Atak może konsumować pojemność internetową, wyczerpywać stan sieci lub protokołów, przytłaczać zasoby aplikacji lub wyzwalać kosztowne przetwarzanie downstream.
Ruch może pochodzić ze skompromitowanych urządzeń, wynajętej infrastruktury lub odbitych i wzmocnionych usług, które wysyłają duże odpowiedzi na sfałszowany adres ofiary. Nie każdy incydent dostępności to DDoS: błędy konfiguracji, zawodzące zależności, nagłe skoki popularności (flash crowds) i usterki pojemności mogą dawać podobne objawy i wymagają innego działania.
Amplifikacja jest tym, co czyni skromne zasoby atakującego niebezpiecznymi: małe sfałszowane zapytania do otwartych serwerów DNS, NTP lub innych odpowiadających zwracają ofierze znacznie większe odpowiedzi, wielokrotnie zwielokrotniając przepustowość atakującego. Łagodzenie odbywa się zatem warstwowo — scrubbing u dostawcy wyższego rzędu lub w chmurze dla powodzi wolumetrycznych, limity tempa i zarządzanie stanem dla wyczerpania protokołów oraz filtrowanie na poziomie aplikacji dla kosztownych żądań — ponieważ żadna pojedyncza kontrola nie obsługuje wszystkich trzech wektorów.
Najważniejsze punkty
Ataki wolumetryczneNasycają dostępną przepustowość bardzo dużymi objętościami ruchu.
Ataki protokołoweWyczerpują tabele połączeń, urządzenia sieciowe lub pojemność obsługi protokołów.
Ataki aplikacyjneWysyłają żądania zaprojektowane do konsumowania kosztownych zasobów aplikacji lub backendu.
Redukcja ryzykaUżywaj koordynacji z dostawcami wyższego rzędu, rozproszonego dostarczania, anycast, kontroli tempa, odpornej architektury, monitorowania i przećwiczonych procedur reagowania.
Istotne ograniczenieFiltrowanie w siedzibie nie potrafi odzyskać łącza internetowego, które już zostało nasycone; łagodzenie często musi następować u dostawcy wyższego rzędu.