DDoS napad, od engleskog Distributed Denial of Service, pokušaj je da se sustav, usluga ili mreža učini nedostupnom preopterećenjem prometom. Napadač usmjerava mnoštvo kompromitiranih uređaja da istovremeno šalju zahtjeve prema istoj meti, sve dok poslužitelj, mrežna oprema ili aplikacija ne posustanu pod teretom. Legitimni korisnici se u toj poplavi ne mogu probiti, pa usluga prestaje raditi. Za razliku od većine drugih napada, DDoS ne cilja vaše podatke nego dostupnost. Cilj je da web stranica, aplikacija, API ili interni sustav jednostavno padnu.
Za reguliranu hrvatsku tvrtku to nije samo tehnička smetnja. Banka, bolnica, pružatelj kritične usluge ili SaaS platforma koja padne gubi prihod, povjerenje i, ovisno o sektoru, krši zakonske obveze dostupnosti. Dostupnost je jedan od tri temelja informacijske sigurnosti, uz povjerljivost i cjelovitost, pa NIS2 i Zakon o kibernetičkoj sigurnosti izrijekom traže mjere za osiguranje neprekinutog poslovanja. DDoS napad koji obori uslugu na nekoliko sati može pokrenuti obvezu prijave incidenta i pitanja nadzornog tijela o tome jeste li imali razumne obrambene mjere.
Ovo je dio našeg pregleda vrsta kibernetičkih napada. Otpornost, detekciju i odgovor gradimo kroz detekciju i odgovor na prijetnje te odgovor na incidente.
DoS i DDoS: u čemu je razlika
DoS napad, od Denial of Service, dolazi s jednog izvora. Jedan stroj ili jedna veza šalje zlonamjerne zahtjeve i pokušava preopteretiti metu. Takav napad je razmjerno lako zaustaviti jer obranitelj može blokirati jednu IP adresu ili jedan raspon i promet prestaje.
DDoS je distribuirana inačica. Napad dolazi sa stotina tisuća ili milijuna uređaja istovremeno, raspoređenih po cijelom svijetu. Tu blokiranje jednog izvora ne pomaže jer odmah ima novih. Promet uz to dolazi s legitimno izgledajućih adresa, pa ga je teže razlikovati od stvarnih korisnika. Distribucija je ono što DDoS čini ozbiljnom prijetnjom: nema jedne točke koju zatvorite i problem nestane.
Snagu DDoS-a daju botnetovi, mreže zaraženih računala, poslužitelja i nesigurnih IoT uređaja kojima napadač upravlja bez znanja vlasnika. Takva infrastruktura danas se iznajmljuje kao usluga, takozvani booter ili stresser servisi, pa napad može pokrenuti i osoba bez tehničkog znanja, za malo novca.1
Tri sloja DDoS napada
DDoS napadi se razlikuju po sloju koji ciljaju. Razumijevanje sloja je važno jer svaki traži drugu obranu. Volumetrijski i protokolarni napadi guše mrežu i opremu, dok aplikacijski napad cilja samu logiku usluge i najteže ga je razlikovati od pravog prometa.2
| Sloj | Što cilja i primjer | Tipična obrana |
|---|---|---|
| Volumetrijski | Zasićuje propusnost mreže golemom količinom prometa. Primjeri: UDP flood, DNS i NTP amplifikacija. Mjeri se u Gbit/s ili Tbit/s. | Upijanje i čišćenje prometa u oblaku (scrubbing), CDN, anycast distribucija. |
| Protokolarni (mrežni i transportni) | Iscrpljuje resurse poslužitelja, vatrozida i balansera napadom na slabosti protokola. Primjeri: SYN flood, fragmentirani paketi. Mjeri se u paketima u sekundi. | Filtriranje na rubu mreže, SYN cookies, stateless obrana, scrubbing centri. |
| Aplikacijski (L7) | Cilja samu aplikaciju teškim ili sporim zahtjevima koji troše procesor i bazu. Primjeri: HTTP flood, Slowloris, napadi na pretragu i prijavu. Mjeri se u zahtjevima u sekundi. | WAF, ograničavanje broja zahtjeva, CAPTCHA, analiza ponašanja, bot management. |
Aplikacijski napadi su podmukli jer ne moraju biti veliki. Nekoliko tisuća pažljivo oblikovanih zahtjeva na skupu operaciju, primjerice pretragu kataloga ili generiranje izvještaja, može oboriti uslugu uz promet koji izgleda potpuno normalno. Zato čista obrana na razini mreže nije dovoljna, treba zaštita koja razumije aplikaciju.
