Резюме

  • Правительство Андорры сообщило, что DDoS-атаки повлияли на интернет и связь 4G у части пользователей Andorra Telecom с 21:00 до 22:30 21 января 2022 года и с 19:00 до 22:00 22 января [1].
  • Публикации в прессе связали время атак с игровым турниром SquidCraft и описали более широкие сбои по всей стране, однако эти утверждения выходят за рамки подтверждённых формулировок правительства и должны оставаться атрибутированными [2][3].
  • Открытые данные не называют вектор атаки, измеренный объём, перегруженный компонент, провайдера средств защиты, число пострадавших абонентов или точную последовательность восстановления.
  • RFC 4732 объясняет, почему перегрузка каналов, ранняя фильтрация, мониторинг, внеполосное управление и распределённое проектирование услуг являются отдельными мерами защиты; документ не доказывает, какие из них использовала Andorra Telecom [5].
  • Надёжное итоговое заключение должно связать AS6752 и реестры услуг с наблюдаемым трафиком, ёмкостью, действиями фильтрации, результатами для фиксированной и мобильной связи, внешними проверками и отрицательным тестом на повторение инцидента.

Что произошло

Правительство Андорры опубликовало наиболее узкую авторитетную версию инцидента 24 января 2022 года. В ней говорится, что несколько атак типа «отказ в обслуживании», направленных на срыв трансляций некоторых YouTube-блогеров, повлияли на интернет и связь 4G у части пользователей Andorra Telecom. В уведомлении указаны два временных окна: вечер пятницы с 21:00 до 22:30 и суббота с 19:00 до 22:00 [1].

Это заявление подтверждает оператора, классы услуг, категорию атаки, даты, временные окна и как минимум часть воздействия на клиентов. Оно не утверждает, что связь потеряли все абоненты. Оно не называет скорость пакетов, битрейт, протокол атаки, целевой адрес, восходящий маршрут, состояние межсетевого экрана или действия по смягчению. Эти упущения определяют границу доказательств для любого ответственного анализа.

The Record сообщил об атаках в течение четырёх дней подряд, идентифицировал сеть как Andorra Telecom AS6752, связал время атак с турниром SquidCraft и описал общенациональные сбои связи. Издание также сослалось на неназванные источники, сообщавшие о всплесках до 100 Гбит/с [2]. Tom's Hardware сообщил об одновременных отключениях среди участников из Андорры и заявил, что в стране почти или полностью отсутствовал интернет более получаса [3]. Эти материалы помогают описать наблюдаемые эффекты и публичный контекст. Они не заменяют телеметрию оператора и не превращают цифру 100 Гбит/с в официальное измерение.

Различие между «частью пользователей» и «всей страной» — это не деталь, которую можно сгладить. Это нерешённый вопрос о масштабе. Оно может объясняться разными окнами наблюдения, частичной доступностью, различиями между фиксированной и мобильной связью, географической вариацией, восстановлением в разное время или неточностью отчётности. Открытые данные не позволяют внешнему читателю выбрать одно из этих объяснений.

Почему концентрация меняет последствия

DDoS-атака распределена, потому что трафик приходит из множества источников. Защитник не может решить проблему блокировкой одного адреса, а вредоносный трафик бывает трудно отличить от внезапной легитимной аудитории. Прямая цель — истощение ресурсов: заполнить канал доступа, перегрузить обработку пакетов, исчерпать состояние соединений, перегрузить сервис или заставить защитную систему стать узким местом.

Последствия зависят от того, где сосредоточены ресурсы. На рынке с множеством независимых сетей доступа атака на одного провайдера может быть серьёзной, но не превращается в событие национальной зависимости. В Андорре открытые данные описывают Andorra Telecom как публичную компанию и связывают её с телекоммуникационной инфраструктурой страны и универсальной системой оптоволоконного доступа [6]. Современные публикации называли её единственным интернет-провайдером [2][3]. Такая концентрация увеличивает радиус поражения при общем внешнем узком месте или общей мере защиты.

