Как мы защитили СОГАЗ от многовекторных DDoS-атак

После событий февраля 2022 года Россию накрыло цунами DDoS-атак. Под прицелом политических хактивистов оказались госсектор, телеком, финансы и многие другие отрасли. 

В числе первых также пострадали крупные страховые компании. На них обрушились многочисленные многовекторные DDoS-атаки. Злоумышленники «били» сразу по нескольким уровням инфраструктуры — одновременно штурмовали сайты, приложения, сетевое оборудование и каналы интернет-связи. 

Со временем угроза не ослабла. Многовекторные DDoS-атаки на страховые компании продолжаются до сих пор. Как СОГАЗ — лидер российского рынка страхования — отражает сотни DDoS-атак в день с помощью StormWall, рассказываем далее.

Коротко о главном

Клиент/Отрасль	Страховая группа «СОГАЗ» / Страхование
Наш сервис	StormWall для сайта: DDoS-защита для веб-приложений
Ресурсы под защитой StormWall	Сайт sogaz.ru Веб-сервис Личный кабинет для доступа клиентов к услугам компании  Каналы интернет-связи

Клиент

Страховая группа «СОГАЗ» — один из крупнейших игроков рынка страхования в России. В региональную сеть группы входят свыше 1000 подразделений и офисов продаж, которые расположены во всех регионах страны. 

СГ «СОГАЗ» предоставляет более 100 программ страхования, в том числе касающиеся жизни и здоровья граждан (ОМС, ДМС и т.д.). Компания защищает более 6 млн человек и свыше 100 тыс. организаций, включая медицинские учреждения и системообразующие корпорации российской экономики. 

Задачи

«Страховые компании являются желанной целью для киберпреступников. Если страховщик довольно крупный, то успешная атака на него может оказать влияние на огромное количество граждан и организаций. Инцидент способен превратиться в проблему федерального масштаба. Поэтому для ответственных компаний устойчивость ИТ-инфраструктуры к DDoS-атакам —  вопрос первостепенной важности», — отмечает Евгений Чубатый, руководитель Центра SOC «СОГАЗ».

Первую серию многовекторных DDoS-атак в отношении нескольких ресурсов СОГАЗа ИБ-специалисты компании зафиксировали весной 2022 года. 

Растущие в масштабах и по количеству DDoS-атаки типа HTTP Flood стали мешать работе ресурсов на уровне L7. Резко возросла нагрузка на сайт компании — sogaz.ru, личный кабинет клиента. Параллельно злоумышленники штурмовали интернет-каналы и сервера, которые страховщик использует для взаимодействия с региональными подразделениями, центрами обработки данных и другими субъектами инфраструктуры. 

На сетевом и транспортном уровнях (L3-L4 по модели OSI) злоумышленники применяли тактику SYN Flood. Отправляя поддельные SYN-пакеты, хакеры стремились вывести из строя сетевое оборудование, переполняя его данными о новых соединениях пользователей.  

«Оба типа DDoS-атак встречаются довольно часто. В первое время отфильтровать флуд помогали наши провайдеры, которые предоставляют нам облачную и иную инфраструктуру для размещения ресурсов, — рассказывает Евгений Чубатый. — Однако используемые решения по очистке трафика были на грани возможностей — в первую очередь из-за скорости реакции поставщиков услуг, а часть работы по фильтрации приходилось выполнять своими силами. Нас, как крупную компанию, это не устраивало». 

В начале 2023 года на ресурсы «СОГАЗ» обрушилась ещё более масштабная серия многовекторных DDoS-атак. Вредоносный трафик шёл с десятков тысяч IP-адресов, зарегистрированных в множестве стран. Стало очевидно: теперь злоумышленники для атак чаще используют крупные ботнеты. При этом сайты и сеть находятся под высокой нагрузкой, а угроза будет только расти. В итоге было принято решение о необходимости специализированного сервиса от DDoS-атак. 

Выбор решения и поставщика

«При поиске средства защиты мы обращали особое внимание на время реагирования специалистов и качество предоставляемых услуг. Именно от этих параметров зависело, сможем ли мы минимизировать наши риски в случае мощной DDoS-атаки», — отмечает Евгений Чубатый.  

