Ochrona przed DoS

Tags:
Categories:

Ochrona przed DDoS

Definicja DDoS

Dwa rodzaje ataków DoS:

  • Spowodowanie awarii usługi
  • Spowodowanie zatkania sieci

Typy ataków

Typ atakuSposób atakuSposób reagowania
Distributed DoSWiele maszyn z niezależnymi adresami IP rozpoczyna atak jednocześnie1. Degradowanie usługi 2. Czarna lista 3. Wyłączenie urządzeń sieciowych
Yo-yo attackAtakowanie usługi z automatycznym skalowaniem zasobów w momencie zmniejszania zasobówCzarna lista
Application layer attacksAtakowanie konkretnych funkcji lub funkcjonalności, atak LAND należy do tego typuCzarna lista
LANSTa metoda ataku wykorzystuje specjalnie skonstruowane pakiety TCP SYN (zazwyczaj używane do otwarcia nowego połączenia), aby zmusić maszynę docelową do otwarcia pustego połączenia, w którym adres źródłowy i docelowy są własnym adresem IP maszyny, ciągłe samoodpowiadanie, wyczerpując zasoby systemu do momentu awarii. Ta metoda ataku różni się od ataku SYN flood.Czarna lista
Advanced persistent DoSAntyrozpoznanie/Zdefiniowany cel/Unikanie kontrśrodeków/Długotrwały atak/Duża moc obliczeniowa/Wielowątkowy atakDegradowanie usługi
HTTP slow POST DoS attackPo ustanowieniu legalnego połączenia wysyłanie dużej ilości danych z bardzo niską prędkością, co powoduje wyczerpanie zasobów serweraDegradowanie usługi
Challenge Collapsar (CC) attackCzęste wysyłanie standardowych, legalnych żądań, które zajmują dużo zasobów, na przykład wyszukiwarki internetowe zajmują dużą ilość pamięciDegradowanie usługi, rozpoznawanie treści
ICMP floodDuża ilość pingów/nieprawidłowych pakietów ping /Ping of death (zniekształcony pakiet ping)Degradowanie usługi
Permanent denial-of-service attacksAtakowanie sprzętuRozpoznawanie treści
Reflected attackWysyłanie żądań do strony trzeciej, poprzez sfałszowanie adresu kierując odpowiedzi do prawdziwej ofiarykategoria ddos
AmplificationWykorzystanie niektórych usług jako reflektorów do wzmocnienia ruchukategoria ddos
Mirai botnetWykorzystanie skompromitowanych urządzeń IoTkategoria ddos
SACK PanicManipulowanie maksymalnym rozmiarem segmentu i selektywnym potwierdzaniem, prowadzące do retransmisjiRozpoznawanie treści
Shrew attackWykorzystanie słabości mechanizmu limitu czasu retransmisji TCP, używając krótkich nagłych wzrostów ruchu synchronicznego do przerywania połączeń TCP na tej samej ścieżceOdrzucanie po upływie limitu czasu
Slow Read attackPodobnie jak w przypadku wolnego post, wysyła legalne żądania, ale czyta bardzo wolno, aby wyczerpać pulę połączeń, realizowane to poprzez zgłoszenie bardzo małej liczby dla rozmiaru okna odbioru TCP (TCP Receive Window)Rozłączanie po upływie limitu czasu, degradowanie usługi, czarna lista
SYN floodWysyłanie dużej ilości pakietów TCP/SYN, powodując powstawanie półotwartych połączeń na serwerzeMechanizm limitu czasu
Teardrop attacksWysyłanie uszkodzonych fragmentów IP z nakładającymi się lub nadmiernie dużymi ładunkami do maszyny docelowejRozpoznawanie treści
Atak wygaśnięcia TTLGdy pakiety są odrzucane z powodu wygaśnięcia TTL, procesor routera musi wygenerować i wysłać odpowiedź o przekroczeniu limitu czasu ICMP. Wygenerowanie wielu takich odpowiedzi przeciąży procesor routeraOdrzucanie ruchu
Atak UPnPOparty na technologii amplifikacji DNS, ale mechanizm ataku to router UPnP, który przekazuje żądanie z jednego źródła zewnętrznego do innego, ignorując reguły zachowania UPnPDegradowanie usługi
Atak odbity SSDPWiele urządzeń, w tym niektóre routery domowe, ma luki w oprogramowaniu UPnP, które atakujący mogą wykorzystać do uzyskania odpowiedzi na wybrany przez siebie adres docelowy z portu 1900.Degradowanie usługi, blokowanie portów
Oszustwo ARPPowiązanie adresu MAC z adresem IP innego komputera lub bramy (takiej jak router), powodując ponowne trasowanie ruchu pierwotnie przeznaczonego dla oryginalnego, prawdziwego adresu IP do atakującego, co skutkuje odmową usługi.kategoria ddos

Środki zapobiegawcze

  1. Identyfikacja ruchu atakującego
    • Zakłócanie usługi
      • Identyfikacja treści ruchu
    • Zatykanie usługi
      • Rejestrowanie czasu dostępu
  2. Przetwarzanie ruchu atakującego
    • Odrzucanie ruchu atakującego
    • Blokowanie ip atakującego
      • ilość adresów ipv4 jest ograniczona, łatwo utworzyć czarną listę
      • ilość ipv6 jest większa, trudniej utworzyć czarną listę. Można użyć segmentów adresów ipv6, ale istnieje ryzyko błędnej blokady
    • Kontrola częstotliwości dostępu

Narzędzia open source

Narzędzia do ataków

Narzędzia do obrony

Monitorowanie ruchu