Розділ 1. DoS і DDoS атаки

Поняття DoS і DDoS

Відмова в обслуговуванні, або DoS — сама базова категорія атак у сфері комп’ютерної безпеки, яка може використовуватися в декількох варіантах. Цей термін може бути застосований до будь-якої ситуації, в якій атакуючий намагається перешкодити використанню будь-ким якого-небудь ресурсу. Це може бути реалізовано різними методами, фізичними та віртуальними. Наприклад, атакуючий може перекрити доступ до телефонної системі шляхом перерізання головного телефонного кабелю, що йде до будівлі, безперервних дзвінків по всіх вільних телефонних лініях, або зламавши міні - АТС. У всіх трьох випадках, атакуючий досягає мети, закриваючи доступ користувачів до ресурсу, тому що стає неможливо зробити ні вхідні, ні вихідні дзвінки. Концепції DoS легко застосовні до світу мереж. Маршрутизатори і сервери можуть обробляти обмежений обсяг трафіку в будь-який момент часу, в залежності від таких факторів, як характеристика обладнання, кількість пам’яті і смуга пропускання. Якщо ця межа перевищується, новий запит буде відкинутий. У результаті, буде проігноровано легітимний трафік, і користувачі отримають відмову в доступі. Таким чином, атакуючий, який хоче порушити роботу певного сервісу або пристрою, може зробити це, просто закидавши мета пакетами, які поглинуть всі доступні ресурси.

DoS не є звичайним зломом, в якому метою атакуючого є отримання несанкціонованого доступу, але може виявитися настільки ж шкідливим. Мета DoS — порушення роботи і заподіяння незручностей. Успіх вимірюється в тривалості хаосу. Застосовані проти ключових цілей, таких як кореневі DNS сервера, ці атаки можуть бути серйозною загрозою. Загроза DoS атак часто стоїть на першому місці при обговоренні концепцій інформаційної війни. Їх легко здійснити, важко зупинити, і вони дуже ефективні.

Темою цього розділу є специфічний тип DoS, який реалізує координовану атаку від безлічі джерел. DDoS, відома як розподілена атака на відмову в обслуговуванні, легко виконується у великій мережі, і може бути жахливо ефективною. DDoS можна розглядати як просунуту форму традиційної DoS атаки. Замість того щоб один атакуючий затоплював мета атаки трафіком, використовується безліч комп’ютерів в пов’язаної конфігурації «master-slave». Процес відносно простий. Зломщик отримує доступ до безлічі комп’ютерів, підключених до Інтернет (часто використовуючи автоматизовані програми, відомі як авторутери) і встановлює програмне забезпечення DDoS (яких існує кілька варіантів). Це програмне забезпечення дозволяє атакуючому віддалено управляти зламаним комп’ютером, роблячи його slave’ом. Від пристрою — master’а зломщик інформує slave'ів про мету і направляє атаку. Тисячі машин можуть контролюватися з однієї точки. Час старту, час зупинки, адреса мети і тип атаки — все можна передати slave’ам від master’а через Інтернет. Використана для певної мети одна машина може створити трафік в декілька мегабайт. Кілька сотень машин можуть створити трафік в кілька гігабайт. Усвідомивши це, легко зрозуміти, якою руйнівною може бути ця раптова висока активність практично для будь-якої мети.

Технології злому мережі різні. При достатній кількості машин, ефективною буде атака будь-якого типу: можна направити ICMP запити на широкомовну адресу (Smurf атаки), підроблені HTTP запити, фрагментовані пакети, або випадковий трафік. Як наслідок все напевно буде так розтрощене, що перестане працювати взагалі, або як мінімум якість її роботи дуже сильно впаде. Атака може бути спрямована на будь-який мережевий пристрій: маршрутизатори (ефективно блокує всю мережу), сервери (Web, mail, DNS), або специфічні комп’ютери (firewalls, IDS).

Чому так важко протидіяти DDoS? Очевидно, що несподіваний, різко зростаючий трафік впаде в очі будь-якому компетентному системному адміністраторові (якщо раніше не почне дзвонити телефон і надриватися пейджер!). Однак, на жаль, весь цей трафік буде напевно підробленим, тобто дійсне джерело атаки буде приховано. Це означає, що немає очевидного правила, яке дозволить файрволл захистити від цієї атаки, оскільки трафік часто виглядає легітимним і може приходити звідки завгодно.

То що ж залишається робити? Залишається жахливо важке і нудне завдання: дослідження DDoS. На кожному кроці в ланцюжку маршрутизаторів, які пересилали зловмисний трафік у вашу мережу потрібно зробити безліч адміністративних контактів: телефонних дзвінків, e-mail, і досліджень перехоплених пакетів. Це вимагає багато часу, особливо якщо врахувати, що мережа або комп’ютер в даний час не працюють. Беручи до уваги, що slave’и можуть бути розташовані по всьому світу, сумна правда полягає в тому, DDoS атака найчастіше припиняється з ласки атакуючого, ніж з-за будь-яких дій, що вживаються системним адміністратором атакованої системи.