DDoS

Autor

Nimi: Katariina Purru
Rühm: A21
Töö esitamise kuupäev:

Ülevaade

DDoS (Distributed Denial-of-Service attack ing.k) ehk hajutatud teenusetõkestamise rünne on arvuti või arvutivõrgu ülekoormamine kui samal ajal saadavad üheaegselt paljud kasutajad paljudest arvutitest suure hulga päringuid. Tänu sellele ujutatakse võrk üle tarbetu liiklusega, mis muudab võrguteenuse kasutamise võimatuks. DDoS ja DoS (Denial-of-Service ing.k) on väga sarnased. Nende erinevus peitubki selles, et kui DoS-i rünnakus kasutatakse arvuti ülekoormamiseks ühte arvutit, siis DDoS-is ründab ühte arvutit mitu arvutit. DoS-ründed võivad olla suunatud mistahes võrguseadme vastu, kaasa arvatud marsruuterid ning veebi-, meili- ja DNS-serverid.[1]
DDoS-i rünnaku anatoomia on väga keeruline. Olenevalt sellest, mis töövahendid ja ressursid on ründajale kättesaadavad, võib rünnakut alustada üksainus arvuti, millel on üks ohver, aga võib olla miljoneid arvuteid, mis saadavad miljoneid pakette ühele või mitmele sihtmärgile. Üldjuhul kõikidel juhtudel, saab ründaja enda valdusesse sadu või isegi tuhandeid arvuteid, lisab need botnettidesse(botnets ing.k) ning kasutab neid rünnaku alguskohaks. Botnettide kasutamine aitab ründajal ründe korral liiklust suurendada, mis omakorda suurendab võimalust, et rünnak on edukas. Samamoodi muudab see rünnaku geograafilise ala palju suuremaks, tänu millele on rünnakut raskem leevendada. Loomulikult on ka ründajat ennast palju raskem leida. Asja muudab veel keerulisemaks see, et tehnika areneb tänapäeval pidevalt ning see tähendab ka seda, et DDoS-i rünnakuid on palju raskem avastada. [2]

Meetodid

Rünnaku kategooriad

Laias laastus võib DDoS-i rünnakud jagada nelja liiki:

• TCP ühenduse rünnakud(TCP Connection Attacks ing.k) - Need rünnakud üritavad ära kasutada kõik olemasolevad ühendused infrastruktuuri seadmetesse(näiteks tulemüüri ja rakendusserver). Isegi seadmed, mis peaksid olema võimelised üleval hoidma miljoneid ühendusi, on võimalik nende rünnakutega maha võtta.
• Mahurünnakud(Volumetric Attacks ing.k) - Need rünnakud toimuvad kas rünnatava võrgu/teenuse või rünnatava võrgu/teenuse ja ülejäänud Interneti vahel, kus üritatakse ära tarbida kogu ribalaius. Selle rünnaku eesmärk on kõigest tekitada ummistust(congestion ing.k).
• Fragmentide rünnakud(Fragmentation Attacks ing.k) - Need rünnakud tekitavad üleujutuse, saates ohvrile TCP või UDP fragmente. Tänu sellele väheneb süsteemi jõudlus ning ohver ei saa enam andmevooge uuesti kokku panna.
• Rakenduste rünnakud(Application Attacks ing.k) - Need rünnakud üritavad ühe kindla rakenduse või teenuse aspekti üle koormata. Need rünnakud on isegi siis väga efektiivsed, kui ründavaid masinaid on vähe, sest tekkivat madalat liiklust on keeruline leida ja rünnakut on raske nõrgendada.

Rünnaku võimendamine

• DNS-i peegeldus(DNS Reflection ing.k) - Ohvri IP aadressi võltsides saab ründaja saata väikeseid päringuid DNS serverile ning lasta sellel ohvrile saata suur vastus. See võimaldab ründajal oma päringute võimsust botnetiga 70 korda suuremaks muuta, tänu millele on ohvrit palju kergem üle koormata.
• Chargen-i peegeldus(Chargen Reflection ing.k) - Suurem osa arvuteid ja internetti ühendatud printerid toetavad aegunud testimise teenust nimega Chargen. See võimaldab suvalisle inimesel küsida seadmelt vastust, mis koosneb suvaliste tähemärkide jadast. Chargeni saab kasutada selleks, et võimendada eelnevalt mainitud DNS-i rünnakuid.[3]

