Защита от DDoS атак
DDoS
атака
"Distributed Denial Of Service Attack" расшифровывается как «распределенный отказ в обслуживании». Целью DDoS атаки является получение скрытой информации или же вывод атакуемого оборудования из рабочего состояния, что может повлечь большие финансовые потери, связанные с простоем оборудования, или же с затратами на защиту от DDoS атаки и наем специалистов.
Никто не застрахован от взлома компьютера хакером, и поэтому в любом случае, если человек пользуется сетью интернет, ему не помешает защита от DDoS атак. И все же существует несколько проектов, чьим владельцам обязательно следует задуматься над обеспечением надежной защиты:
- сайты крупных финансовых компаний
- сайты банков
- корпоративные сайты
- интернет-магазины
- сайты политической направленности
- сайты министерств
- сайты онлайн казино и т.п.
Считается, что если непосредственно на сайте не проводятся финансовые операции, то защита от DDoS атак не нужна. Однако целью взлома сайта, может быть не только нанесение убытков владельцу ресурса. Завладев персональной информацией какой-нибудь компании, злоумышленник может использовать ее для обмана других пользователей с целью получить от них деньги. Поэтому, владельцы сайтов, принадлежащих финансовым учреждениям, должны понимать, насколько важна защита от DDoS атак в таком случае, ведь злоумышленник может получить доступ к счету любого клиента, и украсть от туда довольно большую сумму.
Корпоративным сайтам так же требуется защита от DDoS атак. Получив доступ к данным предприятия, о том какие услуги или продукцию оно предлагает, хакер может использовать эти сведения в своих целях. Не редко проведение DDoS атак является просто хулиганством, однако убытки при этом так же могут быть весьма существенными.
Механизм DDoS атак обычно выглядит так: на выбранный жертвой сервер посылается огромное количество ложных запросов с тысяч, а то и десятков, сотен тысяч, компьютеров со всего мира. В итоге сервер тратит все свои ресурсы на обслуживание этих запросов и становится недоступным для обычных пользователей. Владельцы компьютеров, с помощью которых происходит атака, могут даже не подозревать, что их машина используется хакерами. Такие компьютеры принято называть «зомби». «Зомбирование» происходит с помощью специальных вредоносных программ — эксплоитов. Заразить компьютер можно через браузер при посещении сайтов, при получении почты, или через установку программам, содержащих трояны.
Злоумышленники при проведении DDoS атак используют трехуровневую архитектуру, которая имеет название «кластер DDoS»:
Управляющая консоль, которых может быть несколько. С этого компьютера хакер подает сигнал о начале атаки.
Главные компьютеры. Эти машины получают сигнал об атаке с управляющей консоли и передают его компьютерам «зомби» - агентам. В зависимости от масштабности атаки, на одну управляющею консоль может приходиться несколько сотен главных компьютеров.
Агенты — зараженные компьютеры, которые своими запросами атакуют выбранный сервер.
Проследить такую иерархию в обратном направлении практически невозможно. Максимум что может определить «жертва», это IP адрес агента. Специальные мероприятия в случае успеха приведут к главному компьютеру. Но тот факт, что агенты и главные компьютеры так же являются пострадавшими (их еще называют «скомпрометированными»), практически исключает возможность отследить организатора атаки.
Так же ситуация осложняется тем, что злоумышленнику не обязательно обладать специальными знаниями и ресурсами. Множество программ для организации DDoS атак свободно распространяется в интернете.
Механизм dDoS атак
Для того, что бы понимать, как грамотно проводится защита от DDoS атак, необходимо разбираться с механизмом проведения этих самых атак. Рассмотрим, с чем же чаще всего сталкиваются пользователи.
1. Icmp Smurf
Наиболее распространенным метод DDoS атак. Принцип его работы довольно прост. Злоумышленник, изменяя адрес источника, посылает пакет ICMP Echo Request (больше известный как пинг (ping)) к конкретным компьютерам, как правило, входящих в состав сети ddosnet). Эти компьютеры в свою очередь отвечают пакетом ICMP Echo Reply, отправляя его на IP адрес указанный хакером как источник. Часто для усиления атаки используются локальные сети (LAN) с включенной опцией направленной широковещательной рассылки (directed broadcast), в ответ на пинг с каждого компьютера в составе сети. Например на один запрос будет отправлено 100 ответов.
2. Syn Flood
Так же часто используемый метод DDoS атаки. Для того что бы понять схему его действия, нужно знать, как устанавливается соединение в протоколе TCP (Transport Control Protocol). Syn Flood атака основана на создании, так называемых, полуоткрытых сессиях. Один из агентов посылает SYN пакет, в ответ на который сервер вынужден отвечать SYN и ACK пакетами. Целью такой DDoS атаки является не перегрузка канала, а прекращение связи между администратором и сервером, а так же максимальная загрузка памяти сервера, из-за чего может возникнуть проблемы с доступом к сервисам или же полное прекращение услуг.
3. Udp Flood
Данный метод основан на применении UDP протокола и используется обычно для вызова наиболее возможной нагрузки канала атакуемой системы. Метод UDP Flood не является атакой, использующей недостатки протокола, а основан на приложениях, работающих в рамках протокола UDP. Два сервиса являются частыми мишенями UDP Flood атаки — это системы DNS и Chargen
Udp Flood dns
Целью DDoS атаки на сервер DNS является нарушение преобразования символьных адресов в IP адреса. Это может парализовать некоторые услуги и мешать взаимодействию пользователя с сетью интернет. Атака служб DNS трудна и часто не приносит желаемого эффекта. Хакеры используют два варианта нападения на сервера. Первый относится к системе имен определенной подсети. В данном случае злоумышленник посылает множеству DNS серверов запрос о домене жертвы, который генерирует относительно высокую активность и тем самым может отрицательно сказаться на работе атакованного сервера. Суть второго варианта атаки — отправка жертве большого количества запросов про IP адрес несуществующего домена. В этом случае ответ от DNS сервера значительно превышает объем запросов отправленных хакером, что может повлечь перегрузку каналов, используемых жертвой.
Udp Flood Chargen
Chargen (сокр. от Character Generator) это сервис, который генерирует набор случайных чисел от 0 до 512 разной длины. Служит он для диагностических целей и позволяет определить причины потери пакетов. Нападение на сервис Chargen является простым и эффективным методом DDoS атак, и основано на отправке на него с множества компьютеров небольших пакетов UDP, на которые услуга должна ответить, в результате чего часто происходит перегрузка соединения. Существует также второй вариант нападения, когда потерпевший имеет в своей сети два сервера, предоставляющих данную услугу. В таком случае используется метод подмены адреса, хакер выдает себя за первый сервер, а потом отправляет на второй сервер набор символов. Это приводит к ответу на первый сервер и так по кругу, создав круговорот обращений и пересылок. Естественно это приводит к неработоспособности серверов.