Salve a tutti,
come alcuni di voi avranno notato, ieri in concomitanza con l' inizio delle partite di champions si son registrati brevi interruzioni di linea che han causato (soprattutto per le AIR) forti disagi. Da circa 3 settimane siamo vittime di continui attacchi informatici (DDoS) con l' intento di rendere il servizio instabile e non permettervi di fruire della connessione ad internet. Con i nostri sistemi di protezione siamo riusciti a ridurre al minimo questi disagi, ma siamo al corrente che qualche disconnessione o aumento delle latenze, anche se solo per pochi minuti le avete notate ed è inaccettabile per lo standard qualitativo che vogliamo offrire.
Per farvi capire la situazione vi posto un grafico che indica il consumo di banda nella nostra rete nelle ultime 24 ore
La parte verde indica il traffico in ingresso nella nostra rete e, nella freccia 1 è indicato l' inizio dell' attacco. L' attaccante ha scelto l' orario di inizio delle partite per creare il massimo disagio possibile. Essendo un attacco che ci colpiva da giorni non ha creato disagi, quindi, alla freccia 2 ha iniziato un diverso tipo di attacco, ancora più forte e ancora più complesso.
Cosa rende particolare questo tipo di attacco?
Oltre che la portata (per i più tecnici lo capirete da questo grafico)
La verà particolarità è che tutti gli ip dell' azienda erano coinvolti. Ogni ip riceveva circa 4-5Mbps non facendo scattare l' anti-DDoS. Il nostro soc h24 è subito stato allertato e siamo intervenuti manualmente ad alzare i filtri. Dopo pochi minuti la maggior parte dei clienti erano tornati regolarmente online, ma il punto di raccolta delle AIR aveva fortissimi packet loss rendendo la connessione molto lenta. Andando ad analizzare la situazione abbiamo trovato altro tipo di DDoS, nascosto sotto il precedente che stava causando sovraccarico sull' apparato. I DDoS infatti, non sono tutti uguali, ci sono quelli amplificativi, che mirano a saturare la banda e quelli applicativi che vanno a creare saturazione negli apparati.
Analizzando l' attacco abbiamo notato che oltre 15000 IP, di macchine compromesse, erano usati per generare il secondo DDoS.
Cosa fare?
Bloccare per IP è impossibile, unendo i due DDoS significa bloccare oltre 50000 indirizzi IP. Per nazione significa crearvi un forte disagio essendo vari continenti coinvolti, quindi quale soluzione?
La soluzione è stata analizzare i singoli pacchetti in ingresso e trovare i fattori comuni. Abbiamo trovato 4 tipi di pattern nei pacchetti che potessero raggruppare l' intero attacco (ovviamente non posso condividerli). Abbiamo quindi applicato le dovute contromisure e tutti gli utenti, AIR comprese sono tornati Online. Dopo circa 1 ora dall' applicazione delle nuove regole, vedendo che l' attacco non sortiva più gli effetti desiderati e tutti erano regolarmente online è cessato, come da freccia 3
Passata circa 1 ora e trenta di "quiete" (qualcuno penserà alla quiete prima della tempesta), è stato lanciato un nuovo attacco combinato tra gli attacchi dei giorni precedenti e quello della sera stessa per cercare di creare il massimo disservizio (freccia 4). Avendo imparato che, non ci si può fidare 😒, avevamo mantenuti attivi i filtri inseriti negli attacchi precedenti e con nostra felicità, tutte le 2 ore e mezza di attacco, non hanno causato alcun disservizio. L' attaccante ha quindi desistito dal suo intento (freccia 5).
Conclusioni
E' evidente che non si tratta di attacchi casuali, ma di un gruppo organizzato con il solo intento di creare disservizi e difficoltà all' intera azienda. In questi giorni saremo in massima allerta per monitorare la situazione. Visto il tipo, la portata e la frequenza degli attacchi i disservizi sono realmente minimi, ma lo standard qualitativo che vogliamo, pretendiamo e meritate è decisamente diverso. Lato SeFlow/PianetaFibra, il soc è impegnato al massimo per debellare questa piaga e le autorità si sono immediatamente attivate per darci supporto investigativo necessario.
Per voi clienti, il nostro obiettivo primario è riportare la stabilità che volete e meritate e stiamo anche pensando a soluzioni di indennizzo per dimostrarvi che, quanto accaduto non deve essere la normalità. Non importa se i contratti e gli SLA sono rispettati, la qualità offerta in questi giorni bui, non rispecchia i nostri standard.
Sarà nostra cura tenervi aggiornati in questo thread.
Matteo Berlonghi
