Mechanizmy ataków
Wysycenie łącza
W ataku wolumetrycznym do celu trafia więcej bitów na sekundę, niż wynosi przepustowość jego portu albo łącza. Ruch prawidłowy jest wtedy odrzucany razem z ruchem ataku, niezależnie od protokołu.
Total Traffic · UDP · IP Fragmentation
Wyczerpanie zasobów
Zalew pakietów TCP zapełnia kolejkę połączeń hosta i tablice stanów zapór. Host przestaje przyjmować połączenia, zanim łącze zostanie wysycone.
TCP SYN · TCP SYN-ACK · TCP RST · TCP NULL
Odbicie z amplifikacją
Atakujący wysyła zapytania z podrobionym adresem celu do publicznie dostępnych usług UDP, a te odpowiadają celowi. Amplifikacja pozwala mu skierować do celu ruch wielokrotnie większy niż ten, który sam wysyła.
13 klas amplifikacji
Odbicie i zalewy z podrobionych adresów są możliwe, bo część sieci nie sprawdza adresów źródłowych pakietów, które wysyła. Dlatego zasady korzystania z usługi wymagają od klientów filtrowania wyjściowego zgodnego z BCP 38.
Klasy ruchu i jednostki progów
System wykrywania ma 24 klasy ruchu. Część z nich ma dwa progi, w bitach i w pakietach na sekundę, a część tylko próg w pakietach na sekundę.
| Klasa ruchu | Próg (b/s) | Próg (pakiety/s) |
|---|---|---|
| Ruch całkowity | ||
| Total Traffic | tak | tak |
| TCP | ||
| TCP SYN | nie | tak |
| TCP SYN-ACK | tak | tak |
| TCP RST | nie | tak |
| TCP NULL | nie | tak |
| UDP i ICMP | ||
| UDP | nie | tak |
| ICMP | nie | tak |
| IP | ||
| IP Fragmentation | nie | tak |
| IP Null | nie | tak |
| IP Private | nie | tak |
| DNS | ||
| DNS | nie | tak |
| Amplifikacja | ||
| 13 klas amplifikacjiNazwy i porty źródłowe podaje tabela niżej. | tak | tak |
| Razem 24 klasy | 15 klas | 24 klasy |
Próg dotyczy każdego adresu osobno, a do wykrycia wystarcza przekroczenie jednego z progów. Dlaczego część klas ma próg wyłącznie w pakietach na sekundę, wyjaśnia artykuł o progach wykrywania.
Amplifikacja: porty usług odbijających
Reflektor odpowiada z portu swojej usługi, więc ruch odbity przychodzi z jednego stałego portu źródłowego UDP i z tysięcy adresów naraz. Adres źródłowy jest prawdziwy: to adres serwera, który odpowiedział na podrobione zapytanie.
| Klasa ruchu | Usługa | Port źródłowy UDP |
|---|---|---|
| DNS Amplification | DNS | 53 |
| NTP Amplification | NTP | 123 |
| SSDP Amplification | SSDP, wykrywanie urządzeń UPnP | 1900 |
| SNMP Amplification | SNMP | 161 |
| Chargen Amplification | Character Generator | 19 |
| Memcached Amplification | memcached | 11211 |
| CLDAP Amplification | bezpołączeniowy LDAP | 389 |
| mDNS Amplification | Multicast DNS | 5353 |
| NetBIOS Amplification | NetBIOS Name Service | 137 |
| RPCbind Amplification | portmapper | 111 |
| RIPv1 Amplification | RIP w wersji 1 | 520 |
| L2TP Amplification | L2TP | 1701 |
| MSSQL Amplification | SQL Server Resolution Service | 1434 |
Usługa UDP w Twojej sieci może posłużyć jako reflektor w cudzym ataku. Zasady korzystania z usługi zabraniają utrzymywania w sieci klienta publicznie dostępnych usług nadających się do wzmacniania ataków. Centrum bezpieczeństwa wskazuje adresy, które odbijały ruch ataku na sieci chronione przez nas.
