Pierwszy atak DDoS miał miejsce 20 lat temu. Od tego czasu nauczyliśmy się tego.

Pani Tech; komputer: Wikimedia commons

22 lipca 1999 to złowroga data w historii informatyki. Tego dnia komputer z University of Minnesota nagle został zaatakowany przez sieć 114 innych komputerów zainfekowanych złośliwym skryptem o nazwie Trin00.

Kod ten powodował, że zainfekowane komputery wysyłały zbędne pakiety danych na uniwersytet, przytłaczając jego komputer i uniemożliwiając mu obsługę uzasadnionych żądań. W ten sposób atak znokautował komputer uniwersytecki na dwa dni.

Był to pierwszy na świecie atak typu rozproszona odmowa usługi (DDoS). Ale taktyka szybko się rozprzestrzeniła. W następnych miesiącach ofiarami padło wiele innych stron internetowych, w tym Yahoo, Amazon i CNN. Każdy z nich został zalany pakietami danych, które uniemożliwiały przyjmowanie legalnego ruchu. W każdym przypadku złośliwe pakiety danych pochodziły z sieci zainfekowanych komputerów.

Od tego czasu ataki DDoS stały się powszechne. Złośliwi aktorzy dokonują również intratnego handlu wyłudzaniem pieniędzy na ochronę ze stron internetowych, które grożą atakiem. Sprzedają nawet swoje usługi w ciemnej sieci. 24-godzinny atak DDoS na pojedynczy cel może kosztować zaledwie 400 USD.

Ale koszt dla ofiary może być ogromny, jeśli chodzi o utratę dochodów lub nadszarpniętą reputację. To z kolei stworzyło rynek cyberobrony, który chroni przed tego rodzaju atakami. W 2018 r. rynek ten był wart oszałamiających 2 miliardów euro. Wszystko to rodzi ważne pytanie, czy można zrobić więcej w obronie przed atakami DDoS.

Dzisiaj, 20 lat po pierwszym ataku, Eric Osterweil z George Mason University w Wirginii wraz ze współpracownikami bada naturę ataków DDoS, ich ewolucję i czy istnieją podstawowe problemy z architekturą sieci, które należy rozwiązać, aby była bezpieczniejsza. Mówią, że odpowiedzi nie są jednoznaczne: krajobraz tanich, kompromisowych botów stał się tylko bardziej płodny dla przestępców i bardziej szkodliwy dla operatorów usług internetowych.

Najpierw trochę tła. Ataki DDoS zwykle rozwijają się etapami. W pierwszym etapie złośliwy intruz infekuje komputer oprogramowaniem zaprojektowanym do rozprzestrzeniania się w sieci. Ten pierwszy komputer jest znany jako komputer główny, ponieważ może kontrolować kolejne zainfekowane komputery. Inne zainfekowane komputery przeprowadzają rzeczywisty atak i są znane jako demony.

Częstymi ofiarami na tym pierwszym etapie są sieci komputerowe uniwersytetów lub uczelni, ponieważ są one połączone z szeroką gamą innych urządzeń.

Atak DDoS rozpoczyna się, gdy komputer główny wysyła do demonów polecenie zawierające adres celu. Demony zaczynają wysyłać dużą liczbę pakietów danych na ten adres. Celem jest przytłoczenie celu ruchem na czas trwania ataku. Największe dzisiejsze ataki wysyłają złośliwe pakiety danych z szybkością terabitów na sekundę.

Osoby atakujące często zadają sobie wiele trudu, aby ukryć swoją lokalizację i tożsamość. Na przykład demony często używają techniki zwanej fałszowaniem adresów IP, aby ukryć swój adres w Internecie. Komputery główne mogą być również trudne do wyśledzenia, ponieważ wystarczy wysłać jedno polecenie, aby wywołać atak. A atakujący może wybrać używanie demonów tylko w krajach, do których dostęp jest utrudniony, nawet jeśli sami mogą znajdować się gdzie indziej.

