Prevenção de DoS

Tags:
Categories:

Prevenção de DDoS

Definição DDoS

Dois tipos de ataques DoS:

  • Fazer o serviço falhar
  • Congestionar a rede

Tipos de Ataques

Tipo de Ataque Forma de Ataque Forma de Resposta
Distributed DoS Várias máquinas com IPs independentes atacam simultaneamente 1. Reduzir serviços 2. Lista negra 3. Desligar dispositivos de rede
Ataque Yo-yo Para serviços com capacidade de expansão automática, ataque nos intervalos de redução de recursos Lista negra
Ataques de Camada de Aplicação Ataque direcionado a funções ou características específicas, Ataque LAND pertence a este tipo Lista negra
LANS Este método de ataque usa pacotes TCP SYN especialmente construídos (geralmente usados para iniciar uma nova conexão), fazendo a máquina-alvo abrir uma conexão vazia onde o endereço de origem e destino são ambos o próprio endereço IP, continuamente respondendo a si mesma, consumindo recursos do sistema até o colapso. Esse método de ataque difere do ataque de inundação SYN. Lista negra
DoS avançado e persistente Contra-espionagem/alvo definido/fugir de contramedidas/ataque de longa duração/alta capacidade computacional/ataque multithread Reduzir serviços
Ataque HTTP slow POST Cria conexões legítimas, depois envia grandes volumes de dados extremamente lentamente, causando esgotamento de recursos do servidor Reduzir serviços
Ataque Challenge Collapsar (CC) Envia solicitações legítimas padrão frequentemente, que consomem mais recursos, por exemplo, buscadores de sites que consomem muita memória Reduzir serviços, reconhecimento de conteúdo
Inundação ICMP (Internet Control Message Protocol) Muitos pacotes ping/erro ping /Ping of death (pacotes ping malformados) Reduzir serviços
Ataques de negação de serviço permanente Ataque a hardware Reconhecimento de conteúdo
Ataque refletido Envia solicitações a terceiros, falsificando endereços para redirecionar respostas ao verdadeiro alvo Escopo de ddos
Amplificação Usa alguns serviços como refletores para ampliar tráfego Escopo de ddos
Mirai botnet Usa dispositivos IoT controlados Escopo de ddos
Ataque SACK Panic Opera no tamanho máximo de segmento e reconhecimento seletivo, causando retransmissão Reconhecimento de conteúdo
Ataque Shrew Explora vulnerabilidades no mecanismo de timeout de retransmissão TCP, usando rajadas sincronizadas breves para interromper conexões TCP na mesma rota Descarte de timeout
Ataque de leitura lenta Similar ao slow post, envia solicitações legítimas, mas lê muito lentamente, para esgotar o pool de conexões, anunciando um número muito pequeno para o tamanho da janela de recebimento TCP Desconexão por timeout, redução de serviços, lista negra
Inundação SYN Envia grandes volumes de pacotes TCP/SYN, causando conexões semiabertas no servidor Mecanismo de timeout
Ataques Teardrop Envia fragmentos IP corrompidos com sobrecarga e carga útil excessiva ao alvo Reconhecimento de conteúdo
Ataque TTL expirado Quando pacotes são descartados devido à expiração do TTL, o CPU do roteador deve gerar e enviar respostas ICMP de timeout. Gerar muitas dessas respostas sobrecarrega o CPU do roteador Descarte de tráfego
Ataque UPnP Baseado em tecnologia de amplificação DNS, mas o mecanismo de ataque é um roteador UPnP que encaminha solicitações de uma fonte externa para outra, ignorando as regras de comportamento UPnP Redução de serviços
Ataque de reflexão SSDP Muitos dispositivos, incluindo alguns roteadores residenciais, têm vulnerabilidades em seu software UPnP que atacantes podem explorar para obter respostas para endereços-alvo de sua escolha da porta 1900. Redução de serviços, bloqueio de porta
Engano ARP Associa endereços MAC ao endereço IP de outro computador ou gateway (como um roteador), fazendo com que o tráfego destinado originalmente ao IP real seja redirecionado ao atacante, causando negação de serviço. Escopo de ddos

Medidas de Prevenção

  1. Identificar tráfego de ataque
    • Destruição de serviço
      • Reconhecer conteúdo de tráfego
    • Congestionamento de serviço
      • Registrar horários de acesso
  2. Tratar tráfego de ataque
    • Descartar tráfego de ataque
    • Bloquear IP de ataque
      • IPs IPv4 são limitados, fácil de criar lista negra
      • IPv6 tem grande quantidade, difícil de criar lista negra. Pode usar faixas de endereço IPv6, mas há risco de bloqueio incorreto
    • Controlar frequência de acesso

Ferramentas Open Source

Ferramentas de Ataque

Ferramentas de Defesa

Monitoramento de Tráfego