Атаки усиления и истощение состояния

Ваш CDN поглощает атаку, но DDoS-трафик идёт от легитимных DNS-резолверов — не от IP атакующего. Блокировка резолверов блокирует весь DNS. Атакующий отправил один маленький запрос на каждый резолвер; каждый резолвер ответил жертве данными в 50 раз больше. Добро пожаловать в атаку усиления.

Усиление и отражение: механизм. Атака усиления эксплуатирует протокол без состояния на основе UDP на стороннем сервере. Атакующий отправляет маленький запрос с поддельным исходным IP (IP жертвы). Сторонний сервер отвечает на исходный IP — которым является жертва — намного большим ответом. Атакующему не нужно ничего получать; всю работу делает третья сторона. «Коэффициент усиления» — это соотношение размера ответа к размеру запроса.

HTTP/2 Rapid Reset (CVE-2023-44487). HTTP/2 позволяет несколько параллельных потоков. Атака Rapid Reset отправляет поток и немедленно его отменяет — до того, как сервер отправил ответ. Сервер всё равно выделяет память и CPU для запроса. Отправка и отмена тысяч потоков в секунду исчерпывает сервер на уровне CPU, не полосы. Маленький ботнет (20 000 машин) генерировал 398 миллионов запросов в секунду против Google с помощью этой техники в 2023 году. Исправление: HTTP/2-серверы должны ограничивать скорость создания потоков и считать клиентов с высоким темпом сброса атакующими.

Истощение состояния: SYN-наводнения. TCP-рукопожатие требует, чтобы сервер хранил состояние для каждого соединения в процессе. SYN-наводнение отправляет миллионы SYN-пакетов с поддельными исходными IP. Для каждого SYN сервер выделяет слот в SYN backlog и ждёт ACK, который никогда не придёт (потому что исходный IP поддельный). Когда backlog заполняется, сервер отбрасывает новые SYN-пакеты — включая те, что от легитимных клиентов. Linux SYN backlog по умолчанию: 128–512 слотов; под атакой заполняется за миллисекунды.

SYN cookies: обмен памяти на CPU. SYN cookies Linux (включены по умолчанию с ядра 2.6) позволяют избежать хранения состояния backlog. Когда backlog переполнился бы, сервер кодирует параметры соединения (ISN) как cookie, выведенный из исходного IP, порта и timestamp. Слот не выделяется. Если клиент отвечает правильным ACK, сервер восстанавливает состояние из cookie и завершает рукопожатие. Стоимость: немного выше CPU на новое соединение; выгода: нет исчерпания памяти в условиях наводнения.