«Лаборатория Касперского» зафиксировала волну мощных DDoS-атак на ряд крупных российских банков, которая началась во вторник, 8 ноября, и продолжается до сих пор.

Злоумышленники используют многовекторные атаки типов syn-flood (атаки на исчерпание ресурсов операционной системы) и http-flood (атаки на веб-сервер с целью вызвать перегрузку и прекращение доступа к ресурсу). Это сложные атаки, которые практически невозможно отбить стандартными средствами защиты, которые используют операторы связи, уточнили в «Лаборатории Касперского».

Средняя продолжительность каждой отдельной атаки составила около часа, самая же долгая длилась почти 12 часов. Некоторые банки подверглись атакам неоднократно – «Лаборатория Касперского» зарегистрировала серии от двух до четырех атак с небольшим интервалом. Их мощность достигала 660 тыс. запросов в секунду, при этом есть основания считать, что это далеко не предел. Ботнет – сеть зараженных устройств, используемых злоумышленниками для атаки, состоит более чем из 24 тыс. машин. Более 50% устройств, входящих в ботнет, находятся на территории США, Индии, Тайваня и Израиля. Всего в атаках участвовали в общей сложности машины из 30 стран.

Блогер Брайан Кребс заявил, что распределенная атака, нацеленная на отказ в обслуживании, которая обрушилась на его сайт пару недель назадд, скорее всего стала последствием разоблачения им двух израильтян, сделавших заказные DDoS-атаки своим бизнесом.

Восемнадцатилетние Итай Хури и Ярден Бидани были арестованы в Израиле по запросу ФБР через шесть дней после того, как Кребс опубликовал информацию о них в своем блоге.

По мнению Кребса, запись в блоге, сделанная 16 сентября, побудила их сообщников организовать атаку на его сайт с использованием ботнета, охватывающего сотни тысяч, а может, и миллионы взломанных устройств Интернета вещей – главным образом, камер, маршрутизаторов и средств организации цифровой видеозаписи.

В сетевых пакетах, обрушившихся на сайт, содержалась текстовая строка «freeapplej4ck», и она, судя по всему, указывает на одного из двух арестованных израильтян, взявшего себе псевдоним Applej4ck.

Хури и Бидани управляли сервисом vDOS, который предлагал подписку на использование платформы для DDoS-атак стоимостью от 20 до 200 долл. в месяц.

Если подозрения Кребса верны, это означает, что злоумышленники с относительно скромными средствами сумели создать гигантский ботнет из устройств Интернета вещей, генерирующий невероятные объемы трафика DDoS.

Аналогичная атака мощностью 1,5 Тбит/с с использованием армии ботов была совершена на французского поставщика хостинговых услуг OVH. «Ботнет, состоящий из 145 607 камер и устройств цифровой видеозаписи (каждое из которых генерировало трафик объемом от 1 до 30 Мбит/с), совершил DDoS-атаку общей мощностью более 1,5 Тбит/с», – сообщил в своем твите основатель OVH Октав Клаба.

Причем атаки эти, скорее всего, продолжаются. «За последние 48 часов к ботнету присоединились еще 6857 новых камер», – заявил Клаба.

В начале сентября известный эксперт по безопасности Брюс Шнайер предупреждал в своем блоге, что неизвестные группы, судя по всему, систематически проверяют, насколько устойчива к DDoS-атакам ключевая инфраструктура Интернета. Соответствующая информация поступала от компаний, предоставляющих инфраструктуру, но имена их он назвать не может, поскольку общение велось на условиях анонимности.

Похоже, инициаторы атак достигают определенных объемов трафика, после чего все прекращается. Спустя какое-то время атаки возобновляются с той же интенсивностью и постепенно нарастают, что свидетельствует о попытках количественно оценить мощность, которая необходима для блокирования работы каждой из целевых сетей.

Типы атак варьируются, с тем чтобы можно было понять, какие инструменты используют жертвы и насколько они эффективны.

Кто стоит за атаками, неизвестно, но, по мнению Шнайера, это не активисты, не исследователи и даже не криминалитет, а какое-то крупное государство.

«Государственные военные киберкоманды оттачивают свое оружие на случай кибервойны, – пояснил Шнайер. – Все это напоминает программу полетов на большой высоте над территорией Советского Союза, которую практиковали США в годы холодной войны, проверяя возможности и реакцию советских систем противовоздушной обороны».

В сентябре тематические СМИ много писали о ботнете Mirai, с помощью которого была организована массированная DDoS-атака на сайт исследователя информационной безопасности Брайана Кребса. Отличие Mirai в том, что он атаковал жертв с помощью устройств Интернета вещей — камер и видеорекордеров.

Разработчик ботнета, недавно опубликовавший его исходный код на сайте HackForums, сообщил, что вредонос специально сканировал Интернет в поисках устройств, защищенных слабыми паролями вроде admin и 12345. Хотя он перебирал всего 60 комбинаций верительных данных, этого хватило, чтобы заразить около 380 тыс. устройств.

