В IV квартале 2024 года количество DDoS-атак на API увеличилось вдвое по сравнению с тем же кварталом 2023 года. При этом 70 % DDoS-атак на API пришлось на ритейл и банки, об этом сообщает аналитический центр компании StormWall.

Проанализировав данные клиентов, эксперты StormWall обнаружили, что за отчетный период 38 % DDoS-атак на API пришлось на ритейл (рост на 26 %), 32 % — на банковскую индустрию (рост на 22 %). На рост инцидентов повлияла потребительская активность в дни распродаж «Черная пятница» и подготовка к Новому году, в том числе возрастающий пик платежей в Новогодние праздники.

Как поясняют в компании, DDoS-атаки на API направлены на перегрузку серверов, обрабатывающих запросы к API, путем отправки огромного количества запросов. В итоге компании теряют доступ к сервисам, что приводит к простоям и ухудшению пользовательского опыта, финансовым потерям из-за остановки бизнес-процессов.

Источник изображения: StormWall

Атаки на API могут иметь такие последствия, как потеря данных, компрометация системы, изменение логики работы приложения или полный выход из строя системы. Достаточно найти уязвимость или вызвать чрезмерную нагрузку на конкретный эндпойнт. Запросы к API часто выглядят как легитимный трафик, что затрудняет их обнаружение и фильтрацию по сравнению с более очевидными атаками типа HTTP Flood.

Противостоять DDoS-атакам на API помогут системы мониторинга трафика для обнаружения аномалий, использование WAF для фильтрации вредоносного трафика, создание резервных копий данных и план действий при инцидентах.

Компания Selectel поделилась статистикой отражения DDoS-атак во II полугодии 2024 года. Количество атак резко выросло — до 80 735, что в 2,6 раза превышает показатель аналогичного периода годом ранее и в среднем составляет 13 455 атак в месяц. Речь идёт об атаках, зафиксированных системой защиты от DDoS сетевой инфраструктуры дата-центров Selectel, которая работает при использовании облачной платформы компании, платформенных сервисов и выделенных серверов, включая аттестованные сегменты.

Максимальное количество атак на одного клиента в среднем составляло 2780, в сентябре был зафиксирован рекорд — 4621 инцидент, что в 3,6 раза больше, чем в I полугодии. Максимальный объём атаки был отмечен в ноябре — 412 Гбит/с, хотя средний объём переданных данных за инцидент в этом месяце был минимальным, а наибольшее значение этого показателя (48 Гбайт) было зафиксировано в июле.

Источник изображений: Selectel

Наибольшее среднее количество переданных пакетов за инцидент в размере 500 млн было зафиксировано в июле, что в 24 раза превышает минимальное значение, отмеченное в сентябре. Наиболее высокая скорость атаки была зафиксирована в июле — 103 млн пакетов/с, что почти в 5 раз превышает максимальный показатель в декабре, оказавшийся самым низким — 22 млн пакетов/с. Наиболее часто наблюдались атаки типа TCP PSH/ACK Flood, TCP SYN Flood и UDP Flood, на которые пришлось 70 % всех атак.

За отчётный период суммарная продолжительность атак составила 9718 часов. Больше всего атаки длились в октябре — 2 167 часов, минимальная длительность зафиксирована в ноябре — 1127 часов. За исключением июля, средняя продолжительность одной атаки не превышала 7 минут, а больше всего атака продолжалась в декабре — 202 часов, что почти в 10 раз больше показателей предыдущих месяцев. В среднем общая длительность атак на одного клиента составила 10 часов, а максимальное время нахождения клиента под атакой — 492 часа — в 2,9 раза больше показателей I полугодия 2024 года.

Подводя итоги 2024 года, Selectel сообщил, что отразил 112 171 атаку на своих клиентов. Общее время, в течение которого заказчики Selectel были под атакой, составило 13 613 часов. Увеличилось количество атак и общая продолжительность, хотя средняя длительность одной атаки изменилась незначительно. По данным Selectel, участились повторные инциденты, что привело к росту максимальной общей длительности атак на одного клиента со 172 часов в апреле до 492 в июле, а максимальное время одной атаки выросло до 202 часов в декабре со 156 часов в апреле.

В 2023 году количество DDoS-атак на российские компании заметно выросло. По данным StormWall рост составил 29 % год к году, что, по мнению экспертов, было связано с повышенной активностью хактивистов в первой половине прошлого года, а также стремлением хакеров обогатиться с помощью шантажа и вымогательства в IV квартале.

