AdminXP.cz: Denial of Service (DoS), Distributed DoS (DDoS)

Denial of Service (DoS), Distributed DoS (DDoS)

Odmítnutí služby (Denial of Service - DoS) - Termín pro označení skupiny různých způsobů znepřístupnění počítačového systému pro jeho uživatele. Obvykle značí útok hackera způsobující částečnou nebo úplnou nedostupnost serveru, sítě nebo služby (web, mail, ftp,.. ). Důsledek je pád systému, nestabilita nebo restart.
Principem je používání různých způsobů útoků k zahlcení systému nebo sítě. Typickým útokem je zaslání nadměrného množství požadavků, které server nestíhá vyřizovat. V případě, že nedojde ke zhroucení systému, dochází k vyčerpání systémových prostředků nebo k zatížení kapacity linky s výsledkem nedostupnosti pro požadavky normálních uživatelů. Útok je velmi jednoduchý, protože nástroje pro provedení jsou běžně dostupné z Internetu a k provedení nejsou potřeba téměř žádné speciální vědomosti. Obrana není vždy jednoduchá a i při využití jednoho či několika počítačů se stávají server nebo síť nedostupnými. Někdy může být útok DoS použit jako kamufláž jiné činnosti, například k zametení stop po jiném hackerském útoku nebo jako jedna z posledních možností, když se hackerský útok nepodaří. Ve většině případech nejde o prolomení bezpečnosti, bohužel však přesto může dojít k velkým škodám díky nedostupnosti serveru, a tím ke ztrátě času, peněz a důvěryhodnosti.
Možným důvodem pro použití DoS je potřeba, aby byl vzdálený systém restartován. Pokud hacker pronikne do systému a provede některé změny v konfiguraci, může potřebovat, aby byl systém restartován pro uplatnění změn. Při útoku DoS může někdy restart pomoci ke zmírnění útoku, ke vzpamatování nebo k uplatnění některých změn prováděných samotným administrátorem.

Základní terminologie

Klient - aplikace použitá ke spuštění útoku s pomocí odeslání příkazu na další komponenty spouštějící útok
Daemon - Proces běžící na agentech, který je odpovědný za příjem provedení příkazů vyslaných klientem.
Master (Handler) - napadený systém sloužící jako prostředník mezi útočníkem a agenty v tříúrovňovém řízení útoku. Zajišťuje komunikaci mezi jednotlivými úrovněmi a má na starosti získávání nových agentů. Zároveň plní funkce Klienta.
Agent (Zombie) - označení napadeného počítače provádějícího útok na určený cíl s procesem označovaným jako daemon.
Cíl - oběť (počítač, služba nebo síť) útoku.

Prostředky a cíle útoků DoS a DDoS:

