Что лучше помогает от DDoS-атак: hardware или облачные решения?

Question

[Эва Ра]

Какая схема защиты лучше? С железкой или без?

Answer 1

[АртемЪ]

DDoS это слишком общее определение. Сборное называние всех атак вызывающих перегрузку.

• DDoS может идти на интернет канал, т.е отправка трафика заведомо больше чем может пропустить канал до вашего сервера - с такими атаками вы не справитесь, только внешние сервисы имеющие широкий канал.
  
• DDoS может идти на сервер, т.е отправка такого количества запросов, которые ваш сервер не в состоянии обработать - тут уж можно и самостоятельно. Ставим перед сервером софт, или железо, которое будет фильтровать мусор.
  

Answer 2

[AntonMZ]

Смотря какая атака. Может хватить и iptables =)

Comments

[AntonMZ]

Все зависит от метода атаки и ее мощности.

[Эва Ра]

но ведь iptables не весь мусор отфильтровать может

[Эва Ра]

фильтрация на стороне абонента абсолютно бесполезна против атак на переполнение канала

[AntonMZ]

логично, но грамотно настроенный iptables может многое =)

[Эва Ра]

Если у тебя канал в интернет, скажем 20 мегабит, а на тебя обрушат ДДоС-атаку мощностью хотя бы в гигабит - любая защита на твоей стороне полностью бессмысленна, если этот трафик провайдер тебе доставит (а он доставит)
а рекордные зафиксированные атаки имели мощности, кажется, до 400Гбит - и потолок неуклонно растёт.

[AntonMZ]

потолок уже не особо растет, так как позакрывали уже все amplification дырки, да и условия изначально не было, что канал 20М )

[Эва Ра]

Anton Zheltyshev: ну это я просто для примера. Может ли грамотно настроенный iptable быть полноценной защитой крупному серваку с мощным трафиком?

[AntonMZ]

смотря какой канал, какой сервер, мощность атаки и ее метод.
Ну и конечно же надо учитывать тот момент, что если ваш ресурс никому не интересен, то особо много вливать вам никто не будет, так как тратить силы на ваш ресурс экономически не выгодно.

[Эва Ра]

Я вообще для чего спрашиваю. Мы, веб-студия, хотим предлагать нашим клиентам решения по antiddos (разумеется, сторонней компании, с которой будем сотрудничать). Собственно, нам нужно понять, какую компанию выбрать для этого самого сотрудничества и как презентовать это клиентам. Идея еще в состоянии зародыша

[Эва Ра]

Anton Zheltyshev: ну это как раз понятно. Совсем мелким клиентам с только что созданным сайтом мы такое предлагать не будем, хотим крупным, которые приходит к нам за редизайном и раскруткой

[AntonMZ]

Получается вам нужен только 80 порт защищать, если у вас только сайты?

[Эва Ра]

Anton Zheltyshev: и 443 (HTTPS). Плюс защищать канал связи от атаки на переполннение

[AntonMZ]

Я бы посоветовал бы ddosoff.ru

[Эва Ра]

Anton Zheltyshev: а почему именно их?

[Эва Ра]

Anton Zheltyshev: по оформлению сайт напомнил ddos-guard, о них много пишут, а об этих ребятах ничего не слышала

[AntonMZ]

Переводили на них трафик, поэтому и пишу. Guard'ом не пользовался.
А атаки то были ли уже или Вы решили заранее обезопаситься от них, и новую услугу сразу для своих клиентов?

[Эва Ра]

Anton Zheltyshev: было дело, соответственно, из ТОПа сайт вылетел... а претензии сразу к нам, сеошникам... (((

[AntonMZ]

а из топа чтобы вывалиться, сколько времени надо чтобы сайт лежал? м?

[Эва Ра]

Anton Zheltyshev: а вот это я вам не скажу ))) вдруг Вы кибертеррорист ))) на самом деле, при 1-2 апдейте

[AntonMZ]

Не =) Я хороший =) Вопрос в том, что никто не знал что сайты лежат в течение всего этого времени. Как часто Я делает обход? Раз в сколько недель? В 1-3?

[Эва Ра]

Anton Zheltyshev: ну мы-то знали, что он лежит, но мы-то ничего не могли поделать, не наш же хостинг

[AntonMZ]

Вы на хостинге размещаетесь? Возьмите сервер сразу с защитой, например в ovh!

