Dla ataków, w których ruch jest bardzo trudny do odróżnienia od legalnego, takich jak SYN-ACK reflection, LiveShield oferuje moduł AIF: pracuje inline między routerem brzegowym a wnętrzem sieci, śledzi stan połączeń TCP i odrzuca m.in. pakiety SYN-ACK, dla których nie było odpowiadającego wychodzącego SYN.
Oznacza to, że obrona musi działać bez udziału człowieka i bez założenia, że atak się skończył. W opisanym incydencie każda fala trwała ok. 1 minuty, szczyt pojawił się w trzeciej sekundzie, a po ok. 2,5 minuty przerwy atak wrócił w zmienionej formie. W międzyczasie część reguł wygasła zgodnie z ustawionymi czasami. Nie wiemy, czy przerwa była celowa, ale jeśli atakujący liczył na wygaśnięcie reguł i długi czas ich ponownego wdrożenia, nie przyniosło to efektu: LiveShield założył je ponownie w ciągu ok. 1 sekundy od początku drugiej fali. Więcej o czasie reakcji systemu opisujemy na blogu.
Zacząć od reguł FlowSpec, a po blackholing sięgnąć dopiero w ostateczności. Reguły FlowSpec pozwalają na precyzyjne wskazanie ruchu przeznaczonego do odrzucenia, ale filtracja na brzegu sieci nie odciąży łącza, które atak zdążył już zapełnić. Już 70 Gb/s, czyli wolumen z naszego przykładu, wysyca łącze tranzytowe 10 lub 40 Gb/s, a ataki bywają większe. Wtedy potrzebny jest sygnał do upstreamów: najpierw FlowSpec (jeśli dostawca tranzytu go obsługuje), a dopiero na końcu blackholing (RTBH).
LiveShield stosuje selektywny blackholing jako ostateczność: tylko dla adresu ofiary, dopiero po przekroczeniu progów, tylko do wybranych upstreamów i bez odcinania ruchu z lokalnych punktów wymiany i prywatnego peeringu. Po ustaniu ataku system zdejmuje go automatycznie. Blackholing ma swoją cenę, bo adres jest wtedy nieosiągalny z blackholowanego kierunku tranzytowego. W opisanym incydencie trwał 68 sekund i dotyczył tylko pierwszej fali. Skuteczność zależy też od usług oferowanych przez dostawców tranzytu, które operator powinien potwierdzić z każdym upstreamem. Szerzej o tym, co dzieje się, gdy atak przekracza przepustowość łącza uplink, piszemy na blogu.
Przy największych atakach może się zdarzyć, że filtracja na routerach brzegowych, reguły FlowSpec u upstreamu i blackholing nie wystarczą albo nie wchodzą w grę. Jeśli operator ma umowę z zewnętrznym centrum czyszczenia ruchu (scrubbing center), LiveShield może uruchomić dedykowany skrypt, który po przekroczeniu zdefiniowanych progów przekieruje ruch do tego centrum.
Skrypt uruchamia się w ramach mechanizmu Event Pipelines, a przekierowanie polega na zmianie ścieżki ruchu dla wskazanych prefiksów. Ruch czyści wtedy dostawca, z którym macie umowę. LiveShield nie zastępuje takiej usługi, tylko decyduje, kiedy z niej skorzystać.
To rozwiązanie ostateczne, na sytuacje, w których pozostałe metody zostały już wykorzystane. Konfiguruje się je indywidualnie, z uwzględnieniem warunków umowy z dostawcą.
Opisany incydent dotyczy jednego z warszawskich operatorów internetowych, który korzysta z rozwiązań oferowanych przez LiveShield.
