Prevenzione DoS

Tags:
Categories:

Prevenzione DDoS

Definizione DDoS

Due modi di attacco DoS:

  • Far crollare il servizio
  • Creare congestione di rete

Tipi di attacco

Tipo di attaccoMetodo di attaccoMetodo di difesa
Distributed DoSPiù macchine con indirizzi IP indipendenti attaccano contemporaneamente1. Degrada servizio 2. Lista nera 3. Disabilita dispositivi di rete
Attacco Yo-yoPer servizi con capacità di auto-espansione delle risorse, attacca durante la riduzione delle risorseLista nera
Attacchi a livello applicazioneAttacca funzionalità o caratteristiche specifiche, gli attacchi LAND appartengono a questo tipoLista nera
LANSQuesto metodo di attacco usa pacchetti TCP SYN particolarmente costruiti (solitamente usati per aprire una nuova connessione), facendo sì che la macchina target apra una connessione vuota con indirizzo sorgente e destinazione pari al proprio indirizzo IP, rispondendo continuamente a se stessa, consumando risorse del sistema fino al crash. Questo metodo di attacco non è lo stesso degli attacchi SYN flood.Lista nera
DoS avanzati persistentiAnti-riconoscimento/obiettivo chiaro/evita contromisure/attacchi prolungati/calcolo intensivo/attacchi multithreadDegrada servizio
Attacco DoS HTTP slow POSTCrea connessioni legittime quindi invia lentamente grandi quantità di dati, causando l’esaurimento delle risorse del serverDegrada servizio
Attacco Challenge Collapsar (CC)Invia frequentemente richieste standard legittime, questa richiesta occupa molte risorse, ad esempio i motori di ricerca occupano molta memoriaDegrada servizio, identificazione contenuti
Flood ICMP (Internet Control Message Protocol)Molti pacchetti ping/error ping /Ping of death (pacchetto ping malformato)Degrada servizio
Attacchi Permanent denial-of-serviceAttacca l’hardwareIdentificazione contenuti
Attacco riflessoInvia richieste a terzi, falsificando l’indirizzo, indirizzando le risposte alla vera vittimaAmbito ddos
AmplificazioneUsa alcuni servizi come riflettori, amplificando il trafficoAmbito ddos
Botnet MiraiUsa dispositivi IoT sotto controlloAmbito ddos
Panico SACKManipola la dimensione massima del segmento e l’acknowledgment selettivo, causando ritrasmissioniIdentificazione contenuti
Attacco ShrewSfrutta le debolezze del meccanismo di timeout di ritrasmissione TCP, usando brevi picchi di traffico sincronizzato per interrompere le connessioni TCP sulla stessa lineaScarta per timeout
Attacco Slow ReadSimile a slow post, invia richieste legittime, ma legge molto lentamente, per esaurire il pool di connessioni, annunciando un numero molto piccolo per la dimensione della finestra di ricezione TCPDisconnessione per timeout, degrada servizio, lista nera
Flood SYNInvia molti pacchetti TCP/SYN, causando connessioni semi-aperte sul serverMeccanismo timeout
Attacchi TeardropInvia frammenti IP danneggiati con payload sovrapposti e troppo grandi alla macchina targetIdentificazione contenuti
Attacco TTL scadutoQuando i pacchetti vengono scartati a causa della scadenza TTL, il router deve generare e inviare una risposta ICMP di timeout. Generare molte tali risposte può sovraccaricare la CPU del routerScarta traffico
Attacco UPnPBasato sulla tecnica di amplificazione DNS, ma il meccanismo di attacco è un router UPnP, che inoltra le richieste da una sorgente esterna a un’altra, ignorando le regole di comportamento UPnPDegrada servizio
Attacco riflesso SSDPMolti dispositivi, compresi alcuni router domestici, hanno vulnerabilità nel software UPnP che gli attaccanti possono sfruttare per ottenere risposte al loro indirizzo target scelto dalla porta 1900.Degrada servizio, blocca porta
Spoofing ARPAssocia l’indirizzo MAC all’indirizzo IP di un altro computer o gateway (ad esempio un router), causando il reindirizzamento del traffico destinato all’IP reale originale all’attaccante, causando un rifiuto di servizio.Ambito ddos

Misure di prevenzione

  1. Identificare il traffico di attacco
    • Distruggere il servizio
      • Identificare il contenuto del traffico
    • Congestione del servizio
      • Registrare il tempo di accesso
  2. Elaborare il traffico di attacco
    • Scartare il traffico di attacco
    • Bloccare l’IP di attacco
      • Numero di IP IPv4 limitato, facile creare lista nera
      • IPv6 numero maggiore, non facile creare lista nera. Si può usare il segmento di indirizzi IPv6, ma c’è il rischio di blocco errato
    • Controllare la frequenza di accesso

Strumenti open source

Strumenti di attacco

Strumenti di difesa

Monitoraggio traffico