Интернет-компании Google, Amazon и Cloudflare заявляют, что они выдержали крупнейшую когда-либо существовавшую в Интернете атаку типа «отказ в обслуживании» (DDoS) и бьют тревогу по поводу новой технологии, которая, по их словам, может легко вызвать широкомасштабные сбои, сообщает информационное агентство Reuters.
Компания Google подтвердила, что ее облачные сервисы отразили «лавину» мошеннического трафика, более чем в семь раз превышающую размер предыдущей рекордной атаки, которую компания предотвратила в прошлом году. В компании заявили, что координировали общеотраслевую реакцию на атаку, которая до сих пор работала.
Компания по защите интернета Cloudflare заявила Reuters, что атака была «в три раза мощнее, чем любая предыдущая атака, которую мы наблюдали».
Amazon заявила, что ее веб-сервисы пострадали от «нового типа распределенного отказа в обслуживании (DDoS)».
По данным Reuters, все три компании заявили, что атака началась в конце августа, а в Google заявили, что она продолжается.
В сообщении в блоге Google, объясняющем атаку и ответ на нее, говорится: «За последние несколько лет группа реагирования на DDoS-атаки Google заметила тенденцию, заключающуюся в том, что распределенные атаки типа «отказ в обслуживании» (DDoS) увеличиваются в геометрической прогрессии. В прошлом году мы заблокировали крупнейшую DDoS-атаку, зафиксированную на тот момент».
О текущей атаке говорится: «В августе этого года мы остановили еще более масштабную DDoS-атаку — в семь с половиной раз крупнее — в которой также использовались новые методы для взлома веб-сайтов и интернет-сервисов. Эта новая серия DDoS-атак достигла пика в 398 миллионов запросов в секунду (RPS) и опиралась на новую технику HTTP/2 «Быстрый сброс», основанную на мультиплексировании потоков, которая затронула несколько компаний, занимающихся интернет-инфраструктурой. Напротив, самая крупная зарегистрированная в прошлом году DDoS-атака достигла пика в 46 миллионов запросов в секунду. Для ощущения масштаба эта двухминутная атака вызвала больше запросов, чем общее количество просмотров статей, о которых сообщила Википедия за весь сентябрь 2023 года».
В Google заявили, что на данный момент угрозу удалось предотвратить благодаря скоординированным действиям отрасли.
«Вскоре после обнаружения самой ранней из этих атак в августе Google применила дополнительные стратегии смягчения последствий и скоординировала межотраслевые меры реагирования с другими поставщиками облачных услуг и разработчиками программного обеспечения, которые реализуют стек протоколов HTTP/2. Мы делились разведданными об атаках и методологиях их предотвращения в режиме реального времени во время атак», — заявили в компании.
«Это межотраслевое сотрудничество привело к появлению исправлений и других методов смягчения последствий, используемых многими крупными провайдерами инфраструктуры. Сотрудничество помогло проложить путь к сегодняшнему скоординированному и ответственному раскрытию новой методологии атак и потенциальной уязвимости множества распространенных и коммерческих прокси с открытым исходным кодом, серверов приложений и балансировщиков нагрузки», — продолжил Google.
Судя по всему, HTTP/2 — новая версия сетевого протокола HTTP, лежащего в основе Всемирной паутины, — делает серверы особенно уязвимыми для мошеннических запросов.
Все компании призвали компании обновить свои веб-серверы, чтобы гарантировать, что они не останутся уязвимыми.
«Любое предприятие или частное лицо, обслуживающее рабочую нагрузку на основе HTTP в Интернете, может подвергнуться риску этой атаки. Веб-приложения, службы и API на сервере или прокси-сервере, способном обмениваться данными по протоколу HTTP/2, могут быть уязвимыми. Организациям следует убедиться, что все используемые ими серверы, поддерживающие HTTP/2, не уязвимы, или применить исправления поставщика для CVE-2023-44487, чтобы ограничить влияние этого вектора атаки. Если вы управляете или эксплуатируете собственный сервер с поддержкой HTTP/2 (с открытым исходным кодом или коммерческий), вам следует немедленно применить патч от соответствующего поставщика, если он доступен», — посоветовал Google.
Ни одна из трех компаний не сообщила, кто несет ответственность за DDoS-атаки, которые, как известно, трудно точно определить.
Подготовлено порталом Allinsurance.kz