Больше всего выросло количество атак на предприятия телеком-сферы, транспортной отрасли и госсектора. Как сообщает StormWall, в 2023 году число DDoS-атак на телеком-компании выросло год к году на 92 %, на транспортные организации — на 38 %, на государственные сервисы — на 34 %. Рост атак на телеком-сферу связан с тем, что у региональных телеком-компаний не было профессиональной защиты от многовекторных DDoS-атак, чем не преминули воспользоваться хактивисты в III квартале. А транспортная сфера и госсектор подвергались атакам хактивистов в течение всего года.

Источник изображения: Tumisu/Pixabay

Также эксперты StormWall зафиксировали рост на 28 % числа DDoS-атак на ретейл, на 26 % — на сферу развлечений и на 23 % — финансовый сектор. Наиболее сильные всплески атак на ретейл были зафиксированы в IV квартале в ходе Черной пятницы и подготовки к Новому году. Атаки хактивистов на сферу развлечений и на финансовый сектор продолжались в течение всего года во всех регионах России. Число DDoS-атак в прошедшем году на энергетическую отрасль увеличилось год к году на 19 %, на нефтяную сферу — на 17 %, а на производственные компании — на 7 %. В других отраслях рост атак был незначительным.

По оценкам EdgeЦентра, провайдера облачных и edge-решений, в 2023 году количество кибератак на российские компании и организации увеличилось на 300 % по сравнению с 2022-м. Согласно прогнозу экспертов, который приводит газета «Коммерсантъ», в 2024-м ситуация продолжит ухудшаться, что связано со сформировавшейся геополитической обстановкой.

Специалисты EdgeЦентра подсчитали, что в уходящем году кибернападениям подверглись более 50 крупных предприятий РФ из различных отраслей — транспортной сферы, государственного и финансового секторов. В общей сложности проведены свыше 130 тыс. DDoS-атак на российские компании средней продолжительностью 15 минут. Самая продолжительная вредоносная кампания длилась примерно восемь суток. Более 500 DDoS-атак имели мощность, превышающую 100 Гбит/с.

Источник изображения: pixabay.com

Эксперты EdgeЦентра полагают, что в 2024 году число DDoS-атак на российский бизнес подскочит как минимум на 400 % в годовом исчислении. Наблюдающаяся тенденция объясняется прежде всего сложной геополитической ситуацией. «Лаборатории Касперского» добавляет, что в 2024-м на фоне потрясений может вырасти количество атак, спонсируемых государствами. Их целью обычно является кража или шифрование данных, разрушение IT-инфраструктуры, кибершпионаж и киберсаботаж.

В целом, по данным «Лаборатории Касперского», за последние два года подавляющее большинство организаций в России (69 %) пострадали как минимум от одного инцидента кибербезопасности. Причём больше половины из них (58 %) оцениваются как критические. «Лаборатория Касперского» полагает, что в условиях стремительного развития ИИ и больших языковых моделей в 2024 году будут возникать новые сложные уязвимости.

Компания «Гарда» обнародовала результаты исследования, в ходе которого изучались ландшафт и особенности DDoS-атак в России в III квартале 2023 года. Аналитики зафиксировали рост интенсивности атак, реализующих TCP-флуд. В результате, увеличивается количество нападений на сервисы.

В отчёте говорится, что по сравнению со II четвертью текущего года значительно выросла доля TCP SYN-флуда, достигнув 60 %. На втором месте в рейтинге наиболее распространённых DDoS-атак с показателем 20 % находится TCP ACK-флуд. UDP-флуд занимает третью позицию: при этом его доля сократилась с 27 % до 13 %. На атаки типа DNS Amplification пришлось 3 %, тогда как доля NTP Amplification упала с 9 % до 1 %.

Источник изображений: «Гарда»

В III квартале 2023 года с наибольшим количеством DDoS-атак столкнулись российские телекоммуникационные компании: на них пришлось приблизительно 25 % всех подобных нападений. Далее следуют сегмент транспорта/перевозок и государственный сектор с 20 % каждый. Таким образом, на эти три сферы приходится в общей сложности примерно две трети всех DDoS-атак — 65 %.

Сравнительно высокие показатели отмечаются по топливно-энергетическому комплексу (11 %) и промышленности (10 %), что может говорить о попытке воздействия на сектор реальной экономики. Шестое и седьмое места занимают IT-сфера (6 %) и финансовый сектор (6 %), которые также являются традиционными целями злоумышленников. Далее идёт образование с 1 %.

В рейтинге стран, из которых атакуют российские ловушки (речь о попытках захватить управление ловушкой и расширении ботнет-сетей), по-прежнему лидирует Китай с показателем 46,45 %. Индия увеличила значение до 30,41 % (против 24,78 % во II квартале 2023 года), тогда как Южная Корея показала значительное снижение, сократив долю до 3,5 %. Далее следуют США и Тайвань — 2,7 % и 1,7 % соответственно.