Zašto napadači to rade
Motivi su gotovo uvijek praktični, a ne slučajni. Najčešći je iznuda. Napadač obori uslugu ili zaprijeti napadom i traži otkupninu, najčešće u kriptovalutama, da bi napad prestao ili se uopće ne dogodio. To je takozvani ransom DDoS ili RDoS.
Drugi motiv je konkurencija i sabotaža. Napad u špici sezone ili tijekom velike kampanje nanosi izravnu poslovnu štetu. Treći, i najopasniji za sigurnosni tim, je prikrivanje. DDoS služi kao dimna zavjesa: dok je sav nadzor usmjeren na pad dostupnosti i vraćanje usluge, napadač u pozadini izvodi proboj, krađu podataka ili ubacivanje zlonamjernog softvera. Postoje i ideološki motivirani napadi (haktivizam) na poznate mete.
Napad ili samo skok prometa
Nije svaki nagli porast prometa napad. Uspješna kampanja, spominjanje u medijima ili viralna objava mogu donijeti pravi val korisnika. Razlika je u uzorku. Legitiman skok ima poslovni razlog koji možete povezati s događajem, dolazi iz očekivanih zemalja i s raznolikih uređaja, te se ponaša kao stvaran korisnik: gleda više stranica, ostaje neko vrijeme, kupuje.
DDoS promet je drukčiji. Pojavljuje se bez ikakvog poslovnog razloga, često u neobično doba, dolazi s neuobičajenih geografskih lokacija ili pružatelja, i ponavlja isti uzak obrazac: isti zahtjev, isti URL, isti tip klijenta. Vrijednosti naglo skoče umjesto da rastu postupno. Uz to dolaze tehnički simptomi: zasićena propusnost, vatrozid ili balanser na granici kapaciteta, naglo produljeno vrijeme odgovora i porast grešaka 5xx.
Pouzdano razlikovanje traži nadzor uspostavljen prije napada. Bez osnovne slike normalnog prometa (baseline) teško je reći što je odstupanje. Zato kontinuirani nadzor i detekcija nisu luksuz nego preduvjet brze i točne reakcije.
Kako se obraniti
Obrana se gradi prije napada. Usred napada je prekasno za ugovaranje i postavljanje zaštite. Učinkovita obrana slaže više slojeva jer nijedna mjera sama ne pokriva sva tri sloja napada.2
- CDN i scrubbing u oblaku upijaju i čiste promet prije nego dođe do vaše infrastrukture. Anycast mreža raspršuje volumetrijski napad po mnogo lokacija, a scrubbing centar propušta samo čist promet.
- Ograničavanje prometa (rate limiting) postavlja gornju granicu broja zahtjeva po izvoru i blokira očito zlonamjerne obrasce na rubu.
- Otporna arhitektura uklanja jedinstvene točke pada. Više regija, redundantni balanseri i odvojeni kritični servisi znače da pad jednog dijela ne ruši cjelinu.
- Autoscaling automatski dodaje kapacitet kad promet poraste, čime se upija dio aplikacijskog opterećenja. Postavite gornju granicu da se trošak ne otme kontroli.
- WAF (vatrozid za web aplikacije) zaustavlja aplikacijske L7 napade jer analizira same zahtjeve, ograničava sumnjive obrasce i razlikuje botove od ljudi.
