Jak działa ochrona DDoS, etap po etapie

To, co przetrwa absorpcję, to ruch, który przynajmniej chce otworzyć połączenie. To poziom fal SYN: ogromne liczby prób połączenia, często sfałszowanych, zaprojektowanych po to, by wyczerpać stan śledzenia połączeń, a nie pasmo. Filtrowanie odbywa się w jądrze w naszej własnej sieci (AS216013), zanim cokolwiek dotrze do przestrzeni użytkownika, z limitami tempa na źródło i budżetami połączeń.

Warstwa 4 wie, że połączenie przyszło. Nie wie, co to połączenie powiedziało — nie odróżni gracza od bota, bo na tej warstwie żaden z nich jeszcze nic nie powiedział. Wszystko, co ją minie, to wyglądające legalnie połączenie TCP, a od tego momentu pytania przestają dotyczyć objętości.

Teraz ruch zostaje odczytany. Duża część tego, co kończy handshake, w ogóle nie mówi po Minecraftowemu: skanery obejmujące cały internet, generyczne fale HTTP wymierzone we wszystko, co odpowie, i zniekształcone śmieci liczące na to, że coś się wysypie. Nic z tego nie przetrwa kontaktu z parserem, który oczekuje protokołu Minecrafta, a dostaje coś innego.

To pierwsza warstwa, z którą generyczne urządzenie do "ochrony gier" ma problem, bo wymaga faktycznej implementacji protokołu, a nie dopasowywania kształtów pakietów. To także moment, w którym objętość spada na tyle, że pozostały ruch jest naprawdę groźny — wszystko za tym punktem mówi językiem twojej gry.

Wszystko, co wciąż się porusza, mówi teraz płynnie po Minecraftowemu: poprawne handshake'i, wiarygodne nazwy użytkowników, prawidłowe wersje protokołu, napływające z tysięcy adresów domowych i z centrów danych. To jest atak, który naprawdę zabija serwery Minecrafta, i jest niewidoczny dla każdej wcześniejszej warstwy — każde połączenie z osobna jest nie do odróżnienia od prawdziwego gracza wchodzącego na serwer.

• Świadomość nazwy hosta — połączenie proszące o nazwę hosta, której nie obsługujesz, nie jest graczem, który zrobił literówkę, i zostaje odrzucone, zanim cokolwiek innego się uruchomi.
• Limity tempa wejść z auto-UAM — budżety na IP i globalne, które zacieśniają się automatycznie, gdy rośnie łączne tempo pingów i logowań, więc reakcja skaluje się wraz z atakiem, zamiast być konfigurowana z góry.
• Punktacja ryzyka — kraj pochodzenia, ASN, zakres centrum danych, zachowanie protokołu i wcześniejsza historia składają się na werdykt, zanim wejście dostanie zgodę na kontynuację.
• Obsługa pingów i MOTD — fale zapytań o status są obsługiwane z cache'u na edge, zamiast trafiać do twojego serwera, który musiałby odpowiadać kilka tysięcy razy na sekundę.

W przykładzie ta warstwa usuwa 96 % tego, co do niej dociera — 26 Gb/s ruchu, który w przeciwnym razie trafiłby na backend jako pozornie prawdziwe próby wejścia. To ten sam silnik opisany szczegółowo w jak Cryo mityguje atak.

Dobrze napisany bot studiuje antybota. Reguluje tempo wejść, używa wiarygodnych nazw, łączy się z domowych proxy i nie robi niczego, co punktowałoby jako anomalia — bo został zbudowany właśnie tak. Sama punktacja go nie złapie, a ta pozostałość to właśnie to, co ludzie nazywają botami omijającymi.

Ostatnia warstwa przestaje więc punktować i zaczyna pytać. Podejrzane wejścia są przekierowywane do CryoLimbo, lekkiego świata limbo, i muszą wykazać, że są prawdziwym klientem — ruchem zgodnym z fizyką gry, poprawnymi reakcjami na stan serwera, zachowaniem, które headlessowy bot musi naprawdę zaimplementować, a nie tylko udawać. Przejście jest tanie dla gracza i drogie dla atakującego i o to właśnie w tym projekcie chodzi. Prawdziwi gracze złapani tutaj przechodzą dalej na twój serwer, zwykle nawet tego nie zauważając.

400 Mb/s graczy. Twój serwer widzi połączenia, które zobaczyłby w spokojny dzień, z prawdziwymi adresami IP klientów dostarczanymi przez protokół PROXY, więc bany, wykrywanie altów i wtyczki działające na IP zachowują się dokładnie tak, jak przy połączeniu bezpośrednim. Z wnętrza serwera atak nie jest mniejszym problemem — jest całkowicie niewidoczny, i właśnie dlatego pierwszym sygnałem dla operatora jest zwykle powiadomienie na Discordzie, a nie skok lagów.

Warto zatrzymać się przy proporcjach. Warstwa wolumetryczna usunęła 94 % fali, a dwie ostatnie warstwy razem usunęły poniżej 0,4 % — a mimo to właśnie te dwie decydują, czy serwer się utrzyma, bo tylko one potrafiły odróżnić bota od gracza. Przepustowość kupuje ci prawo do posiadania tego ciekawego problemu. Nie rozwiązuje go.

Każda powyższa warstwa działa przed twoim sprzętem i to jest kwestia strukturalna, a nie szczegół implementacyjny. Wtyczka potrafi wykonać wersję zadania warstwy 5 i niektóre robią to dobrze — ale działa po tym, jak połączenie zostało już przyjęte, przydzielone i sparsowane przez twoją maszynę, więc walczy po złej stronie łącza. Ten kompromis jest rozpracowany w antybot na edge vs antybot we wtyczce i dlatego rozsądny układ to edge z przodu i wtyczka z tyłu jako druga warstwa, a nie jedno zamiast drugiego.