Palvelunestohyökkäys on kyberhyökkäys, jossa hyökkääjä tukkii verkkosivuston tai -palvelun palvelimen niin suurella liikennemäärällä, ettei se enää pysty vastaamaan aitoihin kävijöihin. Englanniksi ilmiötä kutsutaan nimellä Denial-of-service, josta tulee lyhenne DoS. Kun hyökkäys tehdään tuhansien kaapattujen laitteiden avulla yhtä aikaa, kyse on hajautetusta palvelunestohyökkäyksestä eli DDoS-hyökkäyksestä (engl. Distributed Denial-of-service attack).
Seuraavaksi käydään läpi, miten DoS ja DDoS eroavat toisistaan, miksi sivusto kaatuu hyökkäyksen aikana, miten siltä suojaudutaan käytännössä ja onko tekijä ylipäätään tavoitettavissa Suomen lain edessä.
Mitä eroa on DoS- ja DDoS-hyökkäyksellä?
DoS-hyökkäys tulee yhdestä lähteestä, ja se on suhteellisen helppo torjua estämällä yksi IP-osoite. DDoS-hyökkäys tulee samaan aikaan tuhansista eri laitteista ympäri maailmaa, jolloin liikenne muistuttaa aitoa kävijäpiikkiä eikä sitä voi torjua estämällä vain muutamaa osoitetta.
| Ominaisuus | DoS-hyökkäys | DDoS-hyökkäys |
|---|---|---|
| Liikenteen lähde | Yksi laite tai IP-osoite | Tuhansia kaapattuja laitteita, eli bottiverkosto |
| Torjunnan vaikeus | Suhteellisen helppo: yhden IP:n esto usein riittää | Vaikea: liikenne muistuttaa aitoa kävijäpiikkiä |
| Kuka hyökkäyksen takana | Yksittäinen hyökkääjä | Hyökkääjä sekä tietämättömät bottiverkon jäsenlaitteet |
| Yleisyys nykyisin | Harvinainen | Suurin osa nykyisistä palvelunestohyökkäyksistä |
DDoS-hyökkäyksestä käytetään suomeksi myös nimitystä hajautettu palvelunestohyökkäys. Hyökkääjä käyttää apunaan lukuisia kaapattuja tietokoneita ja muita laitteita, joista koostuvaa kokonaisuutta kutsutaan bottiverkostoksi. Tavallinen netinkäyttäjä voi kuulua tällaiseen verkostoon tietämättään, varsinkin jos oman koneen virustorjunta on laiminlyöty.
Juuri tästä syystä DDoS on huomattavasti hankalampi torjua kuin tavallinen DoS. Liikenne tulee samanaikaisesti lukuisista eri IP-osoitteista. Se muistuttaa käytännössä suurta, luonnollista kävijäpiikkiä.
Miksi sivusto kaatuu palvelunestohyökkäyksen aikana?
Palvelin saa hyökkäyksen aikana niin paljon kyselyitä, ettei se ehdi vastata kenellekään. Sivusto näyttää kävijän silmissä kaatuneelta, vaikka vika ei ole itse verkkosivustossa vaan palvelimen ylikuormituksessa.
Yleensä ongelma koskettaa vain samalla palvelinlaitteella olevia asiakkaita ja sivustoja. Jos hyökkäys on erityisen laaja, koko palveluntarjoajan liikennekaista voi täyttyä aiheettomasta liikenteestä. Silloin kaikki saman yhteyden alla olevat palvelut voivat olla tavoittamattomissa, vaikka hyökkäys ei kohdistuisi juuri siihen palvelimeen, jolla omat sivut sijaitsevat.
Miten suojautua palvelunestohyökkäykseltä?
Täydellistä suojaa ei ole, mutta vahinkoa voi rajata monella tavalla: estämällä yksittäisiä IP-osoitteita, suodattamalla liikennettä automaattisesti, valvomalla palvelimia ympäri vuorokauden ja varmistamalla, että käytettävissä on riittävästi kaistaa hyökkäyksen niellä.
Joissain tapauksissa hyökkäys tulee vain muutamasta tietystä IP-osoitteesta. Silloin ne voidaan estää kokonaan joko palveluntarjoajan tai oman palvelimen palomuurin asetuksista. Markkinoilla on myös palveluita, jotka suodattavat vääränlaista liikennettä automaattisesti ja tarjoavat lisätyökaluja tilanteisiin, joissa hyökkäys on jo käynnissä.
Iso rooli on myös valvonnalla. Zonerilla ja useimmilla palveluntarjoajilla on käytössä 24/7-valvonta palvelimilla, jolloin ongelmiin pystytään puuttumaan nopeasti. Yksinkertaisimmillaan torjunta tarkoittaa yhteyksien estämistä tietyiltä IP-osoitteilta. Jos hyökkäys kohdistuu hajautetusti yhtä tiettyä sivustoa tai IP-osoitetta kohti, kyseinen kohde voidaan tilapäisesti suodattaa pois käytöstä, jolloin muut samalla palvelimella olevat asiakkaat eivät kärsi tilanteesta.
On myös hyökkäystyyppejä, jotka muistuttavat enemmän hakkerointia ja kohdistuvat yksittäisiin skripteihin tai toimintoihin, esimerkiksi tiettyyn WordPress-lisäosaan. Näissä tapauksissa hyökkäyksessä käytetyt kutsut voidaan tarvittaessa estää kokonaan kohdepalvelimelta.
Miksi kaistan koko ratkaisee
Hyökkäyksen vaikutukset riippuvat pitkälti siitä, onko palveluntarjoajan käytettävissä oleva kaista suurempi kuin hyökkäyksessä käytetty liikennemäärä. Mitä suurempi kaista palveluntarjoajalla on käytössään, sitä todennäköisemmin ongelmat saadaan minimoitua.