Концентрация не является доказательством халатности. Небольшая страна не может воспроизвести топологию, экономику или разнообразие поставщиков целого континента. Но она меняет то, что должна демонстрировать готовность. Планирование ёмкости обязано учитывать коррелированный спрос по всей абонентской базе. Внешние каналы должны иметь границы отказов и насыщения. Фиксированный интернет и 4G могут совместно использовать восходящий транспорт, фильтрацию, системы идентификации, диспетчерские, электропитание или поставщиков, даже если технологии доступа различаются.

Поэтому стандарт подотчётности — это не «предотвратить каждую атаку». RFC 4732 отмечает, что защита от всех возможных атак типа «отказ в обслуживании» нереалистична, и операторы должны строить системы, устойчивые к вредоносной и невредоносной перегрузке [5]. Стандарт состоит в том, чтобы сделать известные классы атак дорогими, ограничить область сбоя, сохранить доступ к управлению, предсказуемо восстанавливаться и сохранить достаточно доказательств, показывающих, какой слой сработал или отказал.

Технический уровень

Первое возможное узкое место — международная ёмкость. Если атакующий трафик заполняет трансграничный канал до того, как достигнет локальной фильтрации, устройство внутри Андорры может отбросить каждый вредоносный пакет, но так и не восстановить полезную ёмкость: дефицитный канал уже пропустил трафик. RFC 4732 прямо указывает на это и рекомендует устранять явно вредоносный трафик раньше, по возможности ближе к источнику [5]. На практике это требует координации с вышестоящими операторами, удалённо активируемых мер или пути очистки с достаточной обратной ёмкостью.

Второе узкое место — граница смягчения. Межсетевой экран, детектор потоков, балансировщик нагрузки, система операторского NAT, мобильный пакетный шлюз или устройство очистки имеют ограниченную пропускную способность по пакетам в секунду, состоянию, памяти и плоскости управления. Защита, рассчитанная только в гигабитах, может отказать при высокой скорости пакетов. Защита с сохранением состояния отказывает иначе, чем фильтр без состояния. Отчёт об инциденте должен различать использование канала, пакеты в секунду, создание потоков, занятость таблиц, нагрузку процессора, потери, очереди и успешный легитимный трафик.

Третье узкое место — маршрутизация и масштаб услуг. Blackholing может защитить остальную сеть, отбрасывая трафик к целевому адресу, но он намеренно делает этот адрес недоступным. Действующие коммерческие условия Andorra Telecom оставляют за оператором право активировать защиту, включая blackholing, когда это необходимо для защиты национальной интернет-сети или клиентского трафика от последствий DDoS [7]. Это свидетельство наличия категории мер, а не доказательство того, что blackholing применялся в 2022 году.

Действие blackhole требует точной цели, ограничения по времени, утверждения, наблюдения за маршрутом и записи влияния на клиентов. Слишком широкий префикс может отключить несвязанные услуги. Устаревший маршрут может пережить атаку. Провайдер смягчения может анонсировать более специфичный маршрут и привлечь трафик, но обратный путь, авторизация маршрута и ёмкость должны быть проверены. Оператор должен знать не только о том, что мера была запрошена, но и какой маршрут появился в работающей сети и какие услуги остались доступными.

Четвёртое узкое место — операционное управление. Во время перегрузки плоскости данных инженерам по-прежнему нужен доступ к маршрутизаторам, системам смягчения, DNS, аутентификации, мониторингу и связи. RFC 4732 рекомендует частный внеполосный доступ, поскольку внутриполосное управление может отказать во время той же атаки [5]. Итоговое заключение должно показывать, что операторы могли наблюдать за сетью и изменять её, не завися от перегруженного пути.

Пятое узкое место — восстановление. Атакующий трафик может прекратиться, фильтр может сработать, маршрут может измениться или перегруженная система может перезапуститься. Это разные механизмы восстановления. Зелёная внутренняя панель не доказывает, что клиенты могут обращаться к услугам, а восстановленный маршрут BGP не доказывает, что прикладной трафик проходит. Проверки фиксированной и мобильной связи изнутри и извне Андорры должны показать, когда вернулись DNS, транспорт и типичные приложения.

