Протокол udp

Как определено в документе RFC 768, протокол UDP является эквивалентом TCP, не ори­ентированным на установление соединений. Как и IP, UDP не гарантирует доставки пакетов получателю и правильность их порядка. Заголовок UDP-пакета очень простой и не содержит флагов или порядковых номеров

Как и TCP, протокол UDP базируется на возможностях, предоставляемых протоколом IP для доставки пакетов конкретному компьютеру. Номера портов используются для доставки па­кетов определенным прикладным программам, запушенным на удаленном компьютере.

Поскольку компьютер-отправитель не выполняет проверку заголовка UDP, то в качестве номера порта отправителя взломщик может указать любой удобный ему номер. Так как для UDP не требуется установления соединения, то гораздо проще подменить как IP-адрес, так и порт от­правителя пакетов.

Протокол iсмр

Описанный в документе RFC 792 протокол ICMP предназначен для извещения о затрудне­ниях в процессе передачи данных другими протоколами. Каждое ICMP-сообщение имеет идентификатор типа, по которому можно определить причину проблемы, например, недос­тупность адресата или сообщение о недостижимости порта. Кроме того, с помощью ICMP можно определить, работает ли тот или иной компьютер (ping-запрос).

На многих узлах используется блокирование ICMP-сообщений на брандмауэре и на гра­ничном маршрутизаторе. Это обычная практика для предотвращения разглашения информа­ции о компьютерах локальной сети. Однако блокирование всех ICMP-сообщений может по­влиять на производительность сети. Например, при блокировании сообщений типа Desti­nation Unreachable («Адресат недоступен») Web-браузеры будут ожидать превышения лимита времени вместо того, чтобы сразу выдать сообщение о недоступности адресата запроса. Поэтому должен быть выбран разумный компромисс между производительностью и риском предоставления потенциально опасной информации или даже компрометации компьютера.

Для создания интерактивных сеансов связи с помощью ICMP-пакетов зло­умышленник может воспользоваться программой, наподобие ISHELL. Блокирование ICMP-пакетов сделает невозможным такой «скрытый» сеанс связи.

Методы организации атак хорошо известны специалистом, но несмотря на это успешно противостоять им получается далеко не всегда, что связано прежде всего с тем, что точно отфильтровать "мусорные" запросы от реальных чрезвычайно трудно. DoS-атаки бывают одиночные - организуемые с одного компьютера, и распределенные (DDoS) в которых используется множество компьютеров.  Приведем пример DoS-атаки. Каждый раз, когда между сервером и клиентом устанавливается соединение, происходит обмен специальными служебными пакетами или так называемая синхронизация. Для организации атаки серверу посылается служебный запрос на соединение, сервер выделяет для клиента канал связи и ждет данных. А вот данных он от него не дождется никогда. В результате канал некоторое время будет занят а поскольку таких каналов ограниченное число а подобных соединений устанавливается множество, все каналы оказываются занятыми и получить доступ к сайту обычный посетитель уже не может.  В настоящее время чаще используются DDoS-атаки (Distributed Denial of Service Attack) или как их еще называют "распределенные атаки". Для их организации используется не один а несколько компьютеров, количество которых может быть огромным. С этой целью злоумышленник рассылает через Интернет троянские программы, которые тем или иным способом попав на компьютер пользователя постоянно находятся в памяти никак себя не проявляя, пока им не будет подана команда (способы передачи команд могут быть самые разные). Получив команду троянская программа начинает атаковать сервер-жертву, а поскольку зараженных компьютеров может быть десятки тысяч, нетрудно представить какую нагрузку на сервер это вызовет. Подобные сети из компьютеров-зомби называют botnet-ами, однако стоит сказать что количество распределенных атак через такие сети не так уж и велико, злоумышленники давно поняли, что botnet гораздо выгоднее использовать для рассылки спама, чем для DDoS-атак.  Как защититься от DDoS-атаки  К сожалению на данный момент эффективной защиты от распределенной атаки не существует и потенциально любой ресурс может быть атакован злоумышленниками. Можно лишь смягчить удар. Один из способов - увеличение мощности серверов и пропускной способности каналов связи. Другой - дублирование информации на разных серверах и создание "зеркал" сайта. Также применяются различные методы фильтрации запросов, позволяющие блокировать их еще на подходе к серверу, однако это применимо лишь в том случае, если тип "мусорного" запроса известен.