Anatomija DDoS napada: šta se desilo 20. oktobra i šta smo promijenili preko noći

U utorak, 20. oktobra, u 01:37 po našem vremenu, oba servera za igru pogodio je DDoS napad. Prvo je pao Balkan, a minut kasnije engleski server: svijet se zamrznuo, počeo je odbrojavati tajmer, a onda je stigla poruka da je veza istekla.

Ukratko

• Neko je oba servera zatrpao lažnim saobraćajem, toliko da saobraćaj pravih igrača nije mogao proći.
• Serveri se nikad nisu srušili. Likovi, auta, novac i predmeti bili su sigurni cijelo vrijeme. Igrači su izbačeni jer njihova igra nekoliko sekundi nije čula server, a ne zato što se nešto pokvarilo.
• Nova zaštita postavljena je iste noći. Kad je neko pokušao ponovo dva sata kasnije, niko to nije ni primijetio.

Šta je DDoS

Zamisli jedini put koji vodi u grad. Obično njime ide stalan niz auta: svi koji igraju. DDoS je kad neko odjednom pošalje hiljade praznih kamiona niz taj put. S gradom nije ništa loše, ali niko pravi ne može ući.

Sve što radiš u igri šalje se serveru kao sitne poruke koje se zovu paketi, a server ih čita jednu po jednu. Zatrpaj ga milionima lažnih paketa i on sve vrijeme troši na čitanje smeća, dok tvoji pravi paketi čekaju u redu dok igra ne odustane. "Distribuirani" znači da smeće dolazi s mnogo mjesta odjednom, pa ga je mnogo teže blokirati.

Koliko je bio velik

Obične noći na servere stiže oko 500 paketa u sekundi. U 01:37 to je skočilo na 475.000 u sekundi, skoro hiljadu puta više nego obično. Prvi talas je stao u 01:42, a drugi, manji talas pogađao je engleski server od 01:45 do 01:54.

Unutar napada

Lažni paketi bili su sitni, oko 70 bajta svaki, i to namjerno. Cilj nije bio napuniti vezu, nego server držati toliko zauzetim provjeravanjem miliona malih paketa da ne stigne pročitati ništa pravo. Dio servera koji čita dolazni saobraćaj za minut je s gotovo nule skočio na oko 80% opterećenja. Sama igra nikad nije bila preopterećena; samo je prestala primati poruke igrača.

Dva talasa su se skrivala na različite načine. Prvi talas došao je iz botneta: običnih računara, rutera i mobitela zaraženih zlonamjernim softverom i upravljanih na daljinu, gotovo sigurno bez znanja vlasnika. Nijedan od njih nikad nije igrao na našim serverima. Drugi talas koristio je lažne adrese: za samo 20 sekundi pokazao je više od 135.000 različitih "pošiljalaca", a zapravo je to bio mnogo manji broj mašina koje su se predstavljale kao mnogo ljudi. Napad je i prelazio s jednog servera na drugi, da provjeri je li zaštita svuda ista.

Šta smo promijenili preko noći

Izbacivač na vratima. Kad se tvoja igra povezuje, uvijek prvo brzo kucne, običnom web vezom, prije bilo kakvog saobraćaja igre. Lažna adresa ne može kucnuti, jer odgovor servera ide pravom vlasniku te adrese, a ne napadaču. Server sada vodi spisak gostiju sa svima koji su pravilno kucnuli. Saobraćaj igre od nekoga sa spiska ide pravo unutra; sve ostalo se baca na vratima. Povezivanje radi tačno kao prije.

Ograničenja brzine i lista blokiranih. Svaki pošiljalac ima ograničenje daleko iznad onoga što treba bilo kojem pravom igraču, vrste saobraćaja koje napadači odbijaju od tuđih servera su blokirane, a mašine iz botneta te noći su trajno na listi blokiranih.

Alarmi. Saobraćaj se sada bilježi svake minute, a tim za mrežnu sigurnost dobija upozorenje čim nešto izgleda pogrešno: koji server, izgledaju li pošiljaoci lažno i jesu li igrači pogođeni.

Zaključavanje ostalih vrata. Provjereno je sve na serverima što se može dohvatiti s interneta, a zatvoreno sve što nije moralo biti otvoreno.

Je li uspjelo?

Dva sata nakon glavnog napada, jedna mašina počela je slati oko hiljadu paketa u sekundi na engleski server. Nikad nije igrala i nikad nije kucnula. Izbacivač je za dvije minute odbio oko 128.000 njenih paketa, igrači online nisu imali ni kašnjenja ni prekida, a pošiljalac je odmah završio na listi blokiranih.

Šta smo naučili

• Mjeri sve. Bilježenje saobraćaja svake minute pretvorilo je "server je pao" u jasnu hronologiju i dokazalo da nova zaštita radi.
• Provjeri ko je pravi, ne juri lažne. Blokiranje adresa radi protiv zaraženih mašina, ali ne protiv izmišljenih. Provjera da je igrač pravi radi protiv oboje.
• Naša zaštita ima granicu. Dovoljno velika poplava može zakrčiti put prije nego što stigne do vrata, pa je rješenje filtriranje dalje od nas, na mnogo većoj mreži.
• Mali testovi dolaze prije velikih napada. Zato alarmi ostaju uključeni.

Objava je navela i šta slijedi: probu zaštitne usluge napravljene za FiveM servere, počevši s Balkanom; premještanje filtera na prvu tačku gdje saobraćaj ulazi u server; i odvojene puteve za web stranice i servere za igru.

DDoS napadi su krivično djelo

U Ujedinjenom Kraljevstvu napad na računarski sistem da prestane raditi je krivično djelo po Zakonu o zloupotrebi računara iz 1990. (Computer Misuse Act), s najvišom kaznom od 10 godina zatvora. Širom EU, uključujući zemlje u kojima živi naša balkanska zajednica, i nacionalni zakoni to čine krivičnim djelom, kao i SAD i većina drugih zemalja. Plaćanje napada na takozvanim stresser ili booter stranicama dio je napada. Policija redovno gasi takve stranice i pregleda spiskove njihovih kupaca; u međunarodnoj akciji PowerOFF ljudi koji su ih koristili su upozoreni, uhapšeni i optuženi.

Kako možeš pomoći

Ako te ikad izbaci zajedno sa svima ostalima, otvori tiket i reci nam u koliko je sati to bilo, uz svoju vremensku zonu. Vrijeme se poklapa sa zapisima o saobraćaju i tačno nam govori šta se dešavalo.

Ovo je kraća verzija objave s PlexaRP bloga. Pročitaj cijelu objavu na PlexaRP blogu.