В компании Imperva, занимающейся информационной безопасностью, отмечают рост числа DDoS-атак, исходящих от ботнетов, построенных из «умных» устройств, особенно камер безопасности, на которых после монтажа могут никогда не обновлять ПО.

Ботнет Mirai в основном пользовался камерами китайской компании Dahua и рекордерами неустановленного производителя, выяснили в Level 3 Communications. Кребс, между тем, опубликовал довольно длинный список изделий, потенциально могущих быть присоединенными к Mirai. Перечень был составлен путем поиска в Google верительных данных из кода Mirai и устройств, на которых они используются по умолчанию.

DoS-атака мощностью 620 Гбит/с, которая обрушилась на прошлой неделе на сайт блогера Брайана Кребса, освещающего вопросы компьютерной безопасности, была весьма необычной. Об этом сообщила предоставлявшая Кребсу хостинговые услуги компания Akamai, которая в конечном итоге тоже стала жертвой атаки. (Akamai — ведущий мировой провайдер платформ доставки контента и приложений. — Прим. ред.)

Пиковая нагрузка на оборудование Akamai составляла от 600 Гбит/c до 700 Гбит/с. Этого оказалось вполне достаточно, чтобы вызвать серьезные неприятности как у Akamai, так и у ее клиентов, чей интернет-трафик оказался блокирован.

Атака была весьма мощной и массовой, но и сама Akamai, и другие представители отрасли ИТ-безопасности обеспокоены не столько ее масштабами, сколько глубиной, формой и сложностью.

«Атака не прекращалась ни на минуту, ее волны набегали одна за другой, обрушивая на нас сотни миллионов пакетов в секунду, – сообщил вице-президент Akamai по управлению продуктами Джош Шауль в беседе с обозревателями Techworld. – Ничего подобного прежде нам видеть не доводилось. Удар по системе был очень силен».

Все еще ошеломленный Шауль назвал DDoS-атаку на Кребса беспрецедентной. В отличие от предыдущей крупной DDoS-атаки, объектом которой в 2013 году стала кибергруппа Spamhaus, в нынешней ситуации трафик не подвергался ни усилению, ни отражению. Все ограничивалось традиционными прямыми пакетами.

«Это был огромный ботнет, – продолжал Шауль. – Прямая атака. Поразительно, насколько скоординированными были действия атакующих. Присутствовало ли там три миллиона ботов или десять миллионов? Не знаю. Скажу лишь, что их было очень много. Наступление велось с использованием самых разных сетевых протоколов».

И это не преувеличение. Сеть ботов, состоящая из миллионов скомпрометированных компьютеров, представляет в мире киберпреступности особую ценность. Применение такого оружия против небольшого сайта блогов явно является чрезмерным и подвергает риску эффективность будущих атак, ведь выявленные IP-адреса и компьютеры будут заблокированы и подвергнуты чистке.

Либо Кребс кому-то крепко насолил (у блогера есть собственные предположения относительно личностей «мстителей»), либо произошло еще что-то неординарное.

По мнению Шауля, речь, возможно, идет о своеобразной разрушительной рекламе, которая порождает требуемые заголовки новостей: «Зачем кому-то тратить деньги и направлять на нас столь мощный ботнет? К чему устраивать подобный демарш и обнаруживать себя лишь оттого, что Брайан что-то там сказал? Моя версия заключается в том, что люди рекламировали новый сервис заказных DDoS-атак. Совершив атаку, они объявили тем самым, что соответствующий сервис уже существует и готов к использованию».

Если это так, то запуск действительно не остался незамеченным. Во-первых, атакующие «убедили» Akamai отключить Кребса, который регулярно публиковал статьи, разоблачающие интернет-преступников. Впрочем, он уже успел обрести новый «дом» в Google Project Shield и вернулся в Сеть.

В Akamai пояснили, что долгое время спокойно отражали DDoS-атаки, направленные на Кребса, но в данном случае затраты были бы слишком велики, поэтому и принято другое решение. Все очень просто.

Во-вторых, стало ясно, что в мире существуют ботнеты, размеры которых вызывают перебои в работе Интернета. Атака на Spamhaus характеризовалась в свое время как «замедление Интернета». Довольно забавное описание, основанное на неубедительных доказательствах. А вот атака на Кребса, похоже, стала первым реальным признаком проблем, публично признанных отраслью.

Раздувать масштабы атаки, наверное, в интересах Akamai, но Шауль вряд ли лукавит, когда говорит о том, как «наблюдал, сколь беспомощны попытки Интернета совладать с атакой».

Сегодня становится ясно, что в мире существуют силы, достаточно мощные чтобы сконцентрировать трафик с целью нанесения реального ущерба. У них есть необходимые объемы и масштабы. Конечно, отрасль будет адаптироваться, но лучше все-таки озаботиться принятием мер как можно раньше.

«Атака наглядно продемонстрировала, какие ресурсы нам нужны, – добавил Шауль. – Пришла пора менять существующие модели».