Цепочка защиты должна быть наблюдаемой

Обнаружение начинается с нормальной базовой картины. RFC 4732 рекомендует отслеживать аномальный трафик до события, поскольку защитник не может охарактеризовать то, чего не наблюдал [5]. Полезная базовая картина отделяет клиентский спрос от атакующего трафика по интерфейсу, протоколу, назначению, размеру пакетов, распределению источников и классу услуг. Она также фиксирует нормальный запас ёмкости и время, необходимое для активации каждой внешней защиты.

Классификация должна избегать ложной уверенности. Время атак 2022 года подтверждает связь с турниром, о которой сообщали правительство и пресса, но время не идентифицирует атакующего. Образец пакетов может выявить протоколы и паттерны источников, не доказывая, кто контролировал источники. Гипотеза о DDoS-услуге по найму не является результатом атрибуции, пока цепочку не замыкают доказательства об инфраструктуре, платежах, аккаунтах или действиях правоохранительных органов.

Меры смягчения должны сохранять журнал действий. Для каждого фильтра, ограничения скорости, изменения маршрута, перенаправления на очистку или blackhole журнал должен фиксировать точную цель, запросившего, утвердившего, отметку времени, срок действия, ожидаемый эффект, наблюдаемый эффект и откат. Запись должна включать неудачные действия и неоднозначные ответы. Повторная попытка операции после тайм-аута может дублировать или расширить меру, если интерфейс не идемпотентен.

Проверка требует внешних точек наблюдения. Одна проба внутри оператора может иметь ту же слепую зону, что и отказывающая сеть. Оператор должен тестировать фиксированный широкополосный доступ, мобильные данные, DNS, публичные веб-сайты, бизнес-точки и государственные услуги с нескольких путей. Следует фиксировать частичный отказ, а не сжимать все состояния до «работает» или «не работает».

Наконец, оператор должен провести отрицательный тест на повторение. Это не церемониальный повтор панели мониторинга. Следует отправить безопасную контролируемую нагрузку или смоделировать состояние маршрутизации и смягчения, вызвать тот же класс тревоги, задействовать ограниченную защиту, доказать, что несвязанные префиксы и услуги остаются доступными, снять меру и согласовать каждое событие с внешними наблюдениями.

Реестр — это журнал, а не результат

PeeringDB в настоящее время идентифицирует Andorra Telecom как AS6752 и приводит региональную сетевую структуру с публичной информацией о межсетевых соединениях [4]. Эта запись полезна для идентификации, контактов и планируемых соединений. Поскольку она актуальна на текущий момент, она не может восстановить партнёров, ёмкость, маршрутную политику или контракты на смягчение оператора по состоянию на январь 2022 года.

Это различие важно не только из-за исторической осторожности. Номер автономной системы идентифицирует домен маршрутизации, но не доказывает, что каждый анонс был корректен, каждый путь имел ёмкость или каждый пакет дошёл до клиента. Список каналов фиксирует планируемую инфраструктуру, но не доказывает, что пути были физически независимы или доступны при коррелированной перегрузке. Контракт на смягчение фиксирует полномочия действовать, но не доказывает, что запрошенный маршрут или фильтр фактически достигли сети.

Цепочка доказательств должна соединять журнал с реальностью. Оператору следует привязать сервисные префиксы, вышестоящих провайдеров, пиринговых партнёров, маршруты очистки, зависимости фиксированной и мобильной связи и владельцев мер к наблюдениям с временными отметками из работающей сети. Расхождения должны оставаться видимыми. Если инвентаризация утверждает, что два пути независимы, а они отказывают одновременно, итоговое заключение должно исправить запись о зависимостях, а не переопределять сам сбой.

Кто пострадал

Правительство подтвердило воздействие на часть клиентов интернет- и 4G-услуг [1]. Публикации в прессе описали более широкие последствия для домохозяйств, бизнеса, государственных органов и участников турнира [2][3]. Безопасный вывод состоит в том, что заметное игровое событие вскрыло гораздо более широкую общую зависимость. Открытые доказательства не позволяют установить точное число клиентов, продолжительность сбоя для каждого пользователя, потерю выручки или карту отключений по отдельным услугам.

