Александр Лямин - Интервью - 2011-12-04

Ddos-атака - это проблема технического характера. Ее нужно решать технически. Это первый тезис. Второй тезис: если технически она решаема, то розыскные мероприятия должны проводиться крайне оперативно. То есть речь идет о счете времени на минуты. Давайте возьмем хотя бы характеристики вашей атаки. Если посмотреть, то в пике там было 20 тысяч инфицированных машин в стоп-листе. А составом приблизительно таким: США, Турция, Австралия, Бразилия, Франция, Польша, Италия, Мексика и Индия. Это топ. Теперь представьте себе, как организационно организовать изъятие тела атакующего вируса на этих машинах, находящихся в этих странах. Через Интерпол по всем срокам - невозможно. Через какие-то связи – возможно. Даже на уровне ФСБ сталкивались с проблемой: не всегда представляется возможным поймать исполнителя. Плюс ко всему еще есть современные ботнеты, которые использует технологии p2p для своего управления с шифрованием (приблизительно так же, как устроен Tor, он же - onion networker). И там вообще технически становится все совсем сложно. Так что, на наш взгляд, технически только имея огромное техническое плечо на уровне послушайте трафик на публичных эксченджах.

Ddos-атака была, скажем так, не уникальна. Она была выше среднего уровня, совершенно точно. Средний уровень – на небольшую интернет-коммерцию обычно. Атакующий ботнет составляет среднее число по больнице – 5 тысяч зараженных машин. Этого достаточно, чтобы поставить на колени любой мелкий интернет-магазин.

У вас число ботов превышало в 5 раз, т.е. 25 тысяч ботов. То есть это выше середняка. И по трафику у вас было в пике 300 Мегабит.

Для сравнения приведу цифры топовые по атакующим ботнетам: 27 тысяч ботов составляет топовый ботнет, который мы фиксировали, и скорости порядка 56 Мб/с. Это в России. Это те скорости, которые видели мы.

Логика такой атаки простая. Я сейчас совсем крупным планом скажу. Мы де-факто живем в обществе информационном. Скорость распространения информации в обществе влияет на все: на политику, на деньги. Это единственный важный критерий. У любой атаки цель одна: заблокировать распространение какой-либо частной информации: не важно, это частная информация, политическая, еще какая-то. Кто-то мог извлечь определенные выгоды от того, чтобы заблокировать распространение той информация, которая распространялась сайтом "Эхо Москвы". Какие – я не знаю. Я человек далекий от политики.