DDoS (Distributed Denial of Service)
DDoS (distributed denial of service) to atak na dostępność: cel (strona, API, gra, łącze) dostaje więcej ruchu albo więcej “ciężkich” żądań, niż jest w stanie obsłużyć sensownie. Użytkownicy widzą timeouty i puste ekrany. Operator widzi czerwone wykresy. “Distributed” oznacza wiele źródeł naraz, zwykle botnet albo wynajętą infrastrukturę, czasem amplifikację przez źle skonfigurowane usługi sieciowe.
Na blackweb.pl DDoS to temat skutków i obrony usług, nie podręcznik floodu. Motywy bywają różne: szantaż, konkurencja, protest, zasłona dymna przy innym włamaniu, czasem czysta demonstracja.
DoS a DDoS
DoS z jednego adresu da się często uciąć filtrem. DDoS rozprasza źródła, więc proste banowanie IP nie wystarcza. Skala idzie w gigabity albo w miliony pakietów na sekundę. Innym razem ruch jest “cienki”, ale drogi aplikacyjnie: wolne zapytań do bazy, kosztowne wyszukiwania, wyczerpanie workerów. Wolumetria bije w łącze. Warstwa aplikacji bije w CPU i pamięć. Obrona różni się.
Typy (mapa, nie przepis)
Ataki wolumetryczne: UDP flood, amplifikacja DNS/NTP/CLDAP i podobne, gdy otwarte resolvery mnożą odpowiedź. Ataki protokołowe: wyczerpywanie tablic stanów (np. syn flood w uproszczeniu podręcznikowym). Ataki aplikacyjne: HTTP flood, Slowloris-podobne wyczerpywanie połączeń, kosztowne endpointy bez rate limitu. Nazwy w raportach vendorów bywają marketingowe. Pytanie praktyczne: czy pada łącze, firewall stateful, czy sama aplikacja.
W kampaniach ransomware DDoS bywa trzecim śrubokrętem szantażu: płacisz albo strona firmowa leży. To kontekst negocjacji, nie osobna magia.
Skutki poza “strona nie działa”
Utrata sprzedaży i zaufania. Koszt ruchu u cloud providera. False positive przy zbyt agresywnej mitigacji (wyrzucasz też klientów). Zmęczenie zespołu. Czasem atak maskuje równoległą próbę włamania: gdy wszyscy patrzą na wykresy Mbps, ktoś testuje panel. Monitoring bezpieczeństwa nie powinien gaśnieć, bo “teraz jest DDoS”.
Obrona opisowo
Nadmiarowość i CDN z scrubbingiem. Anycast. Rate limiting i WAF na warstwie aplikacji. Wyłączenie amplifikujących usług w Twojej sieci (otwarte resolvery to problem wspólny). Plan komunikacji na wypadek downtime. Testy capacity, zanim ktoś inny je zrobi za Ciebie. Mały serwis na jednym VPS bez ochronnej warstwy pada szybciej niż brand za Cloudflare czy podobnym; wybór dostawcy to decyzja produktowa, nie moralna.
Po stronie użytkownika końcowego niewiele zdziałasz, gdy pada cudza usługa. Po stronie właściciela IoT: nie dokarmiaj botnetu otwartym urządzeniem. Patch, hasła, segmentacja.
Nie podaję tu tooli do floodu ani komend. Podaję ramę: DDoS jest atakiem na dostępność z wielu źródeł. Reszta to inżynieria pojemności i filtrów.