2.3 Методы защиты, основанные на аппаратном и сетевом подходах

2.3.1 Лишение атаки «смысла»

Следует отметить, что все приемы, приведенные в прошлом и этом разделах, направлены на снижение эффективности DDoS-атак, ставящих своей целью израсходовать ресурсы машины. От флуда, забивающего канал бесполезными пакетами, защититься практически невозможно, и единственно правильный, но не всегда осуществимый способ борьбы заключается в том, чтобы «лишить атаку смысла». Самый простой, но и достаточно дорогой, подобный способ почти 90% защиты - подключить требуемый сервер к достаточно широкому внешнему каналу, который практически невозможно переполнить обычным flood'ом без использования многих сотен атакующих хостов (или бот-сетей). Однако есть более изощренный способ защиты. Он основан на организации распределенной вычислительной сети, включающей в себя множество дублирующих серверов, которые подключены к разным магистральным каналам. Когда вычислительные мощности или пропускная способность канала резко снижаются, все новые клиенты перенаправляются на другой сервер (или же используется принцип round-robin - равномерное распределение всех запросов клиентов по мощностям распределенной сети сервисов).

Основной минус подобной системы в ее исключительно денежной ресурсоемкости и затратности. Тем не менее, в подобных системах DDoS-атаки практически любого количества хостов будут обречены на провал.

2.3.2 Решения компании Cisco

Другое эффективное решение заключается в покупке, установке и настройке дорогостоящих аппаратных систем Cisco Traffic Anomaly Detector и Cisco Guard [5]. Работая в связке, они могут подавить начинающуюся атаку, но, как и большинство других решений, основанных на обучении и анализе состояний, подвержены частым сбоям и ошибкам. К тому же такие аппаратные решения стоят не меньше, чем установка и настройка собственной распределенной среды, особенно для крупных корпораций.

Решение компании Cisco System по противодействию DDoS-атакам обеспечивает защиту информационных ресурсов на уровне каналов связи. В состав решения входят два компонента: детектор аномального трафика Cisco Traffic Anomaly Detector и средство очистки трафика Cisco Guard.

Первый компонент — это устройство мониторинга, которое выявляет признаки, указывающие на присутствие DDoS-атаки. Cisco Traffic Anomaly Detector обрабатывает весь входящий трафик защищаемого сегмента. Подключение детектора производится через SPAN порт маршрутизатора (коммутатора) или с использованием разветвителя, что позволяет в непрерывном режиме производить анализ всего входящего трафика. Этот анализ включает сопоставление текущего поведения трафика с базовыми пороговыми параметрами, для выявления аномального поведения трафика. Если аномальное поведение обнаружено и выглядит как возможная атака, детектор посылает в Cisco Guard сигнал о начале анализа и устранения атаки.

Cisco Guard – это устройство очистки трафика, имеющее возможность идентифицировать и блокировать злоумышленный трафик. Cisco Guard, основан на архитектуре уникального запатентованного процесса множественной верификации («multiverification process», MVP), применяющего усовершенствованные ресурсы выявления аномалий для динамического применения интегрированных приемов идентификации источников и антиспуфинга в сочетании с высокоэффективной фильтрацией, позволяющей идентифицировать и блокировать конкретные потоки трафика атаки и, одновременно с этим, обеспечивать пропуск благонадежного трафика. Cisco Guard обладает интуитивно понятным графическим интерфейсом и мощной многоуровневой системой мониторинга и отчетности, которая предоставляет полный обзор всех действий, сопровождающих атаку.