Umbrella осуществляется ИБ-специалистами Orange Business Services в соответствии с требованиями политики безопасности компании-заказчика.

Сервис проводит постоянный мониторинг входящего трафика; в случае обнаружения атаки весь поток данных перенаправляется в центр очистки, который блокирует вредоносные пакеты по многочисленным алгоритмам, и на сторону клиента идёт только легитимный и очищенный трафик. Мониторинг осуществляется в круглосуточном режиме, а специалисты Orange Business Services в случае необходимости могут своевременно вносить поправки в процесс защиты для достижения наиболее эффективных результатов.

Архитектура Orange Internet Umbrella

Cервис Orange Internet Umbrella разворачивается и функционирует только на мощностях компании Orange Business Services. В основе сервиса лежит решение Arbor Sightline TMS от компании Arbor Networks. В силу этого Orange Internet Umbrella имеет централизованную архитектуру, которая легко масштабируется в зависимости от поставленных задач. Архитектура сервиса Orange Internet Umbrella представлена на рис. 1.

Рисунок 1. Архитектура Orange Internet Umbrella

Принцип работы сервиса Internet Umbrella заключается в том, что весь входящий трафик, который направляется на узел компании-заказчика, предварительно проходит через сервер Orange Business Services. Регистрируемые показатели сравниваются с параметрами стандартного легитимного трафика, который принят за шаблон (базовую модель). Если в потоке данных нет аномалий, то он напрямую поступает клиенту сервиса; при обнаружении DDoS-атаки сервис Internet Umbrella перенаправляет трафик на центр очистки, где отфильтровываются пакеты, не удовлетворяющие установленным параметрам и требованиям политики безопасности компании-заказчика. В случае если обнаружена DDoS-атака низкой мощности (до 10 Гбит/с), сервис перенаправляет весь входящий трафик на  московский центр очистки. Если же мощность превышает 10 Гбит/с, подключается центр очистки во Франкфурте с перенаправлением через Европу. При этом доступ к веб-сервисам и веб-приложениям клиента сохраняется. После завершения DDoS-атаки поток данных вновь маршрутизируется через Россию, а задержка трафика возвращается к своему нормальному значению.

Дополнительно к этому ИБ-специалисты Orange Business Services ведут непрерывный контроль качества процесса фильтрации и очистки трафика от вредоносных пакетов и при необходимости могут принимать дополнительные меры для улучшения конечного результата. Также специалисты компании Orange систематически проводят корректировку общих настроек сервиса защиты, учитывая при этом информацию из ежеквартальных и ежегодных отчётов ведущих разработчиков решений по борьбе с DDoS, из рекомендаций вендора Arbor, результатов мониторинга новостных и специализированных ресурсов на предмет появления новых векторов DDoS-атак и другие подобные сведения.

В итоге клиенту поступает только очищенный поток данных, что позволяет осуществлять соединение только с реальными пользователями системы. При подозрении на DDoS-атаку или обнаружении таковой представителю компании-заказчика приходит уведомление о выявленном инциденте. Вендор также отмечает, что сервис Internet Umbrella осуществляет мониторинг и анализ входящего трафика в автоматическом и круглосуточном режиме, а время реакции сервиса на появление вредоносного трафика и скорость запуска мероприятий по противодействию DDoS-атаке составляют не более трёх минут.

При наличии на стороне ЦОД клиента дополнительного оборудования компании Arbor / Netscout сервис Internet Umbrella способен эффективно противостоять медленным и использующим SSL-трафик DDoS-атакам.

Представители Orange Business Services заявляют, что на сегодняшний день суммарная мощность сервиса Internet Umbrella при отражении ёмкостных DDoS-атак составляет 5 Тб/с, а в сложных случаях, которые требуют дополнительной фильтрации, этот показатель может достигать 200 Гбит/с, что на сегодняшний день является одним из лучших показателей на отечественном рынке. Наличие большого количества представительств и протяжённой сетевой инфраструктуры компании позволяет использовать сервис Internet Umbrella с минимальной сетевой задержкой не только в больших городах-миллионниках, но и в отдалённых точках нашей страны.