Rehellisyyden nimissä: osaa hyökkäyksistä ei voida torjua täysin, ei edes parhaalla palveluntarjoajalla. Täydellisiä ratkaisuja ei ole. Kaistan koko ja hyvä valvonta kuitenkin pienentävät riskiä merkittävästi ja lyhentävät katkon kestoa, jos jotain sattuu.
Käytännön vinkkejä suojautumiseen
Muutama asia kannattaa tarkistaa jo ennen kuin mitään on tapahtunut. Valitse sivustollesi sopiva webhotelli, jolla on riittävän suuri ja redundantti verkkoyhteys sekä ympärivuorokautinen valvonta: iso osa hyökkäyksistä torjutaan sitä nopeammin, mitä nopeammin poikkeama liikenteessä huomataan. Pidä myös sivuston ohjelmistot, kuten WordPress-ydin, teemat ja lisäosat, ajan tasalla. Moni palvelunestohyökkäystä muistuttava häirintä käyttää hyväkseen juuri vanhentuneen lisäosan tunnettua aukkoa, ei itse palvelinta.
Jos sivusto tai verkkokauppa on liiketoiminnan kannalta kriittinen, kannattaa harkita erillistä liikenteen suodatuspalvelua tai CDN:ää, joka tasaa kävijäpiikit ja suodattaa haitallisen liikenteen pois ennen kuin se saavuttaa palvelimen. Myös oman palomuurin ja IP-tason estojen pitäminen ajan tasalla auttaa, samoin kuin valmiiksi mietitty toimintasuunnitelma: kenelle soitat ja mitä teet ensimmäisenä, jos sivusto lakkaa vastaamasta. Useimmat palveluntarjoajat pystyvät auttamaan IP-tason estoissa nopeasti, kunhan hyökkäyksestä ilmoittaa heti.
Jos oma sivusto tai verkkokauppa kasvaa niin isoksi, että se tarvitsee omat, jaetusta ympäristöstä erotetut resurssit, kannattaa tutustua virtuaalipalvelimiin. Yleisistä tietoturvan perusasioista, kuten varmuuskopioinnista ja kaksivaiheisesta tunnistautumisesta, kerrotaan tarkemmin oppaassa yrityksen tietoturva verkkosivuille.
Kansallisella tasolla palvelunestohyökkäyksiin varautumista ohjeistaa myös Traficomin Kyberturvallisuuskeskus, jonka toimintaohjeesta löytyy hyviä lisävinkkejä erityisesti suurempien organisaatioiden varautumiseen.
Onko palvelunestohyökkäys laitonta Suomessa?
Kyllä. Suomessa palvelunestohyökkäys täyttää rikoslain mukaisen tietoliikenteen häirinnän tunnusmerkistön (RL 38:5), josta voi seurata sakkoa tai vankeutta enintään kaksi vuotta. Myös yritys on rangaistava.
Jos hyökkäyksessä käytetään laajamittaista bottiverkkoa tai se kohdistuu esimerkiksi kriittiseen infrastruktuuriin, kyse voi olla törkeästä tietoliikenteen häirinnästä (RL 38:6). Silloin rangaistus on ankarampi: neljästä kuukaudesta viiteen vuoteen vankeutta. Laki mainitsee bottiverkon käytön nimenomaisena raskauttavana tekijänä, mikä kertoo, kuinka vakavana lainsäätäjä DDoS-tyyppisiä hyökkäyksiä pitää.
Usein kysytyt kysymykset
Mikä on palvelunestohyökkäys lyhyesti?
Palvelunestohyökkäys on kyberhyökkäys, jossa palvelin tukitetaan niin suurella liikennemäärällä, ettei se pysty enää palvelemaan aitoja käyttäjiä. Yleisin muoto nykyään on DDoS-hyökkäys, jossa liikenne tulee samanaikaisesti tuhansista kaapatuista laitteista eli bottiverkostosta.
Mitä eroa on DoS- ja DDoS-hyökkäyksellä?
DoS-hyökkäys tulee yhdestä lähteestä ja on helppo torjua estämällä yksi IP-osoite. DDoS-hyökkäys tulee samaan aikaan tuhansista eri laitteista, jolloin se muistuttaa aitoa kävijäpiikkiä eikä sitä voi torjua estämällä vain muutamaa osoitetta.
Miten tunnistan palvelunestohyökkäyksen?
Selvin merkki on sivuston hidastuminen tai kaatuminen ilman näkyvää syytä, usein yhdessä epätavallisen suuren ja äkillisen kävijäpiikin kanssa. Palveluntarjoajan 24/7-valvonta huomaa yleensä poikkeaman liikennemäärissä jo ennen kuin käyttäjä ehtii edes valittaa.
Onko palvelunestohyökkäyksen tekeminen laitonta Suomessa?
Kyllä. Se täyttää rikoslain tietoliikenteen häirinnän tunnusmerkistön (RL 38:5), josta seuraa sakkoa tai vankeutta enintään kaksi vuotta. Bottiverkkoa hyödyntävä hyökkäys voidaan tulkita törkeäksi tietoliikenteen häirinnäksi (RL 38:6), jolloin rangaistus on 4 kuukaudesta 5 vuoteen vankeutta.
Voiko palvelunestohyökkäykseltä suojautua?
Ei täysin. Palveluntarjoaja voi estää IP-osoitteita, suodattaa liikennettä ja varmistaa riittävän kaistan, mutta kaikkein massiivisimpia hyökkäyksiä vastaan ei ole täydellistä ratkaisua. Iso ja redundantti verkkoyhteys pienentää riskiä huomattavasti, muttei poista sitä kokonaan.
