Protocol-based DDoS нападите се вид на дистрибуирани напади за одбивање на услуга (Distributed Denial-of-Service) кои ги злоупотребуваат правилата и механизмите на мрежните протоколи. Нивната цел е да ги исцрпат ресурсите што се потребни за воспоставување и обработка на мрежните конекции, со што се отежнува или оневозможува пристапот на легитимните корисници.

За разлика од нападите што првенствено се обидуваат да го исполнат мрежниот капацитет со огромна количина сообраќај, protocol-based нападите можат да предизвикаат проблеми и со релативно мали пакети. Клучниот фактор е бројот на пакети и ресурсите што секој од нив ги бара од мрежната инфраструктура.

Во овој напис ќе објасниме како функционираат овие напади, кои се нивните најчести форми, како може да се препознаат и кои мерки помагаат во нивното ублажување.

Видови DDoS напади: главни типови и примери:

Видови DDoS напади: главни типови и примери

Што се Protocol-based DDoS напади?

Protocol-based DDoS нападите ги таргетираат механизмите на мрежните и транспортните протоколи, особено на третото и четвртото ниво од OSI моделот:

• Layer 3 – Network Layer: одговорно за IP-адресирање и пренос на пакети низ мрежите.
• Layer 4 – Transport Layer: ги опфаќа протоколите како TCP и UDP, кои се користат за комуникација меѓу системите.

Овие напади можат да ги преоптоварат табелите за следење конекции, редиците за TCP конекции, процесорските ресурси или механизмите за обработка на пакетите кај серверите, firewall уредите, рутерите и load balancers.

На пример, firewall што ја следи состојбата на секоја конекција мора да чува информации за активните сесии. Ако голем број пакети создадат прекумерно оптоварување врз овој механизам, уредот може да почне да ги отфрла и легитимните конекции.

Според A10 Networks, откривањето на овие напади бара детално следење на мрежната комуникација и препознавање отстапувања од очекуваното однесување на протоколите.

Како функционираат Protocol-based DDoS нападите?

За да се разбере нивното влијание, важно е да се знае дека обработката на секој мрежен пакет бара одредено количество ресурси.

Во зависност од видот на пакетот, мрежниот уред може да мора да провери заглавија, да ја утврди состојбата на конекцијата, да зачува информации во меморијата или да генерира одговор.

Кога бројот на барања станува преголем, може да се појават неколку проблеми:

• Исцрпување на табелите за конекции: уредот нема доволно простор за евидентирање нови сесии.
• Пополнување на редиците за конекции: новите TCP конекции мора да чекаат или се отфрлаат.
• Зголемено процесорско оптоварување: обработката и проверката на пакетите трошат значителен CPU капацитет.
• Поголема потрошувачка на меморија: системот мора да чува информации за конекции или пакети што сè уште не се целосно обработени.
• Прекин на легитимни конекции: вистинските корисници може да добиваат грешки, да забележуваат доцнење или воопшто да не можат да се поврзат.

Ова значи дека проблемот не мора да се забележи како огромна потрошувачка на bandwidth. Во некои ситуации, ограничувачки фактор е бројот на пакети во секунда (Packets Per Second – PPS) или капацитетот на конкретен мрежен уред.

Најчести видови Protocol-based DDoS напади

1. SYN Flood

SYN Flood е еден од најпознатите примери за protocol-based DDoS напад. Тој го злоупотребува процесот со кој се воспоставува TCP конекција.

При нормална TCP комуникација, клиентот испраќа SYN пакет, серверот одговара со SYN-ACK, а клиентот потоа испраќа ACK. Овој процес е познат како TCP three-way handshake.

При SYN Flood, целниот систем прима голем број барања за воспоставување конекција, но значителен дел од нив не се довршуваат. Серверот мора да чува информации за недовршените конекции, што може да ги исцрпи достапните ресурси.

Кога редицата за недовршени конекции ќе се преоптовари, легитимните корисници може да имаат проблеми со воспоставувањето нови TCP сесии.

Можни мерки за заштита се SYN cookies, соодветно конфигурирање на TCP параметрите, филтрирање на сомнителниот сообраќај и користење специјализирана DDoS заштита.

2. ACK Flood и други TCP flag напади

TCP пакетите содржат контролни знамиња (flags) што помагаат во управувањето со комуникацијата. Нападите како ACK Flood испраќаат голем број пакети што бараат проверка и обработка од мрежните уреди.

