Odmowa usługi i DDoS

Atak typu odmowa usługi (DoS) ma na celu uniemożliwienie uprawnionym użytkownikom dostępu do systemu lub zasobu sieciowego przez przeciążenie go ruchem albo wykorzystanie luk powodujących awarię usługi.

Atak DoS pochodzi z pojedynczego źródła. Atak DDoS (rozproszony DoS) wykorzystuje tysiące lub miliony przejętych urządzeń (botnetów) albo technikę amplifikacji do generowania ruchu ataku. Atak DDoS jest znacznie trudniejszy do zablokowania, ponieważ źródła są rozproszone na całym świecie.

Ataki wolumetryczne zalewają przepustowość celu surowym ruchem:

• flood UDP — sfałszowane pakiety UDP wysycają przepustowość
• flood ICMP — pakiety ping przeciążają cel
• amplifikacja DNS — małe zapytania DNS powodują zwracanie dużych odpowiedzi do ofiary

Mierzone w Gb/s — niektóre ataki przekraczają 1 Tb/s.

Ataki na protokoły wykorzystują słabości protokołów sieciowych:

• flood SYN — wysyła tysiące pakietów TCP SYN, wyczerpując tablice połączeń serwera
• Ping of Death — wysyła nadmiarowo duże pakiety ICMP, które powodują awarię podatnych systemów
• atak Smurf — sfałszowane pakiety ICMP są wysyłane na adres rozgłoszeniowy sieci, a wszystkie hosty odpowiadają ofierze

Ataki w warstwie aplikacji (warstwie 7) kierują się na konkretne funkcje aplikacji, używając żądań wyglądających na prawidłowe:

• flood HTTP — wysyła miliony żądań GET/POST
• Slowloris — wysyła powoli częściowe nagłówki HTTP, zajmując wszystkie połączenia serwera
• wyczerpanie SSL — wykorzystuje koszt obliczeniowy uzgadniania TLS

Ataki amplifikacyjne wykorzystują protokoły, które zwracają znacznie więcej danych, niż zażądano:

• amplifikacja DNS: współczynnik amplifikacji 60×
• amplifikacja NTP: współczynnik amplifikacji 556×
• amplifikacja Memcached: współczynnik amplifikacji 51 000× (w 2018 roku: atak o przepustowości 1,7 Tb/s)

Atakujący podszywają się pod adres IP ofiary jako adres źródłowy — serwery odblaskowe wysyłają ogromne odpowiedzi do ofiary.

Centra oczyszczania ruchu to wyspecjalizowana infrastruktura, która absorbuje i filtruje ruch DDoS, zanim dotrze on do celu. Główni dostawcy (Cloudflare, Akamai, AWS Shield) dysponują przepustowością oczyszczania sięgającą setek Tb/s.

Mechanizmy ochrony na poziomie aplikacji:

• ograniczanie liczby żądań dla każdego adresu IP/użytkownika
• testy CAPTCHA dla podejrzanych wzorców ruchu
• ograniczanie przepustowości połączeń
• blokowanie na podstawie reputacji adresu IP (znane adresy IP botnetów)

Technologia Anycast rozdziela ruch ataku między wiele globalnych centrów danych. Zamiast obciążać cały ruch jeden cel, obciążenie jest rozkładane. Cloudflare i inne sieci CDN używają anycastu do obsługi ogromnych ataków wolumetrycznych.

DDoS jest powszechnie wykorzystywany jako narzędzie cyberwojny. Najważniejsze incydenty:

• 2007, Estonia — rządowe i bankowe serwisy zostały wyłączone podczas kryzysu politycznego
• 2022, Ukraina — ukraińskie serwisy rządowe stały się celem ataków podczas rosyjskiej inwazji
• hacktywiści wykorzystujący DDoS do wyrażania stanowisk politycznych

Organizacje mogą testować odporność za pomocą autoryzowanych narzędzi do testów obciążeniowych:

• siege — testowanie obciążenia HTTP
• ab (Apache Bench) — proste testy wydajności HTTP
• komercyjne usługi testów obciążeniowych (za zgodą)

Nie wolno testować systemów, które nie są Państwa własnością lub na testowanie których nie mają Państwo pisemnej zgody.

Który typ ataku bardzo powoli wysyła niekompletne nagłówki HTTP, aby zająć wszystkie dostępne połączenia serwera?

Ataki DoS/DDoS uniemożliwiają korzystanie z usług, przeciążając cele ruchem lub wykorzystując słabości protokołów. Typy ataków obejmują ataki wolumetryczne (flood UDP/DNS), ataki na protokoły (flood SYN) oraz ataki w warstwie aplikacji (Slowloris, flood HTTP). Mechanizmy ochrony obejmują centra oczyszczania ruchu, anycast, ograniczanie liczby żądań i CAPTCHA. Ataki amplifikacyjne zwielokrotniają siłę ataku dzięki wykorzystaniu serwerów odblaskowych.