NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Механизм защиты от атак SYN Flood
Принцип механизма защиты от атак SYN Flood заключается в выполнения 3-кратного
подтверждения установления соединения с клиентом. В системе NetDefendOS могут происходить
перегрузки по причине использования новейших средств обработки ресурсов и отсутствия
ограничений, как правило, расположенных в других операционных системах. В то время как у
других операционных систем могут возникнуть проблемы с 5 полуоткрытыми соединениями, не
получившими подтверждение от клиента, NetDefendOS может заполнить всю таблицу состояний,
прежде чем что-то произойдет. Когда таблица состояний заполнена, старые неподтвержденные
соединения будут отброшены, чтобы освободить место для новых соединений.
Обнаружение SYN Floods
Атаки TCP SYN flood регистрируются в журналах NetDefendOS как большое количество новых
соединений (или отброшенных пакетов, если атака направлена на закрытый порт). IP-адрес
отправителя может быть подделан.
ALG автоматически обеспечивает защиту от flood-атак
Следует отметить, что нет необходимости включать функцию защиты от атак SYN Flood на объекте
службы, с которым связан ALG. ALG автоматически обеспечивает защиту от атак SYN flood.
6.6.9. Атака Jolt2
Принцип работы атаки Jolt2 заключается в отправке непрерывного потока одинаковых фрагментов
компьютеру-жертве. Поток из нескольких сотен пакетов в секунду останавливает работу уязвимых
компьютеров до прекращения потока.
NetDefendOS обеспечивает комплексную защиту от данной атаки. Обычно первый фрагмент
ставится в очередь, ожидая прихода ранних фрагментов, таким образом, фрагменты передаются по
порядку, но в данном случае этого не произойдет, так как не пройдет даже первый фрагмент.
Следующие фрагменты будут отброшены, так как они идентичны первому фрагменту.
Если выбранное злоумышленником значение смещения фрагмента больше, чем ограничения,
налагаемые настройкой Advanced Settings>LengthLim в NetDefendOS, пакеты будут немедленно
отброшены. Атаки Jolt2 могут быть зарегистрированы в журналах NetDefendOS. Если
злоумышленник выбирает слишком большое значение смещения фрагмента для атаки, это будет
зарегистрировано в журналах NetDefendOS как отброшенные пакеты с указанием на правило
«LogOversizedPackets». Если значение смещения фрагмента достаточно низкое, регистрации в
журнале не будет. IP-адрес Отправителя может быть подделан.
6.6.10. Атаки Distributed DoS (DDoS)
Наиболее сложной DoS-атакой является атака Distributed Denial of Service. Хакеры используют сотни
или тысячи компьютеров по всей сети Интернет, устанавливая на них программное обеспечение
DDoS и управляя всеми этими компьютерами для осуществления скоординированных атак на сайтыжертвы.
Как правило, эти атаки расходуют полосу пропускания, обрабатывающую способность
маршрутизатора, или ресурсы сетевого стека, нарушая сетевые соединения с жертвой.
Хотя последние атаки DDoS были выполнены как в частных, так и в публичных сетях, хакеры, как
правило, часто предпочитают корпоративные сети из-за их открытого, распределенного характера.
Инструменты, используемые для запуска DDoS-атак, включают Trin00, TribeFlood Network (TFN),
TFN2K и Stacheldraht.
324