DDoS e-mailowy

DDoS e-mailowy to atak polegający na zalewaniu infrastruktury pocztowej nadmierną liczbą wiadomości w celu jej przeciążenia.

Mechanizm przeciążenia poczty elektronicznej

DDoS e-mailowy jest odmianą rozproszonego ataku odmowy dostępu, w którym celem staje się infrastruktura obsługująca pocztę elektroniczną. Napastnik kieruje do domeny, serwera lub bramki pocztowej bardzo dużą liczbę wiadomości albo żądań związanych z ich dostarczeniem. Źródłem ruchu może być wiele niezależnych systemów, zainfekowanych urządzeń lub kont użytych bez zgody właścicieli. Rozproszenie utrudnia odróżnienie ataku od normalnej korespondencji, zwłaszcza gdy wiadomości mają różne adresy nadawców, tematy i formaty.

Przeciążenie nie musi polegać wyłącznie na zajęciu łącza internetowego. Równie istotne może być wyczerpanie limitów połączeń, pamięci operacyjnej, miejsca na kolejki wiadomości, mocy procesora albo zasobów filtrów antyspamowych. W systemie korzystającym z SMTP serwer przyjmuje wiadomość, sprawdza jej adresata, wykonuje reguły filtrowania i może przekazać ją do dalszego serwera. Każdy z tych etapów zużywa zasoby. Jeżeli liczba operacji przekroczy możliwości infrastruktury, opóźnienia rosną, a prawidłowe wiadomości mogą być odrzucane lub pozostawać w kolejce.

Objawy widoczne po stronie użytkownika

Skutki DDoS e-mailowego mogą obejmować wielogodzinne opóźnienia w odbieraniu i wysyłaniu poczty, błędy podczas logowania do webmaila oraz komunikaty o przekroczeniu czasu oczekiwania. W programie pocztowym może pojawić się pozornie niekończące się pobieranie nagłówków, powtarzające się próby wysłania tej samej wiadomości albo błąd połączenia z serwerem SMTP, IMAP lub POP3. Samo pojawienie się wielu niechcianych wiadomości nie dowodzi jeszcze ataku DDoS. Podobny efekt może wywołać zwykła kampania spamowa, błędna konfiguracja listy mailingowej lub przejęcie pojedynczego konta.

Ważnym sygnałem jest zgodność czasowa problemów na wielu kontach i urządzeniach. Jeżeli kilka osób korzystających z tej samej domeny jednocześnie obserwuje opóźnienia, a połączenie z innymi usługami internetowymi działa prawidłowo, podejrzenie powinno obejmować wspólną bramkę lub usługę pocztową. Warto sprawdzić, czy problem dotyczy tylko odbioru, tylko wysyłki, czy obu kierunków. Należy także zachować pełne komunikaty błędów, godziny wystąpienia problemów oraz przykładowe nagłówki wiadomości, ponieważ pozwalają odróżnić przeciążenie od błędu DNS, awarii certyfikatu TLS, blokady uwierzytelniania lub nieprawidłowego filtrowania.

Rozróżnienie ataku od zwykłego spamu

Zwykły spam jest przede wszystkim problemem treści i filtrowania, natomiast DDoS e-mailowy jest problemem dostępności zasobów. Filtr antyspamowy może rozpoznać niepożądane wiadomości na podstawie reputacji adresu IP, domeny nadawcy, wyników SPF, podpisu DKIM, polityki DMARC, treści lub zachowania nadawcy. Jednak samo odrzucenie wiadomości po przyjęciu jej przez serwer nadal może zużywać procesor, pamięć i przestrzeń kolejki. Przy dużej skali ruchu mechanizm filtrowania może stać się jednym z przeciążonych elementów.

Analiza powinna obejmować liczbę połączeń SMTP, liczbę wiadomości przyjętych i odrzuconych, rozmiar kolejki, czas przetwarzania oraz kody odpowiedzi SMTP. Powtarzające się odpowiedzi z grupy 4xx wskazują na czasowe odroczenie obsługi, a kody 5xx na trwałe odrzucenie żądania, choć dokładna interpretacja zależy od konkretnego serwera i jego konfiguracji. Należy też sprawdzić logi dostawcy poczty lub bramy filtrującej, ponieważ lokalny program pocztowy pokazuje tylko końcowy skutek. Jeżeli obciążenie dotyczy także publicznej strony logowania, może występować szerszy atak na infrastrukturę, a nie wyłącznie zalew wiadomości.

Bezpieczne postępowanie diagnostyczne

Podczas podejrzenia przeciążenia nie należy masowo usuwać wiadomości ani zmieniać wielu ustawień jednocześnie, ponieważ utrudnia to ustalenie przyczyny i może spowodować utratę ważnej korespondencji. Najpierw trzeba ustalić, gdzie powstaje wąskie gardło: w sieci, zaporze, bramce SMTP, serwerze przechowującym skrzynki czy aplikacji używanej do odczytu poczty. Pomocne jest porównanie działania kilku skrzynek, różnych sieci oraz dostępu przez webmail i program pocztowy. Zmiana hasła ma sens przy podejrzeniu przejęcia konta, ale sama nie usuwa przeciążenia wywołanego ruchem kierowanym z zewnętrznych źródeł.

Ograniczanie skutków wymaga zwykle działań po stronie operatora poczty lub administratora infrastruktury: limitowania liczby połączeń z jednego źródła, odrzucania ruchu na wcześniejszym etapie, zwiększenia ochrony przed automatycznymi żądaniami, kontrolowania wielkości kolejek i zapewnienia zapasowej ścieżki dostarczania. Reguły powinny być wdrażane ostrożnie, aby nie zablokować prawidłowych nadawców. W przypadku komputera użytkownika można sprawdzić, czy klient pocztowy nie ponawia błędnie wysyłki, czy urządzenie nie jest zainfekowane oraz czy lokalna konfiguracja serwerów i portów jest prawidłowa. Jeżeli problem dotyczy całej domeny, kluczowe pozostają logi i pomiary po stronie infrastruktury pocztowej, a nie samo przeinstalowanie programu na jednym laptopie.