Mikä on DDoS-hyökkäys? Kuinka ne toimivat + suojausstrategiat

Hajautettu palvelunestohyökkäys (DDoS) on laiton yritys tehdä verkkosivustosta käyttökelvoton ylikuormittamalla sen palvelin suurella määrällä väärennettyä liikennettä.

Haitallisten yhteyspyyntöjen hyökkäys asettaa lailliset vierailijat epämiellyttävän liikennejonon häntäpäähän, mikä estää verkkosivustoa latautumasta.

Kohteisiin eivät kuulu vain verkkopalvelimet, vaan DDoS-hyökkäys voi häiritä mitä tahansa Internetiin kytkettyä palvelua, kuten verkkoja, tietokantoja, mobiililaitteita ja jopa tiettyjä sovellustoimintoja.

Miten DDoS-hyökkäys toimii?

DDoS-hyökkäys alkaa vaarantamalla sarjan IoT-laitteita (Internet of Things). Jokainen kohdistettu IoT-laite on saanut haittaohjelmatartunnan, jotta sitä voidaan ohjata etänä ja sitten yhdistää muihin laitteisiin, mikä luo bottiverkon.

Bottiverkon kokoa ei ole rajoitettu, ne voivat ulottua koko maapallolle. Riittävän suurella bottiverkolla haitalliset liikennepyynnöt kasaantuvat jatkuvasti, ja jos ne kaikki on suunnattu yhteen kohteeseen, palvelimen RAM- ja CPU-reserveillä ei ole mitään mahdollisuuksia selviytyä liikenteen kysynnästä.

Mitä eroa on DoS-hyökkäyksellä ja DDoS-hyökkäyksellä?

DoS-hyökkäyksessä haitallisia yhteyspyyntöjä lähetetään vain yhdeltä vaarantuneelta laitteelta, mutta DDoS-hyökkäyksessä haitallista liikennettä lähetetään useista vaarantuneista laitteista.

DDoS-hyökkäysten tyypit

Kaikilla DDoS-hyökkäyksillä on yksi tavoite - ylikuormittaa verkkoresursseja siihen pisteeseen, että ne eivät vastaa.

DDoS-hyökkäyksiä on kolme pääluokkaa:

1. Volyymipohjaiset DDoS-hyökkäykset

Volyymipohjainen hyökkäys suora ja ylivoimainen määrä liikennettä verkkoresursseihin. Näiden hyökkäysten voimakkuus mitataan bitteinä sekunnissa (Bps). Volyymipohjaisia hyökkäyksiä ovat ICMP-tulvahyökkäykset, UDP-tulvahyökkäykset ja muut väärennetyt pakettihyökkäykset.

Mikä on ICMP-tulvahyökkäys?

ICMP (Internet Control Message Protocol) -kaikupyynnöt lähetetään yleensä verkkolaitteille niiden kunnon diagnosoimiseksi. Jokainen kohdelaite vastaa kaikuvastauksella, joka hahmottelee sen nykyisen tilan. ICMP-tulvahyökkäys (tunnetaan myös nimellä ping-tulvahyökkäys) lähettää suuren määrän kaikupyyntöjä, jotka johtavat yhtä suureen määrään vastauspaketteja, jotka hukuttavat kohdelaitteen.

Jotta ICMP-tulvahyökkäys olisi mahdollinen, hyökkääjän on tiedettävä kohteen IP-osoite. ICMP-hyökkäyksiä on kolme luokkaa, jotka tunnistetaan IP-osoitteen hakumenetelmällä:

• Kohdennettu paikallinen paljastettu - Tämäntyyppinen DDoS-hyökkäys edellyttää kohteen IP-osoitteen tuntemusta. Hyökkäys lähettää liikennetulvan tiettyyn tietokoneeseen tai laitteeseen.
• Reititin paljastettu - Tämäntyyppinen DDoS-hyökkäys edellyttää paikallisen reitittimen sisäisen IP-osoitteen tuntemusta. Verkkopyynnöt lähetetään sitten reitittimelle verkkoviestinnän häiritsemiseksi.
• Sokea ping - Sisältää tiedustelukampanjan kohteen IP-osoitteen löytämiseksi DDoS-hyökkäyksen mahdollistamiseksi.

Mikä on UDP-tulvahyökkäys?

