DDoS - Άμυνα σε επιθέσεις τύπου Spam Email

Η άμυνα σε επιθέσεις τύπου Email Spam αντιμετωπίζονται με την χρήση “μαύρης λίστας” (blacklist). Μια μαύρη λίστα είναι μια βάση δεδομένων με γνωστές διευθύνσεις διαδικτύου από τις οποίες διακινούνται Spam Emails. Λίστες με τέτοιες διευθύνσεις IP συλλέγονται και προστίθενται στην λίστα αυτή με διάφορους τρόπους μεταξύ των οποίων :

• Η κοινότητα των χρηστών της υπηρεσίας e-mail στέλνει δείγματα με spam email στις οντότητες που ενημερώνουν τις μαύρες λίστες. Αυτές με την σειρά τους αφού επεξεργαστούν τα μηνύματα εξάγουν τις IP διευθύνσεις και τις καταχωρίζουν στην blacklist.

• Οι πάροχοι υπηρεσιών μαύρης λίστας διαθέτουν δικούς τους mail servers και ψευδο-χρήστες. Κάθε email που λαμβάνεται στα εισερχόμενα των λογαριασμών αυτών θεωρείται spam και περνάει αυτόματα στις λίστες.

• Οι πάροχοι υπηρεσιών μαύρης λίστας ανταλλάσουν μεταξύ τους λίστες .(Tipton H., Krause M.; 2004)

Επίσης στην αγώνα της αντιμετώπισης του Spam Email χρησιμοποιούνται και τα Spam filters. Ένα τέτοιο φίλτρο προσπαθεί να αναγνωρίσει ένα spam από το περιεχόμενο του. Εάν το φιλτράρισμα αναγνωρίσει τα ανεπιθύμητα μηνύματα  τότε το απορρίπτει.

Με την χρήση λοιπόν των παραπάνω τεχνικών γίνεται προσπάθεια να αντιμετωπιστεί το συγκεκριμένο πρόβλημα. Βεβαίως ο συνδυασμός των παραπάνω δεν λύνει οριστικά το πρόβλημα, παρόλα αυτά καταφέρνει να επιφέρουν μια σχετική ισορροπία στο σύστημα και σίγουρα αποτρέπει την εμφάνιση φαινομένων DoS.

Για μεγαλύτερη ακόμα ασφάλεια στην βιβλιογραφία προτείνονται και οι παρακάτω τρόποι πρόληψης

• Χρήση επάλξεων, όπως firewalls και proxies

• Χρήση συστημάτων ανίχνευσης εισβολών

• Ευλαβική τήρηση αντιγράφων ασφαλείας, αυστηρές πολιτικές ασφάλειας και ισχυρούς κωδικούς πρόσβασης.

Βιβλιογραφία

1. Tipton H., Krause M.; (2004); “Information Security Management Handbook”; Auerbach Publications; New York; pp 260 - 262

DDoS - Άμυνα σε επιθέσεις τύπου SYN Flood & HTML Flood

Η άμυνα έναντι σε οποιοδήποτε επίθεση τύπου Flood, μεταξύ αυτών και οι επιθέσεις DDoS, πρέπει να εξασφαλίζει ότι στις κύριες συνδέσεις με το δίκτυο υπάρχει επαρκές εύρος ζώνης (bandwidth) και δυνατότητα άμεσης και δυναμικής αύξησης του αν κάτι τέτοιο χρειαστεί.

