NetdefendOS_2.27.01_Firewall_User_Manual_RUS

потребление всего потенциала Интернет-соединения жертвы. Атакующий с широкой полосой
пропускания может не использовать эффект усиления для того, чтобы полностью занять всю полосу
пропускания жертвы. Тем не менее, эти атаки позволяют атакующим с меньшей полосой
пропускания, чем у жертвы, использовать усиление, чтобы занять полосу пропускания жертвы.
• «Smurf» и «Papasmurf» отправляют echo-пакеты ICMP по адресу широковещательной рассылки
открытых сетей с несколькими компьютерами, выдавая IP-адрес источника за адрес жертвы. Далее
все компьютеры в открытой сети «отвечают» жертве.
• «Fraggle» базирауется на «Smurf», но использует echo-пакеты UDP и отправляет их на порт 7. В
основном, атака «Fraggle» получает меньше факторов усиления, так как служба echo активирована у
небольшого количества хостов в сети Интернет.
Атаки Smurf регистрируются в журналах NetDefendOS как множество отброшенных пакетов ICMP
Echo Reply. Для перегрузки сетей используется поддельный IP-адрес. Также атаки Fraggle
отображаются в журналах NetDefendOS как большое количество отброшенных пакетов (или
разрешенных пакетов в зависимости от политики). Для перегрузки сетей используется поддельный
IP-адрес.
В настройках по умолчанию, NetDefendOS отбрасывает пакеты, отправленные по адресу
широковещательной рассылки усиливающей сети (настраивается через Advanced Settings > IP >
DirectedBroadcasts). С точки зрения политики для входящего трафика, любая незащищенная сеть
может также стать усиливающией.
Защита на стороне компьютера-жертвы
Smurf и похожие атаки являются атаками, расходующими ресурсы, так как они используют
потенциал Интернет-соединения. В общем случае, межсетевой экран представляет собой «узкое
место» в сети и не может обеспечить достаточную защиту против этого типа атак. Когда пакеты
доходят до межсетевого экрана, ущерб уже нанесен.
Тем не менее, система NetDefendOS может помочь в снятии нагрузки с внутренних серверов, делая
их доступными для внутренней службы, или, возможно, службы через вторичное Интернетсоединение,
которое не является целью атаки.
• Типы flood-атак Smurf и Papasmurf будут рассматриваться как ответы ICMP Echo на стороне
жертвы. Пока используются правила FwdFast, таким пакетам не будет разрешено инициировать
новые соединения, независимо от того, существуют ли правила, разрешающие прохождение пакетов.
• Пакеты Fraggle могут прийти на любой UDP-порт назначения, который является мишенью
атакующего. В этой ситуации может помочь увеличение ограничений в наборе правил.
Встроенная функция Traffic Shaping также помогает справляться с некоторыми flood-атаками на
защищенные серверы.
6.6.8. Атаки TCP SYN Flood
Принцип работы атак TCP SYN Flood заключается в отправке большого количества пакетов TCP
SYN на указанный порт и игнорировании пакетов SYN ACK, отправленных в ответ. Это позволит
ограничить локальные ресурсы TCP-стека на Web-сервере жертвы, таким образом, что он не сможет
ответить на большое количество пакетов SYN, пока не истечет определенный таймаут
существующих полуоткрытых соединений.
Система NetDefendOS обеспечивает защиту от flood-атак TCP SYN, если опция SYN Flood Protection
активирована в объекте службы, связанным с правилом в наборе IP-правил. Опция также иногда
упоминается как SYN Relay.
Защита от flood-атак включается автоматически в предварительно определенных службах http-in,
https-in, smtp-in и ssh-in. Если новый пользовательский объект службы определяется
администратором, то опция защиты от flood-атак может быть включена или отключена по желанию.
323