[Эва Ра]

Anton Zheltyshev: к нам приходят клиенты, у которых сайты на разных хостингах, по-разному защищенных от ddos. Поэтому мы и хотим в довесок предлагать доп.защиту, возможно, и с переходом на другой хостинг. Но при перетаскивании с хоста на хост можно скорость загрузки упадет, что для трафика плохо. Апдейт да, 1-3 недели, но иногда и чаще, вообще надо отслеживать по сеопульту

[AntonMZ]

Вам лучше взять в аренду единый сервер и собирать туда клиентов, а сам сервер чтобы был под защитой. Перенос сайтов делать в ночное время.

[Эва Ра]

Anton Zheltyshev: просто некоторые принципиальные вообще не хотят переезжать... Клиенты такие клиенты. Плюс у нас в городе полно веб-студий, надо чем-то выделяться, какими-то особыми услугами. Типа, нашим клиентам - такой-то антиддос-сервис в подарок, мб

[AntonMZ]

Я так понимаю объяснять пробовали, что если будет ddos, то все вопросы клиента к самому себе?
Я бы все равно собирал всех клиентов на один свой сервер, а тех кто не хочет переезжать, уже переключать под отдельную ddos защиту.
Перенос на свой сервер - это получение $ за хостинг, плюс за ddos.
Все конечно же на Ваше усмотрение, так как Вам продавать это Вашим же клиентам =)

[Эва Ра]

Anton Zheltyshev: дельный совет!!! Надо предложить руководству! Клиенту-то объяснили, но там аграрии, до них долго доходит, все равно требовали деньги назад вертать

[AntonMZ]

Увы! Если не профильные люди со стороны клиента занимаются вопросами IT, то с ними всегда сложно. Но такой подход не только в IT.

[Эва Ра]

Anton Zheltyshev: это да... Может, глянете на предложение https://ddos-guard.net/ru ? руководству они прям нравятся, reg.ru с ними работают?

[AntonMZ]

Все. вспомнил. На "серче" их видел. Но лучше почитать на "серче"!
Вот как пример searchengines.guru/showthread.php?t=818024
А при чем тут reg.ru? =)

[Эва Ра]

Anton Zheltyshev: знак вопроса там лишний. Ну вроде как крутые, раз рег.ру с ними сотрудничают

[AntonMZ]

ой не факт =)

[apkotelnikov]

Прежде всего надо определиться потеря легитимного трафика критична или нет. Если нет, то можно и на время атаки сервер выключать :) Если важно сохранить трафик, посмотрите в сторону Вымпелкома.

[Эва Ра]

apkotelnikov: Вымпелком предлагает антиддос на оборудовании Radware DefensePro... Так может, напрямую от рэдвара брать железяку...?

[Эва Ра]

apkotelnikov: habrahabr.ru/company/beeline/blog/222559
Из статьи, кстати, явствует, что железяки у них таки ставятся на "последней миле". Что, в общем, не очень хорошо

[AntonMZ]

Эва Ра: В каком смысле напрямую брать железку? =) Самая дешевая железка стоит от 50k$ =)

[apkotelnikov]

Эва Ра: Железка на последней миле действительно ставится, гонять весь трафик через центр очистки постоянно накладно для клиента. Почему не хорошо? Железка стоящая на последней миле хороша тем что отлично знает профиль трафика + умеет обнаруживать атаки по обратному (от сервера) трафику (ну например HTTP Page Flood). Но она ничем не поможет при переполнении канала. Если интересно, можно вслух пообщаться [phone] ext. 2105 Антон.

[Эва Ра]

Anton Zheltyshev: аааа.... ясно-понятно

[Эва Ра]

Anton Zheltyshev: звиняйте, не гуглила стоимость, признаю неправоту

[Эва Ра]

apkotelnikov: если верить гуглу, Вы из КриптоПро...? у вас на сайте собсно про ддос ничего нет

[Эва Ра]

"Железка стоящая на последней миле хороша тем что отлично знает профиль трафика": ..на чём её достоинства и заканчиваются ) дальше начинаются недостатки. И линк клиенту положить проще, и гоняя трафик через центр очистки и обратно, каналы связи дополнительно нагружаются, слишком большие накладные расходы. Одно дело, когда нам примитивный ботнет на три-пять тысяч ботов неспешно бодает какой-то конкретный сервис. А когда нам просто зафлудили линк - это совсем другая печалька

[Эва Ра]

apkotelnikov: у тебя линк до ближайшего коммутатора пропровайдера 100Мбит. я на тебя уронил, скажем, вшивый 1Гбит. Ква ) чтобы отфильтровать ДДоС, надо сначала куда-то принять ВЕСЬ поступающий трафик. а поскольку фильтр находится непосредственно перед абонентом - то инфраструктура провайдера попытается ему туда доставить всё, что прилетело. а дальше - принимай, как знаешь. не получается? твои проблемы )

[AntonMZ]

кому номер то адресован то? =) Самая простая железка Radware может на вход принять до 4Gbit, если не ошибаюсь, но там есть еще программные лицензии и ежегодная оплата обновлений. Нет обновлений, нет новых сигнатур, от железки проку нет!