Ещё одним важным критерием выбора был удобный личный кабинет. Инженеры информационной безопасности и ИТ поддерживают ресурсы не только головной компании, но и дочерних обществ. У большинства из них есть собственные сайты, серверы и каналы связи. Все они подвергаются DDoS-атакам. Компания нуждалась в едином инструменте, который бы позволил настраивать защиту для всех ресурсов группы «СОГАЗ» и видеть актуальную ситуацию с трафиком на каждом из них. 

В удобном личном кабинете antiDDoS-решения для решения задач мониторинга нуждался не только SOC, но и ИТ-подразделения компании. В итоге при выборе учитывались мнения минимум двух сторон. И даже больше — важную роль в поиске подходящего средства защиты сыграло государство. 

«Наша компания относится к субъектам ключевой информационной инфраструктуры. Согласно законодательству РФ, такие организации обязаны использовать отечественные средства защиты или решения дружественных стран. И хотя спешки с импортозамещением в 2023 году ещё не было, мы уже тогда решили рассматривать исключительно российские сервисы antiDDoS», — отмечает Евгений Чубатый.

Подключение защиты под атакой

Изучив несколько решений на отечественном рынке, проведя несколько пилотов, команда «СОГАЗ» выбрала комплексную защиту от DDoS-атак для веб-приложений от StormWall. Решение соответствовало всем ожиданиям компании:

• высокая скорость реагирования на обращение — до 15 минут, 
• достойное качество предоставляемых услуг. StormWall разрабатывает и поставляет специализированную защиту от DDoS-атак более 12 лет, а также обладает собственной глобальной сетью очистки трафика с общей пропускной способностью фильтрации свыше 5 Тбит/с. Всё это позволяет компании максимально быстро отражать даже самые мощные и нестандартные DDoS-атаки,
• продукт находится в Реестре российского ПО, соответствует требованиям ФСТЭК и одобрен к внедрению на территории РФ,
• удобный личный кабинет, в котором можно самостоятельно и централизованно настраивать защиту, управлять решением и мониторить ситуацию с трафиком на всех элементах инфраструктуры. 

Кроме того, подключить сервис можно за 10 минут, в том числе если компания уже находится под DDoS-атакой. Именно по такому сценарию начиналась история сотрудничества СГ «СОГАЗ» и StormWall. 

Весной 2023 года количество и мощность DDoS-атак достигли исторического максимума. СОГАЗ подвергался сотням атак в день. При этом их общая мощность в пиковые периоды достигала 400 Гбит/с. В этот момент команда SOC обратилась к нам — в StormWall. Мы подключили решение за несколько минут и отфильтровали весь вредоносный трафик. 

«Под атакой мы решили внимательнее изучить сервис в работе. В проверке принимали участие как как специалисты SOC, так и сотрудники подразделений ИТ. Уже на этом этапе многие коллеги отметили, насколько быстро StormWall отражает многочисленные и разнородные DDoS-атаки. Все остальные кандидаты по основным критериям отбора показали себя хуже», — вспоминает Евгений Чубатый. 

Компания провела тендер, в котором приняли участие все ведущие поставщики antiDDoS-решений в России. В равной «борьбе» победили мы. В итоге в апреле 2023 года СОГАЗ добавил StormWall в ИБ-контур компании и заключил договор на поддержку.  

Итоги и перспективы

Многовекторные DDoS-атаки с участием ботнетов — по-прежнему одна из главных киберугроз для страховых компаний в России. Однако с апреля 2023 года СОГАЗ ни разу не столкнулся с отказом ключевых ресурсов из-за DDoS-атак.  

«Даже когда злоумышленники проводят сотни DDoS-атак на наши ресурсы в день, мы остаёмся на связи с клиентами, региональными подразделениями и дочерними компаниями. Бизнес-процессы не останавливаются, а мы сохраняем контроль над ситуацией и можем спокойно заниматься другими, не менее важными задачами», — добавляет Евгений Чубатый. 

В ближайших планах — подключить защиту от StormWall к другим ресурсам группы. В их числе сайты и приложения нескольких дочерних компаний. 

Также учитывая растущее количество пользователей, компания решила увеличить пропускную способность подключенных каналов очистки. Теперь даже самая высокая нагрузка на ресурсы в будущем не помешает системе фильтрации отделять легитимных пользователей от вредоносного трафика. 

«Мы рады сотрудничеству со StormWall. Проверка в ситуации форс-мажора и несколько месяцев после доказали, что мы получили как мощную защиту от DDoS-атак, так и надёжное плечо коллег — тех, кто действительно ратует за своё дело», — комментирует Евгений Чубатый.