Поможет ли широкополосный канал в 1 Гбит/c при DDOS-атаке?

Question

[Наиль Лутфуллин]

Всем привет! Я не имею познаний в области защиты и безопастности сети, поэтому обращаюсь к общественности))) Хотелось бы узнать насколько сильно может повлиять ширина канала (100 Мбит/с против 1 Гбит/сек) на уязвимость к DDOS-атакам? Читал в КП (2011 год), что 80% всех атак было совершено с применением ботнетов с пропускной скоростью до 1 Гбит/с. Насколько сильно ситуация изменилась сейчас? Стоит ли тратить деньги на широкополосный канал или же лучше их потратить на проксирование?

Извините я не правильно выразился наверное. Меня интересует вообще целесообразность перехода на гигабитный канал. Если у меня вместо 100 Мбит/с будет 1 Гбит/с это мне хоть как-то поможет при DDOS-атаках. Можно вопрос перефразировать так: поможет ли мне 1 Гбит/с канал в 2019 году справится с большей частью DDOS-атак? Или же ситуация сейчас такая, что 1 Гбит/c забьет любой маломальски нормальный ботнет?

Comments

[Kit Scribe]

Я не специалист, но вроде как HTTP флуд уже устарел и неплохо фильтруется даже домашними роутерами, так что не думаю, что ширина канала вас спасёт

[Сергей Горностаев]

Были случаи, когда DDoS укладывал магистральные каналы целой страны. Собственно, противостояние атакующего и защищающего измеряется количеством денег у них, но атакующий находится в более выгодных условиях.

[Камил]

Смысл платить за 1 gb канал, в то время как фильтры / шлюзы будут дешевле
Хотя, все зависит от масштаба.

Answer 1

[sim3x]

Читал в КП

перестаньте читать ерунду без промедления

После 05 года атаку на 10+Гбпс может организовать школьник на карманные деньги

Гарантированный канал будет стоить вам денег
Без оборудования и мощностей для утилизации данной пропускной способности - ето деньги на ветер
Более того, забивание канала довольно грубый подход, который очень быстро выводит часть ботнета из рабочего состояния
Есть множество подходов, которые требуют минимум трафика и десятки-сотни запросов с десятка сотни машин, а результат будет получше чем забитый канал

Пока вас не атакуют - делать ничего не нужно
Когда начнут атаковать - нужно обращаться к спецу, а не мудрить

Answer 2

[xmoonlight]

Стоит ли тратить деньги на широкополосный канал или же лучше их потратить на проксирование?

Лучше пока ориентироваться на нормальный клиентский трафик и мониторить.
Пока не было таких атак - используйте правила для контроля трафика.
Как только столкнётесь именно с таким типом атаки - включайте проксирование (или, если это будет проще и быстрее - расширьте канал).
Код защиты от syn-flood: syncookied от Beget и теория с их сайта.

Answer 3

[Mysterion]

Да, поможет. Точно так же, как поможет канал в 10Гбит и выше. Чем шире канал до сервера, тем больше на него может прилететь трафика.
Сотку забить проще, чем гигабит. Гигабит проще, чем десять. Десять проще, чем 20 и т.д.
Но стоит понимать, что принимая такой объем трафика, с ним надо что-то делать. Если это просто мусор, его и ДЦ может отфильтровать. А если ДЦ не понимает нужен Вам этот трафик или нет, он его к Вам пропустит. И дальше фильтровать его следует Вам. Поэтому перед сервером назначения стоит воткнуть какой-то сервер для фильтрации трафика. На котором, собственно, будет гигабитная карточка или десятигигабитная. И с нее уже очищенный трафик должен поступать на целевой сервер.
Но это если по-хорошему.
А просто от расширения канала смысла нет. Залить могут и 100Гбит мусора. Сейчас это проще простого.

Answer 4

[entermix]

Это странный вопрос, откуда кто-то может знать какая длительность/интенсивность DDoS-атаки будет обрушена на Ваш ресурс?

Поможет ли широкополосный канал в 1 Гбит/c при DDOS-атаке?

Пожаловаться -> На вопрос невозможно дать однозначный ответ.

Comments

[Наиль Лутфуллин]

Извините я не правильно выразился наверное. Меня интересует вообще целесообразность перехода на гигабитный канал. Если у меня вместо 100 Мбит/с будет 1 Гбит/с это мне хоть как-то поможет при DDOS-атаках. Можно вопрос перефразировать так: поможет ли мне 1 Гбит/с канал в 2019 году справится с большей частью DDOS-атак? Или же ситуация сейчас такая, что 1 Гбит/c забьет любой маломальски нормальный ботнет?

[Kit Scribe]

Наиль Лутфуллин, от SYN-флуда вас не защитит увеличение пропускной способности

https://ru.wikipedia.org/wiki/DoS-%D0%B0%D1%82%D0%...

[sim3x]

Kit Scribe,
Насколько я понимаю, траф с источника (с подсети) такого флуда на точке обмена отправят в блекхол.
И попросят админов подсети определить и наказать баловника
Ну или перманетно подсеть отправят в бан

Те оно когда-то работало, также как и dns-amplification
Не уверен, что сейчас такую атаку не погасят в течении часа

[Kit Scribe]

sim3x, то есть единственный способ положить сайт — флудить ботнетом?

[sim3x]

Kit Scribe, нет

Answer 5

[Drno]

В Вашем случае - воспользоваться сервисом от DDOS - это будет дешевле всего.
Например тот же cloudfare