[AntonMZ]

Хорошо если на входе 100, а не 1Мб в офис =)

[Эва Ра]

Anton Zheltyshev: вот, и мне кажется, что это как купить машину - а потом тратиться на ее обслуживание и не факт, что она ездить будет нормально... А можно пользоваться общественным транспортом, метафорично выражаясь, т.е. заказать сервис типа как от DDoS-Guard.net... Не понравится - ушел к другому хостеру

[AntonMZ]

Эта машинка будет работать хорошо, но при условии наличия лицензий! Под боком такая стоит =)
В Вашем случае лучше как сервис.

[apkotelnikov]

Anton Zheltyshev: Самая дешевая железка все же стоит менее 30К с вендорской поддержкой.

[Эва Ра]

apkotelnikov: а поддержка - за отдельные коврижки? или входит в эту сумму?

[AntonMZ]

radware? 30k? какая модель?

[apkotelnikov]

Эва Ра: Ну в какой то степени я имею отношение к Крипто-Про, но точно не оттуда :-)
Насчет атаки в 1Гб. Чтобы завалить ресурс прикрытый только FW+IPS (туда же и iptables) не нужны гигабиты, пары мегабит достаточно. А если прилетает больше, чем последняя миля, то вариантов всего один - свалить весь трафик туда, где его можно обработать. Собственно этот вариант и предлагает Вымпелком. Железка на последней миле - атаки менее полосы канала+профили трафика+ выработка сигнатуры на конкретную атаку. Если есть опасность превышения атакой полосы последней мили, железка на стороне клиента сигнализирует наверх и отдает всю "историю". Переключения трафика, как такового, нет - в магистрали два MPLS Path с разными костами, соответственно нет и потерь трафика.

[Эва Ра]

apkotelnikov: ну вы же дали телефон КриптоПро... Беспалевная такая реклама

[apkotelnikov]

Эва Ра: Anton Zheltyshev: Radware Defense Pro 206 цены без НДС 19800 железка, 3762 поддержка на год менеджмент без репортера и поддержки 0 (не совсем конечно 0 - ставится на вмвару, которую тоже где то надо поднять) поддержка на менеджмент 1313 репортер 5500 и поддержка на репортер 770. Менеджмент нужен если не охота через веб конфигурить а репортер если не охота сислог хранить/обрабатывать. Впрочем если приобрести на железку услугу у вымпелкома менеджмент с репортером бесплатно.

[Эва Ра]

apkotelnikov: завалить вменяемый фаервол парой мегабит - ну-ну.... это только если фаервол вообще не настраивать, или иметь в виду сферическую атаку на сферический ненастроеный фаервол в вакууме. в противном случае вымпелкомовские фильтры на стророне клиента тоже валились бы от малейшего щелчка.

[AntonMZ]

206? не слышал про такую =) Вроде всегда младшая модель была 1016, не?

[apkotelnikov]

Эва Ра: Телефон не Крипто Про, поиск в гугле дает первой ссылкой страничку Крипто Про с партнерами :-), там я есть. И про "завалить FW парой мегабит" я тоже не говорил :-) я говорил что можно завалить ресурс, находящийся за FW, парой мегабит.

[apkotelnikov]

Anton Zheltyshev: 206 - платформа ODS VL. На данный момент живые платформы
DP-х06 200M-2000M легитимного трафика (но считается трафик в обе стороны)
DP-х412 2000M-12G+ легитимного траффика
DP-х420 10G-40G
DP-x4420 50G-160G
Что касается платформы DP-x16 (1016 младшая в ней) то у нее EoS январь 2017

[AntonMZ]

Спасибо за инфу =)

[Эва Ра]

apkotelnikov: звиняйте, сударь, проклятая невнимательность )))

[apkotelnikov]

Anton Zheltyshev: Не за что :-)

[apkotelnikov]

Эва Ра: Ерунда :-)

Answer 3

[flx]

Любая железка подразумевает наличие каналов связи.
Каналов связи должно быть много. В современных реалиях атаки скоростью выше 100Gbps - это еженедельное событие.

Дальше простая арифметика и экономика.