UDP-tulvahyökkäys hyödyntää palvelimen luonnollista vastausjärjestystä UDP (User Datagram Protocol) -paketteihin. Normaaleissa olosuhteissa palvelimen vastaus UDP-paketteihin kussakin portissa on kaksivaiheinen prosessi:

1. Palvelin tarkistaa, käyttävätkö pyydettyihin datagrammeihin liittyvät käynnissä olevat ohjelmat määritettyä porttia.
2. Kun tällaisia sovelluksia ei löydy, palvelin vastaa ICMP - "Destination Unreachable" -paketilla.

UDP-tulvahyökkäyksen aikana kohdistettu palvelin tulvii tällaisilla pyynnöillä, mikä aiheuttaa sen ylikuormituksen ja palvelun estämisen lailliselta liikenteeltä.

Kuinka lieventää UDP-tulvahyökkäyksiä

Vakiomenetelmä UDP-tulvahyökkäyksen lieventämiseksi on rajoittaa ICMP-pakettien vastenopeutta. Tällä puolustusstrategialla on kuitenkin kaksi suurta haittaa:

1. Tällainen binäärinen suodatusmenetelmä todennäköisesti hylkää myös lailliset pakettipyynnöt.
2. Jos UDP-tulvahyökkäys on riittävän suuri, tilataulukko ja palvelimen palomuuri ylikuormittuvat. Tämä johtaa UDP-pakettien katastrofaaliseen pullonkaulaan, joka tapahtuu kohdepalvelimen ylävirtaan.

Parempi tapa lieventää UDP-tulvahyökkäyksiä on käyttää puolustusmekanismeja ylävirtaan fyysisen tason sijaan. Tämä estää kyberhyökkäyksen pakettien kuluttaman kaistanleveyden.

2. Protokolla- tai verkkokerroksen DDoS-hyökkäykset

Protokolla- tai verkkokerroksen DDoS-hyökkäykset ohjaavat suuren määrän paketteja hallintatyökaluihin ja verkkoinfrastruktuureihin. Näiden hyökkäysten määrä mitataan paketteina sekunnissa (PPS). Tällaisia hyökkäyksiä ovat SYN-tulvat ja Smurffien DDoS-hyökkäykset.

Mikä on SYN-tulvahyökkäys?

Normaaleissa käyttöolosuhteissa asiakas lähettää SYN-tunnuksen palvelimelle, joka vastaa sitten SYN+ACK-viestillä. Kun palvelin odottaa SYN+ACK-vastausta asiakkaalta, tilatiedot tallennetaan TCP-puskuriin.

SYN-tulvahyökkäyksen aikana suuri määrä SYN-pakkaajia söi, lähetettiin palvelimelle väärennetyistä IP-osoitteista, jotka eivät koskaan anna SYN-ACK-vastausta, kun palvelin pyytää niitä. Seurauksena on, että TCP-puskuri saavuttaa rajansa, jolloin kaikki avoimet porttiyhteydet ylikuormittuvat, mikä puolestaan johtaa siihen, että palvelin kieltää kaikki uudet TCP-yhteydet.

Kuinka lieventää SYN-tulvahyökkäyksiä

SYN-tulvahyökkäyksiä voidaan lieventää kolmella tavalla:

1. Korvaa vanhemmat puoliavoimet TCP-yhteydet

Ruuhkapyyntöjen yhdistämisen estämiseksi vanhimman puoliavoimen TCP-yhteyden olisi pitänyt kierrättää aina, kun ruuhka on täytetty. Tämä syklinen yhteysprosessi lieventää SYN-hyökkäyksiä vain, jos yhteydet voidaan muodostaa nopeammin kuin ruuhka täyttyy.

Backlog-rajan nostaminen voisi ostaa palvelimelle tarpeeksi aikaa kierrättää vanhin TCP-yhteys ennen kuin ruuhkajono on käytetty loppuun.

2. Nosta ruuhkarajaa

Backlog-jonon rajan nostamiseksi käyttöjärjestelmä tarvitsee riittävästi muistia ylläpitääkseen suuremman backlogin lisääntyneitä käsittelyvaatimuksia. Muuten suorituskyky voi heikentyä.

Jos muistin kaistanleveys on riittävä, lisää mahdollisten puoliavoimien yhteyksien enimmäismäärää.

Ruuhkajonon kasvaessa järjestelmän pitäisi toimia pidempään SYN-tulvahyökkäyksen aikana, jolloin hyökkäyksen käynnistävä väärennetty IP-osoite jää enemmän aikaa tunnistaa ja estää.

