35.Обработка инцидентов отказа в обслуживании. Атаки затопления syNами

Затопление SYNами происходит, когда атакующий инициирует много соединений TCP за короткое время (путем посылки пакетов SYN), но не завершает соединение.

Если атакующий инициировал 100 соединений TCP к конкретному порту услуги и не завершил какую-нибудь из них, то операционная система может не иметь ресурсов, доступных для инициирования другого соединения к этому порту услуги до тех пор, пока старые соединения не завершатся. Это должно вызвать временную DoS для намеченной услуги. Если атакующий продолжает посылать пакеты SYN, то DoS будет расширена.

Затопление SYNами также может произойти, если атакующие инициируют много тысяч соединений TCP за короткое время.

Существующие операционные системы устойчивы к затоплению SYNами и многие сетевые экраны обеспечивают защиту против затоплений SYNами.

36.Подготовка к обработке инцидентов отказа в обслуживании

При планировании обработки инцидентов отказа в обслуживании выполняются следующие мероприятия:

• подготовка к обработке инцидентов отказа в обслуживании;

• выбор и реализация защитных мер, препятствующих инцидентам отказа в обслуживании;

• формирование контрольного перечня действий по обработке инцидентов отказа в обслуживании;

• формирование приоритетного порядка обработки инцидентов отказа в обслуживании.

В дополнение к общему руководству должны быть выполнены следующие действия:

-установка ПО обнаружения вторжения, чтобы обнаружить трафик DoS и DDoS;

-осуществление мониторинга ресурсов для определения источника использования сетевой пропускной способности и использования критичных ресурсов узлов и для регистрации и оповещения, когда существует значительное отклонение от нормального поведения систем.

К таким защитным мерам относятся следующие:

-конфигурирование периметра сети так, чтобы запретить весь входящий и исходящий трафик, который не разрешен. Это должно включать:

а) блокирование использования услуг, таких как эхо и загрузка, которые больше не служат установленной цели и используются при атаках DoS;

б)выполнение фильтрации выхода и входа, чтобы блокировать ложные пакеты;

в)формирование правил сетевого экрана и управления доступом к маршрутизатору, позволяющих эффективно блокировать опасный трафик;

г)конфигурирование пограничных маршрутизаторов таким образом, чтобы блокировалась ретрансляция направленных широковещательных рассылок;

-ограничение скорости для определенных протоколов, таких как ICMP, чтобы они могли использовать только определенную часть общей пропускной способности;

-блокирование всех ненужных услуг и ограничение использования услуг, которые могут быть использованы при атаках DoS, на узлах, имеющих доступ в Internet;

-обеспечение уверенности, что сети и системы не работают на максимальной пропускной способности.

37.Приоритетный порядок обработки.

Анализ инцидента отказа в обслуж-ии.

1.Установление степени опасности инцидента с т.з. его воздействия на бизнес.

1.1 Идентификация затронутых активов и прогнозирование какие активы могут быть затронуты.

1.2Оценивание существующих и потенциальных воздействий инцидента.

1.3 определение по матрице приоритетов условий реагирования на основе технического воздействия и затронутых активов

2. Сообщение об инциденте соответств. внутр. персоналу и внешним организациям.

Сдерживание устранение и восстановление после инцидента.

3. Выполнение начального сдерживающего инцидента.

4.Получение, докум-ие, сохранение и обеспечение безопасности свидетельств инцидента.

5.Устранение инцидента.

6. Восстановление после инцидента (возвращение в работе, проверка функционирования, мониторинг для фиксации подобных инцидентов)

Деятельность после инцидента

7.Подготовка завершающего отчета

8.Обсуждение полученных уроков

Высокую критичность имеют активы: связность с Internet, Web-серверы, рабочие станции системных и ИБ администраторов, сервер мониторинга.

Средняя: серверы файлов, серверы печати, почтовый сервер.

Низкая : раб станции пользователей.

Предвестники атак.

Предвестник- Атакам DoS часто предшествует разведывательная деятельность, чтобы определить, какие атаки могут быть эффективными. Например, определение объема трафика, опасного для данной системы. Действия по предотвращению- Если обнаруживается активность, которая кажется подготовкой для атаки DoS, организация может блокировать атаку посредством быстрого изменения ее безопасности, например, изменение правил сетевого экрана, чтобы блокировать конкретный протокол или защитить уязвимый узел.

Предвестник- Недавно выпущенный инструмент DoS может представить значительную угрозу для организации. Действия по предотвращению- Расследуйте новый инструмент и, если можно, измените средства управления безопасностью так, чтобы этот инструмент стал неэффективным при реализации атак DoS на системы организации.