Smølfeangreb - Smurf attack
Den Smurf angreb er et distribueret denial-of-service angreb , hvor et stort antal Internet Control Message Protocol (ICMP) pakker med den tilsigtede ofrets falsk kilde IP udsendes til et computernetværk ved hjælp af en IP- broadcast-adresse . De fleste enheder på et netværk reagerer som standard på dette ved at sende et svar til kilde -IP -adressen. Hvis antallet af maskiner på netværket, der modtager og reagerer på disse pakker, er meget stort, vil offerets computer blive oversvømmet af trafik. Dette kan bremse offerets computer til det punkt, hvor det bliver umuligt at arbejde på.
Historie
Den originale smølf blev skrevet af Dan Moschuk, også kendt som TFreak.
I slutningen af 1990'erne ville mange IP -netværk deltage i Smurf -angreb, hvis de blev bedt om det (det vil sige, at de ville reagere på ICMP -anmodninger sendt til broadcast -adresser). Navnet kommer fra ideen om meget små, men mange angribere, der overvælder en meget større modstander (se Smølfer ). I dag kan administratorer gøre et netværk immun mod sådanne misbrug; derfor er meget få netværk stadig sårbare over for Smølfeangreb.
Angrebsforstærkningsfaktorer
En Smølfeforstærker er et computernetværk, der egner sig til at blive brugt i et Smølfeangreb. Smølfeforstærkere virker for at forværre sværhedsgraden af et Smølfeangreb, fordi de er konfigureret på en sådan måde, at de genererer et stort antal ICMP -svar til offeret på den forfalskede kilde -IP -adresse. Attack Amplification Factor (AAF) er et begreb opfundet af Dr. Sanjeev Kumar, professor ved University of Texas i sit publicerede papir for at repræsentere graden af båndbreddeforbedring eller forstærkning, som en original angrebstrafik gennemgår (ved hjælp af Smølfeforstærkere) under dens transmission til offercomputeren.
Under antagelsen træffes der ingen modforanstaltninger for at dæmpe effekten af et Smølfeangreb, det er det, der sker i målnetværket med n aktive værter (der reagerer på ICMP -ekkoforespørgsler). ICMP -ekko -anmodningspakkerne har en forfalsket kildeadresse (Smølfernes mål) og en destinationsadresse (patsy; den tilsyneladende kilde til angrebet). Begge adresser kan have to former: unicast og broadcast .
Den dobbelte unicast -form kan sammenlignes med en almindelig ping: en ICMP -ekko -anmodning sendes til patsy (en enkelt vært), som sender et enkelt ICMP -ekkosvar (en Smurf) tilbage til målet (den enkelte vært i kildeadressen) . Denne type angreb har en forstærkningsfaktor på 1, hvilket betyder: kun en enkelt smølf pr. Ping.
Når målet er en unicast -adresse, og destinationen er broadcast -adressen for målets netværk, modtager alle værter i netværket en ekko -anmodning. Til gengæld vil de hver især svare på målet, så målet er oversvømmet med n smølfer. Amplifikationsfaktor = n . Hvis n er lille, kan en vært være forhindret, men ikke lammet. Hvis n er stor, kan en vært standse.
Hvis målet er broadcast -adressen og patsy en unicast -adresse, vil hver vært i netværket modtage en enkelt Smurf pr. Ping, så en forstærkningsfaktor på 1 pr. Vært, men en faktor n for netværket. Generelt ville et netværk kunne klare denne form for angreb, hvis n ikke er for stor.
Når både kilde- og destinationsadressen i den originale pakke er indstillet til broadcast -adressen for målnetværket, begynder tingene hurtigt at gå ud af hånden. Alle værter modtager en ekkoforespørgsel, men alle svar derpå sendes igen til alle værter. Hver vært modtager et indledende ping, sender svaret og får et svar fra alle n-1- værter. En amplifikationsfaktor på n for en enkelt vært, men en amplifikationsfaktor på n 2 for netværket.
ICMP -ekkoforespørgsler sendes typisk en gang i sekundet. Svaret skal indeholde anmodningens indhold; et par bytes, normalt. En enkelt (dobbelt udsendelse) ping til et netværk med 100 værter får netværket til at behandle 10 000 pakker. Hvis pingens nyttelast øges til 15 000 bytes (eller 10 fulde pakker i ethernet ), vil denne ping få netværket til at skulle behandle 100 000 store pakker i sekundet. Send flere pakker i sekundet, og ethvert netværk vil falde sammen under belastningen. Dette vil gøre enhver vært i netværket utilgængelig, så længe angrebet varer.
Afbødning
Rettelsen er todelt:
- Konfigurer værter og routere til at ignorere pakker, hvor kildeadressen er en udsendelsesadresse; og
- Konfigurer routere til ikke at videresende pakker, der er dirigeret til broadcast -adresser. Indtil 1999 krævede standarder, at routere som standard videresendte sådanne pakker. Siden da blev standardstandarden ændret til ikke at videresende sådanne pakker.
Det er også vigtigt for internetudbydere at implementere indtrængningsfiltrering , som afviser de angribende pakker på basis af den forfalskede kildeadresse.
Begrænsning på en Cisco -router
Et eksempel på konfiguration af en router, så den ikke videresender pakker til broadcast -adresser, til en Cisco -router, er:
Router(config-if)# no ip directed-broadcast
(Dette eksempel beskytter ikke et netværk mod at blive målet for et Smølfeangreb; det forhindrer blot netværket i at deltage i et Smølfeangreb.)
Fraggle angreb
Et Fraggle -angreb er en variation af et Smølfeangreb, hvor en angriber sender en stor mængde UDP -trafik til havn 7 ( Echo ) og 19 ( CHARGEN )
Det fungerer meget på samme måde som Smølfeangrebet, idet mange computere på netværket vil reagere på denne trafik ved at sende trafik tilbage til offerets forfalskede kilde -IP og oversvømme det med trafik.
Fraggle.c, kildekoden for angrebet, blev også frigivet af TFreak.
Se også
Referencer
S. Kumar, "Smurf-baseret Distributed Denial of Service (DDoS) Attack Amplification in Internet", Anden internationale konference om internetovervågning og -beskyttelse (ICIMP 2007), San Jose, CA, USA, 2007, s. 25-25, doi : 10.1109/ICIMP.2007.42.