Ενώ δηλαδή το αρχικό εύρος ζώνης είναι αρκετό για να αντέξει τους χαμηλής δυναμικότητας επιτιθέμενους, υπάρχει η δυνατότητα το σύστημα να μπορεί να διαθέσει άμεσα αρκετό εύρος ζώνης προκειμένου να αντιμετωπίσει επιθέσεις μεγαλύτερης ισχύος. Ωστόσο επειδή είναι δυνατό ο επιτιθέμενος να έχει εγκαταστήσει zombies σε χιλιάδες συστήματα στο διαδίκτυο και επειδή η πρόσβαση σε μεγάλου μεγέθους bandwidth αφενός έχει άνω όρια, αφετέρου απαιτεί σημαντική οικονομική δαπάνη, πρέπει κανείς να χρησιμοποιεί και εργαλεία τα οποία εξετάζουν την κίνηση στο δίκτυο και βεβαίως βοηθούν στην διαμόρφωση της κάνοντας διαχείριση των εισερχομένων κλήσεων. (Tipton H., Krause M.; 2004)

Αλλά και πάλι επιθέσεις με μεγάλο «στρατό» από zombies είναι δυνατόν να θέσουν εκτός λειτουργίας τα εργαλεία διαχείρισης της κίνησης. Ως εκ τούτου για μεγαλύτερη ασφάλεια θα πρέπει να χρησιμοποιηθούν και συστήματα ανίχνευσης εισβολών (Κάτσικας Σ.;2001). Τα Σ.Α.Ε. «ακούνε» το δίκτυο και ενεργούν ως συναγερμοί όταν αντιληφθούν πιθανή εισβολή στο σύστημα. (Ramachandran J.; 2002).

Επιπλέον ο ειδικός ασφαλείας θα πρέπει να έχει φροντίσει να κάνει το κατάλληλο tuning στους web servers αλλά και όλες τις συσκευές στις άκρες του δικτύου. Λόγου χάρη σε περίπτωση  μηχανών με λειτουργικά συστήματα της Microsoft Windows Server 2003 και μετά υπάρχουν ρυθμίσεις / παραμετροποίηση για το Account Lockout Policy. Η παραμετροποίηση αυτή αφορά αφενός στην ρύθμιση ενός μέγιστου αριθμού προσπαθειών σύνδεσης και την χρονική διάρκεια που θα απενεργοποιηθεί η δυνατότητα σύνδεσης από την ίδια πηγή σε περίπτωση πολλαπλών συνεχόμενων αποτυχημένων προσπαθειών σύνδεσης. (Dillarf K., Maldonado J., Warrender B.;2003).

Χρήσιμο επίσης είναι η τακτική παρακολούθηση των Audit Logon Events. Κάποιες από τις εγγραφές στο αρχείο αυτό μπορεί να αναφέρουν αποτυχημένες συνδέσεις και υποψίες για DDos attack.

Βιβλιογραφία

1. Tipton H., Krause M.; (2004); “Information Security Management Handbook”; Auerbach Publications; New York; pp 260 - 262
2. Κάτσικας Σ.;(2001); “Προστασία και ασφάλεια συστημάτων υπολογιστών: Ασφάλεια δικτύων”; Ελληνικό Ανοικτό Πανεπιστήμιο; pp 185-195, 235
3. Ramachandran J.; (2002); “Designing Security Architecture Solutions”; Wiley Computer Publishing; Canada; pp 308-311
4. Dillarf K., Maldonado J., Warrender B.; (2003); “Microsoft Solutions for Security”; Microsoft; pp 38 – 40, 56

DDoS - Άμυνα σε επιθέσεις τύπου ICMP Flooding

Το τείχος προστασίας θα πρέπει να ρυθμιστεί ώστε να αποκλείει τα πακέτα που προέρχονται εκτός του δικτύου και περιέχουν μια διεύθυνση η οποία ανήκει στο εσωτερικό δίκτυο – αυτή είναι μια κοινή τακτική πλαστογράφησης.

Επιπλέον είναι δυνατόν με ανάλογη παραμετροποίηση στο firewall να μην επιτρέπονται αιτήσεις και απαντήσεις ICMP echo. Επειδή όμως κάτι τέτοιο θα εμπόδιζε την αποδοτική αντιμετώπιση προβλημάτων του δικτύου δεν συνίσταται παρά μόνο σε ιδιαίτερες περιπτώσεις. Εναλλακτικά είναι δυνατό με κατάλληλη ρύθμιση να επιτρέπονται ICMP echoes με μέγεθος μικρότερου των 100 bytes αφού το Smurf attack χρησιμοποιεί πακέτα με 1.000 bytes (Toxen Bob; 2000).

