Ochrona przed DoS

Tags:
Categories:

Ochrona przed DDoS

Definicja DDoS

Dwa rodzaje ataków DoS:

  • Spowodowanie awarii usługi
  • Spowodowanie zatkania sieci

Typy ataków

Typ ataku Sposób ataku Sposób reagowania
Distributed DoS Wiele maszyn z niezależnymi adresami IP rozpoczyna atak jednocześnie 1. Degradowanie usługi 2. Czarna lista 3. Wyłączenie urządzeń sieciowych
Yo-yo attack Atakowanie usługi z automatycznym skalowaniem zasobów w momencie zmniejszania zasobów Czarna lista
Application layer attacks Atakowanie konkretnych funkcji lub funkcjonalności, atak LAND należy do tego typu Czarna lista
LANS Ta metoda ataku wykorzystuje specjalnie skonstruowane pakiety TCP SYN (zazwyczaj używane do otwarcia nowego połączenia), aby zmusić maszynę docelową do otwarcia pustego połączenia, w którym adres źródłowy i docelowy są własnym adresem IP maszyny, ciągłe samoodpowiadanie, wyczerpując zasoby systemu do momentu awarii. Ta metoda ataku różni się od ataku SYN flood. Czarna lista
Advanced persistent DoS Antyrozpoznanie/Zdefiniowany cel/Unikanie kontrśrodeków/Długotrwały atak/Duża moc obliczeniowa/Wielowątkowy atak Degradowanie usługi
HTTP slow POST DoS attack Po ustanowieniu legalnego połączenia wysyłanie dużej ilości danych z bardzo niską prędkością, co powoduje wyczerpanie zasobów serwera Degradowanie usługi
Challenge Collapsar (CC) attack Częste wysyłanie standardowych, legalnych żądań, które zajmują dużo zasobów, na przykład wyszukiwarki internetowe zajmują dużą ilość pamięci Degradowanie usługi, rozpoznawanie treści
ICMP flood Duża ilość pingów/nieprawidłowych pakietów ping /Ping of death (zniekształcony pakiet ping) Degradowanie usługi
Permanent denial-of-service attacks Atakowanie sprzętu Rozpoznawanie treści
Reflected attack Wysyłanie żądań do strony trzeciej, poprzez sfałszowanie adresu kierując odpowiedzi do prawdziwej ofiary kategoria ddos
Amplification Wykorzystanie niektórych usług jako reflektorów do wzmocnienia ruchu kategoria ddos
Mirai botnet Wykorzystanie skompromitowanych urządzeń IoT kategoria ddos
SACK Panic Manipulowanie maksymalnym rozmiarem segmentu i selektywnym potwierdzaniem, prowadzące do retransmisji Rozpoznawanie treści
Shrew attack Wykorzystanie słabości mechanizmu limitu czasu retransmisji TCP, używając krótkich nagłych wzrostów ruchu synchronicznego do przerywania połączeń TCP na tej samej ścieżce Odrzucanie po upływie limitu czasu
Slow Read attack Podobnie jak w przypadku wolnego post, wysyła legalne żądania, ale czyta bardzo wolno, aby wyczerpać pulę połączeń, realizowane to poprzez zgłoszenie bardzo małej liczby dla rozmiaru okna odbioru TCP (TCP Receive Window) Rozłączanie po upływie limitu czasu, degradowanie usługi, czarna lista
SYN flood Wysyłanie dużej ilości pakietów TCP/SYN, powodując powstawanie półotwartych połączeń na serwerze Mechanizm limitu czasu
Teardrop attacks Wysyłanie uszkodzonych fragmentów IP z nakładającymi się lub nadmiernie dużymi ładunkami do maszyny docelowej Rozpoznawanie treści
Atak wygaśnięcia TTL Gdy pakiety są odrzucane z powodu wygaśnięcia TTL, procesor routera musi wygenerować i wysłać odpowiedź o przekroczeniu limitu czasu ICMP. Wygenerowanie wielu takich odpowiedzi przeciąży procesor routera Odrzucanie ruchu
Atak UPnP Oparty na technologii amplifikacji DNS, ale mechanizm ataku to router UPnP, który przekazuje żądanie z jednego źródła zewnętrznego do innego, ignorując reguły zachowania UPnP Degradowanie usługi
Atak odbity SSDP Wiele urządzeń, w tym niektóre routery domowe, ma luki w oprogramowaniu UPnP, które atakujący mogą wykorzystać do uzyskania odpowiedzi na wybrany przez siebie adres docelowy z portu 1900. Degradowanie usługi, blokowanie portów
Oszustwo ARP Powiązanie adresu MAC z adresem IP innego komputera lub bramy (takiej jak router), powodując ponowne trasowanie ruchu pierwotnie przeznaczonego dla oryginalnego, prawdziwego adresu IP do atakującego, co skutkuje odmową usługi. kategoria ddos

Środki zapobiegawcze

  1. Identyfikacja ruchu atakującego
    • Zakłócanie usługi
      • Identyfikacja treści ruchu
    • Zatykanie usługi
      • Rejestrowanie czasu dostępu
  2. Przetwarzanie ruchu atakującego
    • Odrzucanie ruchu atakującego
    • Blokowanie ip atakującego
      • ilość adresów ipv4 jest ograniczona, łatwo utworzyć czarną listę
      • ilość ipv6 jest większa, trudniej utworzyć czarną listę. Można użyć segmentów adresów ipv6, ale istnieje ryzyko błędnej blokady
    • Kontrola częstotliwości dostępu

Narzędzia open source

Narzędzia do ataków

Narzędzia do obrony

Monitorowanie ruchu