Особено погодени можат да бидат firewall уредите што ја следат состојбата на конекциите. Тие треба да утврдат дали пакетот припаѓа на постоечка сесија и како треба да постапат со него.

Ако бројот на пакети е доволно голем, обработката може да ги оптовари процесорот и механизмите за следење сесии.

SYN cookies сами по себе не претставуваат целосна заштита од сите TCP flag напади, бидејќи тие се наменети за конкретен проблем при воспоставувањето TCP конекции. Потребни се дополнителни механизми за филтрирање и анализа на сообраќајот.

3. ICMP Flood

ICMP е мрежен протокол што се користи за дијагностика, известување за грешки и проверка на достапноста на мрежните уреди. Алатки како ping го користат ICMP за проверка дали одредена адреса одговара.

При ICMP Flood, целниот систем прима голем број ICMP пакети и мора да потроши ресурси за нивна обработка. Ако обемот го надмине капацитетот на системот или мрежната инфраструктура, може да дојде до зголемена латентност, загуба на пакети или недостапност на услугата.

ICMP сообраќајот е неопходен за нормално функционирање и дијагностика на мрежата, па неговото целосно блокирање не е секогаш соодветно решение. Наместо тоа, правилата за филтрирање треба да бидат внимателно поставени за да се ограничи штетниот сообраќај без непотребно нарушување на легитимната комуникација.

4. Ping of Death

Ping of Death е историски познат тип напад што се поврзува со неправилно формирани или фрагментирани IP пакети. Кај ранливи системи, обработката на такви пакети можела да предизвика пад на системот или нестабилност.

Овој напад е различен од обичниот ICMP Flood: проблемот не е само во бројот на пакетите, туку и во начинот на кој системот ги обработува нивната големина и фрагментација.

Современите оперативни системи и мрежни уреди во голема мера ги адресираат познатите ранливости поврзани со класичниот Ping of Death. Сепак, ажурирањето на системите и правилната проверка на пакетите остануваат важни безбедносни мерки.

5. Smurf напад

Smurf е тип мрежен напад што историски користел ICMP Echo Request пораки испратени кон broadcast адреса, при што како изворна адреса била наведена адресата на жртвата.

Ако уредите на целната мрежа одговорат на тие барања, голем број одговори може да пристигнат кај жртвата и да создадат дополнително оптоварување.

Овој тип напад е поврзан со злоупотреба на IP broadcast механизмите и лажирање на изворната IP адреса (IP spoofing). Мерките како блокирање на несоодветен directed broadcast сообраќај и филтрирање на лажирани изворни адреси помагаат да се намали ризикот.

Како да се препознаат Protocol-based DDoS нападите?

Ниту еден единечен показател не е доволен за сигурно да се утврди дека станува збор за DDoS напад. Сепак, комбинацијата од мрежни метрики, логови и однесувањето на инфраструктурата може да укаже на проблем.

Важни показатели се:

• Ненадеен пораст на PPS: бројот на пакети во секунда значително отстапува од вообичаеното ниво.
• Зголемен број недовршени TCP конекции: расте бројот на конекции што не го завршуваат вообичаениот процес на воспоставување.
• Оптоварени firewall или load balancer уреди: се зголемува употребата на CPU, меморија или табелите за сесии.
• Загуба на пакети и зголемена латентност: легитимниот сообраќај почнува да се обработува побавно.
• Проблеми со нови конекции: постоечките сесии можат да продолжат да работат, додека новите корисници имаат тешкотии со поврзувањето.
• Необичен сообраќај по протокол: се забележуваат ненадејни промени во TCP, UDP или ICMP сообраќајот.

За правилна дијагностика, овие показатели треба да се споредат со историските вредности, вообичаените периоди на зголемен сообраќај и други можни причини за преоптоварување.

Како се ублажуваат Protocol-based DDoS нападите?

Ефективната заштита бара повеќе слоеви. Самото зголемување на bandwidth или на серверските ресурси не е секогаш доволно, бидејќи тесното грло може да биде firewall, load balancer, табелата за конекции или процесорот.

1. Филтрирање на мрежниот сообраќај

Firewall правилата и мрежните филтри треба да го ограничат сообраќајот што е невалиден, непотребен или неочекуван за конкретната услуга. Филтрирањето треба да се спроведува што е можно поблиску до мрежниот влез, пред штетниот сообраќај да ги оптовари ограничените ресурси на целниот систем.

Претерано строги правила може да блокираат легитимни корисници, па затоа филтрите треба да се тестираат и следат.

