Связаться с редакцией
9 ноября крупный российский банк зафиксировал атаку на свой основной публичный web-сайт. В этот самый момент специалисты компании «Инфосистемы Джет» проводили внешний пентест инфраструктуры банка. Представители банка были предупреждены о возможном влиянии проводимых работы на продуктивные системы, поэтому сразу возникло предположение, что сбой в работе связан с пентестом. Когда стало понятно, что это внешняя атака, специалисты банка начали принимать оперативные меры для поддержания работоспособности сайта, а компания «Инфосистемы Джет» выслала инженера для совместного отражения атаки.
По итогам анализа событий ИБ и журналов web-серверов воссоздана хронология действий злоумышленников, которую мы приводим ниже.
8 ноября:
- Злоумышленники делали попытки эксплуатации уязвимостей, обрабатывали
скриптами параметры запросов, пытались сформировать запросы, приводящие к нарушению работы приложений. - Шло изучение слабых мест банка, злоумышленники пытались найти способы создания специфической атаки, которая бы гарантированно вывела сайт банка из строя.
9 ноября:
- С полуночи до шести часов утра проводилась атака малой мощности (до 10 Мбит/с) syn flood, направленная на исчерпание ресурсов web-серверов. Локальная система защиты от DDoS банка успешно отражала эту атаку.
- В первой половине дня оператор связи, чьи каналы использовались для проведения DDoS, успешно отражал атаки мощностью до 350 Мбит/с.
- Специалисты банка, оценив серьезность угрозы, начали оперативно подключаться к одному из российских облачных сервисов по защите от DDoS. Подключение завершилось к концу дня.
- Злоумышленники поняли неэффективность проводимых атак и начали перебирать варианты: были испробованы как низкоуровневые и простые (icmp flood, syn flood, spoofed syn flood), так и уровня приложений.
- Хакеры направили основной вектор атаки через зашифрованный трафик HTTPS с большой интенсивностью. Так как криптография требует много вычислительных мощностей, системы банка не справились с нагрузкой.
- Сайт лег, клиенты не могли зайти на главную страницу и воспользоваться интернет-банком. Специалистам банка пришлось экстренно адаптировать инфраструктуру: шифрование было вынесено на отдельные узлы повышенной мощности, на части страниц сайта пришлось отключить HTTPS.
- Принятые меры позволили исправить ситуацию, но несколько часов сайт работал со сбоями.
Андрей Янкин, руководитель отдела консалтинга Центра информационной безопасности компании «Инфосистемы Джет», отметил: «Необходимо отдать должное команде, противостоящей атаке. Специалисты без сна и отдыха отражали новые волны. Сравнительно небольшой урон банку атака нанесла именно благодаря моментальной реакции инженеров и поддержке руководства. Решения, на которые в обычных условиях уходят месяцы, принимались и реализовывались кризисным штабом за считанные минуты».
Полный отчет читайте на корпоративной страничке компании «Инфосистемы Джет» на Хабрахабр