Особенности сервиса Orange Internet Umbrella

Cервис защиты от DDoS-атак Orange Internet Umbrella способен:

• Отражать простые и сложносоставные DDoS-атаки, которые на практике весьма разнообразны как по объёму трафика, так и по длительности. Мощности оборудования Orange Business Services, на котором развёрнут продукт Internet Umbrella, позволяют уверенно обрабатывать большие объёмы трафика. Распределённые центры очистки, которые находятся в Москве и во Франкфурте, эффективно и оперативно отфильтровывают вредоносные пакеты из входящего потока данных. При обнаружении подозрительных пакетов внутри защищаемого трафика система защиты присваивает им признак «alert», и в течение трёх минут активируются автоматические механизмы фильтрации.
• Проводить автоматический мониторинг и фильтрацию входящего трафика. Как уже говорилось, параметры потока данных сопоставляются с базовой моделью, которая принята за шаблон легитимного пользовательского трафика. При превышении какого-либо порогового значения сервис в течение тех же трёх минут активирует процедуру фильтрации вредоносных пакетов.
• Осуществлять круглосуточный мониторинг в режиме 24х7 входящего трафика компании-заказчика. Наблюдение осуществляется системой защиты в автоматическом режиме; дополнительно выделяется дежурная смена специалистов, которая способна своевременно вмешиваться в процессы противодействия выявленным DDoS-атакам для достижения лучших результатов.
• Предоставлять полную отчётность. Компания-заказчик в режиме онлайн в любой момент может получить полный отчёт, который содержит в себе как общую информацию обо всём обработанном трафике, так и детальные сведения о каждом выявленном инциденте. Также заказчик в момент обнаружения атаки оперативно получает соответствующее уведомление.
• Обеспечивать максимальную возможную скорость прохождения легитимного трафика на сторону компании-заказчика. При отсутствии подозрения на DDoS-атаку сервис Internet Umbrella отслеживает трафик без какого-либо вмешательства в него.
• Минимизировать финансовые затраты на оборудование и высококвалифицированных администраторов (офицеров) информационной безопасности, которые необходимы для эффективной защиты компании-заказчика.

Тестирование сервиса Orange Internet Umbrella

Регистрация в сервисе

Взаимодействие с сервисом защиты от DDoS-атак Internet Umbrella и наше тестирование начинаются с заполнения опросного листа, который необходим для создания пользовательского личного кабинета. Впоследствии там будет отображаться вся необходимая информация по обработанному трафику компании-заказчика.

Также потребуется предоставить Orange Business Services список IP-адресов, с которых будет разрешён доступ к клиентскому личному кабинету сервиса. Internet Umbrella является реализацией провайдерской системы защиты от DDoS-атак, то есть для подключения защиты требуется наличие либо интернет-канала Orange Business Services, либо хостинга в ЦОД, где есть точка присутствия компании.

По окончании процедуры регистрации клиенту сервиса предоставляются все необходимые реквизиты для доступа в личный кабинет. Пример личного кабинета Orange Internet Umbrella представлен на рис. 2. 

Рисунок 2. Внешний вид личного кабинета пользователя Orange Internet Umbrella

Как уже отмечалось выше, в основе сервиса лежит решение от компании Arbor Networks, а именно — Arbor Sightline TMS, что хорошо заметно по консоли личного кабинета.

Основное меню разделено на пять вкладок: «Status», «Alerts», «Traffic», «Mitigation» и «Administration». Как видно из рисунка 2, на основной вкладке «Status» доступна суммарная статистическая информация об обнаруженных инцидентах, которые также разбиты по уровню опасности. На вкладке «Alerts» приведены сводные данные обо всех обнаруженных атаках. Вкладка «Traffic» содержит количественную информацию об обработанном клиентском трафике. На вкладке «Mitigation» представлены сведения о принятых мерах по противодействию обнаруженным DDoS-атакам, отдельно по каждому выявленному инциденту. Наконец, вкладка «Administration» позволяет изменить пользовательские настройки личного кабинета.

Проведение тестирования

После начала тестовой DDoS-атаки сервис Internet Umbrella своевременно отправил на заранее указанную корпоративную электронную почту компании сообщение о выявлении инцидента, а следовательно, и о запуске процедуры фильтрации входящего клиентского трафика. На рис. 3 представлен пример такого оповещения.