Βιβλιογραφία

1. Toxen Bob; (2000); “Real world Linux Security: Intrusion, Prevention, Detection and Recovery”; Prentice Hall PTR; USA; pp 135-136

DDoS - Άμυνες ενάντια σε κατανεμημένη επίθεση άρνησης υπηρεσίας

Όπως έχει γίνει φανερό η επίθεση άρνησης υπηρεσίας είναι εξαιρετικά δύσκολο να εμποδιστεί. Έτσι ο ειδικός ασφαλείας οφείλει να ενεργήσει προληπτικά.

Πρέπει λοιπόν να υπάρχει εγκατεστημένο και σε λειτουργία firewall τόσο σε επίπεδο δικτύου, όσο και σε επίπεδο μηχανής. (Cole E., Krutz R., Conley J. 2005).  Τα firewalls πρέπει να ακολουθούν πολιτική ολικής άρνησης (deny all). Σύμφωνα με την πολιτική αυτή, ότι ρητά δεν επιτρέπεται τότε απαγορεύεται. Επομένως οι αλληλεπιδράσεις μεταξύ εσωτερικού δικτύου και διαδικτύου που θα πρέπει να επιτραπούν θα πρέπει να είναι οι απολύτως απαραίτητες για την ανάγκες των εσωτερικών χρηστών και του εσωτερικού δικτύου. Τέτοιες είναι η υπηρεσία ηλεκτρονικού ταχυδρομείου (port 23) και η υπηρεσία του παγκόσμιου ιστού (port 80). (Κάτσικας Σ.2001).

Έτσι περιορίζεται δραματικά ο αριθμός των ports στα οποία μια κλήση με χρήση πρωτοκόλλου TCP/IP απευθύνεται και επομένως περιορίζουμε την δυνατότητα επιθέσεων μόνο σε συγκεκριμένα ports. Έτσι είναι ευκολότερο να παρακολουθούμε την κίνηση σε αυτές αλλά και την προέλευση των κλήσεων.

Επιπλέον ο ειδικός ασφάλειας πρέπει να είναι ενημερωμένος για τις εξελίξεις. Οι περισσότερες επιθέσεις DDoS έγιναν ενάντια σε δημοφιλή λειτουργικά συστήματα και εξαιτίας των επιθέσεων αυτών οι εταιρίες παραγωγής των λειτουργικών συστημάτων κυκλοφορούν patches για την αντιμετώπιση ανάλογων επιθέσεων στο μέλλον.

Η χρήση antivirus είναι επιβεβλημένη και η ανανέωση με τις τελευταίες βιβλιοθήκες πρέπει να τηρείται με συνέπεια.

Επίσης συνίσταται ο administrator του δικτύου να εκτελεί τις καθημερινές εργασίες με ένα δεύτερο non administrative λογαριασμό ώστε σε περίπτωση ύπαρξης κάποιου Trojan στο σύστημα η ζημιά να περιοριστεί αφού οι κωδικοί που θα υποκλαπούν δεν θα έχουν δικαιώματα administrator. (Khnaser E., Snedak S, Peiris C., Amini R.;2004);

Χρήσιμο επίσης είναι η εδραίωση καλής συνεργασίας με τον ISP και η υπογραφή  συμβάσεων με service level agreements (SLA’s) που ορίζουν υπευθυνότητες στον ISP αναφορικά με την ανίχνευση και απαγόρευση συγκεκριμένης κίνησης σε επιθέσεις DoS. (Isaac D., Isaac M.; 2003)