Omezení kapacity přístupové linky - útočník má vysokorychlostní připojení k Internetu nebo získá přístup k systému či více systémům zajištujícím dostatečnou kapacitu pro dostatečně rychle vysílání dat k zaplavení cílového systému s menší přenosovou kapacitou linky. Výsledkem je zamezení nebo částečné omezení přístupu pro normální uživatele. Větší přenosová kapacita pro útok než kapacita linky cílového systému není podmínkou, protože pro většinu typů útoků záleží na způsobu a provedení. Kapacita linky pro útok může být několikanásobně menší. Zatímco systémy lze před určitými druhy útoků ubránit, před přetížením linek to obvykle nelze.
Omezení systémových prostředků v cílovém systému - Cíl útočníka je zaneprázdnit cílový systém a omezit výkon procesoru, zahltit operační paměť a diskový prostor. Výsledkem může být zhroucení systému, tuhnutí a omezení přístupu.
Využití chyb v systému - Chybovati je lidské a systémy jsou tvořeny lidmi. Při používání se objevují chyby v operačních systémech, protokolech (nedokonalá specifikace nebo chyba v provedení implementace do systému), programech, hardwaru a dalších částech tvořících systém. Sledovat objevované chyby a jejich řešení je náročné, ale hackeři tuto oblast obvykle pečlivě sledují a následně využijí při útocích.
Zneužití vzdáleného systému - Při proniknutí do systému a změnění směrovacích tabulek nebo údajů v systémech DNS může útočník přesměrovat síťový provoz na svoje stránky nebo na jakýkoli existující nebo neexistující server. Napadení serveru DNS je možný způsob jak znepřístupnit cílový počítač, na který není nutné útočit (pokud DNS server není stejným počítačem jako cílový). Při instalaci SW typu Zombie může být systém využit k některému útoku DDoS.
Viry - Mohou obsahovat program typu Zombie nebo jiný nepříjemný kód pro přinucení napadeného počítače k útoku na jiné systémy.
Fyzické odpojení sítě - Ať už náhodně nebo cíleně lze odpojit systém přerušením kabelu nebo poškozením směrovače. Velké společnosti jsou k Internetu napojeny více způsoby nebo mají zálohová řešení pro případ nouze. V případě útoku DoS může nastat situace, kdy správce sítě síť odpojí od Internetu a zamezí útoku do nalezení jiného řešení.
Nevhodné chování uživatelů může způsobit také odepření nebo omezení služeb - 1. FTP servery lze zahltit nahráváním neužitečných dat. Každý uživatel by měl mít nějaké limity. 2. Poštovní servery - kromě klasického útoku s využitím více počítačů a posílání stovek až tisíců zpráv je nejčastěji účinné používání velkých zpráv či zpráv s přílohami mající velkou velikost. To je jedním z důvodů, proč jsou na serverech omezovány velikosti příloh. 3. Zahlcení datových nebo hlavních serverů velkým množstvím dat. V současné době ukládání souborů na CD a DVD, kdy jednotlivé soubory filmů, fotografií nebo jiných dat zabírají desítky MB či GB, je celkem snadné při velkém počtu uživatelů tyto servery zahltit pouhým odkládáním dat. Pro omezení slouží programy hlídající a omezující uživatele pomocí kvót, jeden uživatel tak má například možnost na server uložit maximálně 100MB dat.
Buffer Overflows - Přetečení vyrovnávací paměti. Jedná se o chybu programu nekontrolující správnou velikost vstupních údajů. V praxi tak například dochází k situacím, kdy aplikace má nastaveno, že nějaký údaj není delší než 256B, bohužel ale nemá ošetřeno a kontrolováno, zda zadávaný údaj není opravdu delší. Při zadání delšího vstupu může dojít k neoprávněnému spuštění nějakého kódu dle přání útočníka a narušit tak zabezpečení aplikace (internetového serveru). Alternativně dochází ke zhroucení aplikace nebo systému. V útocích DoS toto využívá útok Ping of Death. Lze však využít i u dalších útoků.

Varianty útoků DoS

1. Ping of Death

Útočník zasílá znetvořeným paketem ping (echo request packet) na vzdálený systém. Packet je vyznačován svojí nezvyklou velikostí překračující maximum 64KB povolené specifikací IP protokolu.
Kromě počítačů s různými operačními systémy mohou být náchylné k tomuto útoku i některé směrovače a síťové tiskárny. Přesto většina systémů je k tomuto druhu útoku imunní vzhledem k jeho známosti a stáří. K obraně se obvykle používá určení limitu na požadavky ICMP (5-10) a omezení zpráv typu broadcast z vnější sítě (Internetu).

2. SYN Flood

Na cílový systém jsou odesílány stovky falešných požadavků SYN (Synchronization), které normálně slouží pro synchronizaci při zahajování spojení. Reakcí systému je vyhrazení části systémových prostředků pro jednotlivé spojení a odeslání odpovědi ACK-SYN. Normálně by měl systém odpovědět (ACK) o úspěšném navázání spojení, to však není tento případ a žádná odpověď nepřijde vzhledem k neexistující (neaktivní) podvržené IP adrese. Cílový systém po nějaké době vyšle znovu odpověď ACK-SYN a teprve po nějaké době jednotlivá spojení uzavírá (desítky vteřin). Při velkém počtu požadavků dochází k otevření velkého množství polo-otevřených spojení (half-open), zahlcení paměti a nemožnosti obsloužit normální uživatele.
Ochrana na tento typ útoku téměř neexistuje. Z pohledu systému se jedná o regulérní komunikaci na základě specifikace protokolu IP. Možná řešení (nejsou vždy 100% účinná): 1. Aktualizace systémů pro detekci a omezení útoku SYN. 2. Zmenšení času pro čekání ACK-SYN (timeout) - výsledkem může být nemožnost navázaní spojení pro uživatele s pomalým připojením. 3. Vyhrazení více systémových prostředků pro navazování spojení - snížení nebezpečí. Někdy může nastavení vést ke snížení výkonu serveru.

3. LAND Attack

Varianta útoku SYN Flood, kdy na cílový systém je odeslán TCP packet SYN obsahující jako zdroj i cíl, IP adresu a port cílového počítače. Většina OS a zařízení mí již tuto situaci ošetřenou a útok je neúčinný. V opačném případě může dojít ke zhroucení systému.

