Атака от тип DoS

Editor's Notes

1. Броят на мрежовите атаки в последните няколко години нарасна значително Едни от най-разпространените атаки са Атаки с цел невъзможност за предоставяне на услуга (DoS).
2. DoS атаките се използват, за да се наруши нормалната операция на дадена система или мрежа. Злодеятелят цели да претовари или спре достъпа до системата. Такава атака води до 100% натоварване на мрежовите устройства или сървъри и те не могат да обработват подадените им пакети, в следствие на което ги отказват. Целта на атакуващия е да се откаже достъпа на легитимни потребители до различните услуги.
3. Те са проектирани така че да се възползват от слабостта на TCP протокола и по- специално от процеса на установяване на връзката. Установяването на връзката при TCP се извършва от тройна размяна на пакети както е показано на фигурата в ляво Клиента се опитва да установи връзка с уеб сървъра. Първо, той изпраща SYN (синхронизиращ) пакет до сървъра. При вторият пакет подателят вече е сървъра и той изпраща своите ISN номера Последната стъпка е пак от страна на инициализатора, който изпраща ACK пакет на сървъра При TCP SYN претоварването имаме претоварване на мишената на атаката чрез използването на множество подправени SYN пакети, които симулират валидни заявки за връзки (Фигура 2) Тези пакети биват изпратени на сървъра все едно са начало на уговарянето на конекция, сървърът отговаря с SYN-ACK но последната стъпка от процеса никога не настъпва. Всеки SYN пакет заема определен ресурс на мишената, следователно при множество SYN пакети изпратени от злодеятеля, машината която е цел на атаката се претоварва
4. Изключителност прост и ефективен пример за DoS атака. Атакуващият изпраща множество SYN пакети с еднакви адреси и портове на подателя и получателя. Целта на тази атака е да накара жертвата да изпраща отговор на този пакет сама на себе си. Процесът е цикличен и скоро машината жертва остава без ресурси и спира да предоставя услуги.
5. В Smurf атаките обикновено има атакуващ, посредници, и жертва (в този случай това е уеб сървъра). Ако изпратим ICMP echo-request пакет към broadcast адреса на мрежата, то всички компютри от нея ще изпратят отговор на адреса на подателя на пакета. Тази атака не претоварва жертвата, но запълва целия й канал.
6. Този тип атаки изискват много знание от злодеятеля и предварително планиране и подготовка. При тях атакуващият използва различни системи свързани към Internet за да атакува определена жертва и това ги прави много трудни за проследяване и противодействие. злодеятелят предварително разбива защитата на няколко машини в Internet и го поставя под свой контрол като инсталира вреден код. Тези вече компрометирани компютри се наричат, ботове или зомбита . Злодеятелят ползва тези ботове за да извърши координирана едновременна атака от всички ботове към жертвата. Тази атака изяжда канала и мрежовите ресурси на атакувания. Тя е високо ефективна заради това че е координирана и изключително трудна за проследяване.
7. Истинският ключ към защитата от DoS атаки е предпазливостта. Опитът показва, че като намаляваме „площта”, която е податлива на атака, намалява и шанса за успешното провеждане на такава. Като правило обаче няма напълно защитена система. В реалността ние създаваме една подредена и йерархична система от защити и се надяваме тя да е достатъчна. за да намалят шанса за успешна атака трябва да се направи следното:
8. Чрез тях вероятността за засичане на DoS/DDoS атаки нараства значително. Системите за предпазване от неоторизиран достъп могат сами да взимат автоматизирани решения относно моменталното противодействие на атаките. Това става като те изпращат определени (обикновено блокиращи) команди към дадено предварително дефинирано мрежово устройство (най-често хардуерна защитна стена или защитна стена интегрирана в маршрутизатор).
9. Такъв тип системи както и персоналните защитни стени подпомагат засичането на различен вид атаки, като наблюдават и блокират нежеланите пакети. тяхната употреба е ограничена предимно до сървъри в демилиратизираната зона.
10. Чрез тях ние имаме възможността да анализираме трафика по мрежата и да го преглеждаме за каквито и да са атаки. Хакери новаци нямат шанс срещу такива системи, защото те използват широко достъпни и известни програми за които лесно би могла да се създаде сигнатура. Например Cisco IDS 4200 серията сензори имат вградени множество сигнатури за различни типове атаки. На Фиг.2.1 е показа алармата която се показва когато някой използвайки Hgod се опита да осъществи TCP SYN атака.
11. Въпреки че системите на основа на сигнатура са ефективни срещу добре известни типове атаки и програмите използвани за тяхното извършване, те нямат шанс срещу най-новите атаки (zero-day attacks). Точно за такъв тип атака са създадени системите на принципа на аномалиите Принципът на действие на системи от този тип е засичането на мрежовия трафик, който рязко се отклонява от нормалния. Например, ако значителен брой UDP запитвания идват от един потребител, това е аномалия и се включва аларма. Идеята е при откриването на аномалия целият трафик да се пренасочва към Guard устройство, което чрез използването на сложни алгоритми се опитва да отдели и пропусне само стандартния трафик, всичко подозрително се спира