Домохозяйства столкнулись с отказами или ухудшением обычной связи. У стримеров сбой был особенно заметен, поскольку для участия в событии требовались непрерывный исходящий поток и низкая задержка. Бизнес столкнулся с потенциальными перебоями в платежах, облачных сервисах, коммуникациях и удалённом доступе. Государственные услуги могли использовать ту же внешнюю связь, даже если внутренние системы оставались работоспособными. Мобильные пользователи важны, поскольку правительство прямо упомянуло 4G.

Каждой группе нужен свой показатель непрерывности. Тест скорости не измеряет экстренную связь. Доступная главная страница не доказывает, что транзакция VPN завершается. Индикатор регистрации в мобильной сети не доказывает, что данные достигают внешнего сервиса. Поэтому итоговое заключение национального оператора должно сообщать о реальных результатах для типичных услуг, а не только об общем трафике или состоянии устройств.

Что должно содержать надёжное итоговое досье

Первый раздел — хронология. Он должен показывать первый аномальный трафик, первый симптом у клиента, сигнал тревоги, классификацию, каждый контакт с вышестоящим провайдером, каждое действие по смягчению, восстановление фиксированной и мобильной связи, снятие меры и окончательное внешнее подтверждение. Времена должны иметь единые часы и сохранять неопределённость, а не заполнять ложную точность задним числом.

Второй раздел — масштаб. В нём следует перечислить целевые адреса и префиксы, затронутые каналы и системы, классы клиентов и услуг, географические различия и незатронутые меры. Если атака перемещалась между целями или меняла протокол, запись должна показывать переход.

Третий раздел — ёмкость и действия. Следует зафиксировать биты в секунду, пакеты в секунду, потоки, запас канала, состояние устройств, ёмкость очистки, счётчики фильтров, изменения маршрутов и обратную ёмкость для чистого трафика. Публичное раскрытие может агрегировать чувствительные значения, но при этом называть перегруженный слой и класс мер.

Четвёртый раздел — проверка услуг. Внешние пробы должны показывать DNS, установку TCP или QUIC, типичные транзакции, фиксированный доступ, мобильные данные, бизнес-подключения и приоритетные пути государственных услуг. Внутреннюю телеметрию и жалобы клиентов следует согласовывать, а не представлять как конкурирующие истины.

Пятый раздел — предотвращение повторения. Следует указать долговременное изменение, владельца, срок, учения, критерии отказа и сохранённые доказательства. «Больше ёмкости» — неполный ответ, если активация фильтрации медленная. «Лучшая фильтрация» — неполный ответ, если канал насыщается выше по потоку. «Больше каналов» — неполный ответ, если они используют общую меру или объект.

За чем следить дальше

Самый важный публичный сигнал — различают ли последующие уведомления об инцидентах объём атаки и эффект для клиентов и называют ли перегруженный слой. Второй сигнал — сообщают ли о фиксированном интернете и мобильных данных отдельно. Третий — означает ли восстановление прекращение атакующего трафика, срабатывание смягчения, стабилизацию маршрутов или фактическую работу типичных сервисов.

Операторам и клиентам также следует следить за масштабом защитной маршрутизации. Действующие условия blackholing делают дисциплину целей и сроков существенной [7]. Оператор может защитить национальную сеть, пожертвовав одним направлением, но должен уметь показать, почему мера была соразмерной, какие клиенты пострадали и когда вернулась нормальная доступность.

Долговременный урок не в том, что игровой турнир может «обрушить страну». Подтверждённый вывод уже и полезнее: повторяющийся вредоносный трафик против концентрированного национального оператора вызвал подтверждённые сбои интернета и 4G. Устойчивость становится подотчётной, когда оператор может связать идентичность, ёмкость, действия по смягчению, наблюдаемые услуги и восстановление в одну проверяемую запись.

Источники

  1. https://www.govern.ad/ca/w/dos-atacs-de-denegacio-de-servei-afecten-de-nou-alguns-usuaris-d-andorra-telecom-1
  2. https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament
  3. https://www.tomshardware.com/news/minecraft-ddos-attack-leaves-small-european-country-without-internet
  4. https://www.peeringdb.com/api/net?asn=6752
  5. https://www.rfc-editor.org/rfc/rfc4732.html
  6. https://www.andorratelecom.ad/en/applicable-legislation/
  7. https://www.andorratelecom.ad/en/product-conditions/services-solutions-companies/