4. Teardrop (fragmentation attack)

Využívá možné nedokonalosti fragmentace datagramů v protokolu IP. Datagramy cestují Internetem přes velké množství směrovačů, které mohou mít rozdílnou hodnotu MTU pro určení maximální velikosti datagramu. Pokud datagram prochází směrovačem s menší MTU, než pro kterou byl původně vytvořen, je rozdělen (fragmentován) do několika menších fragmentů tvořící samostatné datagramy, kdy v záhlaví jsou odlišovány pomocí offsetů (Fragment Offset). Ofset určuje, kolik bajtů dat bylo vloženo do předchozího fragmentovaného datagramu. V praxi je tak například 1. datagram offset = 0, 2. datagram offset = 1400, 3. datagram offset = 2800,... Teardrop generuje pakety, kde se rozsahy ofsetů jednotlivých datagramů překrývají a při snaze sestavit datagram na cílovém systému může dojít k jeho zhroucení nebo restartu. Poměrně starý útok, kdy většina systémů je proti útoku imunní.
Upravenými variantami Teardop jsou útoky: Boink, Newtear, SynDrop.

5. Smurf (Fraggle)

V mnohém je podoben útoku Ping of Death s rozdílem větší zákeřnosti.
Principem je zaslání datagramu ping (ICMP echo) na broadcast adresu nějaké sítě s podvrženou zdrojovou IP adresou (spoofed) udávající cílový počítač (obvykle ve stejné síti). Z důvodu broadcast adresy je datagram odeslán na všechny systémy v podsíti a ty odesílají odpověď. Podle počtu počítačů dochází k výraznému zvýšení putujících datagramů (ICMP echo response) zahlcujících cílový systém. Obětí tak může být síť využitá k útoku i cílový systém, na který se zasílají odpovědi (pokud to není počítač ve stejné podsíti). Největší nebezpečí je v zesílení útoku, kdy při stovkách systémů v podsíti jsou generovány stovky odpovědí na základě jednoho datagramu.
Pro ochranu je na směrovačích zakazován příchod zpráv broadcast z vnějších sítí (Internetu), případně všechny zprávy broadcast. Řešením může být i vhodně nakonfigurovaný Firewall. Na jednotlivých OS lze zakázat zcela zprávy ICMP echo nebo zprávy ICMP echo na adresy broadcast. Při připojení k Internetu je vhodné požádat o nastavení filtrování na směrovači u poskytovatele Internetu (ISP).
Fraggle - Varianta útoku Smurf s rozdílem generování UDP paketů.

Distribuovaný Dos (Distributed DoS - DDoS)

Podobný princip jako DoS, ale pro útok jsou zneužity desítky až tisíce infiltrovaných počítačů označovaných jako zombie nebo daemons. Zombie je program ovládaný na dálku útočníkem (hackerem), případně přes napadené systémy označované jako Master při použití tříúrovňové architektury. Na počítače označované jako zombie je program nainstalován různými způsoby - může to být s počítačovým virem nebo při průniku hackera do systému, a to nejčastěji s pomocí nástrojů, které tuto činnost automatizují. Uživatel a vlastník počítače ve většině případech o programu neví, a tak program čeká na pokyn hackera nebo stanovený čas ke spuštění útoku a záplavě dat na cílový systém.
Nejznámější útok DDoS se stal v roce 2000, kdy na několik hodin ochromil servery Yahoo, CNN.com, eBay a některé další.

Nejznámější nástroje:

TFN (Tribal Flood Network)

Od hackera pod jménem Mixter. Použití dvojúrovňové architektury s použitím klienta a agentů. Nabízí širokou nabídku klasických DoS útoků - Ping of Death, Smurf, SYN Flood. Určení především pro prostředí Unix serverů.

Trinoo (Trin00)

Jednoduchý program pro útok typu UDP Flood s nezašifrovanou komunikací. Na rozdíl od TFN používá tříúrovňovou architekturu s klientem, nekolika počítači master a množstvím ovládaných počítačů s klienty zaplavující cílový systém UDP pakety s možností generování různých čísel portů UDP.
Pro komunikaci používá porty:1524 tcp , 27665 tcp , 27444 udp , 31335 udp

TFN2K (Tribal Flood Network 2000)

Vylepšené TFN. Přidává některé nové útoky a pro komunikaci mezi klientem a serverovou částí (zombie / daemons) používá šifrovacího algoritmu Base64 a náhodné porty. Kromě Unixu se lze s nástrojem setkat i pod Windows. Stejně jako TFN podporuje velké množství útoků.

Stacheldraht

Nástroj Ostnatý drát je založený na TFN a Trinoo. Ke komunikaci mezi Mastery a klienty je používáno šifrování, používá různé druhy útoků. Novou výraznou vlastností je automatická aktualizace klientů při dostupnosti novější verze.