Βιβλιογραφία

1. Cole E., Krutz R., Conley J.; (2005); “Network Security Bible”; Wiley Publishing Inc; Indianapolis; pp 75
2. Κάτσικας Σ.;(2001); “Προστασία και ασφάλεια συστημάτων υπολογιστών: Ασφάλεια δικτύων”; Ελληνικό Ανοικτό Πανεπιστήμιο; pp 185-195, 235
3. Khnaser E., Snedak S, Peiris C., Amini R.;(2004);“MCSE (Designing Security for a Windows Server 2003 Network Exam 70-298 Study Guide”; Syngress Publishing; pp 34
4. Isaac D., Isaac M.; (2003); “The SSCP Prep Guide: Mastering the Seven Key Areas of System Security”; Wiley Publishing Inc; Canada; pp 26

DDoS - Επιθέσεις τύπου Email Spam

Το φαινόμενο των αυτόκλητων μηνυμάτων ηλεκτρονικού ταχυδρομείου (unsolicited emails) έχει αναδειχτεί σε ένα από τα μεγαλύτερα προβλήματα της δεκαετίας. Οι περισσότεροι χρήστες όταν παραλαμβάνουν τα μηνύματα του ηλεκτρονικού ταχυδρομείου τους, παραλαμβάνουν επίσης και ένα μεγάλο πλήθος άχρηστων μηνυμάτων τα οποία σε ορισμένες περιπτώσεις μπορεί να φτάνουν και τις αρκετές δεκάδες. (Toxen B.; 2000). Τα μηνύματα αυτά μπορεί να είναι διαφημιστικά, μηνύματα με κενό περιεχόμενο ή να περιέχουν άχρηστη εντελώς πληροφορία. Το πρόβλημα των αυτόκλητων μηνυμάτων προκαλεί τα παρακάτω προβλήματα στον χρήστη:

• Ξοδεύει χρόνο για να εντοπίσει και να διαγράψει τα μηνύματα αυτά.

• Πρέπει να περιμένει για να μεταφερθούν τα μηνύματα αυτά στον υπολογιστή του.

• Κοστίζει οικονομικά για να μεταφερθεί ο επιπλέον όγκος των μηνυμάτων.

Με δεδομένο ότι ένας απλός χρήστης από το σπίτι του έχει περιορισμένες ταχύτητες μετάδοσης δεδομένων, μπορεί να καθυστερήσει έως και 20-30 λεπτά για να κατεβούν τα άχρηστα μηνύματα. Σε αυτό το διάστημα ο χρήστης δεν μπορεί να χρησιμοποιήσει καμία άλλη υπηρεσία του δικτύου. Από αυτή τη σκοπιά, το email spam μπορεί να θεωρηθεί σαν μια μορφή Denial of Service επίθεσης.

Βιβλιογραφία 

1. Toxen Bob; (2000); “Real world Linux Security: Intrusion, Prevention, Detection and Recovery”; Prentice Hall PTR; USA; pp 135-136

DDoS - Επιθέσεις τύπου HTTP Flood

Οι επιθέσεις τύπου HTTP Flood αποτελούν ένα νέο είδος επιθέσεων άρνησης εξυπηρέτησης που παρουσιάζουν σημαντικές ποιοτικές διαφορές από τις SYN Flood επιθέσεις. Οι HTTP Flood επιθέσεις αφορούν την υπηρεσία του παγκόσμιου ιστού (World Wide Web) και έχουν δύο στόχους:

• Να δεσμεύσουν τους διαθέσιμους χρήστες που μπορεί να εξυπηρετήσει ο διακομιστής χωρίς να μπορεί έτσι ένας κανονικός χρήστης να χρησιμοποιήσει την υπηρεσία του παγκόσμιου ιστού.

• Να μειώσουν συστηματικά τον πραγματικό αριθμό των χρηστών που μπορούν να εξυπηρετηθούν καθώς και την ταχύτητα πρόσβασης στις ιστοσελίδες μειώνοντας έτσι την ποιότητα των υπηρεσιών που παρέχονται.

