Ataki typu denial-of-service

Atak DoS (Denial-of-Service) ma na celu uniemożliwienie prawidłowym użytkownikom korzystania z usługi przez przeciążenie jej. W przeciwieństwie do ataków polegających na kradzieży danych atak DoS wymierzony jest w dostępność, trzeci filar triady CIA.

Przesyłając do serwera lub sieci więcej ruchu albo żądań, niż mogą obsłużyć, atakujący wyczerpuje ich zasoby, aż prawdziwi użytkownicy nie mogą uzyskać dostępu.

Zwykły DoS pochodzi z jednego źródła. DDoS (Distributed Denial-of-Service) pochodzi jednocześnie z wielu źródeł, często tysięcy, dlatego znacznie trudniej go powstrzymać.

Zablokowanie jednego atakującego adresu IP jest łatwe. Prawdziwym wyzwaniem jest blokowanie ruchu z dziesiątek tysięcy rozproszonych adresów, z których wiele należy do niewinnych, przejętych urządzeń. To właśnie sprawia, że DDoS jest tak niebezpieczny.

Ataki DDoS są zwykle przeprowadzane za pomocą botnetu: sieci komputerów i urządzeń IoT zainfekowanych złośliwym oprogramowaniem, które atakujący zdalnie kontroluje. Każda zainfekowana maszyna, czyli bot lub zombie, na polecenie wysyła ruch atakujący.

Właściciele często nie wiedzą, że ich urządzenia uczestniczą w ataku. Niezabezpieczone urządzenia IoT, takie jak kamery, przyczyniły się do powstania ogromnych botnetów zdolnych do generowania olbrzymiego natężenia ataków.

Ataki wolumetryczne polegają po prostu na zalaniu celu ogromną ilością ruchu, aby wysycić jego przepustowość internetową. Jeśli łącze jest zajęte przez bezużyteczny ruch, prawidłowy ruch nie może się przez nie przedostać.

Przykłady obejmują zalewy UDP i zalewy ICMP (ping). Obrona polega na zapewnieniu odpowiedniej przepustowości lub filtrowaniu ruchu u dostawcy, aby pochłonąć zalew albo odfiltrować go, zanim wypełni łącze.

Ataki protokołów wyczerpują zasoby serwera lub urządzenia, wykorzystując sposób działania protokołów. Klasycznym przykładem jest zalew SYN: atakujący rozpoczyna wiele połączeń TCP (wysyłając pakiety SYN), ale nigdy ich nie kończy, zapełniając tabelę połączeń serwera.

Serwer czeka na uzgadnianie połączeń, które nigdy się nie kończy, aż nie może przyjąć kolejnych połączeń, odmawiając usługi prawdziwym użytkownikom.

Ataki warstwy aplikacji wymierzone są w samo oprogramowanie i wykorzystują pozornie prawidłowe żądania, których przetworzenie wymaga dużo zasobów, takie jak złożone wyszukiwania lub wielokrotne ładowanie stron. Wymagają znacznie mniejszej przepustowości, dlatego trudniej je wykryć.

Ponieważ każde żądanie wygląda normalnie, odróżnienie ruchu atakującego od ruchu prawdziwych użytkowników jest trudne. Bez szkody dla prawidłowych odwiedzających filtrowanie i wykrywanie tych ataków jest szczególnie skomplikowane.

Ataki wzmacniające zwielokrotniają siłę atakującego. Atakujący wysyła małe żądania ze sfałszowanym adresem źródłowym (adresem ofiary) do serwerów, które odpowiadają znacznie większymi odpowiedziami, takich jak nieprawidłowo skonfigurowane serwery DNS lub NTP.

Małe żądanie wywołuje ogromną odpowiedź skierowaną do ofiary, dzięki czemu atakujący wielokrotnie zwiększa swój ruch, ukrywając się za spoofingiem.

Oznaki ataku DoS obejmują nagłe skoki natężenia ruchu, spowolnienie usług lub przekroczenie limitu czasu, nietypowo wysokie wykorzystanie zasobów oraz zalew połączeń z wielu adresów. Monitorowanie i wartości bazowe pomagają szybko wykryć nietypowy wzrost.

Szybkie wykrycie ma znaczenie: im wcześniej rozpoznają Państwo atak i odróżnią go od zwykłego wzrostu ruchu, tym wcześniej można rozpocząć łagodzenie skutków i ograniczyć przestój.

Zabezpieczenia należy stosować warstwowo:

• Ograniczanie szybkości limituje liczbę żądań z jednego źródła.
• Zapory sieciowe i IPS filtrują znane wzorce ataków.
• Usługi filtrowania ataków DDoS w chmurze pochłaniają ogromne zalewy poza siecią docelową.
• CDN (Content Delivery Networks) rozkładają obciążenie na wiele serwerów.

Filtrowanie zapobiegające spoofingowi w internecie dodatkowo ogranicza ataki wzmacniające u ich źródła.

Ataki DoS są wyjątkowo trudne do powstrzymania, ponieważ ruch atakujący może wyglądać jak prawidłowy i pochodzić z niezliczonych źródeł. Nie można po prostu zablokować wszystkiego, ponieważ w ten sposób samodzielnie odetnie się usługę.

Najbardziej odporna ochrona łączy odpowiednią przepustowość, filtrowanie poza siecią docelową, dobre reguły filtrowania i plan reagowania na incydenty. Należy zaakceptować, że całkowite zapobieganie jest niemożliwe, a realistycznym celem jest odporność.

DoS atakuje dostępność, przeciążając cel, a DDoS robi to z wielu źródeł za pośrednictwem botnetu. Typy ataków obejmują ataki wolumetryczne, protokołów (takie jak zalewy SYN), warstwy aplikacji i wzmacniające. Zabezpieczenia łączą ograniczanie szybkości, zapory sieciowe, CDN-y i filtrowanie w chmurze oraz ochronę przed spoofingiem, która ogranicza wzmacnianie.

Sprawdź swoją wiedzę o atakach DoS.

DoS przeciąża usługę, aby uniemożliwić jej dostępność, natomiast DDoS wykorzystuje wiele źródeł z botnetu. Typy ataków obejmują wolumetryczne zalewy, ataki protokołów, takie jak zalewy SYN, trudne do wykrycia ataki warstwy aplikacji oraz wzmacnianie za pomocą spoofingu. Zabezpieczenia obejmują ograniczanie szybkości, zapory sieciowe, CDN-y i filtrowanie ataków DDoS w chmurze.