Tjänsteöverkastningsattacker

En DoS-attack (Denial-of-Service) försöker göra en tjänst otillgänglig för legitima användare genom att överbelasta den. Till skillnad från attacker som stjäl data riktar sig en DoS mot tillgänglighet, den tredje pelaren i CIA-triaden.

Genom att översvämma en server eller ett nätverk med mer trafik eller fler förfrågningar än det kan hantera förbrukar angriparen dess resurser tills riktiga användare inte längre kommer igenom.

En vanlig DoS-attack kommer från en enda källa. En DDoS-attack (Distributed Denial-of-Service) kommer från många källor samtidigt, ofta tusentals, vilket gör den betydligt svårare att stoppa.

Det är enkelt att blockera en angripande IP-adress. Den verkliga utmaningen är att blockera trafik från tiotusentals utspridda adresser, varav många tillhör oskyldiga kapade maskiner. Det är detta som gör DDoS så farligt.

DDoS-attacker drivs vanligtvis av ett botnät: ett nätverk av datorer och IoT-enheter som infekterats med skadlig kod och som angriparen fjärrstyr. Varje infekterad maskin, en bot eller zombie, skickar attacktrafik på kommando.

Ägarna har ofta ingen aning om att deras enheter deltar. Osäkra IoT-prylar som kameror har byggt upp enorma botnät med kapacitet för mycket stora attackvolymer.

Volymbaserade attacker översvämmar helt enkelt målet med enorma trafikmängder för att mätta dess internetbandbredd. Om förbindelsen är full av skräptrafik kommer legitim trafik inte igenom.

Exempel är UDP-översvämningar och ICMP-översvämningar (ping). Försvaret består i att ha tillräcklig kapacitet eller rensning uppströms som absorberar eller filtrerar översvämningen innan den fyller förbindelsen.

Protokollattacker förbrukar serverns eller enhetens resurser genom att utnyttja hur protokoll fungerar. Ett klassiskt exempel är en SYN-översvämning: angriparen startar många TCP-anslutningar genom att skicka SYN-paket, men slutför dem aldrig. Det fyller serverns anslutningstabell.

Servern väntar på handskakningar som aldrig slutförs tills den inte längre kan ta emot nya anslutningar, vilket nekar riktiga användare åtkomst till tjänsten.

Attacker på applikationslagret riktar sig mot själva programvaran med till synes legitima förfrågningar som är dyra att behandla, till exempel komplexa sökningar eller upprepade sidladdningar. De kräver betydligt mindre bandbredd och är därför mer svårupptäckta.

Eftersom varje förfrågan ser normal ut är det svårt att skilja attacktrafik från riktiga användare. Därför är dessa attacker särskilt svåra att upptäcka och filtrera utan att påverka legitima besökare.

Förstärkningsattacker mångdubblar angriparens slagkraft. Angriparen skickar små förfrågningar med en förfalskad källadress (offrets adress) till servrar som svarar med mycket större svar, till exempel felkonfigurerade DNS- eller NTP-servrar.

En liten förfrågan utlöser ett enormt svar som riktas mot offret. På så sätt mångdubblar angriparen sin trafik samtidigt som han eller hon döljer sig bakom spoofing.

Tecken på en DoS-attack är bland annat plötsliga trafiktoppar, tjänster som blir långsamma eller slutar svara, ovanligt hög resursanvändning och en översvämning av anslutningar från många adresser. Övervakning och baslinjer hjälper till att snabbt upptäcka den onormala ökningen.

Snabb upptäckt är viktig: ju tidigare ni kan skilja en attack från en normal trafikökning, desto tidigare kan motåtgärder sättas in och driftstopp begränsas.

Försvaret byggs upp i flera lager:

• Hastighetsbegränsning begränsar antalet förfrågningar per källa.
• Brandväggar och IPS filtrerar kända attackmönster.
• Molnbaserade DDoS-rensningstjänster absorberar stora översvämningar uppströms.
• CDN:er (Content Delivery Networks) fördelar belastningen över många servrar.

Anti-spoofing-filtrering på internet minskar också förstärkningsattacker vid deras källa.

DoS är särskilt svårt eftersom attacktrafik kan se ut som legitim trafik och komma från otaliga källor. Ni kan inte helt enkelt blockera allt, eftersom ni då själva nekar åtkomst till tjänsten.

Det mest motståndskraftiga försvaret kombinerar tillräcklig kapacitet, rensning uppströms, bra filtrering och en incidentplan. Man måste acceptera att fullständigt förebyggande är omöjligt och att motståndskraft är det realistiska målet.

En DoS-attack angriper tillgängligheten genom att överbelasta ett mål, medan en DDoS-attack gör det från många källor via ett botnät. Typerna omfattar volymbaserade, protokollbaserade attacker (som SYN-översvämningar), attacker på applikationslagret och förstärkningsattacker. Försvaret kombinerar hastighetsbegränsning, brandväggar, CDN:er och molnbaserad rensning samt anti-spoofing för att begränsa förstärkning.

En DoS-attack överbelastar en tjänst för att neka tillgänglighet, medan en DDoS-attack använder många källor från ett botnät. Angreppstyperna omfattar volymbaserade översvämningar, protokollattacker som SYN-översvämningar, svårupptäckta attacker på applikationslagret och förstärkning via spoofing. Försvaret bygger på hastighetsbegränsning, brandväggar, CDN:er och molnbaserad DDoS-rensning.