Obrona przed tego rodzaju atakami jest trudna, ponieważ wymaga skoordynowanych działań wielu operatorów. Pierwszą linią obrony jest przede wszystkim zapobieganie tworzeniu sieci demonów. Wymaga to od administratorów systemu regularnego aktualizowania i łatania oprogramowania, z którego korzystają, oraz dbania o dobrą higienę wśród użytkowników sieci — na przykład regularne zmienianie haseł, używanie osobistych zapór sieciowych i tak dalej.

Dostawcy usług internetowych mogą również zapewnić pewną obronę. Ich rolą jest przekazywanie pakietów danych z jednej części sieci do drugiej, w zależności od adresu w nagłówku każdego pakietu danych. Odbywa się to często z niewielkim lub zerowym rozważeniem, skąd pochodzi pakiet danych.

Ale to może się zmienić. Nagłówek zawiera nie tylko adres docelowy, ale także adres źródłowy. Teoretycznie więc dostawca usług internetowych może zbadać adres źródłowy i zablokować pakiety, które zawierają ewidentnie sfałszowane źródła.

Jest to jednak obliczeniowo kosztowne i czasochłonne. A ponieważ dostawcy usług internetowych niekoniecznie są celem ataków DDoS, mają ograniczoną motywację do stosowania kosztownych procedur łagodzących.

Wreszcie sam cel może podjąć kroki w celu złagodzenia skutków ataku. Jednym z oczywistych kroków jest odfiltrowanie złych pakietów danych po ich nadejściu. To działa, jeśli są łatwe do wykrycia i jeśli zasoby obliczeniowe są na miejscu, aby poradzić sobie z ilością złośliwego ruchu.

Zasoby te są jednak drogie i muszą być stale aktualizowane o najnowsze zagrożenia. Przez większość czasu siedzą nieużywane, a do akcji wkraczają tylko wtedy, gdy następuje atak. A nawet wtedy mogą nie poradzić sobie z największymi atakami. Więc tego rodzaju łagodzenie jest rzadkie.

Inną opcją jest przeniesienie problemu do usługi opartej na chmurze, która jest lepiej przygotowana do obsługi takich zagrożeń. To centralizuje problemy związane z łagodzeniem ataków DDoS w centrach oczyszczania, a wiele z nich dobrze sobie radzi. Ale nawet ci mogą mieć problemy z radzeniem sobie z największymi atakami.

Wszystko to rodzi pytanie, czy można zrobić więcej. W jaki sposób można ulepszyć naszą infrastrukturę sieciową, aby sprostać zasadom, które umożliwiają problem DDoS? zapytaj Osterweila i spółkę. I mówią, że 20. rocznica pierwszego ataku powinna być dobrą okazją do dokładniejszego zbadania problemu. Uważamy, że potrzebne są dochodzenia w sprawie podstaw, które umożliwiają i nasilają DDoS, mówią.

Jedną z ważnych obserwacji dotyczących ataków DDoS jest to, że atak i obrona są asymetryczne. Atak DDoS jest zwykle uruchamiany z wielu demonów na całym świecie, a jednak obrona odbywa się w dużej mierze w jednym miejscu — w węźle, który jest atakowany.

Ważnym pytaniem jest, czy sieci mogą lub powinny zostać zmodyfikowane tak, aby zawierały rodzaj rozproszonej obrony przed tymi atakami. Na przykład jednym ze sposobów może być ułatwienie dostawcom usług internetowych filtrowania sfałszowanych pakietów danych.

Innym pomysłem jest umożliwienie śledzenia pakietów danych podczas ich podróży przez Internet. Każdy dostawca usług internetowych może oznaczyć próbkę pakietów danych — być może jeden na 20 000 — podczas ich trasowania, aby można było później zrekonstruować ich podróż. To umożliwiłoby ofierze i organom ścigania śledzenie źródła ataku, nawet po jego zakończeniu.

Te i inne pomysły mogą sprawić, że internet stanie się bezpieczniejszym miejscem. Wymagają jednak zgody i chęci do działania. Osterweil i spółka uważają, że nadszedł czas na działanie: To wezwanie do działania: społeczność badawcza jest naszą największą nadzieją i najlepiej nadaje się do podjęcia tego wezwania.

Nr ref.: arxiv.org/abs/1904.02739 : 20 lat DDoS: wezwanie do działania

ukryć