Konrad MALEWSKI - Pro Futuro - AGH

Konrad MALEWSKI
AGH, Kraków
email: kmalewski@gmail.com
Wielowarstwowe ataki odmowy usługi w systemach z rezerwacją zasobów
Słowa kluczowe
ataki DDoS – bezpieczeństwo – sieci
Streszczenie
Ataki DoS oraz DDoS stały się ostatnio poważnym problemem zarówno dla wielkich korporacji
jak i przeciętnego użytkownika. Z jednej strony powodują wielomilionowe straty korporacji
z drugiej uniemożliwiają użytkownikom korzystanie z Internetu. Aktualnie wykorzystywane
ataki polegają w głównej mierze na wysłaniu ogromnej ilości danych i wykorzystaniu
łącza ofiary zakłócając prawidłowe działanie serwisu. Zakłada to istnienie odpowiedniej ilości
komputerów, których sumaryczna przepustowość jest większa niż przepustowość atakowanego
serwisu. Logiczną konsekwencją i zarazem kolejnym zagrożeniem dla użytkowników Internetu
mogą stać się ataki wielo-warstwowe, które łącząc różnorodne techniki mogą zminimalizować
liczbę potrzebnych komputerów-zombie oraz zmniejszyć wymagania odnośnie przepustowości
łącz, aby osiągnąć podobny efekt. Z powodu braku danych empirycznych skutki ataków wielowarstwowych
nie są do końca zbadane, jednak pewnym jest że kierunek rozwoju ataków DoS
wymusi badania w tej dziedzinie.
1. Wstęp
Sporo czasu upłynęło od pamiętnej daty – 2 listopada 1988 roku, kiedy to robak internetowy
Morris stał się przyczyną pierwszego ataku DoS. Pomimo tego, że robak nie został zaprojektowany
w celach destrukcyjnych szacuje się, że zaraził około 6000 maszyn Unikowych.
Straty spowodowane działaniem szkodnika oceniono na ponad 10 milionów dolarów. Od
tamtego czasu zarówno ataki DoS jak i mechanizmy obrony przeszły znaczną metamorfozę.
Wiedza i umiejętności, które musi posiąść haker, aby włamać się do danego systemy nieprzerwanie
ulega zwiększeniu. Powodowane jest to zwiększeniem złożoności systemów informatycznych
a także wiedzą, która została zdobyta podczas minionych lat walki ze złośliwym
oprogramowaniem i tworzącymi go programistami. Rozwój technik ataku i obrony zaowocował
powstaniem rozbudowanej taksonomii ataków [Mirkovic i Reiher 2004]. Zaproponowany
podział technik uwzględnia wszystkie możliwe czynniki ataku: podział ze względu na stopień
automatyzacji, wykorzystywanej podatności, możliwość kamuflowania się pod fałszywym
adresem IP, dynamikę ataku, możliwość jednoznacznej identyfikacji, liczbę agentów biorących
39

Krakowska Konferencja Młodych Uczonych 2007
udział w ataku, cel ataku oraz na koniec zamierzony wpływ na ofiarę. Taki podział jest wynikiem
ewolucji ataków DoS. Gdy epoka grasującego po Internecie robaka Morrisa przeminęła
[Mirkovic i in. 2004], nastał czas wykorzystywania luk w systemach operacyjnych [CERT
Advisory CA-1997-28], [CERT Advisory CA-1996-21], [CERT® Advisory CA-1996-26].
W tym okresie również na masową skalę zaczęły powstawać rootkity [Dittrich 2002]. Ataki te
bardzo skuteczne w latach 90-tych w minimalnie zmodyfikowanej formie są skuteczne nawet
dziś. Bardzo zmieniły się natomiast narzędzia wykorzystywane do przeprowadzania ataków.
Początkowo proste narzędzia do automatyzacji ataku były dostępne tylko dla nielicznych.
Logiczną konsekwencją rozwoju sieci Internet było powstanie programów mogących przeprowadzić
wiele typów ataku w sposób automatyczny. Pojawienie się narzędzi takich jak Rape,
Wingenocide czy Targa spowodowało, że każdy mógł przeprowadzić ataki DoS. Przełom XX
i XXI wieku przyniósł narzędzie sobą nowe narzędzia DdoS [Criscuolo 2000]. Pozwalały one
na stworzenie tzw. Botnetów, czyli sieci zdalnie sterowanych komputerów, które były kontrolowane
zdalnie przez napastnika. Wiek XXI, to nie tylko nowe metody ataku, ale również
wykorzystanie robaków internetowych do rozprzestrzeniania złośliwego oprogramowania
[Zalewski 2000]. W ostatnich latach częste stały się ataki DRDoS, które wykorzystują nie tylko
odbicie, ale również wzmocnienie [Randal and Gadi 2006]. Ogólna tendencja ataków DDoS
zdaje się iść w kierunku różnorakich technik ataku, kamuflażu i sposobów rozprzestrzeniania
się hostów zombie [Zalewski 2000].