3. Luo TCP SYN -evästeet

TCP SYN -eväste luo ylimääräisen protokollan suojaustason kuormituksen tasapainottajiin ja DDoS-moottoreihin. Tämä lievennysmenetelmä poistaa TCP-puskurin vaatimuksen ja sitä vastaavat tallennusrajoitukset. Tilataulukko korvataan matemaattisella funktiolla, joka laskee kuhunkin SYN-ACK-vastaukseen linkitetyn TCP-järjestysnumeron.

Kutakin vastaanotettua ACK-pakettia verrataan odotettuun TCP-järjestysnumeroon, joka on laskettu matemaattisella funktiolla. Kohdistus vahvistaa oikeutetun yhteyspyynnön, joka sitten muodostetaan normaalisti.

Ennen kuin otat SYN-evästeet käyttöön palvelimella, muista tarkistaa sen käsittelyominaisuudet. Jotkin x86-palvelimet eivät pysty täyttämään TCP-sekvenssilaskelmien laskentavaatimuksia riittävän nopeasti täyttääkseen huijausyhteysvaatimukset.

4. Käytä palomuuria

Palomuuri voi korvata SYN-evästeet ja huolen palvelinresurssien ylikuormituksesta, jos se pystyy valvomaan tilataulukkoa ja estämään uudet yhteydet tietyn rajan yli. Onneksi useimmat nykyaikaiset palvelimet pystyvät tähän.

Älykkäät palomuurit voivat tunnistaa SYN-tulvahyökkäyksen tarkkailemalla SYN-paketteja sekunnissa ja reagoida vapauttamalla puoliavoimet yhteydet käytettävyyden ylläpitämiseksi. E:ssä on toimiva palomuuri, joka ylläpitää yhteyttä laillisiin käyttäjiin suuren määrän hyökkäyksen aikana.

Alemman tason palomuureissa on kuitenkin alkeelliset SYN-hyökkäyssuodattimet, jotka voivat hylätä lailliset TCP-istunnot SYN-tulvahyökkäyksen aikana.

Mikä on smurffien DDoS-hyökkäys?

Smurffihyökkäyksen aikana verkkoon kytkettyihin tietokoneisiin lähetetään laiton ping kohdepalvelimelta väärentämällä sen IP-osoite, mikä pakottaa jokaisen vastaanottajan vastaamaan toiminnallisella päivityksellä.

Koska tällaisia pingejä ei tarkisteta kädenpuristuksella, niitä voidaan yhdistää ilman rajoituksia. Tuloksena on verkkoon kytketyt tietokoneet, jotka käynnistävät DDoS-hyökkäyksen omaa palvelinta vastaan.

Kuinka lieventää smurffien DDoS-hyökkäyksiä

Suurin osa hyökkäysvektoreista, jotka mahdollistivat smurffien hyökkäyksen, on nyt korjattu. Jotkut vanhat järjestelmät ovat kuitenkin edelleen alttiita tälle itseään vahingoittavalle DDoS-taktiikalle.

Nopea lievennysratkaisu on poistaa käytöstä kaikki IP-lähetysosoitteet jokaisessa palomuurissa ja verkkoreitittimessä. Tämä asetus on todennäköisesti poistettu käytöstä uusissa reitittimissä, mutta vanhoissa reitittimissä se on todennäköisesti käytössä.

3. Sovelluskerroksen hyökkäykset

Sovelluksen, myöhemmän DDoS-hyökkäyksen, joka tunnetaan myös nimellä Layer 7 (L7) -hyökkäyksen aikana, kohdistetaan OSI-mallin ylimpään myöhempään. Täällä tapahtuu paljon liikennettä sisältäviä pakettipyyntöjä - HTTP, GET ja HTTP Post.

DDoS-hyökkäyksen varoitusmerkit

Epätavallisen hitaasti latautuva verkkosivusto voi olla todiste DDoS-hyökkäyksestä. Jos tämä sitten etenee Server 503:n epäluotettavaksi viestiksi, DDoS-hyökkäys on todennäköinen.

Tässä vaiheessa välitön lisävahvistus on ratkaisevan tärkeää. Tämä voidaan saavuttaa luomalla loki kaikista aktiivisista palvelinpyynnöistä komentolokiliittymästä (CLI).

DDoS-hyökkäyksen aikana komentoloki osoittaa useita yhteyksiä yhteen palvelinporttiin samasta IP-osoitteesta.