Věděli jsme, že to jednou přijde a někdo na nás anebo naše zákazníky pošle útok, který přesáhne 100 Gbps. Jen jsme nečekali, že to bude tak brzy…

Od 5.4 do 7.4.2021 jsme byli pod velmi silnými DDoS útoky. Přes SNMP jsme naměřili 3 Gbps a 1 milionů paketů za vteřinu v minutových průměrech. Nicméně ve špičkách docházelo k ucpání tří našich 100 Gbps tras, tedy víme s jistotou, že na krátkou dobu útoky přesahovaly 300 Gbps.

Naši zákazníci to pocítili první dva dny útoků, kdy docházelo ke krátkým výpadkům anebo zpomalením. Cílem jsme však primárně byli my a naše weby.

V odpoledních hodinách druhého dne jsme provedli úpravy sítě a přizpůsobili filtrace takto silným útokům. Od třetího dne už jsme dokázali tyto útoky eliminovat v řádech vteřin. Útočník to čtvrtý den vzdal.

Ačkoliv nám tento incident nezpůsobil vážné komplikace, tak jsme o události informovali Národní úřad pro kybernetickou a informační bezpečnost a to hlavně zde dvou důvodů.

Máme důvodné obavy, že takto silné útoky, v rozsahu jako šly na nás, by dokázaly významně ochromit kritickou infrastrukturu státu. Dále desítky Gbps útoků šly z českého NIX. Většina ISP v ČR má jako záchranou brzdu odpojení zahraniční konektivity. Nicméně to by zde bylo k ničemu a museli by přistoupit k blokování hodně IP adres anebo celých rozsahů, což by vedlo k značným problémům, protože za jednou útočící IP adresou může být celé sídliště nic netušících uživatelů.

WEDOS má kapacity i technologie na filtrování tohoto závadného provozu v reálném čase. Prakticky každý měsíc někdo posílá na nás anebo naše zákazníky útoky o síle desítek Gbps. Na DDoS ochranách je nám jedno, jestli čistíme provoz ze zahraničí anebo z NIX.

I přesto, že jsme tyto útoky zvládli bez větších problémů, tak nám nadělaly dost starostí a začali jsme rychle jednat.

• Takto silné útoky už se nedají řešit lokálně. Urychlili jsme tak projekt WEDOS AnyCast a spustili PoP (Point of Presence) v Asii, Americe a Evropě. Rovnou jsme tam přesunuli i jeden z našich DNS.
• Už dříve jsme avizovali nové servery pro filtrování. Vše jsme urychlili a spustili 4 nové filtry. Každý má kapacitu filtrovat 80 Gbps a zhruba 50 milionů paketu za vteřinu. Naše filtrovací kapacita tak teoreticky dosáhne 320 Gbps a 200 milionů paketů za vteřinu.
• Na lepší a výkonnější servery jsme také přesunuli sondy, které detekují útoky.
• Připravili jsme záložní zákaznickou administraci, která je na zcela jiné doméně a jede už přes AnyCast. Prozatím neumí ještě všechno, ale na běžnou správu služeb postačí.

Pokud se chcete o nejsilnějších útocích na českém internetu dozvědět více, tak jsme pro vás připravili detailní článek s popisem útoků a grafy. Najdete jej na našem blogu: Jak probíhal zřejmě nejsilnější DDoS útok v Česku.