DDoS 攻撃を手動でトラブルシューティングする際の問題

by NetBrain 2017 年 6 月 23 日

以下の記事は、DDoS攻撃のトラブルシューティングに関する3部構成シリーズの第2部であり、 Network Insightのマット・コンラン氏による寄稿です。この記事では、マット氏がDDoS攻撃のトラブルシューティングを手動で行う際の課題について解説しています。

イントロダクション

DDoS（分散型サービス拒否）攻撃とは、多数の送信元から大量のトラフィックを送り込むことでオンラインサービスを麻痺させる攻撃です。このサイバー攻撃では、攻撃者は複数の固有のIPアドレスを使用します。そのため、DDoS攻撃について考えるとき、まず頭に浮かぶのは検出と軽減の要素です。結局のところ、資金が投入され、新しい高度な機能が導入されるのはまさにこの部分です。しかし、DDoS攻撃を時間通りに阻止できるのは、エンドツーエンドのソリューション全体の有効性なのです。

パズルの欠けているピースはトラブルシューティングです。ネットワークのマッピングとトラブルシューティングは、エンジニアの手だけでできる技術的な作業だと考える人が多いですが、実際には、最終的な設定作業を経てDDoS攻撃を阻止するために、企業全体のプロセスを統合する必要があるのです。

この手順には、さまざまなチームや技術的背景を持つ人々の調整が含まれ、ソリューションを効率的にブレンドして形成します。 これは自動的に、または偶然に起こることではありません。 リハーサルを行い、正確に制御する必要があります。 DDoS 攻撃の最大の問題の XNUMX つは、準備不足です。 準備不足はパニックにつながり、それが始まると何も修正されません.

チーム間の文化が効率的に機能しない限り、世界中のすべての技術的経験は役に立ちません。 また、DDoS イベントでは、複数のチームが一緒に活動する必要があります。

ネットワーキングの芸術

ネットワーキングの技術は、独自のスノーフレークと呼ばれることが多い何千もの異なるネットワーク設計につながっています。 SP ネットワークでは、多くの場合、L2VPN や L3PVPN など、同じ最終目標の接続要件を提供します。 ただし、ネットワーク設計のタイプはプロバイダーによって大きく異なります。

多くのデザインは、変更を追跡する中央リポジトリにあるはずなのに、デザイナーの頭に残されています。 ボリュームがテラバイト規模に達する DDoS 攻撃を受けると、さまざまなネットワーク設計と構成のトラブルシューティングが難しくなります。

リモートトリガーブラックホール (RTBH)

リモートトリガー型ブラックホール（RTBH）は、攻撃を軽減する最も一般的な方法の1つです。ネットワーク内でボーダーゲートウェイプロトコル（BGP）を使用し、転送場所にルールをインストールして宛先をブロックすることで、DDoS攻撃を軽減します。実質的には、攻撃者に代わってDDoS攻撃を実行します。RTBHはこれまで有効でしたが、ミッションモードルーティングとセキュリティ機能を同じデバイスに統合している点が欠点の1つです。

攻撃をブロックするために使用されるファイアウォール ルールは、ポイント A からポイント B にトラフィックをルーティングするというコアの役割を実行するネットワーク デバイスに配置されます。したがって、技術的な観点からは、すでに課題があります。 これをさらに複雑にするために、多くの場合、セキュリティとネットワークの両方で同じデバイスで作業するために XNUMX つのチームを組み合わせる必要があります。 運用上の観点から見ると、DDoS 緩和への最も一般的なアプローチは、同じデバイスに XNUMX つの技術的なハットを混在させることです。

DDoS 攻撃のピーク時には、チームのコラボレーションが重要であり、RTBH などの既存の DDoS 軽減策では、チームの調整が困難になる可能性があります。 DDoS から効率的に防御するには、技術的な観点だけからソリューションを単一のものと見なすことはできません。 レースに勝つのは、トラブルシューティング プロセス全体とチームのコラボレーションです。

すべてを見る能力

効率的なDDoS攻撃対策を行うには、OSI参照モデルのすべての層を検証する必要があります。もはや単一の層だけの問題ではなく、サイバー犯罪者は複数の層を利用してネットワークに侵入しています。多くの場合、第4層へのボリューム型攻撃と第7層へのアプリケーション攻撃を組み合わせた並列攻撃が用いられます。つまり、トラブルシューティングが必要な層は、第4層と第7層の2つということになります。

これには、レイヤ 4 のネットワーキング チームとレイヤ 7 のアプリケーション チームという XNUMX つの別個のチームが関与する可能性もあります。いくつかのファイアウォールとロード バランサを組み合わせることで、分散したチームの相互作用がうまく組み合わされています。 このタイプのコラボレーションは、合理化され、効率的に調整される必要があります。