Рисунок 3. Оповещение Orange Internet Umbrella о подозрении на атаку

Личный кабинет пользователя оперативно обновляет информацию обо всех выявленных DDoS-атаках. Так, например, на рис. 4 видно, что в личном кабинете на вкладке «Status» своевременно отобразилось оповещение о новом выявленном инциденте с высоким уровнем опасности.

Рисунок 4. Личный кабинет пользователя Orange Internet Umbrella с оповещением о выявленной DDoS-атаке (ID 630231)

Для того чтобы открыть окно с дополнительной информацией об интересующем нас инциденте, нажимаем на ID-номер DDoS-атаки. В нашем случае сервис присвоил ей идентификатор 630231. После этого открывается окно, в котором можно увидеть подробности (рис. 5).

Рисунок 5. Детальная информация (вкладка «Summary») о выявленной DDoS-атаке в Orange Internet Umbrella

Окно с детальной информацией содержит общие сведения об инциденте, а также графическое представление объёма заблокированного входящего трафика и мощности DDoS-атаки. На рисунке 5 мы видим, что в нашем случае основным источником зафиксированного инцидента явился IP-адрес, который географически относится к США, а суммарная мощность атаки составила порядка 150 Kpps (150 000 пакетов в секунду).

Также в этом окне сервис предоставляет нам возможность просмотреть более детальную информацию об источнике атаки и о её конечной цели (вкладка «Traffic Details»). В нашем случае на рис. 6 видно, что система Internet Umbrella зафиксировала ещё четырёх дополнительных участников DDoS-атаки, которые территориально расположены в Германии, Китае, Японии и Южной Корее. Злоумышленники в 97,48 % времени проведения атаки использовали динамические TCP-порты. Вредоносные пакеты поступали на все системные порты TCP, но главным образом атака была сосредоточена на 80-м порте.

Также сервис Internet Umbrella предоставляет информацию о наличии флагов в TCP-трафике атаки и о выявленных типах вредоносных пакетов. Для облегчения восприятия все разделы, касающиеся обнаруженного инцидента и его конечной точки, представлены в процентном соотношении, которое возможно отобразить в виде графиков и диаграмм.

Рисунок 6. Детальная информация (вкладка «Traffic Details») о выявленной DDoS-атаке в Orange Internet Umbrella

Проанализировав полученную информацию, приходим к выводу, что обнаруженная DDoS-атака с ID 630231 принадлежит конкурирующей компании. Поэтому на вкладке «Annotations» (рис. 7)  добавляем соответствующую аннотацию к выявленному инциденту.

Рисунок 7. Добавление аннотации к обнаруженной DDoS-атаке в Orange Internet Umbrella

Вкладка «Alerts» в основном меню позволяет нам посмотреть все ранее выявленные сервисом DDoS-атаки и служит для их поиска и фильтрации. На рис. 8 представлен общий вид этой вкладки.

Рисунок 8. Общий вид вкладки «Alerts» в основном меню личного кабинета Orange Internet Umbrella

После запуска поиска обнаруживаем, что сервисом был ранее выявлен ещё один инцидент с высоким уровнем опасности. Нажав на ID-номер инцидента, мы получаем более детальную информацию о нём (рис. 9).

Рисунок 9. Информация (вкладка «Summary») о выявленной DDoS-атаке (ID 629706) в Orange Internet Umbrella

Вся информация об атаке разделена на блоки аналогично предыдущему описанию. В нашем случае из рисунка 9 видно, что DDoS-атака с ID 629706 имела мощность более 500 Kbps (500 килобит в секунду), была проведена по протоколу UDP, злоумышленники использовали как динамические, так и статические порты, основной злоумышленник (доля участия 67,02 %) территориально находится в США.

Более детальную информацию по источнику и по конечной цели выявленного инцидента с ID 629706 посмотрим на вкладке «Traffic Details» (рис. 10).