В России запустили тестирование системы противодействия DDoS-атакам на основе ТСПУ, а с начала 2024 года к этой системе должны подключиться 160 организаций. К созданию системы приступили этим летом, когда Роскомнадзором был объявлен тендер на её развитие стоимостью 1,4 млрд руб. В частности, требовались доработка ПО ТСПУ, создание координационного центра по защите от DDoS-атак, поставка оборудования и передача права использования соответствующего ПО.

Перечень организаций, которые будет необходимо подключить к системе, определяется совместно с Минцифры, ФСТЭК России и другими заинтересованными ведомствами. В Роскомнадзоре сообщили «Коммерсанту», что к системе подключаются государственные организации, компании финансового и транспортного сектора, энергетики, СМИ и операторы связи.

Источник изображения: Pixabay

Источник «Коммерсанта» выразил сомнения в эффективности системы на основе ТСПУ, поскольку она только отслеживает паттерны вредоносных пакетов в трафике. Если эти показатели меняются, то система становится бесполезной. Хотя это лучше, чем полное отсутствие защиты от DDoS-атак, конкуренцию профессиональным решениям такая система составить не сможет, заявил собеседник «Коммерсанта».

Согласно исследованию аналитического центра StormWall, проведённому в России и других странах, общее число DDoS-атак в России в III квартале 2023 года уменьшилось год к году на 28 %, что объясняется снижением активности в последнее время политически мотивированных хактивистов.

Основной целью DDoS-атак хакеров были критически важные отрасли, такие как госсектор (32 % всех атак в России), финансовая отрасль (21 %), транспортная сфера (14 %), то есть злоумышленники стремились причинить наибольший вред экономике страны и создать проблемы для населения, считает StormWall.

Источник изображений: StormWall

Также хакеры атаковали российский ретейл (7 % всех атак), сферу развлечений (5 %), энергетический сектор (4 %), нефтяные компании (3 %), производство (2 %) и остальные отрасли (1 %). В связи с концентрацией хактивистов на более важных отраслях, в этом году обошлось без традиционного всплеска атак на ретейл во время подготовки к новому учебному сезону.

Сравнивая с прошлым годом, аналитики StormWall отметили снижение DDoS-атак на ключевые отрасли России: на финансовую отрасль — на 38 %, на государственный сектор — на 26 %, на ретейл — на 22 %, на телекомммуникационную сферу — на 18 %, на индустрию развлечений — на 16 %, на сферу образования на — 12 %.

Ситуация в мире и России заметно отличаются. По данным StormWall, число DDoS-атак в мире в III квартале 2023 года увеличилось год к году на 43 %. Больше всего атак на планете было зафиксировано на госсектор (26 % от общего числа атак в мире), финансовую сферу (21 %) и сферу развлечений (17 %). Самый значительный рост числа атак наблюдался в государственной сфере (136 %), развлекательной индустрии (117 %) и транспортной сфере (86 %). Финансовые организации подвергались DDoS-атакам больше на 38 %, телеком-сфера — на 32 %.

Для организации DDoS-атак злоумышленники в разных странах использовали прогрессивные инструменты. В частности, активно применяли комплексные атаки, а также ботнеты, состоящие из нескольких вредоносных программ. На глобальном уровне отмечен всплеск DDoS-атак на DNS-серверы, вызвавший большие проблемы для компаний: серверы не могли обрабатывать поступающие запросы. Как следствие, у пользователей были проблемы с доступом к сайтам и онлайн-сервисам.

Касающаяся большинства информационных интернет-систем уязвимость, получившая название HTTP/2 Rapid Reset (CVE-2023-44487), стала причиной беспрецедентной DDoS-атаки, самой масштабной во всей истории Сети. Как сообщает Dark Reading, фактически речь идёт о новой главе в эволюции DDoS-угроз. Эксперты ожидают экспоненциального роста уровня атак, масштаб которых будет удваиваться примерно каждые 18 месяцев.

Серии атак по несколько минут каждая регистрировались 28 и 29 августа, за ними наблюдали AWS, Cloudflare и Google Cloud. Речь шла о кибернападениях на облачных и инфраструктурных провайдеров. Известно, что лазейкой послужил баг в протоколе HTTP/2, использующемся приблизительно в 60 % веб-приложений. IT-гиганты, наблюдавшие за ситуацией, координировали действия с другими облачными провайдерами, сервисами по обеспечению интернет-инфраструктуры, а также компаниями, занимающимися защитой от киберугроз.

