Защита it-инфраструктуры от ddos Содержание

1 Характеристики DoS-атак 2

1.1 Краткое описание DoS/DDoS-атак 2

1.2 Обнаружение DoS/DDoS-атак 3

2 Анализ наиболее распространённых методов защиты 5

2.1 Программные методы защиты 5

2.1.1 ICMP-флуд 5

2.1.2 SYN-флуд 5

2.1.3 UDP-флуд 6

2.1.4 HTTP-флуд 6

2.1.5 Обновление используемого ПО и тщательная проверка log-файлов 7

2.2 «Универсальная методика защиты» 8

2.3 Методы защиты, основанные на аппаратном и сетевом подходах 10

2.3.1 Лишение атаки «смысла» 10

2.3.3 Решения компании Reactive Networks 11

2.3.4 Решения компании Intel 12

2.4 Комплексное решение на основе кластеризации 12

2.5 Решение на основе front-end/back-end 15

3 Разработка программно-аппаратного комплекса 18

3.1 Выбор концепции для проектирования ПАК 18

3.2 Архитектура ПАК 19

4 Экспериментальное исследование ПАК 23

Заключение 28

Список использованных источников 30

Приложение А 31

ПРИЛОЖЕНИЕ Б 32

ПРИЛОЖЕНИЕ В 35

1 Характеристики DoS-атак

1.1 Краткое описание DoS/dDoS-атак

По отношению к целевой рабочей машине (далее, «жертве») DoS-атаки подразделяются на локальные и удаленные (в этом разделе используются материалы, подробно указанные в [1]).

К локальным относятся различные эксплойты, форк-бомбы и программы, открывающие по миллиону файлов или запускающие некий циклический алгоритм, который заполняет собой область оперативной памяти и процессорные ресурсы. Однако в работе была изначально поставлена задача построить модель и проанализировать процессы простейших сетевых DoS-атак, которые относятся к классу «удаленных».

В свою очередь удалённые атаки делятся на два вида:

1. Удаленная эксплуатация ошибок в ПО с целью привести его в нерабочее состояние.

2. Flood – «флуд» - посылка на адрес жертвы огромного количества бессмысленных (реже – осмысленных) пакетов. Целью флуда может быть переполнение ресурсов канала в интернет, превышение максимального количества одновременных соединений сервера (SYN флуд), или исчерпание процессорных мощностей сервера (частое запрашивание страниц — HTTP флуд). В первом случае поток пакетов занимает весь пропускной канал и не дает атакуемой машине возможность обрабатывать легальные запросы. Во втором и третьем - ресурсы машины захватываются с помощью многократного и очень частого обращения к какому-либо сервису, выполняющему сложную, ресурсоемкую операцию. Это может быть, например, длительное обращение к одному из активных компонентов (скрипту) web-сервера.

В традиционном исполнении (один атакующий - одна жертва) сейчас остается эффективным только первый вид атак. Классический флуд бесполезен, потому что при сегодняшней ширине канала серверов, уровне вычислительных мощностей и повсеместном использовании различных анти-DoS приемов в ПО (например, задержки при многократном выполнении одних и тех же действий одним клиентом), атакующий не способен нанести какой бы то ни было ущерб. Но, если атакующих наберутся сотни, тысячи или даже сотни тысяч, они легко отправят рабочий сервер в состояние «down». Распределенная атака типа «отказ-в-обслуживании» (DDoS), обычно осуществляемая с помощью множества зомбифицированных хостов (выполняющих команды в автоматическом режиме без воздействия и ведома законных пользователей), может надолго вывести из рабочего состояния даже самый стойкий сервер, и единственная эффективная защита - организация распределенной системы серверов (используемых в очень редких корпорациях, например, в Google).