- Kontinuirani nadzor i upozorenja omogućuju da napad uhvatite u prvim minutama, što je razlika između kratkog zastoja i dugog ispada.
DDoS se ne dobiva većom kutijom nego unaprijed posloženim slojevima i planom koji se aktivira u minutama.
Plan odgovora i tko se uključuje
Tehnologija bez plana ne pomaže. Kad napad krene, mora biti jasno tko što radi, koga se zove i kako se komunicira. Plan vježbajte unaprijed, jednako kao plan odgovora na incidente. Slijed koraka izgleda ovako.
- 01Potvrdite da je riječ o napaduProvjerite nadzorne ploče i razlučite napad od legitimnog skoka prometa. Zabilježite vrijeme početka, ciljanu uslugu i vrstu napada.
- 02Aktivirajte zaštituUključite scrubbing i WAF pravila, pojačajte rate limiting i preusmjerite promet kroz CDN. Ako koristite vanjskog pružatelja zaštite, otvorite hitni tiket.
- 03Sazovite timUključite mrežni i sistemski tim, vlasnika usluge i osobu za komunikaciju. Za regulirane subjekte uključite osobu zaduženu za prijavu incidenta nadzornom tijelu.
- 04Pazite na paralelni napadDok rješavate dostupnost, pratite prijave, administratorske račune i odljev podataka, jer DDoS može biti paravan za proboj.
- 05Komunicirajte s korisnicimaObjavite kratku, iskrenu obavijest o smetnji i očekivanom vremenu rješenja. Tišina šteti povjerenju više od priznanja problema.
- 06Analizirajte nakon napadaKad usluga proradi, napravite analizu: što je radilo, što nije, koliko je trajalo i koje mjere treba pojačati prije sljedećeg puta.
Što NE raditi
Pod pritiskom je lako pogriješiti. Dvije pogreške posebno štete. Prva je plaćanje iznude. Plaćanjem financirate napadače, označavate se kao meta koja popušta i nemate jamstvo da napad prestaje. Iznudu prijavite nadležnima i oslonite se na obranu, ne na pregovore.
Druga je panično gašenje. Naglo isključivanje sustava, mijenjanje konfiguracije bez plana ili nasumično blokiranje cijelih zemalja često napravi veću štetu od samog napada i može blokirati legitimne korisnike. Slijedite pripremljeni plan, donosite odluke smireno i dokumentirajte svaki korak za kasniju analizu i moguću prijavu.
Dostupnost kao dio sigurnosti i NIS2 obveza
Dostupnost nije samo briga operativnog tima, nego dio sigurnosti i usklađenosti. NIS2 direktiva, u Hrvatskoj prenesena kroz Zakon o kibernetičkoj sigurnosti, traži od ključnih i važnih subjekata mjere upravljanja rizicima koje izrijekom uključuju kontinuitet poslovanja i upravljanje incidentima.3 DDoS otpornost spada točno u taj okvir.
Za financijski sektor obveze su još konkretnije. DORA, Uredba (EU) 2022/2554, traži testiranje operativne otpornosti i scenarije koji uključuju napade na dostupnost. Norma ISO/IEC 27001:2022 kroz kontrole dostupnosti i kapaciteta očekuje da rizik DDoS-a procijenite i tretirate. Drugim riječima, regulator očekuje da imate dokumentirane mjere i isprobani plan, a ne improvizaciju u trenutku napada. Obranu vrijedi povezati i s kontinuitetom poslovanja.
Kako Raptoric pomaže
Pomažemo tvrtkama postaviti slojevitu DDoS obranu, kontinuirani nadzor i isproban plan odgovora koji napad drži pod kontrolom. Kroz detekciju i odgovor na prijetnje uspostavljamo nadzor i ranu detekciju, a kroz odgovor na incidente vodimo reakciju kad napad krene, uključujući obvezu prijave za regulirane subjekte. Kao neovisna tvrtka biramo mjere koje odgovaraju vašem riziku, a ne jednom proizvodu. Dogovorite uvodni razgovor.