Источник изображения: Lewis Kang'ethe Ngugi/unsplash.com

Как заявили в Cloudflare, HTTP/2 является фундаментальным элементом работы интернета вообще и большинства сайтов в частности. Атака позволила генерировать сотни тысяч запросов за раз, после чего немедленно отменять их, перегружая сайты и выводя из строя всё, что использует протокол HTTP/2. На пике Cloudflare регистрировала более 201 млн запросов в секунду. Google в то же время регистрировала по 398 млн запросов в секунду, в 7,5 раз больше, чем во время любой другой атаки против её ресурсов. AWS — 155 млн запросов, направленных на сервис Amazon CloudFront.

При этом в ходе августовского инцидента применялся довольно скромный ботнет из приблизительно 20 тыс. узлов — оружие оказалось довольно эффективным с учётом того, что регулярно наблюдаются более масштабные сети, иногда включающие миллионы машин. Хотя эффект от атаки оказался не столь сокрушительным, как, вероятно, надеялись её организаторы, владельцам интернет-проектов стоит уделить соответствующим угрозам особое внимание, поскольку речь идёт о гонке на опережение — злоумышленники состязаются с разработчикам защиты.

Владельцам ресурсов и сервисов рекомендуется оценить уровень защищённости своих систем от DDoS-атак и немедленно устранить уязвимость, применив патчи к серверам и иным сервисам и приложениям. Наконец, в качестве последнего средства допускается отключение HTTP/2 и также уязвимого HTTP/3 — при этом стоит помнить, что даунгрейд до HTTP/1.1 неизбежно снизит производительность.

По данным экспертов Stormwall, с 1 июня по 31 августа 2023 года 53 % DDoS-атак на российские организации оказались успешными и блокировали работу всех внешних онлайн-ресурсов. Еще 4 % инцидентов являются частично успешными, нарушая работу только некоторых внешних ресурсов. Оставшиеся 43 % атак не причинили вреда компаниям.

В финансовом секторе 78 % инцидентов оказались успешными, а частично успешными — 2 % от общего количества атак. На ИТ-компании успешными оказались 74 % кибернападений и 2 % — частично успешными. В сфере образования зафиксировано 51 % успешных атак и 1 % частично успешных.

Источник изображения: Stormwall

В госсекторе успешные атаки составляют 32 %, частично успешные — 3 %. В сфере развлечений — 36 % и 2 % соответственно, в ритейле — 26 % и 1 % соответственно.

Как сообщали ранее в Stormwall, из тех компаний, которые используют защиту, 90 % уже применяют профессиональные российские решения, полностью отказавшись от зарубежных аналогов. Вместе с тем примерно 12 % компаний из рейтинга ТОП-500 не имеют никакой специализированной защиты от DDoS-атак. В основном это предприятия из производственного сектора, строительной отрасли и транспортной сферы. Для создания ботнетов хакеры активно используют IoT-устройства и виртуальные частные серверы (VPS).

В целом, на Россию во втором квартале 2023 года пришлось 5,3 % всех DDoS-атак, зарегистрированных в мире. По этому показателю РФ оказалась на восьмом месте. В тройку самых атакуемых стран вошли США (16,2 %), Индия (12,8 %) и Китай (10,4 %).

Облачный провайдер CloudMTS запустил сервис для защиты от DDoS-атак на базе партнерской платформы Qrator Labs. Система ограждает приложения и веб-ресурсы от действий злоумышленников вне зависимости от их географического расположения или сложности организованной киберкампании.

По оценкам Qrator Labs, количество DDoS-атак на российские предприятия и организации продолжает устойчиво расти, что отчасти объясняется сложившейся геополитической обстановкой. За первые шесть месяцев 2023 года общее число таких нападений выросло на 40 %. Во II квартале больше всего от DDoS-атак пострадал финансовый сегмент, на долю которого пришлось 44,34 % атак. Далее идут сферы электронной коммерции и онлайн-образования с результатом 13,68 % и 11,32 % соответственно.

Развёрнутый CloudMTS сервис обеспечивает защиту в несколько этапов. Сначала весь трафик, поступающий на защищённый ресурс, перенаправляется в партнёрскую сеть Qrator Labs, где анализируется на всех уровнях вплоть до L7. Затем после углубленной фильтрации с использованием различных алгоритмов обработанные данные направляются к защищенному приложению — либо через публичную сеть, либо через специально организованный канал L2 VPN. Таким образом, трафик DDoS-атак блокируется на периметре сети Qrator Labs, не достигая ресурсов клиента.

Источник изображения: CloudMTS

Защита приложений и техническая поддержка осуществляются в круглосуточном режиме. Пользователи получают доступ к ресурсам без каких-либо задержек и проверок CAPTCHA. Компаниям предоставляется подробная статистика о работе системы защиты. Предполагается, что решение будет востребовано среди ретейлеров, банков, инвестиционных и телекоммуникационных компаний, а также предприятий, работающих в сфере электронной коммерции и других организаций, ведущих бизнес в интернете.