Новый сервис Qrator.Ingress защитит провайдеров и операторов от DDoS

Новый сервис Qrator.Ingress защитит провайдеров и операторов от DDoS

Компания Qrator Labs, специализирующаяся на противодействии DDoS-атакам и обеспечении доступности интернет-ресурсов, представляет новый сервис Qrator.Ingress, предназначенный для защиты инфраструктуры операторов связи и хостинг-провайдеров от DDoS-атак.

Qrator.Ingress спроектирован для обеспечения безопасности инфраструктуры операторов интернет-сервисов и хостинг-провайдеров, заинтересованных в защите своей сети и, соответственно, ресурсов своих клиентов от распределенных атак на отказ в обслуживании. Обладая высокой масштабируемостью по требованию и глобальной распределенной балансировкой нагрузки, Qrator.Ingress способен автоматически обнаруживать и отфильтровывать избыточный трафик.

В традиционном центре обработки данных противодействие DDoS-атакам на уровне инфраструктуры возможно с использованием таких методов, как увеличение пропускной способности сети или развертывание системы нейтрализации распределенных атак на отказ в обслуживании. Qrator.Ingress позволяет самостоятельно проектировать архитектуру сети, чтобы иметь возможность масштабировать систему и обрабатывать существенные объемы трафика без больших капиталовложений и излишней сложности.

Сеть Qrator.Ingress имеет несколько точек присутствия, что дает возможность уравновешивать нагрузку, сглаживая количество запросов на каждом узле, что означает глобальную доступность сети и перенаправление на защищенный ресурс только целевого трафика.

Производя очистку входящего трафика в каждом регионе, Ingress предоставляет доступ к уникальному набору интернет-подключений и позволяет устанавливать пиринговое взаимодействие, обеспечивая оптимальную пропускную способность и минимальные задержки для всех конечных пользователей.

Многие центры фильтрации трафика Qrator.Ingress расположены близко к крупным точкам обмена интернет-трафиком, что дает поддержку со стороны международных операторов связи и крупных пиров, которые помогут обеспечить доступность и отказоустойчивость сети даже при работе с большими объемами трафика.

Многие распространенные DDoS-атаки, такие как SYN-флуд или UDP-флуд, нейтрализуются Ingress и не доходят до сети заказчика. Когда Ingress обнаруживает подобные атаки, сервис автоматически поглощает дополнительный трафик, но для клиента это не означает никаких дополнительных издержек. Ingress не зависит от пакета услуг, а значит, любой трафик – TCP (SSH), UDP, SMTP, FTP, VoIP и проприетарные или настраиваемые протоколы – обрабатывается одинаково.

Глобальная сеть Qrator.Ingress имеет пропускную способность более 2 Тбит/с и возможность обработки 1,5 млрд пакетов в секунду. После активации сервис блокирует атаку в течение 30 секунд. В панелях мониторинга реального времени отображаются данные о трафике атак, включая типы векторов, трафик по показателям диапазона PoP и IP.

Основой Qrator.Ingress является сеть Qrator Labs, обладающая многотерабитной пропускной способностью и возможностями пакетной обработки большой емкости для мгновенной фильтрации самых распространенных DDoS-атак уровней L3-L4.

«При разработке решения Qrator.Ingress мы руководствовались целью создать эффективный сервис для защиты инфраструктуры операторов связи и хостинг провайдеров от большого числа DDoS-атак и вложили весь свой накопленный опыт в области анализа и фильтрации интернет-трафика, – комментирует Александр Лямин, генеральный директор Qrator Labs. –  Использование Qrator.Ingress позволит операторам интернет-сервисов построить отказоустойчивую архитектуру для защиты от многих типичных видов DDoS-атак инфраструктурного и прикладного уровня».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Зловред BPFDoor использует давнюю уязвимость в Solaris для получения root

Компания CrowdStrike опубликовала результаты анализа атак на Solaris и Linux с целью внедрения импланта BPFDoor. Как оказалось, в первом случае злоумышленники пытаются закрепиться в системе через эксплойт уязвимости, опубликованной в 2019 году.

Кастомный бэкдор BPFDoor отличает умение мастерски избегать обнаружения: его с 2018 года используют в целевых атаках, а заметили только в прошлом году. Кибергруппа, владеющая этим зловредом (известна как Red Menshen, в CrowdStrike ее нарекли DecisiveArchitect), предположительно имеет китайские корни и выбирает мишенями телеком-провайдеров, правительственные ведомства, учебные заведения и логистические компании.

Командный трафик BPFDoor (JustForFun в версии CrowdStrike) тщательно скрывается: управление осуществляется с использованием VPS-серверов и прокси на взломанных роутерах Тайваня. При такой схеме вредонос может получать команды с любого IP-адреса, к тому же ему не нужно с этой целью открывать какие-либо порты — только сырой сокет.

Новое исследование показало, что после получения доступа к Solaris злоумышленники пытаются применить эксплойт CVE-2019-3010 — PoC-код, опубликованный три года назад. Соответствующая уязвимость привязана к компоненту XScreenSaver и позволяет рядовому юзеру повысить привилегии до root; патч вышел в октябре 2019 года.

Необходимые для эксплойта бинарники обычно загружаются через пару минут после развертывания бэкдора. Последний при исполнении перезаписывает командную строку в рабочей среде своего процесса, выбирая невинную альтернативу из десяти возможных, вшитых в код. Этот прием призван скрыть взаимодействие BPFDoor с оператором; так, при проверке состояния процессов (команда –ps) создание интерактивного шелла будет выглядеть, например, как запуск менеджера очередей Postfix.

В случае с Linux такой спуфинг спокойно проходит; в Solaris нужный механизм отсутствует, поэтому для достижения искомого эффекта DecisiveArchitect использует переменную окружения LD_PRELOAD. По данным CrowdStrike, в апреле этого года хакеры обновили свои техники и тактики и стали таким же образом прятать своего зловреда на Linux-машинах (при загрузке импланта в легитимный процесс /sbin/agetty).

Обнаружить BPFDoor в Linux нелегко: для обеспечения постоянного доступа к системе авторы атаки модифицируют доступные скрипты SysVinit — внедряют ссылку на небольшой файл сценария, который, в свою очередь, указывает на имплант. Более того, они используют разные имена файлов и пути поиска для BPFDoor и связанных с ним скриптов.

В результате простой просмотр кодов SysVinit вряд ли поможет найти бэкдор, его можно выявить, только отыскав все умышленно созданные привязки — а они в зараженных системах неодинаковы. Эксперты советуют с этой целью использовать EDR со средствами машинного обучения и функциями мониторинга админ-утилит и процессов Linux.

В отсутствие такого решения можно с помощью команды lsof поискать процессы с отрытым сырым сокетом. В стандартных установках Solaris эта утилита отсутствует, поэтому придется использовать другие команды, позволяющие получить дополнительную информацию о запущенных процессах (см. блог-запись CrowdStrike).

Исследователи также обнаружили в атаках DecisiveArchitect два скрипта, заточенных под Windows. Их назначение пока неизвестно, хотя хакеры взаимодействуют с Windows-машинами — на начальных этапах атаки. Кастомных имплантов при этом не выявлено.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru