DDoS та Amplification-атаки

📌 1. Що таке DDoS і як він працює?

DDoS — це атака, при якій величезна кількість пристроїв (ботнетів, серверів, проксі, IoT) одночасно надсилає трафік на один цільовий ресурс.
Надмірний обсяг запитів призводить до того, що сервер перестає відповідати користувачам, або навіть повністю виходить з ладу.

Головна сила DDoS у тому, що він використовує масове паралельне навантаження. Окремо один комп’ютер навряд чи “покладе” сайт.
Але тисячі або мільйони пристроїв — можуть.

🎯 Мета DDoS-атак

• Зірвати роботу сервісу
• Погіршити доступність API або веб-платформи
• Завдати фінансових збитків
• Відволікти під час іншої атаки (наприклад, проникнення в мережу)
• Вимагання грошей (RDoS — Ransom DDoS)
• Завдати репутаційної шкоди

📡 Джерела DDoS-трафіку

• IoT-пристрої (камери, роутери, DVR)
• Заражені ПК та сервери
• Проксі-сервери
• Крадені VPS
• Інтернет сервіс-провайдери з вразливими маршрутизаторами

📌 2. Типи DDoS-атак

DDoS-атаки поділяють за рівнями OSI та методами впливу.
Кожен тип має власну специфіку роботи, індикатори активності та методи захисту.

🧱 2.1. Volumetric атаки (L3-L4)

Наймасштабніший тип DDoS, мета якого — «залити» канал гігантською кількістю трафіку.
Вони вимірюються в Gbps або Tbps.

Приклади:

• UDP Flood
• DNS Amplification
• NTP Amplification
• SSDP Amplification
• CLDAP Amplification

Основні симптоми:

• Різке зростання вхідного трафіку
• Падіння доступності сервісу
• Повільна робота API
• Перевантаження мережевого обладнання

⚙️ 2.2. Protocol Attacks

Спрямовані на слабкості протоколів та мережевої інфраструктури.
Вражають L3–L4 рівні.

Приклади:

• SYN Flood
• ACK Flood
• Ping of Death
• Smurf Attack
• Fragmentation Overload

Симптоми:

• Високе навантаження на CPU маршрутизаторів
• Нестабільні мережеві з’єднання
• Проблеми з TCP-handshake

🕸 2.3. Application Layer Attacks (L7)

Найнебезпечніші, бо імітують поведінку реальних користувачів.
Їх складно фільтрувати.

Приклади:

• HTTP GET Flood
• HTTP POST Flood
• Slowloris
• WordPress XML-RPC Abuse
• API rate exhaustion

📌 3. Amplification-атаки: механіка та аналіз

Amplification — це підтип volumetric DDoS, де зловмисник надсилає маленький запит, а сервер генерує величезну відповідь.
Потім ця відповідь перенаправляється на IP жертви.

Коефіцієнт підсилення може бути колосальним — від 20x до 500x.

🔍 Чому це можливо?

• UDP — без встановлення з’єднання
• Немає перевірки джерела пакету
• Сервіси повертають відповіді більші за запит

Типи amplification:

• DNS Amplification — 40–70x
• NTP Amplification (monlist) — 250–500x
• SSDP Amplification — 20–30x
• CLDAP Amplification — 50–60x
• Memcached Amplification — 10 000x (одна з найпотужніших атак у історії)

Amplification — це найефективніший спосіб створити величезний обсяг трафіку з мінімумом ресурсів.

📌 4. Історичні приклади потужних DDoS-атак

• AWS (2020) — 2.3 Tbps, CLDAP amplification
• KrebsOnSecurity (2016) — понад 600 Gbps, IoT Mirai
• GitHub (2018) — 1.35 Tbps, Memcached amplification
• DYN DNS (2016) — падіння Twitter, Reddit, Netflix

📌 5. Як відрізнити DDoS від технічної помилки?

• Трафік зростає різко, а не поступово
• Підозрілі регіони / незвичні країни
• Однакові запити повторюються мільйонами
• Велика кількість джерел (IP-адрес)
• Підвищення CPU на мережевому обладнанні

📌 6. OSINT-підхід до аналізу DDoS

🔍 Можна дослідити:

• Чи є атака частиною глобальної кампанії
• Чи використовується відомий ботнет
• Які amplification-протоколи задіяні
• Які географічні регіони генерують трафік

🔧 Інструменти OSINT:

• Shodan / Censys — пошук відкритих amplificaton-серверів
• GreyNoise — аналіз масових сканувань
• AbuseIPDB — репутація джерел трафіку
• Hurricane Electric BGP — перевірка маршрутів

📌 7. Методи захисту від DDoS

🛡 Мережевий рівень:

• Rate limiting
• Фільтри на UDP-порти
• Geo-blocking
• Firewall ACL

☁️ Хмарні провайдери захисту:

• Cloudflare Magic Transit
• AWS Shield
• Google Cloud Armor
• Akamai Prolexic

📡 Захист DNS:

• DNSSEC
• Авторитетні DNS із rate limit
• Рознесення DNS по різних провайдерах

🔍 Моніторинг:

• Grafana + Prometheus
• Zabbix
• NetFlow/SFlow аналіз
• WAF логування

📌 8. Висновок

DDoS— один з найстаріших, але й найрозвиненіших інструментів атак на інфраструктуру.
Сучасні amplification-атаки дозволяють створювати терабітний трафік з мінімальними ресурсами, а IoT-ботнети тільки збільшують масштаби проблеми.
Розуміння природи цих атак, їхніх індикаторів та методів захисту є обов’язковим для будь-якого фахівця з кібербезпеки чи адміністрування.