Hvad er et DDoS-angreb? Sådan fungerer de + beskyttelsesstrategier

Et DDoS-angreb (Distributed Denial of Service) er et ulovligt forsøg på at gøre et websted utilgængeligt ved at overbelaste dets server med store mængder falsk trafik.

Angrebet af ondsindede forbindelsesanmodninger placerer legitime besøgende bagerst i en uformindskelig trafikkø, som forhindrer webstedet i at indlæse.

Mål omfatter ikke kun webservere, et DDoS-angreb kan forstyrre enhver tjeneste, der er forbundet til internettet, såsom netværk, databaser, mobile enheder og endda specifikke applikationsfunktioner.

Hvordan fungerer et DDoS-angreb?

Et DDoS-angreb begynder med at kompromittere en række IoT-enheder (Internet of Things). Hver målrettet IoT-enhed er inficeret med malware, så den kan fjernstyres og derefter forbindes til andre sammensatte enheder, hvilket skaber et botnet.

Der er ingen grænse for størrelsen af et botnet, de kan spænde over hele kloden. Med et stort nok botnet vil ondsindede trafikanmodninger blive ved med at forværres, og hvis de alle er rettet mod et enkelt mål, vil server-RAM og CPU-reserver ikke have nogen chance for at klare trafikefterspørgslen.

Hvad er forskellen mellem et DoS-angreb og et DDoS-angreb?

I et DoS-angreb sendes ondsindede forbindelsesanmodninger fra kun én kompromitteret enhed, men i et DDoS-angreb sendes ondsindet trafik fra flere kompromitterede enheder.

Typer af DDoS-angreb

Alle DDoS-angreb har et enkelt mål - at overbelaste onlineressourcer til det punkt, hvor de ikke reagerer.

Der er tre primære kategorier af DDoS-angreb:

1. Volumenbaserede DDoS-angreb

Volumenbaseret angreb direkte og overvældende mængde trafik på webressourcer. Størrelsen af disse angreb måles i Bits per sekund (Bps). Volumenbaserede angreb omfatter ICMP-oversvømmelsesangreb, UDP-oversvømmelsesangreb og andre forfalskede pakkeangreb.

Hvad er et ICMP-oversvømmelsesangreb?

En ICMP-ekkoanmodning (Internet Control Message Protocol) sendes normalt til netværksenheder for at diagnosticere deres sundhedsstatus. Hver målrettet enhed reagerer med et ekkosvar, der beskriver dens aktuelle tilstand. Et ICMP-oversvømmelsesangreb (også kendt som et ping-oversvømmelsesangreb) sender et stort antal ekkoanmodninger, hvilket resulterer i et lige så stort antal svarpakker, der overvælder den målrettede enhed.

For at et ICMP-oversvømmelsesangreb skal være muligt, skal en angriber kende målets IP-adresse. Der er tre kategorier af ICMP-angreb, der identificeres ved hjælp af metoden til hentning af IP-adresser:

• Målrettet lokal oplyst - Denne type DDoS-angreb kræver kendskab til målets IP-adresse. Et angreb sender en strøm af trafik til en bestemt computer eller enhed.
• Router afsløret - Denne type DDoS-angreb kræver kendskab til den interne IP-adresse på en lokal router. Netværksanmodninger sendes derefter til routeren for at afbryde netværkskommunikationen.
• Blind ping - Involverer en rekognosceringskampagne for at opdage et måls IP-adresse for at gøre et DDoS-angreb muligt.

Hvad er et UDP-oversvømmelsesangreb?

Et UDP-oversvømmelsesangreb udnytter en servers naturlige responssekvens på UDP-pakker (User Datagram Protocol). Under normale forhold er en servers svar på UDP-pakker ved hver port en totrinsproces:

1. Serveren kontrollerer, om der kører programmer, der er knyttet til de anmodede datagrammer, bruger den angivne port.
2. Når der ikke findes sådanne applikationer, svarer serveren med en ICMP - "Destination Unreachable"-pakke.

Under et UDP-oversvømmelsesangreb oversvømmes en målrettet server med sådanne anmodninger, hvilket får den til at overbelaste og nægte service til legitim trafik.

Sådan afbødes UDP-oversvømmelsesangreb

Standardmetoden til at afbøde UDP-oversvømmelsesangreb er ved at begrænse responsraten for ICMP-pakker. Denne forsvarsstrategi har dog to store ulemper:

1. En sådan binær filtreringsmetode vil sandsynligvis også afvise legitime pakkeanmodninger.
2. Hvis UDP-oversvømmelsesangrebet er stort nok, vil tilstandstabellen og serverfirewallen blive overvældet. Dette vil resultere i en katastrofal flaskehals af UDP-pakker, der opstår opstrøms fra den målrettede server.

En bedre metode til at afbøde UDP-oversvømmelsesangreb er ved at implementere forsvarsmekanismer opstrøms snarere end på det fysiske niveau. Dette vil forhindre, at afhængigheden af en båndbredde opbruges af pakker fra cyberangrebet.

2. DDoS-angreb på protokol- eller netværkslag

DDoS-angreb på protokol- eller netværkslag dirigerer en stor mængde pakker mod administrationsværktøjer og netværksinfrastrukturer. Mængden af disse angreb måles i pakker pr. sekund (PPS). Disse typer angreb omfatter SYN-oversvømmelser og Smølf DDoS-angreb.

Hvad er et SYN-oversvømmelsesangreb?