DRDoS (Distributed Reflection Denial of Service)

Nová forma útoku pomocí zpráv SYN, ale posílající je na různé počítače v Internetu, kdy identifikace uživatele zní na adresu počítače, který chce útočník napadnout. Výsledek je generování odpovědí ACK zasílaných na cílový systém a zahlcování přístupové linky. Problémem je vícenásobné generování odpovědi ACK, kterou cílový počítač z velké části ignoruje a velké množství různých adres, které lez těžko filtrovat a kde navíc filtrování paketů značně sníží dostupnost.

Ochrana

Záleží na typu útoku.
Aktualizace - Sledovat a aktualizovat firmware ve směrovačích, případně dalších síťových prvcích. Operační systémy a další SW vyžadují aktualizace pro řešení případných chyb a často přinášejí i nové funkce.
Kvalitní a dobře zkonfigurované směrovače - Mnoho firem má účinné nástroje proti útokům zabudované ve směrovačích nebo v systémech. Problémem je, že o tom většinou ani nevědí a navíc je neumějí zkonfigurovat. Směrovač by měl splňovat požadavky a doporučení dle RFC 2827 a 2644, samozřejmostí je nastavení filtrování pro privátní sítě (RFC 1918).
Ingress Filtering (RFC 2827) - Funkce směrovače, kdy po aktivaci je kontrolován každý paket, který má být směrován. Podmínkou je kontrola dostupnosti zdrojové adresy přes interface, z kterého jde ven. Pakety ze zfalšovanou zdrojovou IP adresou jsou odmítnuty. Filtrování má zamezit útokům, kdy příchozí paket má podvrženou zdrojovou adresu používanou v interních podsítích nebo privátních sítích.
Egress Filtering - Funkce směrovače, kdy je kontrolován každý paket odcházející přes směrovač nebo router z vaší sítě. V případě, že zdrojová adresa není z rozsahu vnitřní sítě, jsou pakety ignorovány. Filtr má omezit nebezpečí zneužití sítě pro útok. Filtr nelze použít ke kontrole podvržených vnitřních adres a spíše je používán pouze Ingress Filtering.
Firewall - Povolení jen používaných portů a omezení nebo zakázání paketů ICMP.
Antivirové programy - ochrana proti virům a instalaci neoprávněných programů.
Odpojení systému ze sítě - Někdy nezbývá jiná možnost, než dočasně odpojit systém od vnější sítě a možná pomůže i modlení. Urychleně je však nutné provést opatření k omezení útoku a opětovnému připojení do sítě.
Použití systému IDS (intrusion detection system) - Sleduje jednotlivé pakety a zjišťuje, zda nejsou používány k útoku nebo jiné nepříjemné činosti. Někdy je zaměňován s Firewallem, ale IDS je spíše častěji jeho rozšířením. Samotný Firewall obvykle pouze povoluje nebo zakazuje přístup na základě určitých pravidel. V závislosti na nastavení a vlastnostech IDS jste upozorněni při podezřele velkém počtu paketů SYN na síti ( / počítači), případně velkém počtu paketů SYN používajících velké množství portů. Obojí totiž může znamenat útok, případně provádění skenování systému. Samotný princip je založen na detekci abnormálních (nezvyklých) činností (tím může být nezvykle velký provoz, velké zatížení systémových prostředků,..) nebo detekcí nejznámějších útoků. V závislosti na konfiguraci pravidel je při útoku odesláno varování a zároveň překonfigurován Firewall.

Poznámky

Pro diagnostiku, zda systém s Windows není pod útokem DoS, se používá příkaz: netstat -n -p tcp. Pokud ano, objeví se spousty připojení se statusem SYN_RECEIVED.
Pro OS Windows může při útoku pomoc nastavení protokolu (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ Tcpip\Parameters) a provedení zdokumentovaných změn v klíčích SynAttackProtect, TcpMaxConnectResponseRetransmissions, TcpMaxHalfOpen nebo případně další změny v nastavení systému.
Pro většinu útoků jsou podvrženy zdrojové IP adresy, ať z důvodu pro více efektivní útok nebo pro skrytí identifikace útočníka. Odhalení pachatele tak bývá obvykle obtížné.
Útoky nejsou nebezpečím jen pro určité systémy, různé systémy však mohou reagovat různě v závislosti na OS, aplikaci nebo nastavení směrovačů. Příkladem je zahlcení linky nebo poštovního serveru příliš velkým množstvím zpráv.
Pro kontrolu vzdálených počítačů v místní nebo i vzdálené síti lze použít speciální programy určené speciálně pro určité bezpečnostní díry nebo univerzální pro skenování portů (známým je například program NMap - www.insecure.org/nmap ). Tyto nástroje jsou určeny pro administrátory, ale jsou samozřejmě využívány i hackery.