2. Obrona przeciwko DoS
Równie licznego podziału doczekały się metody obrony [Champagne, Lee 2006]. Jeden
z bardziej zwięzłych a zarazem dość celnych podziałów dzieli je wyłącznie na trzy kategorie:
prewencja, mitygacja oraz zwodzenie. W kategorii prewencji znajdują się wszystkie systemy
służące do filtrowania, ograniczania zdolności komunikacyjnych, skanowania antywirusowego.
Do akcji prewencyjnych przeciw atakom DoS można zaliczyć: priorytetyzowanie ruchu,
redundantną strukturę sieci, stosowanie dodatkowych warstw sieciowych szyfrujących dane
czy systemów, które usuwają z transmisji klient-serwer wszystkie anomalie. Zwodzenie ma
na celu skierowanie ataku do innej maszyny i zmylenie przeciwnika tak, aby myślał, że osiąga
cel ataku podczas gdy docelowy system, do którego kierowany jest ruch symuluje skutki ataku
i zbiera dane które, mogą zostać wykorzystane do zbudowania odpowiedniego filtru dla systemu
prewencyjnego. Wszystkie wymienione wyżej typy systemów mogą zostać zrealizowane
zarówno sprzętowo jak i w postaci oprogramowania instalowanego na maszynach serwujących
usługi.
3. Wielowarstwowe ataki DDoS
Wydaje się, że przeciw każdemu atakowi DoS, specjaliści zajmujący się bezpieczeństwem
posiadają metody obrony lub są w stanie stworzyć je w stosunkowo krótkim czasie. Obecnie
stosowane ataki wydają się nie łączyć więcej niż jednej technik na raz. Zakładając, że dany
atak ukierunkowany jest nie na wysycenie łącza ofiary, ale na zużycie jak największej liczby
zasobów w postaci pamięci lub czasu procesora, powstanie narzędzia łączącego niektóre techniki
ataku na poszczególnych warstwach ISO/OSI jest tylko kwestią czasu.
Aby taki atak mógł mieć miejsce, ataki na niższe warstwy muszą zezwalać na komunikację
40

Krakowska Konferencja Młodych Uczonych 2007
w wyższych warstwach. I tak na przykład atak na warstwę transportową (np. SYN Flood) nie
może w warstwie niższej wykorzystywać ataku uniemożliwiającego komunikację w warstwie
transportowej (np. Teardrop). Chcąc skonstruować atak, który używałby wszystkich 7 warstw
należałoby na przykład wykorzystać zmodyfikowane wersje Rose [Rose attack] w warstwie 3,
Shrew [Kuzmanovic i Knightly 2004] w warstwie 4 oraz wyspecjalizowany atak skierowany
na zużycie zasobów w warstwie aplikacji.
Application HTTP, DNS, SSL based...
Presentation GIF, JPG...
Session
RPC based attack,
SSL based attack...
Transport Naptha, SYN Flood, SMURF...
Network
ARP spoofing, IP flooding,
Fragmentation attack,
IP adress spoofing...
Data Link MAC spoofing/flooding...
Physical WiFi attack...
Rys. 1. Ataki na poszczególne warstwy ISO/OSI
Fig. 1. Attacks on layers ISO/OSI
4. Ataki wielowarstwowe vs ataki „tradycyjne”
Skutki ataków wielowarstwowych są trudne do przewidzenia. Łącząc różne metody mogą
stać się niewykrywalne przez współczesne systemy antywłamaniowe a zarazem ich skuteczność
może stanowić sumę skuteczności wszystkich warstw. Aby niektóre ataki mogły współistnieć,
może zajść potrzeba ich modyfikacji np. w przypadku Naphta. Ataki wielowarstwowe,
o ile okażą się skuteczne posiadają jeszcze jedną znaczącą (ważną) cechę. Załóżmy, że napastnik
posiada pod swoją kontrolą 1000 komputerów podłączonych do sieci Internet za pomocą
łącza 100Mbit. Jeżeli taka liczba komputerów jest wystarczająca do osiągnięcia 100% obciążenia
maszyny ofiary za pomocą ataku SYN Flood, ile komputerów mniej musi poświęcić napastnik,
jeśli wykorzysta ataki wielowarstwowe? Odpowiedź na to pytanie wymaga dalszych
badań, ponieważ nie zarejestrowano do tej pory ataku wielowarstwowego.
