Denne sommeren har vi sett en økning i vellykkede tjenestenektangrep (DDoS-angrep) mot viktige norske nett-tjenester. Volumet og tjenestene som har vært rammet, er viktige for samfunnet og har dermed fått publisitet i mediene. Både årsaker og mottiltak er lagt fram, særlig rundt kartlegging og dokumentasjon.
Cybersikkerhetsbransjen er ute med velmente anbefalinger og tiltak for å være bedre rustet mot angrep og håndtere dem når de pågår. Samtidig er mange av de tiltakene som beskrives, til dels utdatert når det gjelder å motstå moderne angrepsmetodikk. Det betyr ikke at de er irrelevante og kan droppes, men de må kompletteres med mer moderne teknikker og verktøy.
Alle virksomheter ønsker at deres tjenester skal være tilgjengelige og stabile. Da holder det ikke lenger å ringe ISP-en når angrepet er et faktum og håpe at å blokkere et knippe avsenderland og sette grenser som «maks 500 request per IP», vil være nok. Spesielt uten samtidig å være sikker på at tiltakene i seg selv ikke utfordrer tjenestetilgjengeligheten.
Å se dypere på selve pakkene vil sjelden ha effekt under DDoS-angrep, da trafikken i natur ikke skiller seg fra legitim trafikk. Et botnet kan og vil sende fullt gyldige HTTP-forespørsler fra et stort antall legitime IP-adresser og geografier.
Statiske terskler blir et ganske grovt instrument: Setter man grensen for lavt, rammer man legitime brukere; setter man den høyt, kan angrepet fortsette under terskelen. Geo-blokkering har samme svakhet: Geografi er i seg selv et dårlig signal på intensjon.
Moderne teknologi
De fleste virksomheter leverer i dag sine applikasjoner på en hybrid plattform. Gjerne fordelt på ulike skybaserte tjenestetilbydere og fysisk infrastruktur i delte og private datasentre. Det finnes derfor sjelden én enkelt Internettlinje som kan beskyttes for å ivareta oppetiden til en applikasjon. Virksomhetene er avhengige av både å forstå og se sammenhengen av avhengigheter applikasjonene består av, for å kunne beskytte dem effektivt.
Selvsagt er det å beskytte linjene inn til virksomheten viktig, ellers vil disse som før utgjøre en svakhet. Men alle eksponeringsflater må kartlegges og designes på en slik måte at de er robuste mot DDoS-angrep. Både på applikasjonsnivå, samt mer sofistikerte metoder for å utøve skade.
En moderne applikasjon må beskyttes med moderne teknologi basert på samme rammebetingelser som miljøene de leveres fra. I praksis betyr dette en skybasert infrastruktur med automatisert og AI-drevet løpende deteksjon og mitigering av angrepsforsøk uten behov for interaksjon fra tjenesteeier eller ISP.
Å prøve å løse utfordringene med tjenestenektangrep med de klassiske metodene, blir som en evig lek som katt og mus som må gjøres reaktivt hver gang et angrep oppstår og gjerne mange ganger per angrepsbølge.
Overdreven tillit
For å beskytte seg mot tjenestenektangrep har virksomheter ofte investert i DDoS-løsninger fra hyperscalerne/cloud-providere. Dessverre erfarer vi at de ofte ikke holder mål, og vi ser stadig at norske virksomheter får nedetid på grunn av DDoS. Dette til tross for at disse tjenestene markedsføres som premium og er relativt kostbare. Vi er overrasket over at disse løsningene fremstår lite avanserte og ofte med begrenset praktisk nytteverdi under reelle angrep.
Et aktuelt eksempel er Microsoft Azure DDoS Protection. Produktet benytter dynamiske terskelverdier for å oppdage DDoS-angrep. Denne tjenesten har ingen innsikt i trafikkens natur (protokoller, innhold, karakteristikker), men er fokusert kun rundt volum. Dette har den konsekvens at dersom et DDoS-angrep kommer sakte nok, så vil terskelverdiene bare øke i takt med volumet. Tjenesten vil da ikke fungere, noe angriperne kjenner til.
Hos våre kunder har vi sett flere eksempler på dette. Tjenester har gått ned på grunn av enkelt utformede tjenestenektangrep som økte sakte i volum. Slike tjenester er ofte også «black box» der sluttkunde har få muligheter til å forstå detaljene i teknikken i hva en slik tjeneste egentlig gjør. I hvert fall ikke før angrepet og nedetiden er et faktum og man setter seg ned og gjør en post-incident-analyse.
Vi anbefaler derfor å utfordre leverandører som Microsoft og andre hyperscalere til å gå i dybden på hva tjenestene faktisk beskytter mot. Samt deretter vurderere om dette er godt nok for din virksomhet.
Ekspert mener angrepet bare er starten: – Jeg tror man i mange tilfeller har dårlige forutsetninger
