Существуют ли надежные средства защиты от DDoS? - Форум по вопросам информационной безопасности

Коллеги, существуют ли действенные средства против DDoS? Против DoS сейчас умеют бороться файрволы даже начального уровня (по крайней мере заявляют об этом) - с этим понятно.

Против не очень distibuted DoS они, видимо, тоже пойдут с различной степенью эффективности.

А против полноценной DDoS, я так понимаю, противодействие пока не придумано?

Ну почему? Выдерните комп из розетки и все!!! Вам ни чего не страшно.

Это не есть защита от DDoS-атаки. По сути сервис как был недоступен, так и останется после выключения из розетки.

Защита - это сохранение работоспособности сервиса при DDoS-действиях злоумышленников.

Владимр, я на Вашем месте обратил бы внимание на линейку продукции Radware.
А именно DefensePro. ПАК надежный, но дорогой. Мы протестировали его у себя на демостендах, всем требованиям Заказчика по DDos атакам "железка" удовлетворила.

Владимир,
а вы кто, провайдер или конечный потребитель?

Средств, обеспечивающих защиту от DDoS дл конечного потребителя, не существует. Для провайдера есть масса средств выявления аномалий, включая предложенный DefensePro, но они только детектят атаку. Уменьшение последствий от нее все равно ложится на ваши плечи.

Алексей, спасибо, посмотрю. Скорее всего для общего развития, судя по большой цене даже для провайдеров.

malotavr, я конечный потребитель.

А какой смысл ее детектить, факт атаки я и сам заметить могу, хотелось бы все-таки побороть заразу.

Но я так понял, это дело еще неблизкого будущего. Сейчас надо просто поднимать лапки кверху.

Максимум, что можно сделать, поставить файрвол корпоративного уровня и надеяться, что это будет не DDoS, а DoS.

Владимр, если хотите поподробнее узнать о линейке средсв защиты от DDos атак, обратите внимание на таких вендоров как Arbor, Cisco (куда уж без нее), Cloud Shield, Narus у них есть готовые решения.
Последнее время популярность в России получил и Proventia Server от IBM ISS, но они помоему Arbor OEMят.

"А какой смысл ее детектить, факт атаки я и сам заметить могу, хотелось бы все-таки побороть заразу."

Смысл есть. И про "лапки кверху" я ничего не говорил :) Просто защита от DDoS - это на 90% грамотное планирование архитектуры и подготовка ответов на вопрос "что я буду делать, если...?". А вот самостоятельно защититься от DDoS по принципу "поставил железку и забыл" у вас не получится, ни сейчас, ни в будущем :)

Предположим, что вы - банк. У вас есть две точки доступа в Инет - широкий MPLS, на котором вы сидите постоянно, и дохлый ADSL - "на всякий случай". В случае масштабного DDoS ваш MPLS забьют, не смотря ни на какие ваши файрволы (просто под тупым потоком коротких ip-пакетов ляжет граничный маршрутизатор провайдера). Но даже в этом случае вы способны перекинуть наиболее критичные сервисы (например, дистанционное банковское обслуживание) на ADSL. И чем быстрее вы это сделаете, тем с меньшими потерями вы из этой ситуации выйдете.

Крупные компании делают несколько точек входа к своим ресурсам с балансированием потоков по региональному признаку. За счет оперативного детекта DDoS они могут играть балансировкой потоков.

Небольшой (в телекоммуникационном смысле) компании проще и дешевле вынести коритчные ресурсы на внешнюю хостинг-площадку, которая сама обеспечивает подобный сервис.

к сожалению, пришлось недавно столкнуться с ситуацией, когда внешняя площадка не помогла решить проблему заказного DDOS-а
1) площадка принадлежит провайдеру, соответсвенно говорить о значительно разных публичных адресах не приходится
2) готового решения за разумные деньги нам не предложили, веб-сервер просто продолжал лежать в ауте
как вышли из ситуации? купили дешевый для своего функционала аппаратный файервол WatchGuard Firebox и поставили для защиты арендованного сервера. разумеется во время DDOS-ов (которые повторяются довольно часто) канал сильно забит, зато атаки не доходят на сервера и сайт работает! пусть время отклика страниц достигает десяти секунд, для нас это самое главное что работает

Артур, спасибо за идею.

А действительно в вашем случае атака по 80 порту до сервера не доходила?

Я так понимаю, что зачастую атакуют не только веб-сервер, но и сопутствующие службы, в частности, ping и ssh. Соответственно, уже есть определенная выгода, что эти порты будут закрыты.