Специалисты «Таттелекома» объяснили, в чем отличие обрушившейся на них DDоS-атаки

Со 2 мая продолжается массированная DDoS-атака на сетевую инфраструктуру «Таттелекома». В пиковый период мощность атаки составляла порядка 400 Гбит/с, чего ранее в истории компании не было.

Что такое «DDоS-атака» простыми словами: это ситуация, когда на сервер направляется чрезмерное количество запросов с зараженных устройств — это могут быть и компьютеры, и смартфоны. Возникает такая нагрузка, при которой сервер теряет возможность обрабатывать все запросы, и сайт или онлайн-сервис «падает», а пользователи не могут получить к ним доступ.

Как рассказали в компании, речь идет о миллионах запросов с различных источников и локаций, которые происходят одномоментно. Объем одной DDоS-атаки на сетевую структуру «Таттелекома» из числа совершаемых со 2 мая примерно равен общему объему трафика, потребляемого всеми абонентами компании в сутки.

«Вредоносное ПО на зараженных компьютерах включается и выключается не само собой, это делают злоумышленники, так называемые координаторы», — объяснил замгендиректора «Таттелекома» по информационной безопасности, директор департамента ИТ Ильдар Нургалеев.

Характерная особенность текущей DDоS-атаки в том, что целью злоумышленников является полное нарушение сетевой инфраструктуры, а не попытки получить доступ к определенной информации, как кража персональных данных, например.

Когда происходит атака такого уровня, провайдер не может решить проблему в одиночку, необходимо подключение верхнеуровневых узлов связи. В работе также участвует Роскомнадзор. В самой компании эти массированные хакерские атаки круглосуточно отбивает целая группа специалистов.

«Они выявляют закономерности, на основе этого анализа формируют правила, по которым должны фильтроваться запросы, потом передают вышестоящим операторам. Они уже на своих системах анти-DDоS выставляют это правило. Как только оно начинает работать, происходит отброс нелегитимного трафика», — пояснил Ильдар Нургалеев.

Проблемы у абонентов во время таких атак могут возникать по двум причинам. Первая заключается в том, что на онлайн-сервисы и сайты поступает слишком много запросов, и они перестают работать из-за чрезмерной нагрузки. Вторая причина: иногда запросы легитимных пользователей и нелегитимных — зомби и ботов — попадают под одно правило и блокируются вместе, так как во время хакерских атак происходит смешивание трафика.

Во время таких инцидентов важна и обратная связь от абонентов, поскольку она также помогает специалистам формировать новые правила, по которым будет фильтроваться трафик, а легитимные пользователи вновь получат доступ к интернет-ресурсам.

Специалисты по ИТ-безопасности отмечают, что со 2 мая объем и виды вредоносных действий неоднократно менялись. Поначалу в рабочее время атак было больше. Сейчас активность хакеров отмечается по вечерам, но не прекращается и в ночное время. Судя по реализованным атакам на сетевую инфраструктуру других операторов и крупных предприятий, в том числе на территории Татарстана, можно сказать, что действия злоумышленников в среднем длятся в течение 7—10 дней.