手動アプローチの例

DDoS に対する手動のアプローチには、問題の原因を実際に突き止める前に、いくつかの手順が含まれます。 これらはすべて、さまざまな人、チーム、場所、時間で実行する必要がある場合があります。 ほとんどの場合、関係者が隣同士に座っているわけではありません。 攻撃とそれがどのように通知されたかに応じて、何が重要かが決まります。 アプリケーション レベルの攻撃の場合、管理者は、手動でログインするか、中央のログ アナライザーを介して、個々のサーバーのログを表示する必要がある場合があります。

別の管理者は、マシン群をトレースして「Netstat」などのコマンドを発行し、そのサーバーまたはアプライアンスで開いている接続を特定する必要があるかもしれません。また別の管理者は、マシンの負荷が高いかどうかを確認したり、実行中のHTTPプロセスの数を特定したりする必要があるかもしれません。Linuxまたはファイアウォールの管理者は、カスタムスクリプトを作成し、それをIPテーブルに対して実行して、他の種類のセキュリティ情報を特定する必要があります。

カスタム スクリプトに関する注意事項

個々のエンジニアによって作成されたカスタム スクリプトは、ジョブの XNUMX つには最適ですが、チーム間で自動化する場合は、さらに複雑になります。 スクリプトを作成する人は、通常、スクリプトを管理する人です。 この人が去った場合、または必要なバグや変更がある場合はどうなりますか?

そのエンジニアの領域を超えた追加の作業は、彼の通常の日常業務にプールされ、最終的に脇に置かれます。 誰も担当していない集中管理データベースにすべてのスクリプトを備蓄しておく方がはるかに優れています。 DDoS 攻撃は急速に進化しています。 必要なランダム変更のタイプ (TCP -> UDP) は、C2 サーバーでの単純なコマンドです。 これらすべてをカスタム スクリプトで追跡しようとすると、あなたとあなたの会社にとって不利益になります。

高度な攻撃

より高度な攻撃かどうかを判断するために、ロードバランサーのHTTPホストヘッダーやセッションテーブルを調べるには、より高度なエンジニアを呼ぶ必要があるかもしれません。レイヤー7攻撃は1秒あたりのパケット数を超えないため、標準的な5タプルよりも深く掘り下げて、断続的な問題を特定する必要があります。

場合によっては、輻輳カウント、輻輳ウィンドウ、TCP RTT、またはその他の高度な機能を調べるために、さらに長い時間を費やす必要がある場合があります。 Web サーバーでは、Null0 に書き込む特定のヘッダーを探す必要がある場合があります。

BGP コミュニティ

多くの場合、BGP コミュニティは DDoS 緩和に適しています。 BGP コミュニティがルートに設定され、そのルートが WAN エッジでブロックされます。 設定が間違っていると、問題の原因を突き止めるために多くの手作業が必要になります。

閉会のコメント

トラブルシューティングには最終的には手動によるアプローチが必要となり、その後、すべての診断情報を何らかの方法で一元化して、取るべき行動を決定する必要があります。自動化せずに同じ担当者でこれらの手順を繰り返すことは、円滑な運用にはつながりません。多くの異なる手順が関係しており、多くの異なるチームが、さまざまな技術的役割を組み合わせる必要があります。

トラブルシューティングに必要なデバイスの中には、異なるログイン情報を持つ別のネットワーク上にあるものもあるかもしれません。トラブルシューティングを開始するためにデバイスにアクセスするには、トラブルシューティング チケットを発行する必要がある場合もあります。私たちはすでに手足を縛られており、DDoS は圧倒的に優勢です。このようなトラブルシューティングは、特に私たちがすでにいたちごっこをしている状況では、あなたにとって不利益になります。チーム、技術担当者、スキル セットを組み合わせることは困難な作業であり、優れたチームとプロジェクト管理が必要です。神に頼るのではなく、物事がうまくいくように解決策を用意しておく方が良いでしょう。そうすれば、DDoS が発生したとき（そしてそれは必ず発生します）、ボタンをクリックするだけで軽減策を講じることができます。

NetBrain 提供しています ネットワーク自動化への独自のアプローチ これにより、DDoS の検出と緩和の間のギャップを埋めます。 の能力 NetBrain 検出システムと軽減システムの両方と統合することで、サービス拒否 (DDoS) パズルの欠けているピースが完成します。 活用するのはマッピング会社ではなく、自動化会社です。 動的ネットワーク マッピング、実行可能ファイル Runbook砂 API の豊富な統合フレームワーク とワークフロー あらゆる種類の DDoS のトラブルシューティングを行います。