DDoS-i sümptomid

Kõik katkestused teenuses pole tingitud DoS-i ründest. On võimalik, et teatud võrgul esineb tehnilisi probleeme või teostab süsteemi administraator parasjagu hooldustöid tänu millele ei toimi kõik nii nagu peab. Siiski tasub silmas pidada teatud tundemärke, mis võivad viidata sellele, et võrk on sattunud DDoS-i ründe alla.[4]

• Üks märk rünnakust on see, et arvuti ja internet on aeglasem kui muidu. See viitab sellele, et igakord kui üritatakse avada mõnda faili või lehekülge, kulub selle avamiseks aega kauem kui muidu.
• Lisaks sellele võib esineda raskusi mõnele leheküljele ligi pääsemisega ning mõnikord ei saa rünnaku tõttu üldse sellele leheküljele ligi.
• Ka rämpsposti suurenenud kogus võib viidata sellele, et arvuti on sattunud DDoS-i rünnaku alla.
• Mõnikord võib ka juhtuda, et interneti liiklus on häiritud kindlas geograafilises alas.[5]

DDoS-i ennetamine

• Kõige lihtsam, kuid samas ka kõige kulukam meetod on osta juurde rohkem ribalaiust. DoS on mäng mahu peale. Näiteks kui on 10000 süsteemi, mis kõik saadavad 1Mbps andmeid, siis see tähendab, et serverisse jõuab iga sekund 10 Gb andmeid. See on väga suur liiklus. Siin kohal tahab süsteemi administraator rohkem servereid, mis oleksid erinevates andmekeskustes(data center ing.k), et koormus oleks paremini tasakaalustatud. Kui liiklus on serveritele hajutatud, on koormus sellele ühele serverile palju väiksem, tänu millele saab liiklust paremini hallata. Kuid kuna tänapäeva DDoS-i rünnakud on kasvanud palju laiaulatuslikumaks, võib ribalaiuse suurendamine muutuda palju kallimaks, kui seda rahalised vahendid lubavad. Samuti, mida süsteemi administraatorid kipuvad unustama on see, et tihti peale ei ole rünnaku sihtmärgiks veebisait.
• Võrgu üks kõige kriitilisemaid osi on DNS server. Halb idee on jätta see teistele avatuks. See tuleb panna kinni, et seda ei saaks rünnakus kasutada. Sarnaselt, mis saab siis kui need serverid satuvad rünnaku alla? Isegi siis kui leheküljele on ligipääs olemas, puudub DNS serveriga ühendus ning domeeninime ei saa IP aadressiks ümber tõlkida, mis on sama halb. Suurem osa kasutab domeeni registreerimisel kahte DNS serverit, kuid tihti ainult kahest ei piisa. Süsteemi administraator peab kindlaks tegema, et DNS on kaitstud sama hästi kui veebiserverid ja teised ressursid. On olemas isegi firmasid, mis pakuvad suurendatud DNS-i kaitset.
• Oma võrgu haldamisel tuleb teha palju asju, et kaitsta seda võrgukihil. Peab kindlaks tegema, et ruuter ei edasta rämps-pakette, ICMP tuleks blokeerida, kui pole vaja, et see läbi läheks ning kasutada häid tulemüüre. Kinni tuleb panna pordid, mida ei kasutata ning võrgukihil blokeerida kõik, mida vähegi saab. Paremgi veel, lasta interneti teenusepakkujal teha seda ise. Paljud internetiteenuste pakkujad pakuvad seda sorti teenust firmadele, kus teenusepakkuja blokeerib kogu liikluse, mida pole vaja ning kui peaks juhtuma, et firma satub rünnaku alla, aitab teenusepakkuja sellega toime tulla.
• Samuti tuleb mõelda ka sellele, kuidas rünnakut leevendada. Hea oleks, kui on olemas plaan juhuks kui on vaja kiiresti dünaamilised ressursid staatiliste ressurside vastu välja vahetada. Kindlasti peavad olema serveritele paigutatud süsteemid, mis rünnakut kiiresti märkavad. Ei ole midagi hullemat firma jaoks, kui see, et võrk või lehekülg läheb maha. Seetõttu on vaja teada võimalikult kiiresti rünnaku algusest ning olla valmis selle vastu võitlemiseks. DDoS-i rünnaku peatamine on väga keeruline, sest rünnaku alguspunkti leidmine on raske ja aeganõudev protsess. Just sellepärast tuleb püsti panna infrastruktuur, millesse on raske sisse murda ning oleks võimalikult turvaline. Need kõik on asjad, millele peab süsteemi administraator mõtlema. [6]

Kasutatud allikad

E-teatmik
Security Intelligence
Digital Attack Map
US Cert
Brainsquad
TechRepublic