5. Skuteczność współczesnych metod obrony
Skuteczność współczesnych systemów obrony przed atakami wielowarstwowymi zależy
w dużym stopniu od samej charakterystyki danych wysyłanych przez napastnika. Jeżeli ruch
ów w jakiś sposób wyróżnia się z całości, systemy filtrujące powinny wyeliminować zagrożenie
poprzez identyfikację sieci komputerów-zombie intruza. Podobnie system wykrywania
anomalii może poradzić sobie z atakiem, jeśli jego statystyczne cechy na tyle odbiegają od
wzorcowego ruchu, aby wyzwolić alarm. Problem pojawia się w momencie, gdy narastający
ruch atakującego powoduje problemy z komunikacją wśród użytkowników serwisu, co prowadzi
do tego, że strumienie danych intruza i klientów stają się nierozróżnialne.
41

Krakowska Konferencja Młodych Uczonych 2007
6. Podsumowanie i kierunki dalszych badań
Ataki DoS są ciągłym i realnym zagrożeniem dla społeczności internetowej. Niektórzy
obawiają się nawet paraliżu wszystkich maszyn spowodowanym atakiem DoS na główne serwery
DNS w Internecie [Notes 2007]. Trend wskazuje, że problem ten będzie się nasilał i stale
spędzał sen z powiek specjalistom IT. Ataki wielowarstwowe mogą się przyczynić do eskalacji
problemu, ponieważ w momencie wykrycia nowej podatności mogą stać się narzędziem
wzmacniającym skutki ataku. W celu zaopatrzenia administratorów w sprawdzone narzędzie
w walce z atakami, konieczne jest powstanie dogłębnej analizy problemu, która przyczyni się
do stworzenia nowych metod niwelowania ataków.
Literatura
[1] Mirkovic J., Reiher P. 2004: A Taxonomy of DDoS Attack and DDoS Defense Mechanisms,
ACM SIGCOMM CCR.
[2] Mirkovic J., Dietrich S., Dittrich D., Reiher P. 2004: Internet Denial of Service: Attack and
Defense Mechanisms, Prentice Hall PTR, chapter 3.3.
[3] CERT Advisory CA-1997-28 IP Denial-of-Service Attacks.
[4] CERT Advisory CA-1996-21 TCP SYN Flooding and IP Spoofing Attacks.
[5] CERT® Advisory CA-1996-26 Denial-of-Service Attack via ping.
[6] Dittrich D. 2002: "Root Kits" and hiding files/directories/processes after a break-in.
[7] Criscuolo P.J. 2000: Distributed Denial of Service Tools Trinoo, Tribe Flood Network, Tribe Flood
Network 2000, and Stacheldraht, University of California Lawrence Livermore National Laboratory
[8] Zalewski M. 2000: "I Don't Think I Really Love You" or Writing Internet Worms for Fun and Profit.
[9] Randal V., Gadi E. 2006: DNS Amplification Attacks.
[10] Champagne D., Lee R.B. 2006: Scope of DDoS Countermeasures: Taxonomy of Proposed
Solutions and Design Goals for Real-World Deployment, 8th International Symposium on
Systems and Information Security (SSI'2006).
[11] Rose attack - http://digital.net/~gandalf/Rose_Frag_Attack_Explained.htm.
[12] Kuzmanovic A., Knightly E.W. 2004: Low-Rate TCP-Targeted Denial of Service Attacks and
Counter Strategies, Submitted to IEEE/ACM Transactions on Networking.
[13] Notes A. 2007: Biggest threat to Internet could be a massive virtual blackout, National Journal's
Technology Daily.
Multi layered DDoS attacks against reservation-based systems
Abstract
This article presents current trends and new methods of DoS attacks in context of systems
in which a request causes resource reservation. Since the first known DoS attack - the Morris
worm - was registered, DoS attacks have significantly evolved. For over 20 years scientist and
IT specialists have been working hard to analyze DoS attack methods and develop new ways of
prevention, mitigation and deterrence of such attacks. Simultaneously and one step ahead to
their work villains have been working even harder to figure out new methods of exploiting
vulnerabilities in reservation-based systems. The DoS trend suggests that new multi-layer
attacks may prove deadly to Internet society. Because of the lack of empirical data on the
subject, the impact of such attacks and usefulness of current defense mechanisms is yet to be
determined.
42