Компании Qrator Labs и Wallarm провели опрос среди представителей 138 банков и 12 платежных систем, работающих в России с целью исследование актуальности и масштабов угрозы DDoS-атак и атак на уязвимости приложений. В опросе приняли участие руководители ИТ-подразделений и руководители служб информационной безопасности.

Ущерб от киберпреступлений в российской финансовой отрасли, по официальным данным, в 2015 году оценивался в 5 млрд руб., причем главной целью злоумышленников стали сами финансовые учреждения, а не их клиенты. Более 60% респондентов считают, что инциденты безопасности повышают риск отзыва лицензии; известно, в частности, что именно это произошло с тремя российскими банками, перенесшими кибератаки.

«К сожалению, информационная безопасность традиционного банка чаще всего сводится к защите от собственных недобросовестных сотрудников, однако в цифровую эпоху без сети нет бизнеса и основная угроза исходит извне, — отметил Кирилл Ермаков, руководитель департамента информационной безопасности группы Qiwi; эта компания опробовала множество решений пока не остановилась на распределенной облачной сети фильтрации трафика. — На мой взгляд, облачное решение для фильтрации трафика на сегодняшний день является самым оптимальным способам противодействия одной из наиболее опасных угроз – DDoS-атакам».

Наиболее часто компании финансового сектора сталкиваются сегодня с DDoS-атаками — об этом говорят 25% респондентов. Такие атаки — средство недобросовестной конкурентной борьбы, которое можно применять со все меньшими затратами (за 3 тыс долл. можно на сутки «положить» любой сайт). В то же время DDoS-атаки часто используются для отвлечения внимания и проведения других типов атак – например, взлома сайта или веб-приложений — попытки взлома приложений и сервисов на сетевом периметре отметили 17% респондентов. В реальности цифра гораздо выше, считают специалисты Wallarm — практически каждый публичный ресурс хотя бы раз в месяц подвергается атакам.

Все опрошенные компании подтверждают, что у них имеется контроль за сетевым периметром, но это не дает гарантии защиты от взлома — традиционные средства защиты иногда позволяют атакующими использовать приложения для обхода защиты и развития атаки уже внутри корпоративной сети. Сетевая виртуализация и другие современные сетевые технологии размывают границы сетевого периметра организации. «Сегодня все сложнее обозначить периметр сетевой безопасности корпоративной сети — корпоративная сеть перестает быть четко очерчена границами физических устройств и превращается в совокупность сервисных макросегментов, каждый из которых обозначается собственным периметром безопасности», – обращает внимание Александр Лямин, генеральный директор Qrator Labs.

По данным опроса, около трети респондентов увеличили в 2015 году свои бюджеты на обеспечение информационной безопасности, а 44% сохранили его в прежнем объеме, однако традиционные системы обеспечения безопасности генерируют слишком много событий, а у служб информационной безопасности часто ограничены ресурсы, что не позволяет обрабатывать все события. Даже при наличии центров реагирования на базе дорогостоящих продуктов класса SIEM (Security information and event management), проблема реагирования на большое число срабатываний целиком не решается. В сетях общего доступа атакующие могут создавать столько событий безопасности, сколько захотят, а традиционные меры в виде блокировок по IP-адресам или подсетям неэффективны.

В последние два года в Qrator Labs обратили внимание на атаки на инфраструктуру сети; более половины опрошенных подтверждают, что риски такого рода атак уже стали реальностью, но эффективные механизмы противодействия таким атакам только начинают создаваться. Правда, 40% опрошенных еще отрицает критичность атак на инфраструктуру сети или протоколы маршрутизации. Около 70% считают самым эффективным средством противодействия решения провайдеров. Однако, как отметил Лямин, решение на стороне оператора уже не может обеспечить защиту от целых классов атак; к тому же такие средства практически никогда не поставляются в комплекте с интегрированным экраном веб-приложения (Web Application Firewall, WAF), обеспечивающим защиту от хакерских атак. Показательно, что лишь 9% опрошенных считают эффективными облачные решения, однако практика работы Qrator Labs, по словам Лямина, свидетельствует об обратном — компаниям требуется уделять больше внимание защите виртуального периметра.

Для противодействия киберпреступности в финансовой сфере Банк России разработал рекомендации, вступившие в силу с 1 мая 2016 года, — это первый подобный комплекс мер для банков по выстраиванию системы мониторинга информационной безопасности. Однако, нормативно-правовая база, отраслевые стандарты и внутренние регламенты обеспечения информационной безопасности в финансовом секторе неизбежно отстают от технологий, применяемых злоумышлениками. Тем не менее, проведение, согласно стандартам ЦБ, обязательного внешнего аудита приветствуется участниками финансового рынка — более 80% респондентов подтвердило необходимость аудита, а 19% указали на факты выявления недостаточной эффективности защиты после проведения проверок. Стандарт ЦБ рекомендует проводить аудит ежегодно, причем в планах регулятора перевести стандарт СТО БР ИББС (Стандарт Банка России по обеспечению информационной безопасности организаций банковской системы РФ) в формат ГОСТа, сделав его обязательным.