Zalewy TCP
Cztery klasy TCP rozróżniają pakiety według flag w nagłówku TCP.
| Klasa | Pakiety | Co obciąża |
|---|---|---|
| TCP SYN | Flaga SYN: pierwszy pakiet nawiązania połączenia, w zalewie zwykle z podrobionych adresów | Kolejkę półotwartych połączeń hosta oraz tablice stanów zapór i load balancerów |
| TCP SYN-ACK | Flagi SYN i ACK: odpowiedzi na połączenia, których host nie otwierał | Zapory stanowe i stos TCP hosta, który na każdy taki pakiet odpowiada pakietem RST |
| TCP RST | Flaga RST: zerwanie połączenia | Zapory i hosty, które dla każdego pakietu szukają połączenia w tablicy stanów |
| TCP NULL | Bez flag. W poprawnym ruchu TCP takie pakiety nie występują | Zapory i stosy TCP, które muszą obsłużyć pakiet niezgodny z protokołem |
Zalew SYN-ACK bywa odbiciem: atakujący wysyła pakiety SYN z podrobionym adresem celu do wielu serwerów TCP, a te odpowiadają celowi pakietami SYN-ACK i ponawiają je, gdy nie dostają potwierdzenia. Zalew pakietów z flagą ACK nie ma osobnej klasy ruchu. System wykrywania zgłasza go, gdy ruch przekroczy próg Total Traffic albo profil ruchu.
Ślad ataku w charakterystyce ruchu
Po zakończeniu ataku jego strona w panelu pokazuje porty, rozkład wielkości pakietów oraz kraje i AS źródeł. Na ich podstawie odróżnisz rodzaje ataków.
| Rodzaj ataku | Klasy ruchu | Wielkość pakietów | Adresy źródłowe |
|---|---|---|---|
| Odbicie z amplifikacjąstały port źródłowy: port usługi | Klasa amplifikacji danej usługi | Duże, często większe niż MTU | Prawdziwe adresy reflektorów z tysięcy sieci |
| Zalew TCP SYNlosowe porty źródłowe | TCP SYN | Małe, kilkadziesiąt bajtów | Zwykle podrobione i losowe |
| Zalew UDP z botnetu | UDP, a przy dużym natężeniu także Total Traffic | Często jednakowe w całym ataku | Zwykle prawdziwe adresy przejętych urządzeń |
Odpowiedzi DNS większe niż MTU, na przykład z rozszerzeniem EDNS0, dochodzą jako fragmenty IP, dlatego odbiciu DNS często towarzyszy przekroczenie progu klasy IP Fragmentation. Jak czytać charakterystykę i wykaz adresów źródłowych, opisuje artykuł o raporcie z ataku.
Ataki rozłożone i wielowektorowe
- Carpet bombing rozkłada ruch na wiele adresów podsieci, więc ruch do żadnego z nich nie przekracza progu. Jak go wykrywamy i co wtedy przekierowujemy, opisuje artykuł o carpet bombingu.
- Atak wielowektorowy łączy kilka rodzajów ruchu, na przykład odbicie DNS z zalewem TCP SYN, i może przekroczyć progi kilku klas naraz. Raport z ataku wymienia każdą z nich.
- Ataki, które nie przekraczają progów klas, może wykryć profil ruchu, jeżeli wyraźnie przekraczają typowy ruch całej chronionej przestrzeni. Mechanizmy wykrywania opisuje strona „Ochrona anty-DDoS”.
Progi wszystkich 24 klas zmieniasz w panelu albo przez API, a panel pokazuje, czy nowa wartość już działa.
Wykrywanie atakówPytania
Dlaczego DNS występuje w dwóch klasach?
Klasa DNS ma własny próg dla zalewu ruchem DNS, liczony wyłącznie w pakietach na sekundę. DNS Amplification ma osobny próg dla odpowiedzi DNS odbitych od cudzych serwerów w stronę Twojego adresu.
Gdzie zobaczę, które progi przekroczył atak?
Na stronie ataku w panelu, z godziną i zmierzoną wartością. Raport z ataku progów nie podaje.