Рисунок 10. Информация (вкладка «Traffic Details») о выявленной DDoS-атаке (ID 629706) в Orange Internet Umbrella

Из рисунка 10 можно увидеть, что в проведении атаки с ID 629706 участвовали ещё четыре злоумышленника, территориально находившиеся в Австралии (доля участия — 16,4 %), Китае (доля участия — 5,41 %), Нидерландах (1,54 %); ещё в одном случае (доля участия — 3,61 %) принадлежность IP-адреса определить не удалось. На протяжении 25,27 % всего времени проведения атаки злоумышленники использовали только один UDP-порт — 15494. Вся мощность атаки была сосредоточена на 53-м порте объекта нападения. По временному графику проведения инцидента можно точно определить время начала и общую длительность воздействия вредоносного трафика с того или иного IP-адреса злоумышленников.

Далее рассмотрим общую информацию об обработанном сервисом входящем трафике компании. Для этого в основном меню перейдём на вкладку «Traffic». Информация для наглядности и удобства представляется в виде графиков, диаграмм и гистограмм. Имеющиеся сведения можно отобразить отдельно по каждому типу протокола. При этом существует возможность вывести на экран информацию как за всё время использования, так и за определённый промежуток. Так, на рис. 11 представлена информация по вредоносному трафику, который зафиксировал сервис Internet Umbrella 4 июня 2020 года. Из рисунка видно, что злоумышленники проявляли активность только в ночное время, начиная с 01:00 ночи и до 04:00 утра.

Рисунок 11. Представление суточной информации о выявленных инцидентах на вкладке «Traffic» основного меню Orange Internet Umbrella

На рис. 12 представлена суммарная информация о количестве входящего промониторенного трафика заказчика. Как видно, пик активности наблюдается 3 июня 2020 года (порядка 1 Мбит/с), а среднее значение за месяц составляет порядка 0,3 Мбит/с.

Рисунок 12. Представление месячной информации (с выбором определённого типа трафика) о выявленных инцидентах на вкладке «Traffic» основного меню Orange Internet Umbrella

На рис. 13 представлена сравнительная месячная информация о входящем и обработанном трафике клиента.

Рисунок 13. Усреднённая месячная статистика обработанного трафика клиента в Orange Internet Umbrella

На рис. 14 можно увидеть различные варианты представления информации по обработанному клиентскому трафику с возможностью выбора данных по конкретному типу протокола.

Рисунок 14. Различные варианты представления необходимой информации о выявленных инцидентах на вкладке «Traffic» основного меню Orange Internet Umbrella

Смягчение и нейтрализация выявленных DDoS-атак

Internet Umbrella предоставляет подробную информацию о принятых мерах по противодействию выявленным DDoS-атакам. Для её просмотра заходим на вкладку «Mitigation» (рис. 15) основного меню личного кабинета. Перед нами открывается окно с выявленными DDoS-атаками, которым был присвоен высокий уровень опасности и к которым были применены дополнительные меры для смягчения их воздействия и / или их ликвидации.

Рисунок 15. Вкладка «Mitigation» основного меню личного кабинета Internet Umbrella

Для просмотра более детальной информации по каждому инциденту (и, в частности, принятых мер) необходимо нажать в поле имени на нужную позицию. После этого открывается окно, в котором указаны все необходимые сведения. На рис. 16 показано окно с мерами по смягчению и нейтрализации выявленной DDoS-атаки c ID 630231, а на рис. 17 — атаки c ID 629706.

Рисунок 16. Окно с принятыми мерами по смягчению и ликвидации DDoS-атаки (ID 630231) в Orange Internet Umbrella

Рисунок 17. Окно с принятыми мерами по смягчению и ликвидации DDoS-атаки (ID 629706) в Orange Internet Umbrella

Информация по каждому инциденту является исчерпывающей; проанализировав её, клиент может принять собственное взвешенное решение о достаточности принятых мер или же о необходимости настройки дополнительных фильтров входящего трафика.

Итоги тестирования

Сервис по защите от DDoS-атак Internet Umbrella от компании Orange Business Services своевременно уведомлял нас о выявлении каждого инцидента, а также адекватно реагировал на все тестовые попытки осуществить нападение. Проверочные DDoS-атаки никак не повлияли на работоспособность и доступность веб-сайта заказчика, и их воздействие было совершенно незаметным на стороне клиента.

