DDoS в разрезе

Размахнин Сергей Александрович

Хакер, номер #094, стр. 094-082-5

Старо как мир, но работает

Атак, основанных на протоколе ICMP две: ICMP flood и Smurf – ping.

ICMP flood

ICMP flood - это далеко не новый вид атаки, который, тем не менее, не теряет популярности. Здесь используется команда ping. Ping изначально задумывался для проверки качества соединения с удаленным компьютером. Принцип работы команды: отсылается сообщение ECHOREQUEST, на которое удаленный компьютер автоматически отвечает сообщением ECHOREPLY. Согласно RFC, операционная система всегда обязана при получении запроса ECHOREQUEST ответить сообщением ECHOREPLY, а значит, затратить на это часть своих ресурсов. ICMP – протокол для диагностики сетевых систем и зачастую от него нельзя отказаться. Он был, есть и будет, а с повсеместным внедрением ipv6 его роль возрастет еще больше. Но если ты думаешь, что старыми добрыми ECHOREQUEST-запросами уже ни одну систему не загрузишь, то ошибаешься. Посмотри, как им можно загрузить виндовый сервак в локальной сети:

Smurf - ping-запросы ICMP.

Едем дальше, атака SMURF. Экспертами ее относят к наиболее опасным разновидностям DoS-атак. Сейчас объясню почему. SMURF использует эффект усиления, являющийся результатом отправки широковещательных запросов рing к системам, которые всегда обязаны ответить на него. Запрос направляется либо на сетевой адрес, либо по адресу широковещательной рассылки сети. Прямая широковещательная рассылка обычно служит для диагностики, позволяя выявить работающие системы без рing-запроса каждого адреса из диапазона. В атаке smurf используются особенности широковещательной рассылки. Для ее проведения требуются как минимум три системы: атакующий, усиливающая сеть и атакуемый. Атакующий посылает поддельный пакет IСМР ЕСНО по адресу широковещательной рассылки усиливающей сети. Адрес источника этого пакета заменяется адресом жертвы, как будто именно целевая система инициировала запрос. После этого происходит следующее: поскольку пакет ЕСНО послан по широковещательному адресу, все системы усиливающей сети возвращают жертве свои ответы (если только конфигурация не определяет другого поведения). Послав один пакет IСМР в сеть из 100 систем, атакующий инициирует усиление атаки DoS в сто раз. Коэффициент усиления зависит от состава сети, поэтому атакующий ищет большую сеть, способную полностью подавить работу атакуемой системы.

Механизм защиты от Smurf - ping-запров ICMP.

Специалисты по сетевой безопасности рекомендуют предпринять следующие контрмеры:

1) чтобы предотвратить эффект усиления, нужно позволить запрет операций прямой широковещательной рассылки на все граничные маршрутизаторы;

2) установить в операционной системе режим «тихого» отброса широковещательных эхо-пакетов IСМР.