Begränsa DDoS - Vad? Hur? När? Var? Vem?

I den här delprocessen behandlas begränsning och avbrott av pågående attack, minimering av spridning samt insamling av bevis för vidare analys.

Följande punkter behandlas:

• Insamling av information från situationen

• Insamling av data
  

• Metoder för att begränsa eller eller avbryta attacken

Begränsa/avbryta en DDoS-attack

Det är sällan en organisation kan avhjälpa en DDoS-attack helt på egen hand. För att avbryta eller begränsa en attack så behövs det ofta hjälp av andra organisationer så som ISP:er, CERT:ar, Polismyndigheter. Därför är god kommunikation och bra kontakter med sådana organisationer en förutsättning för att underlätta hanteringen av en DDoS-incident.

För att underlätta vid en attack så är det viktigt att ha gått igenom de förebyggande stegen i incidenthanteringsprocessen.

Om organisationen vill ta ärendet vidare för polisanmälan så är det viktigt att spara så mycket loggar som möjligt för bevisföring. Det här är en väldigt känslig del i incidenthanteringsprocessen. Det är ytterst viktigt att följa rätt rutiner för insamling, behandling och förvaring av data som ska användas som bevis.

Under denna delprocess dyker frågor upp som handlar om polisanmälan, egna undersökningar för att hitta och åtala förövaren. CERT-SE behandlar inte dessa frågor utan beskriver dem lite kortfattat och i de fall där det behövs, hänvisar till andra externa parter som kan hjälpa till.

Vad kan CERT-SE bidra med? 

• Notice & takedown
• Kontakter
• Information
• Samordning
  
• Råd och rekommendationer
• Insamling av data
• Analys av insamlat data
• Ta fram information om IP-adresser

Förutsättningar och terminologi

Förutsättningar för att hantera en DDoS-attack innebär vanligen att ett förebyggande arbete är gjort. Vilket vanligen inkluderar kontakter med ISP:er, CERT:ar, polismyndigheter, programvarutillverkare m.fl. Dessutom så är det viktigt att ha kännedom om de egna systemen och näten samt kapaciteten hos dessa.

DoS = Denial Of Service

DDoS = Distributed Denial Of Service

Notice & Takedown = Begäran om hjälp av nedtagning av system

Black Hole Route = Omdirigera nätverkspaket till det tomma intet

TTL = Time To Live (värde som anger hur länge en DNS cachar information samt hur många hopp ett nätverkspaket får leva)

Insamling av information från situationen

Genomgång av frågor kring den eventuella incidenten för att analysera läget och fastställa vilka åtgärder som är eller inte är vidtagna.

För att kunna avgöra hur eller om man ska avbryta incidenten så är det viktigt att sätta sig in situationen. Det finns ett antal parametrar som är avgörande för hur organisationen kan hantera avbrytandet av en incident.

Nedan följer några frågor som bör ställas i ett tidigt skede.

• Finns det loggar från nätverk eller drabbat system?
  

• Vad är det för typ av attack?

• Går det att blockera trafik i router eller brandvägg?
• Vad har organisationen gjort för att att begränsa/avbryta attacken?
• Är någon ISP kontaktad?
• Är någon CERT kontaktad?
• Är systemet "outsourceat"?
  

Insamling av data

(se även under Identifiera Intrång)

För att få en god helhetsbild av situationen så är det viktigt att så tidigt som möjligt sätta upp en nätverkssniffer och spela in trafiken för att få en uppfattning om vilken typ av attack drabbat organisationen. Alla typer av loggar från nätverksutrustning och andra system är också av största vikt att samla in för att få en bild av incidenten.