Ο πρώτος στόχος γίνεται εύκολα αντιληπτός αφού ο διακομιστής θα παράγει κάποια προειδοποίηση ή κάποιο σφάλμα. Ο δεύτερος στόχος όμως δεν είναι απαραίτητο πως θα παράγει κάποια προειδοποίηση και έτσι η επίθεση μπορεί να πραγματοποιείται για μεγάλα χρονικά διαστήματα χωρίς να γίνεται αντιληπτή.

Στην απλή μορφή τους και σε χαμηλό επίπεδο οι HTTP Flood επιθέσεις δεν έχουν καμία διαφορά από τις SYN Flood επιθέσεις. Οι HTTP Flood επιθέσεις μπορούν να χωριστούν σε τρεις κατηγορίες:

• Επιθέσεις που ζητούν συνέχεια την ίδια σελίδα (Τύπου-1).

• Επιθέσεις που ζητούν συνέχεια τυχαίες σελίδες (Τύπου-2).

• Επιθέσεις που μιμούνται την πλοήγηση κανονικών χρηστών (Τύπου-3).

Στην πρώτη κατηγορία, ο επιτιθέμενος ζητάει από το διακομιστή συνέχεια την ίδια σελίδα. Η αναγνώριση αυτού του τύπου της επίθεσης είναι ιδιαίτερα εύκολη. Μπορούν να χρησιμοποιηθούν απλοί κανόνες που εφαρμόζονται σε στατιστικές μετρήσεις. Για αυτή την περίπτωση υπάρχει το εργαλείο mod_evasive (Jonathan Zdziarki) το οποίο είναι διαθέσιμο σαν module για τον Apache Web Server και το οποίο είναι σχετικά αξιόπιστο

. HTTP Flood επίθεση Τύπου-1: ο επιτιθέμενος ζητάει συνέχεια την ίδια ιστοσελίδα.

 

Στη δεύτερη κατηγορία, ο επιτιθέμενος αρχικά αναλύει το δικτυακό τόπο και εξάγει τους υπέρ-συνδέσμους αυτού. Στη συνέχεια, ζητάει τους υπέρ-συνδέσμους αυτούς με τυχαίο τρόπο. Η αναγνώριση της επίθεσης αυτής είναι σχετικά εύκολη αφού μπορεί να πραγματοποιηθεί μετρώντας τη διασπορά των ιστοσελίδων για κάθε πλοήγηση δηλαδή την ακολουθία σελίδων για κάθε χρήστη (clickstream).

Flood  επίθεση Τύπου-2: ο επιτιθέμενος ζητάει συνέχεια τυχαίες ιστοσελίδες του δικτυακού τόπου.

 

Στην τρίτη κατηγορία, ο χρήστης αναλύει το δικτυακό τόπο, εξάγει τους υπερσυνδέσμους αυτού, και τη σύνδεση των ιστοσελίδων μεταξύ τους, δηλαδή δημιουργεί το γράφο που αναπαριστά το δικτυακό τόπο (εικόνα 2.8). Βασισμένος σε αυτή την πληροφορία, ο επιτιθέμενος δημιουργεί τυχαία πρότυπα πλοήγησης και ανακτά τις σελίδες από τον διακομιστή με βάση αυτά τα πρότυπα. Από τη μεριά του διακομιστή αυτό φαίνεται σαν μια κανονική πλοήγηση από ένα χρήστη. Ιδιαίτερα στην περίπτωση μιας κατανεμημένης επίθεσης με τυχαία πρότυπα πλοήγησης, η αναγνώριση της είναι ιδιαίτερα δύσκολη.

HTTP Flood  επίθεση Τύπου-3: ο επιτιθέμενος σαρώνει τον ιστοχώρο και δημιουργεί πρότυπα πλοήγησης.