Spamhaus ddos ​​-hyökkäyksen ymmärtäminen

Hajautettu palvelun epääminen on päivän aihe, johtuen hollantilaisen verkkoisäntäyrityksen CyberBunkerin äskettäisestä massiivisesta DDoS-hyökkäyksestä roskapostin torjuntaa harjoittavan agentuurin SpamHaus vastaan. Kuinka merkittäviä lisävahinkoja oli muulle internetille? Verkkoturvayritys CloudFlare, joka on suoraan mukana puolustamassa SpamHausta hyökkäykseltä, vertasi sitä ydinpommilla, mutta verkkosivustojen saatavuutta ja vastausaikaa seuraava yritys Keynote Systems sanoi, että kyseessä ei ollut muuta kuin välkkyminen.

Riippumatta Internet-vaikutuksesta, kukaan ei kiistä, että tämä hyökkäys, joka oli huippunsa 300 Gbps: ssä, oli suurin koskaan tallennettu DDoS-hyökkäys. Mutta mikä on DDoS-hyökkäys, ja mitä puolustuksia on saatavana?

Kuinka hyökkäys toimi

Palvelunestohyökkäys vain ylikuormittaa uhrin palvelimia upottamalla heille tietoja, enemmän tietoja kuin palvelimet pystyvät käsittelemään. Tämä voi häiritä uhrin liiketoimintaa tai koputtaa sen verkkosivustoa offline-tilassa. Tällaisen hyökkäyksen käynnistäminen yhdestä verkkosivustosta ei ole tehokasta, koska uhri voi nopeasti estää kyseisen liikenteen. Hyökkääjät käynnistävät usein hajautetun palvelunestohyökkäyksen tuhansien onnettomien tietokoneiden kautta, joita bottiverkko hallitsee.

David Gibson, globaalin tietosuojayrityksen Varonisin strategian johtaja, selitti prosessia yksinkertaisella tavalla. "Kuvittele, että joku hyökkääjä voi huijata puhelinnumeroasi niin, että numero näkyy muiden ihmisten puhelimissa, kun hyökkääjä soittaa", hän sanoi. "Kuvittele nyt, että hyökkääjä soittaa joukolle ihmisiä ja pysähtyy, ennen kuin he vastaavat. Saat todennäköisesti joukon puheluita takaisin niiltä ihmisiltä. Kuvittele nyt tuhansia hyökkääjiä, jotka tekevät tämän - joudut varmasti vaihtamaan puhelimesi Jos puhelut ovat tarpeeksi, koko puhelinjärjestelmä heikentyisi."

Bottiverkon perustaminen tai rahaa vuokraamiseen vie aikaa ja vaivaa. Sen sijaan, että menisit ongelmaan, CyberBunkerin hyökkäys käytti DNS-järjestelmää, joka on ehdottoman välttämätön osa nykypäivän Internetiä.

CyberBunker sijaitsi kymmeniä tuhansia DNS-palvelimia, jotka olivat alttiita IP-osoitteiden väärentämiselle - eli Web-pyynnön lähettämiselle ja palautusosoitteen viemiselle. Hyökkääjän pieni kysely antoi vastauksen satoja kertoja suurempi, ja kaikki nuo suuret vastaukset osuivat uhrin palvelimiin. Laajentamalla Gibsonin esimerkkiä, ikään kuin jokaisen hyökkääjän puhelut olisivat siirtäneet numerosi raivotavaksi telemarkkinoijaksi.

Mitä voidaan tehdä?

Eikö olisi hienoa, jos joku keksisi tekniikkaa tällaisten hyökkäysten torjumiseksi? Itse asiassa heillä on jo 13 vuotta sitten. Internet-tekniikan työryhmä julkaisi toukokuussa 2000 parhaita nykykäytäntöjä käsittelevän tutkimuksen, joka tunnetaan nimellä BCP38. BCP38 määrittelee ongelman ja kuvaa "yksinkertaisen, tehokkaan ja suoraviivaisen tavan… estää väärennettyjä IP-osoitteita käyttävät DoS-hyökkäykset".

"80 prosenttia Internet-palveluntarjoajista on jo ottanut käyttöön suositukset BCP38: ssa", totesi Gibson. "Jäljelle jäävät 20 prosenttia on edelleen vastuussa väärentäneen liikenteen sallimisesta." Gibson sanoi yksinkertaisesti sanottuna: "Kuvittele, jos 20 prosenttia tiellä olevista kuljettajista ei noudata liikenteen opasteita - se ei olisi enää turvallista ajaa."

Lukitse se alas

Tässä kuvatut tietoturvaongelmat tapahtuvat tasolla, kotisi tai yritystietokoneesi yläpuolella. Et ole se, joka voi tai pitäisi toteuttaa ratkaisu; Se on IT-osaston työtä. Tärkeää on, että IT-kaverien on hallittava oikein ero kahden erilaisen DNS-palvelimen välillä. Corey Nachreiner, CISSP ja WatchGuard-verkkoturvayrityksen turvallisuusstrategian johtaja, selitti.

"Luotettava DNS-palvelin on sellainen, joka kertoo muulle maailmalle yrityksesi tai organisaatiosi verkkotunnuksen", Nachreiner sanoi. "Luotettavan palvelimesi pitäisi olla kaikkien saatavissa Internetissä, mutta sen pitäisi kuitenkin vastata vain yrityksesi verkkotunnusta koskeviin kyselyihin." Ulospäin osoittavan arvovaltaisen DNS-palvelimen lisäksi yritykset tarvitsevat sisäänpäin suuntautuvaa rekursiivista DNS-palvelinta. "Rekursiivinen DNS-palvelin on tarkoitettu toimittamaan toimialuehaut kaikille työntekijöillesi", Nachreiner selitti. "Sen pitäisi pystyä vastaamaan kaikkiin Internet-sivustoihin liittyviin kyselyihin, mutta sen pitäisi vastata vain organisaation ihmisille."

Ongelmana on, että monet rekursiiviset DNS-palvelimet eivät rajoita oikein vastauksia sisäiseen verkkoon. DNS-heijastushyökkäyksen toteuttamiseksi pahojen poikien on vain löydettävä joukko näitä väärin määritettyjä palvelimia. "Vaikka yritykset tarvitsevat työntekijöilleen rekursiivisia DNS-palvelimia", totesi Nachreiner, "heidän EI pidä avata näitä palvelimia kenenkään Internetin pyynnöille."

Solutionaryn teknisen tutkimusryhmän (SERT) tutkimusjohtaja Rob Kraus huomautti, että "tietäminen siitä, millainen DNS-arkkitehtuurisi todella näyttää sisäpuolelta ja ulkopuolelta, voi auttaa tunnistamaan aukkoja organisaatiosi DNS-käyttöönotossa". Hän kehotti varmistamaan, että kaikki DNS-palvelimet on korjattu täysin ja suojattu teknisille ominaisuuksille. Varmistaaksesi, että olet tehnyt sen oikein, Kraus ehdottaa "eettisen hakkeroinnin käyttämistä auttamaan väärien konfiguraatioiden paljastamisessa".

Kyllä, on olemassa muita tapoja käynnistää DDoS-hyökkäyksiä, mutta DNS-heijastus on erityisen tehokas vahvistusvaikutuksen takia, jossa pieni määrä liikennettä hyökkääjältä tuottaa valtavan määrän uhria. Tämän tietyn aukion sulkeminen pakottaa ainakin tietoverkkorikolliset keksimään uudenlaista hyökkäystä. Se on edistystä, tavallaan.