Förebygga DDoS

I den här delprocessen beskrivs vad en organisation kan göra för att ha en viss beredskap ifall en it-säkerhetsincident skulle inträffa.

 Följande punkter behandlas:

• Förslag på förberedelser
  
• Kontakter
• Referenser och länkar till ytterligare information

Förberedelser

Det bästa receptet för en lyckad incidenthantering är att vara förberedd på att en incident kommer att inträffa förr eller senare. Generella förberedelser finns att läsa i delprocessen Förebygga Intrång.

Det är mycket svårt att skydda sig mot en DDoS-attack men med rätt förberedelser kan en organisation mildra ett framtida angrepp. Förberedelser inför en DDoS-attack handlar om planering av organisationens egna infrastruktur samt att etablera goda kontakter med organisationer som t.ex. den egna ISP:n.

En väldigt viktig framgångsfaktor i hantering av DDoS-attacker är tillgången till loggar. Utan loggar inga svar på vilken typ av attack eller från vilka IP-adresser som varit inblandade.

Vad kan CERT-SE bidra med?

• Rådgivning
• Ytterligare information
  

Förslag på förberedelser

• Logghantering, se till att det finns loggar tillgängliga från system som: FW, router, DNS, Webbserver m.fl.
  
• Utse en grupp som kommer att vara ansvarig för hanteringen av en framtida attack
• Kontakta ISP:n för att se om de kan erbjuda skydd mot eller vara behjälpliga vid en attack
• Konfigurera filter i routrar eller brandväggar att blockera vissa kända typer av trafik som vanligen används i DDoS-attacker
• Etablera en baslinje över systemlasten för att upptäcka en attack i ett tidigare skede
  
• Använda lastbalanserare för publika tjänster
• Förbereda en webbserver - vilken aktiveras vid en attack - som bör innehålla  ett minimum av bilder och dokument (vilket bör verifieras då och då)
  
• Sprida bilder och dokument på flera webbservrar t.ex. på andra nätsegment eller ett externt webbhotell
  
• Se över konfigurationer av publika servrar
• Ställa ner TTL-tiden på DNS:er för att underlätta vid en nödvändig ompekning av en tjänst till ny IP-adress under en attack
• Minska sessions-"time out" för TCP-sessioner
• Aktivera SYN-cookies för att skydda sig mot "TCP-SYN"-attacker
• Använda ett enhetligt loggformat

Kontakter

Det är viktigt att etablera goda kontakter med andra organisationer som kan vara till hjälp vid en eventuell attack. Vilka som bör kontaktas kan vara individuellt från organisation till organisation. Den viktigaste länken vid ett fall av DDoS är nog organisationens ISP som är den första länken till Internet, där ett visst skydd och motmedel kan etableras.

• ISP:er
  
• Polis och myndigheter
• CERT-organisationer

Referenser och länkar till ytterligare information 

CERT-SE:s råd angående tillgänglighetsattacker

http://en.wikipedia.org/wiki/Denial-of-service_attack

http://www.iwar.org.uk/comsec/resources/dos/ddos_en.htm

http://zeltser.com/network-os-security/ddos-incident-cheat-sheet.html