2. SYN cookies и правилно конфигурирање на TCP

SYN cookies се механизам што може да помогне при одбрана од SYN Flood, така што серверот го намалува потребното чување состојба за недовршени конекции.

Дополнително, администраторите треба да ги проверат параметрите за TCP конекции, големината на редиците и ограничувањата на оперативниот систем. Конфигурацијата треба да се приспособи на реалниот сообраќај и ресурсите на серверот, наместо произволно да се зголемуваат сите вредности.

Важно е да се напомене дека SYN cookies се специфична мерка и не ги решаваат сите видови protocol-based напади.

3. Anti-spoofing филтрирање

IP spoofing е техника при која пакетот содржи лажирана изворна IP адреса. Филтрирањето на сообраќај со изворни адреси што не се валидни за мрежата од која пристигнува помага да се намали можноста за ваква злоупотреба.

Оваа заштита е најефикасна кога се спроведува на соодветните мрежни граници, во координација со интернет-провајдерот и мрежните оператори.

4. Upstream филтрирање и DDoS scrubbing

Кога нападот е поголем од капацитетот на локалната инфраструктура, филтрирањето треба да се изврши пред сообраќајот да стигне до серверот или мрежниот влез на организацијата.

DDoS scrubbing услугите анализираат дојдовен сообраќај и се обидуваат да го отстранат штетниот дел, а притоа да го пропуштат легитимниот сообраќај. Овие услуги може да бидат обезбедени преку специјализирани платформи, cloud провајдери или интернет-провајдери.

5. Anycast и дистрибуирана инфраструктура

Anycast мрежите можат да го распределат сообраќајот меѓу повеќе географски локации. Во комбинација со филтрирање и DDoS заштита, ваквата архитектура може да помогне во распределбата на оптоварувањето и да спречи еден сервер или една локација да го преземе целиот товар.

Сепак, Anycast сам по себе не е целосна заштита. Резултатот зависи од капацитетот на мрежата, квалитетот на филтрирањето и начинот на кој е поставена инфраструктурата.

6. Континуирано следење и план за реакција

Организациите треба да имаат дефинирани прагови за алармирање, централно следење на мрежните метрики и јасна постапка за реакција при инцидент.

Планот треба да опфати кој ги анализира алармите, кога се контактира интернет-провајдерот, како се активира дополнителната DDoS заштита и како се проверува дали легитимниот сообраќај повторно функционира нормално.

Разлика меѓу Protocol-based, Volumetric и Application-layer DDoS

Иако овие категории можат да се преклопуваат, секоја од нив има различен примарен фокус.

• Volumetric DDoS: првенствено се обидува да го засити мрежниот капацитет со голема количина сообраќај.
• Protocol-based DDoS: ги исцрпува ресурсите потребни за обработка на пакети и конекции, како табели за сесии, редици и процесорско време.
• Application-layer DDoS: ги оптоварува веб-апликациите, API-јата и нивните ресурси преку голем број барања или барања што се скапи за обработка.

Во реални инциденти, овие категории не мора да бидат целосно одделени. Еден напад може истовремено да го оптоварува мрежниот капацитет и да ја исцрпува способноста на уредите да обработуваат пакети.

Затоа, при изборот на DDoS заштита важно е да се процени кој ресурс е под најголем притисок, а не само колкав е вкупниот сообраќај.

Заклучок

Protocol-based DDoS нападите покажуваат дека достапноста на една услуга не зависи само од bandwidth или од процесорската моќ на веб-серверот. Мрежните протоколи, редиците за конекции, firewall уредите и механизмите за следење на сесиите се исто така важни делови од инфраструктурата.

За навремено препознавање и ублажување на овие напади потребни се следење на мрежните метрики, правилно конфигурирање на системите, филтрирање на сомнителниот сообраќај и соодветна координација со интернет-провајдерите и специјализираните DDoS заштитни услуги.

Најдобриот пристап е повеќеслојна заштита што ги комбинира превенцијата, детекцијата и брзата реакција при инцидент.

Volumetric DDoS напад: како функционира и како се спречува

Volumetric DDoS напад: како се преоптоварува мрежниот bandwidth?

Користени извори

• CDNetworks – Protocol DDoS Attacks: https://www.cdnetworks.com/glossary/protocol-ddos-attacks/
• A10 Networks – What Is a Protocol DDoS Attack?: https://www.a10networks.com/glossary/what-is-a-protocol-ddos-attack/
• VergeCloud – Protocol DDoS Attacks Guide: https://www.vergecloud.com/blog/protocol-ddos-attacks/