Metodene er derfor lite effektive. For å få på plass mer riktige tiltak, er det viktig vi tar et skritt tilbake og får oversikt over vår tjenestearkitektur, bruksmønster og eventuelle flaskehalser.
Som alternativ til en prøve og feile-strategi av typen: «blokker land X og sett disse grensene for antall tilkoblinger» er det mer hensiktsmessig å stille spørsmål som «Hva har endret seg fra normalbildet av trafikk, hvem står bak endringer og påvirker dette tilgjengeligheten på våre applikasjoner?»
Dette er informasjon du skal forvente at løsningene dine produserer, og noe du ikke skal trenge å manuelt agere på. Moderne løsninger som har innsikt i bruksmønster, innhold i trafikken og justerer seg løpende for å tilpasse seg dette finnes allerede.
Still de riktige spørsmålene
Som et viktig steg i enhver kartlegging er det lurt å spørre seg: Hvor er flaskehalsene? Dette er det samme spørsmålet som en angriper forsøker finne gode svar på. Angriperne er på sin side opptatt av å kunne utføre sine aksjoner mest mulig effektivt.
Det vil si: Der det koster oss mest, med minst mulig innsats fra angriperens side. Har vi flaskehalser som er kostbare å utvide kapasiteten til, eller kanskje er uunngåelige, bør vi bygge forsvar rundt disse.
En annet spørsmål å ta stilling til til er: Hvor kan jeg absorbere angrepet? Med en globalt distribuert sikkerhetsarkitektur kan volumetrisk angrepstrafikk detekteres og filtreres i distribuerte PoP (Point of presence) som befinner seg nærmere angrepskildene.
Dette før trafikken når virksomhetens egen infrastruktur. Samme arkitektur kan beskytte tjenestene fra L3/L4 (nettverk og infrastruktur) og opp til avanserte L7-angrep (applikasjon og tjeneste).
Der angriperen kan endre taktikk, trafikkmønster og infrastruktur raskt – ofte ved hjelp av AI, må vi som forsvarere henge med. Automatisering er ikke lenger en luksus, men en nødvendighet.
Det er ikke tid til manuell analyse og tiltak avhengig av menneskelig interaksjon i alle ledd, når et angreps natur kan endre seg i løpet av sekunder. Dette gir i så fall en angriper et betydelig fortrinn og evne til å holde ut lenger. Moderne beskyttelse må derfor kunne oppdage, klassifisere og mitigere mye av hendelsen automatisk.
Mennesker er fortsatt nødvendig for kontroll og innsyn. Spørsmålet her blir derfor: Hvor raskt kan vi gå fra deteksjon til faktisk mitigering?
Gjennom å adressere disse spørsmålene og utarbeide en strategi mot tjenestenekt, sikrer man felles og ensartet administrasjon av nødvendig sikkerhetsfunksjonalitet for å tilby en robust applikasjon.
Dersom eneste mulige vei inn til et miljø for internetteksponering er via en slik løsning minimerer man sannsynligheten for at angripere finner smutthull de kan angripe og kostnaden ved å utføre et vellykket angrep blir uforholdsmessig høy.
Det er selvfølgelig slik at alt kommer med en kostnad, og DDoS er i all hovedsak er et lavrisiko-problem for mange fordi konsekvensen er begrenset til nedetid og hva det betyr for omsetning, omdømme ol. Hovedbudskapet er imidlertid at dette er relativt enkelt å beskytte seg mot, om man er villig til å gjøre jobben og ta de nødvendige investeringene.
Et adferdsproblem
Cybersikkerhetsbransjen må slutte å behandle DDoS som et problem med for mye trafikk som kan løses med flere blokkeringsregler. Moderne DDoS er et adferdsproblem, et problem som truer en distribuert applikasjonsinfrastruktur med mange avhengigheter.
Derfor må også forsvaret forstå adferd, og på den måten være minst like distribuert og adaptivt som angriperen. Virksomheter som er avhengig av høy tilgjengelighet på sine tjenester og tillit blant publikum og kunder, må også vurdere løsninger som effektive mot dagens trusselaktører og angrepsmetodikker.
Digital masseovervåking: : Flere av E-tjenestens metoder kan prøves i ankesak
