VAS Experts представила решение для операторов связи, которое должно находить заражённые абонентские устройства и точечно ограничивать их вредоносный трафик. Защита от ботнетов всё заметнее превращается из отдельной услуги по отражению DDoS в операционную задачу самого провайдера: заражённый домашний роутер способен испортить связь владельцу, нагрузить сеть и отправить операторские IP-адреса в чёрные списки. Об этом сообщает CNews.
Суть проблемы неприятна именно своей близостью к абоненту. Ботнет не обязательно приходит извне: его участником может стать устройство внутри сети оператора — домашний маршрутизатор, камера, иной подключённый гаджет. Когда такие устройства начинают рассылать вредоносный трафик, страдает не только цель атаки. У владельца падает скорость доступа, а добросовестные клиенты могут столкнуться с недоступностью сервисов, если адреса оператора получают плохую репутацию.
Традиционный сценарий для провайдера выглядит дорого и не слишком масштабируемо. Нужно обнаружить проблему, понять, к какому абоненту она относится, связаться с ним, а иногда отправить специалиста и заменить оборудование. Пока это происходит, устройство остаётся частью ботнета, а служба поддержки получает ещё один случай, который нельзя закрыть стандартным советом перезагрузить роутер. Чем больше подключённых устройств в абонентских сетях, тем хуже работает ручная модель реагирования.
Представленное VAS Experts решение разделяет внутренние и внешние угрозы. Для трафика от заражённого абонентского оборудования защита работает в сегментах, расположенных ближе всего к пользователю: система должна выявить конкретный источник, ограничить его активность и дать оператору возможность уведомить владельца устройства. Остальным абонентам при этом не требуется отключать доступ или вводить широкие ограничения — важная деталь для сети, где одна ошибочная блокировка быстро становится проблемой поддержки и репутации.
Внешние DDoS-атаки обрабатываются иначе: система обнаруживает аномальную нагрузку и применяет правила митигации на вышестоящем канале. Идея проста: вредоносный поток нужно остановить до того, как он займёт пропускную способность и ресурсы инфраструктуры оператора. На практике это означает, что защита от ботнетов должна быть встроена в сетевой контур, а не существовать как отчёт, который инженер увидит после жалоб клиентов.
Компания предлагает два варианта поставки: облачный — для небольших региональных провайдеров — и локальную установку для операторов с развитой аналитической системой. Исполнительный директор VAS Experts Артём Терещенко сообщил, что дальнейшее развитие продукта будет опираться на обратную связь операторов. Среди ближайших направлений он назвал автоматическое применение мер противодействия и оперативные уведомления об атаках.
Для ИТ-команд операторов здесь важен не только выбор конкретного поставщика. Автоматизация упирается в качество телеметрии, правила, по которым трафик признаётся опасным, и процесс общения с абонентом. Слишком агрессивная фильтрация может затронуть легитимную активность, слишком осторожная — оставит заражённое устройство в сети надолго. Нужны понятные маршруты эскалации между NOC, ИБ, поддержкой и выездными службами, а также сценарии, в которых пользователь получает не загадочное «доступ ограничен», а объяснение и способ исправить проблему.
Для бизнеса провайдера борьба с ботнетами становится частью качества базовой услуги, а не только строкой в бюджете на информационную безопасность. Клиент редко интересуется, был ли источник проблемы внутри сети или снаружи: он видит медленный интернет и недоступный сервис. Следующий вопрос для рынка — насколько быстро операторы перейдут от ручного поиска заражённых устройств к постоянной автоматизированной фильтрации, сохранив при этом прозрачные правила для абонентов и инженеров.
