DoS-verdediging

Tags:
Categories:

DDoS-verdediging

DDoS-definitie

Twee DoS-aanvalmethoden:

  • De service laten crashen
  • Het netwerk verstopten

Aanvaltypen

Aanvaltype Aanvalmethode Verdedigingsmethode
Distributed DoS Meerdere onafhankelijke IP-machines beginnen tegelijkertijd met aanvallen 1. Service degraderen 2. Zwarte lijst 3. Netwerkapparaten uitschakelen
Yo-yo-aanval Voor diensten met automatisch uitbreidbare resources, aanvallen in de pauze wanneer resources worden verminderd Zwarte lijst
Application layer attacks (Aanvallen op applicatielaag) Aanvallen op specifieke functies of kenmerken, LAND -aanval behoort tot dit type Zwarte lijst
LANS Deze aanval gebruikt speciaal geconstrueerde TCP SYN-datapakketten (meestal gebruikt voor het openen van een nieuwe verbinding), waardoor het doelapparaat een lege verbinding opent waarbij zowel bron- als doeladres het eigen IP-adres zijn, wat blijft reageren en systeembronnen verbruikt totdat het apparaat crasht. Deze aanvalsmethode is niet hetzelfde als SYN-floedaanval Zwarte lijst
Advanced persistent DoS (Geavanceerde continue DoS) Verbergt zich/gericht op specifieke doelen/ontwijkt weerstand/langdurige aanvallen/grote rekenkracht/meerthread-aanvallen Service degraderen
HTTP slow POST DoS attack (Trage POST-aanval) Na het creëren van een legitieme verbinding worden grote hoeveelheden data heel langzaam verzonden, wat leidt tot uitputting van serverresources Service degraderen
Challenge Collapsar (CC) attack (Challenge Collapsar-aanval) Veel standaard legitieme verzoeken worden frequent verzonden, dit verzoek neemt veel resources in beslag, zoals zoekmachines die veel geheugen in beslag nemen Service degraderen, inhoudsidentificatie
ICMP flood (ICMP-overstroming) Veel ping/foute ping-pakketten/Ping of death (vervormd ping-pakket) Service degraderen
Permanent denial-of-service attacks (Permanente weigering van service-aanvallen) Aanvallen op hardware Inhoudsidentificatie
Reflected attack (Gereflecteerde aanval) Verzoeken verzenden naar derden, via vervalste adressen worden de antwoorden naar de echte slachtoffers geleid DDoS-gebied
Amplification (Versterking) Gebruik van sommige services als reflectoren om het verkeer te versterken DDoS-gebied
Mirai botnet (Mirai-botnet) Gebruik van gecontroleerde IoT-apparaten DDoS-gebied
SACK Panic (SACK-paniek) Gebruik van maximale segmentgrootte en selectieve bevestiging om hertransmissie te veroorzaken Inhoudsidentificatie
Shrew attack (Kwaadaardige aanval) Gebruik van de zwakheid van het TCP-retransmissietime-outmechanisme, gebruik korte synchrone verkeersstoten om TCP-verbindingen op dezelfde link te onderbreken Time-out weggooien
Slow Read attack (Trage leesaanval) Vergelijkbaar met slow POST, legitieme verzoeken versturen maar heel langzaam lezen, om de verbindingpool uit te putten, dit wordt bereikt door een zeer klein getal te announceren voor de TCP Receive Window-grootte Time-out verbinding verbreken, service degraderen, zwarte lijst
SYN flood (SYN-overstroming) Verzenden van veel TCP/SYN-datapakketten, leidt tot half-geopende verbindingen op de server Time-outmechanisme
Teardrop attacks (Traanaanvallen) Verzenden van beschadigde IP-fragmenten met overlappende, te grote payloads naar het doelapparaat Inhoudsidentificatie
TTL-expiratieaanval Wanneer pakketten worden weggegooid vanwege TTL-verlopen, moet de router-CPU ICMP-time-outresponsies genereren en verzenden. Het genereren van veel van deze responsies kan de CPU van de router overbelasten Verkeer weggooien
UPnP-aanval Gebaseerd op DNS-versterkingstechnologie, maar het aanvalmechanisme is een UPnP-router die verzoeken van een externe bron doorstuurt naar een andere bron, terwijl het de UPnP-gedragsregels negeert Service degraderen
SSDP-reflectionaanval Veel apparaten, inclusief sommige residentiële routers, hebben kwetsbaarheden in hun UPnP-software, die aanvallers kunnen misbruiken om antwoorden op hun gekozen doeladressen te ontvangen van poortnummer 1900. Service degraderen, poort blokkeren
ARP-spoofing De MAC-adres koppelen aan het IP-adres van een andere computer of gateway (zoals een router), waardoor het verkeer dat oorspronkelijk bedoeld was voor het originele echte IP wordt omgeleid naar de aanvaller, wat leidt tot een weigering van service. DDoS-gebied

Verdedigingsmaatregelen

  1. Aanvalsverkeer identificeren
    • De service beschadigen
      • Verkeersinhoud identificeren
    • De service verstoppen
      • Toegangstijd bijhouden
  2. Aanvalsverkeer verwerken
    • Aanvalsverkeer weggooien
    • Aanvals-IP blokkeren
      • IPv4-IP’s zijn in beperkte hoeveelheid, gemakkelijk om zwarte lijst te maken
      • IPv6 heeft veel meer adressen, niet gemakkelijk om zwarte lijst te maken. Gebruik van IPv6-adressegmenten is mogelijk, maar er is risico op verkeerde blokkering
    • Toegangsfrequentie beheren

Open source tools

Aanvalstools

Verdedigingstools

Verkeersmonitoring