Recentemente, muitos de nós tivemos dificuldades para acessar alguns dos principais aplicativos que tanto nossas organizações quanto nós, como indivíduos, usamos todos os dias, seja para fins pessoais ou profissionais. Em dias consecutivos no início de junho, muitos tiveram problemas para acessar, um após o outro, o portal web do Microsoft Outlook.com, depois o OneDrive e, por fim, o Microsoft Azure Portal.
Alguns especularam que a impossibilidade de acessar aplicativos essenciais da Microsoft poderia ter sido causada por uma configuração incorreta. Outros sugeriram que poderia ter sido um ataque cibernético. A Microsoft informou que gerenciou e equilibrou o aumento do tráfego em seus aplicativos essenciais.
Então, na sexta-feira, 16 de junho, uma publicação no blog do Microsoft Security Response Center (MSRC), intitulada Resposta da Microsoft a ataques distribuídos de negação de serviço (DDoS) na camada 7 explicou a causa raiz das interrupções nos aplicativos da Microsoft, que começaram em 7 de junho e continuaram até 9 de junho.
O blog confirmou que a Microsoft havia sido vítima de um ataque DDoS de camada 7 (L7), causando uma indisponibilidade temporária desses serviços, identificados em outras publicações como Outlook.com, OneDrive e Microsoft Azure Portal.
A publicação no blog afirmou que a Microsoft “identificou picos de tráfego direcionados a alguns serviços, o que afetou temporariamente sua disponibilidade”. Também mencionou que a Microsoft “iniciou prontamente uma investigação e começou a monitorar a atividade contínua de DDoS”. O blog do MSRC explicou que o ataque havia sido realizado por um agente de ameaça que a Microsoft monitora e identificou como Storm-1359, também conhecido como Anonymous Sudan. O blog destacou que a Microsoft não encontrou evidências de que dados de clientes tivessem sido acessados ou comprometidos. Os ataques DDoS tinham como objetivo causar interrupções, chamar a atenção e promover os invasores — Storm-1359, também conhecido como Anonymous Sudan.
Embora muitos ataques DDoS tenham como alvo a camada 3 (camada de Rede) ou a camada 4 (camada de Transporte) do modelo OSI (Interconexão de Sistemas Abertos), um ataque DDoS L7 (camada de Aplicação) é algo completamente diferente. Os ataques DDoS L7 são muito mais difíceis de detectar do que os ataques DDoS L3 ou L4, pois tendem a ser complexos, furtivos e indistinguíveis do tráfego legítimo de aplicações Web. Esses ataques têm como alvo componentes específicos de um servidor de aplicações, bombardeando-os com solicitações até que fiquem sobrecarregados e incapazes de responder a qualquer tráfego. Esses ataques também se transformam, mudando com frequência e, muitas vezes, de forma aleatória.
Segundo a Microsoft, o ataque DDoS de camada 7 contra seus serviços utilizou “uma coleção de botnets e ferramentas” que permitiu aos invasores lançar o ataque a partir de diversos serviços de nuvem e “infraestruturas de proxies abertos”, recorrendo a servidores virtuais privados, ambientes de nuvem, proxies abertos e ferramentas de DDoS compradas ou adquiridas.
O Storm-1359 (também conhecido como Anonymous Sudan) empregou três tipos diferentes de ataques DDoS de camada 7 contra a Microsoft:
- Ataque de inundação HTTP(S), no qual um número considerável de solicitações, incluindo handshakes SSL/TLS e solicitações HTTP(S) provenientes de diversos dispositivos, regiões e endereços IP de origem, sobrecarrega recursos do sistema, como CPU e memória, fazendo com que um servidor de aplicações pare de processar solicitações.
- O bypass de cache contorna as redes de distribuição de conteúdo (CDNs) ao enviar solicitações para URLs criadas e disponibilizadas por um invasor, fazendo com que a aplicação encaminhe todas as solicitações ao servidor de origem.
- O Slowloris utiliza um único sistema para iniciar uma conexão com um servidor web e força a conexão a permanecer aberta ao não confirmar ou retardar o recebimento de uma solicitação de recurso.
Na publicação no blog, a Microsoft afirmou ter “reforçado as proteções da camada 7, incluindo ajustes no Firewall de Aplicativo Web do Azure (WAF), para proteger melhor os clientes” contra ataques DDoS.
A Microsoft também fez várias recomendações aos clientes para reforçar a proteção contra ataques DDoS de L7 (camada de aplicação), incluindo:
- Usar o Azure WAF ou outros serviços de camada 7 para proteger aplicativos Web
- Usar a proteção contra bots no Azure WAF ou em outro serviço para se defender contra bots mal-intencionados
- Identificar endereços IP e intervalos maliciosos e bloqueá-los
- Bloqueio, limitação de taxa ou redirecionamento de tráfego proveniente de fora de uma região geográfica definida ou de dentro de uma região identificada
- Aproveitamento de assinaturas de ataques conhecidas para criar políticas de WAF personalizadas que bloqueiem ou limitem automaticamente a taxa de tráfego HTTP(S) malicioso
A segurança de aplicações web e APIs (WAAP) da F5 já ajuda muitos usuários e clientes da Microsoft a proteger aplicações web contra ataques DDoS de camada 7 complexos e difíceis de detectar. O F5 WAAP é baseado no mecanismo WAF da F5 e em seus renomados recursos de detecção e monitoramento, proporcionando uma experiência familiar. Disponível em qualquer modelo de entrega necessário (hardware, SaaS e software como edição virtual no Microsoft Azure) e em qualquer combinação, o F5 WAAP pode ser implantado onde quer que as aplicações estejam hospedadas, com seus componentes trabalhando em conjunto para garantir proteção abrangente contra ataques DDoS de camada 7.
Também está disponível a premiada solução F5 Distributed Cloud Bot Defense, a solução SaaS da F5 para mitigação e defesa contra bots, que protege os maiores bancos, varejistas e companhias aéreas do mundo. Distributed Cloud Bot Defense oferece proteção contra bots maliciosos com base em sua análise incomparável de dispositivos e sinais comportamentais que desmascaram a automação.
Para saber mais sobre as soluções F5 WAAP, de proteção contra DDoS e de defesa contra bots:
- Conheça em detalhes as opções da F5 para proteção contra ataques DDoS
- Saiba mais sobre a proteção de aplicações web e APIs da F5
- Uma publicação no blog sobre F5 Distributed Cloud Services resistindo a ataques DDoS de L7
- Compre e implante BIG-IP Advanced WAF, o Distributed Cloud WAAP e o NGINX App Protect no Azure Marketplace
- Solicite uma avaliação gratuita do BIG-IP Advanced WAF, Distributed Cloud, ou NGINX App Protect
- Veja o Distributed Cloud WAAP, o Distributed Cloud Bot Defense e o NGINX App Protect em ação
- Saiba como o NGINX App Protect DoS bloqueia ataques de DoS no nível da aplicação
- Entenda por que Agora é a hora de reavaliar suas medidas de proteção contra bots
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...