DDoS
Fugindo do seguro desemprego!
Igor M. de Assis
Mini currículo:
Bacharel em Análise de Sistemas (CESMAC/AL) Especialista de Redes na TIVIT
Ambiente de redes compartilhado (CSC)
10+ anos de experiência com redes e segurança
Anti-DDoS, BGP, MPLS, Peering, Datacenter, Backbone, etc.
BCNE, CCNA, CCNP, CCDA, CCDP, CCXF, WSFE, etc.
DDoS
Principais tipos de ataques
Principais Tipos de Ataques
Ataques de Aplicação
SQL Injection, Slowloris, GET Floods Cross-site Scripting (XSS)
Ataques de Sessão
DNS UDP Flood, DNS Query Floods SSL Flood, SSL Renegotiation
Ataques de Rede (volumetria) TCP SYN Flood, UDP Flood SSDP Flood, NTP Flood
Principais tipos de ataques
DDoS
Mitigando ataques de aplicação
Ataques de aplicação
Ataques de Aplicação
Código de alta qualidade Boas rotinas de testes
Consultorias de pentests/vulnerabilidades Serviços e frameworks seguros e escaláveis
Node.JS, AngularJS, Sails Vert.x, Twisted
Appliances focados em ataques L7 (WAF/LBs) Imperva SecureSphere, Radware DefensePro Arbor Pravail APS, F5 BIG-IP (ASM)
Citrix Netscaler, Radware Alteon
DDoS
Mitigando ataques de sessão
Ataques de Sessão
Meio de campo entre ataques de aplicação e de redes Altos volumes de tráfego
Limitações de hardware (capacidade)
Filtragens de pacotes específicos e rate limit Chargen (UDP/19), QOTD (UDP/17)
Limitar tráfego de DNS Replies maiores que 512 bytes*
Limitar tráfego UDP fragmentado
Appliances focados em ataques L7 (WAF/LBs) Imperva SecureSphere, Radware DefensePro Arbor Pravail APS, F5 BIG-IP (ASM)
Citrix Netscaler, Radware Alteon
DDoS
Mitigando ataques Volumétricos
“ESTAMOS NA LAMA!”
Ataques Volumétricos
A última fronteira em negação de serviço Queda de braço (principalmente links)
Indisponibilidade total de toda a infraestrutura de internet Geralmente através de amplificação com UDP/SSDP
Volume ainda maior com Botnets
A forma de se defender é complexa e cara Arquitetura diferenciada
Políticas de filtragem de tráfego (Sinkhole / Blackhole) Integração intensa com os principais ISPs
Quanto maior a operadora, maior a chance de gargalos
Arquitetura de um ataque de amplificação/reflexão
“Here comes a new challenger!”
Ataque de amplificação/reflexão com uma botnet (Mirai)
Ataque de amplificação/reflexão com uma botnet (Bashlight)
Firewalls?
Firewalls?
Firewalls...
Arquitetura Diferenciada
ASN próprio ou estar sob um ASN protegido Liberdade para selecionar suas rotas
Maior resiliência (multi homing)
Sessões de BGP com outros ASNs (Peering) * Manipulação de tráfego
Anunciar e retirar anúncios de seus prefixos IP CDN própria ou contratação de serviço
POP’s nos mais diversos DCs e IXPs globais
Políticas de filtragem de tráfego (Sinkhole / Blackhole) Integração intensa com os principais ISPs
Filtrando o esgoto
Dashboards e Telemetria (netflow, jflow, sflow, etc) Visibilidade e “awareness”
Detecção imediata de um ataque (top flows)
Automatização de ações com scripts (cps, pps, bps, etc) Análise de Post Mortem
Filtrando o esgoto
Dashboards e Telemetria (netflow, jflow, sflow, etc) Visibilidade e “awareness”
Detecção imediata de um ataque (top flows)
Automatização de ações com scripts (cps, pps, bps, etc) Análise de Post Mortem
Filtrando o esgoto
Manipulação de tráfego com BGP Blackhole (S/RTBH e D/RTBH) Sinkhole (cleanpipe)
Serviços externos de scrubbing (F5, Incapsula, Arbor, etc) BGP FlowSpec
Serviços externos de scrubbing
Anúncio dos seus prefixos via outros ASNs
Túnel GRE para redirecionamento do tráfego (limpo) F5, Incapsula, Arbor, Verisign, DOS Arrest, Prolexic, etc Capacidades de mitigação entre 1,5~3 Tbps
Remotely Triggered Blackholes (RTBH)
Remotely Triggered Blackholes (RTBH)
Link protegido com in-house scrubbing (cleanpipe)
Subindo pra Série A
CDN própria ou como serviço
Cloud global distribuída (BGP confederation?) Diminui drasticamente os pontos de gargalo Altíssima disponibilidade (Anycast?)
DDoS
E quando a gente acha que já estamos na lama...
Utilização atual do agregado do IX.BR (PTT)
- Qual é a previsão do tempo, Maju?
- Chuvas com rajadas frescas!
Durmam bem, boa noite!
PARA UM MUNDO COMPLEXO, SOLUÇÕES ÚNICAS