Under normale driftsforhold sender en klient en SYN til en server, som derefter svarer med en SYN+ACK-meddelelse. Mens serveren venter på et SYN+ACK-svar fra klienten, gemmes tilstandsoplysningerne i en TCP-buffer.

Under et SYN-oversvømmelsesangreb spiste en stor mængde SYN-pakkere sendt til en server fra forfalskede IP-adresser, der aldrig giver et SYN-ACK-svar, når serveren anmoder om dem. Resultatet er, at TCP-bufferen når sin grænse, hvilket får alle åbne portforbindelser til at blive overvældet, hvilket igen resulterer i, at serveren afviser nye TCP-forbindelser.

Sådan afbødes SYN-oversvømmelsesangreb

Der er tre metoder til at afbøde SYN-oversvømmelsesangreb:

1. Overskriv senior halvåbne TCP-forbindelser

For at forhindre sammensatte anmodninger om efterslæb skal den ældste halvåbne TCP-forbindelse have genbrugt, når efterslæbet er blevet udfyldt. Denne cykliske forbindelsesproces vil kun afbøde SYN-angreb, hvis forbindelser kan etableres hurtigere, end efterslæbet er udfyldt.

Forøgelse af backlog-grænsen kan købe serveren nok tid til at genbruge den ældste TCP-forbindelse, før backlog-køen er opbrugt.

2. Forøg efterslæbsgrænsen

For at hæve grænsen for efterslæbskøen har operativsystemet brug for tilstrækkelig hukommelse til at opretholde de øgede behandlingskrav fra et større efterslæb. Ellers kan ydeevnen blive hæmmet.

Hvis hukommelsesbåndbredden er tilstrækkelig, skal du øge det maksimale antal mulige halvåbne forbindelser.

Med den øgede efterslæbskø bør systemet fungere i længere tid under et SYN-oversvømmelsesangreb, hvilket giver mere tid til at identificere og blokere den forfalskede IP-adresse, der starter angrebet.

3. Opret TCP SYN-cookies

En TCP SYN-cookie skaber et ekstra niveau af protokolsikkerhed i belastningsbalancere og DDoS-motorer. Denne afhjælpningsmetode fjerner kravet om en TCP-buffer og dens tilsvarende lagerbegrænsninger. Tilstandstabellen erstattes med en matematisk funktion, der beregner TCP-sekvensnummeret, der er knyttet til hvert SYN-ACK-svar.

Hver modtaget ACK-pakke sammenlignes med det forventede TCP-sekvensnummer beregnet af den matematiske funktion. Justering bekræfter legitim forbindelsesanmodning, som derefter etableres som normalt.

Før du implementerer SYN-cookies på en server, skal du sørge for at kontrollere dens behandlingsmuligheder. Nogle x86-servere er ikke i stand til at opfylde behandlingskravene til beregning af TCP-sekvensberegninger hurtigt nok til at opfylde kravene til falske forbindelser.

4. Brug en firewall

En firewall kan erstatte SYN-cookies og bekymringen for overvældende serverressourcer, hvis den er i stand til at overvåge tilstandstabellen og blokere nye forbindelser ud over en bestemt grænse. Heldigvis er de fleste moderne servere i stand til dette.

Intelligente firewalls kan identificere et SYN-oversvømmelsesangreb ved at overvåge SYN-pakker pr. sekund og reagere ved at frigøre halvåbne forbindelser for at opretholde tilgængeligheden. En kompatibel firewall er aktiveret, der opretholder forbindelsen til legitime brugere under et angreb med stor volumen.

Firewalls af lavere kvalitet har dog rudimentære SYN-angrebsfiltre, der kan afvise legitime TCP-sessioner under et SYN-oversvømmelsesangreb.

Hvad er et Smølf DDoS-angreb?

Under et smølfeangreb sendes en illegitim ping til netværkscomputere fra den målrettede server ved at forfalske dens IP-adresse, hvilket tvinger hver modtager til at svare med en operationel opdatering.

Fordi sådanne ping ikke verificeres med et håndtryk, kan de sammensættes uden begrænsninger. Resultatet er, at netværkscomputere lancerer et DDoS-angreb mod egen server.

Sådan afbødes Smølf DDoS-angreb

Størstedelen af angrebsvektorerne, der gjorde Smølf-angreb mulig, er nu blevet udbedret. Nogle ældre systemer er dog stadig sårbare over for denne selvskadende DDoS-taktik.

En hurtig afhjælpningsløsning er at deaktivere alle IP-udsendelsesadresser ved hver firewall og netværksrouter. Denne indstilling vil sandsynligvis blive deaktiveret på nye routere, men ældre routere vil sandsynligvis have den aktiveret.

3. Angreb på applikationslag

Under et applikationsangreb, senere DDoS-angreb, også kendt som et lag 7 (L7)-angreb, er toppen af OSI-modellen målrettet. Det er her, pakkeanmodninger med høj trafik forekommer, - HTTP, GET og HTTP Post.

DDoS-angreb advarselsskilte

Et usædvanligt langsomt indlæsningswebsted kan være bevis på, at der forekommer et DDoS-angreb. Hvis dette derefter udvikler sig til en upålidelig Server 503-meddelelse, er der sandsynligvis et DDoS-angreb.

På dette tidspunkt er øjeblikkelig yderligere verifikation afgørende. Dette kan opnås ved at generere en log over alle aktive serveranmodninger fra Command Log Interface (CLI).

Under et DDoS-angreb vil kommandologgen angive flere forbindelser til en enkelt serverport fra den samme IP-adresse.