Таким образом, можно сделать вывод, что сервис Internet Umbrella применил оптимальные методы и меры для смягчения и полной нейтрализации обнаруженных инцидентов. Возможности сервиса соответствуют заявленной функциональности; он способен эффективно защитить веб-сайт от различных типов DDoS-атак.

Пользовательский личный кабинет позволяет специалистам компании-заказчика самостоятельно добавлять и настраивать дополнительные фильтры для входящего трафика, что выделяет Internet Umbrella среди прочих решений подобного типа. Всю информацию об обработанном входящем трафике, которая представлена в личном кабинете пользователя, можно обобщить и оформить в отдельный отчёт, что в дальнейшем позволит специалистам по информационной безопасности более детально проанализировать эффективность существующей системы защиты от DDoS-атак, а также улучшить и ускорить расследование каждого инцидента.

Выводы

Различные типы DDoS-атак известны уже весьма давно. Для достижения максимальной выгоды и наибольшего деструктивного эффекта злоумышленники своевременно учитывают постоянно изменяющиеся внешние факторы и подстраиваются под них. Можно предположить, что DDoS-атаки с нами надолго, так как на текущий момент трудно разглядеть какие-либо предпосылки для снижения их количества и эффективности. Поэтому необходимо учиться правильно противодействовать им и иметь действенное решение, которое способно противостоять этому типу атак.

При тестировании функциональных возможностей и эффективности сервиса Orange Internet Umbrella он показал себя с положительной стороны. В момент обнаружения атаки сервис своевременно известил заказчика о выявленном инциденте. Максимальная мощность атаки, которая была направлена на сторону клиента, соответствует средним показателям реальных DDoS-атак. Все попытки осуществить нападение были своевременно обнаружены и отражены путём фильтрации вредоносных пакетов. Таким образом легитимный клиентский трафик заблокирован не был, и поддерживалось беспрерывное взаимодействие пользователей с информационными ресурсами компании.

Личный кабинет клиента предоставляет полную детальную информацию о каждом выявленном инциденте и общие сведения об обработанном трафике клиента с возможностью обобщения всех собранных данных в отдельные отчёты. Помимо этого в личном кабинете доступна возможность дополнительно настроить алгоритм фильтрации входящего трафика.

Достоинства:

• Сервис основан на решении Arbor Sightline TMS от компании Arbor Networks, которое обеспечивает эффективную защиту веб-сайтов от DDoS-атак, а также легко масштабируется в зависимости от поставленной цели и задачи.
• Наличие в Москве и во Франкфурте распределённых центров очистки трафика, которые позволяют эффективно и своевременно отфильтровывать вредоносные пакеты.
• Суммарная мощность сервиса в случае отражения ёмкостных DDoS-атак может достигать 5 Тб/с, а в случае противодействия более сложным нападениям, которые требуют углублённой аналитики и фильтрации, составляет порядка 200 Гбит/с.
• При отсутствии DDoS-атак и аномалий в клиентском трафике сервис проводит только его мониторинг, так что весь входящий поток данных без задержек и непрерывно поступает заказчику услуги.
• Мониторинг клиентского трафика осуществляется автоматически в круглосуточном режиме.
• Смена технических специалистов в режиме 24х7 осуществляет непрерывную поддержку клиентов сервиса и контролирует эффективность отражения обнаруженных DDoS-атак, в случае необходимости внося своевременные поправки в процесс защиты.
• Информативный клиентский личный кабинет, в котором отображаются подробные сведения с общей статистикой о защищаемом трафике и обнаруженных инцидентах.
• Предоставление клиенту необходимой отчётности.
• Оперативное оповещение клиента об обнаружении инцидента.
• Сервис позволяет экономить финансовые ресурсы компании за счёт отсутствия расходов на приобретение собственного оборудования, а также ввиду отсутствия необходимости содержать штат высококвалифицированных специалистов.

Недостатки:

• Эффективный анализ медленных и использующих SSL-трафик DDoS-атак, равно как и защита от них, осуществляется при наличии на стороне ЦОД клиента дополнительного оборудования компании Arbor / Netscout.
• В личном кабинете сервиса Internet Umbrella нет поддержки русского языка.