Atacul Strumfilor - Smurf attack
Atacul Smurf este distribuit denial-of-service atac în care un număr mare de Internet de Control Message Protocol (ICMP) pachete cu victima a intenționat falsificată IP sursă sunt difuzate într - o rețea de calculatoare utilizând o adresă IP adresă de difuzare . Majoritatea dispozitivelor dintr-o rețea vor răspunde, în mod implicit, la acest lucru trimițând un răspuns la adresa IP sursă. Dacă numărul de mașini din rețea care primesc și răspund la aceste pachete este foarte mare, computerul victimei va fi inundat de trafic. Acest lucru poate încetini calculatorul victimei până la punctul în care devine imposibil de lucrat.
Istorie
Strumful original a fost scris de Dan Moschuk, alias TFreak.
La sfârșitul anilor 1990, multe rețele IP ar participa la atacurile Smurf dacă li se cerea (adică ar răspunde la cererile ICMP trimise adreselor de difuzare). Numele provine din ideea de atacatori foarte mici, dar numeroși, copleșind un adversar mult mai mare (vezi Strumfi ). Astăzi, administratorii pot face o rețea imună la astfel de abuzuri; prin urmare, foarte puține rețele rămân vulnerabile la atacurile Smurf.
Atac factorii de amplificare
Un amplificator Smurf este o rețea de calculatoare care se pretează a fi folosit într-un atac Smurf. Amplificatoarele Smurf acționează pentru a agrava severitatea unui atac Smurf deoarece sunt configurate în așa fel încât să genereze un număr mare de răspunsuri ICMP către victimă la adresa IP sursă falsificată. Factorul de amplificare a atacului (AAF) este un termen inventat de dr. Sanjeev Kumar, profesor la Universitatea din Texas, în lucrarea sa publicată, pentru a reprezenta gradul de îmbunătățire a lățimii de bandă sau de amplificare pe care o suferă un trafic de atac original (cu ajutorul amplificatoarelor Smurf) în timpul transmiterea acestuia către computerul victimei.
În ipoteza în care nu sunt luate contramăsuri pentru a atenua efectul unui atac Smurf, acest lucru se întâmplă în rețeaua țintă cu n gazde active (care vor răspunde solicitărilor de ecou ICMP). Pachetele de solicitare a ecoului ICMP au o adresă sursă falsificată (ținta Smurfilor) și o adresă de destinație (patsy; sursa aparentă a atacului). Ambele adrese pot lua două forme: unicast și broadcast .
Forma dual unicast este comparabilă cu un ping obișnuit: o cerere de ecou ICMP este trimisă către patsy (o singură gazdă), care trimite un singur răspuns de ecou ICMP (un Smurf) înapoi către țintă (singura gazdă din adresa sursă) . Acest tip de atac are un factor de amplificare 1, ceea ce înseamnă: doar un singur Smurf per ping.
Când ținta este o adresă unicast și destinația este adresa de difuzare a rețelei țintei, atunci toate gazdele din rețea vor primi o cerere de ecou. În schimb, fiecare va răspunde la țintă, așa că ținta este inundată cu n Strumfi. Factor de amplificare = n . Dacă n este mic, o gazdă poate fi împiedicată, dar nu infirmă. Dacă n este mare, o gazdă se poate opri.
Dacă ținta este adresa de difuzare și patsy o adresă unicast, fiecare gazdă din rețea va primi un singur Smurf per ping, deci un factor de amplificare de 1 pe gazdă, dar un factor de n pentru rețea. În general, o rețea ar putea face față acestei forme de atac, dacă n nu este prea mare.
Când atât sursa, cât și adresa de destinație din pachetul original sunt setate la adresa de difuzare a rețelei țintă, lucrurile încep să scape rapid de sub control. Toate gazdele primesc o solicitare de ecou, dar toate răspunsurile la aceasta sunt transmise din nou tuturor gazdelor. Fiecare gazdă va primi un ping inițial, va difuza răspunsul și va primi un răspuns de la toate gazdele n-1 . Un factor de amplificare de n pentru o singură gazdă, dar un factor de amplificare de n 2 pentru rețea.
Solicitările de ecou ICMP sunt de obicei trimise o dată pe secundă. Răspunsul trebuie să conțină conținutul cererii; câțiva octeți, în mod normal. Un singur ping (transmisie dublă) către o rețea cu 100 de gazde determină rețeaua să proceseze 10 000 de pachete. Dacă sarcina utilă a ping-ului este mărită la 15 000 de octeți (sau 10 pachete complete în Ethernet ), atunci ping-ul respectiv va determina rețeaua să proceseze 100 000 de pachete mari pe secundă. Trimiteți mai multe pachete pe secundă și orice rețea s-ar prăbuși sub încărcare. Acest lucru va face orice gazdă din rețea inaccesibilă atât timp cât durează atacul.
Atenuare
Remedierea este dublă:
- Configurați gazdele și routerele pentru a ignora pachetele în care adresa sursă este o adresă de difuzare; și
- Configurați routerele pentru a nu redirecționa pachete direcționate către adrese de difuzare. Până în 1999, standardele impuneau routerelor să redirecționeze astfel de pachete în mod implicit. De atunci, standardul implicit a fost modificat pentru a nu redirecționa astfel de pachete.
De asemenea, este important ca furnizorii de servicii Internet să implementeze filtrarea de intrare , care respinge pachetele de atac pe baza adresei sursă falsificate.
Atenuare pe un router Cisco
Un exemplu de configurare a unui router, astfel încât acesta să nu redirecționeze pachete către adrese de difuzare, pentru un router Cisco , este:
Router(config-if)# no ip directed-broadcast
(Acest exemplu nu protejează o rețea de a deveni ținta unui atac Smurf, ci doar împiedică rețeaua să participe la un atac Smurf.)
Atac fraggle
Un atac Fraggle este o variantă a unui atac Smurf în care un atacator trimite o cantitate mare de trafic UDP către porturile 7 ( Echo ) și 19 ( CHARGEN )
Funcționează foarte asemănător cu atacul Smurf, deoarece multe computere din rețea vor răspunde la acest trafic, trimitând traficul înapoi la sursa IP falsificată a victimei, inundându-l cu trafic.
Fraggle.c, codul sursă al atacului, a fost de asemenea lansat de TFreak.
Vezi si
Referințe
S. Kumar, "Amplificarea atacului distribuit prin refuzul de serviciu distribuit pe smurf (DDoS)", a doua conferință internațională privind monitorizarea și protecția internetului (ICIMP 2007), San Jose, CA, SUA, 2007, pp. 25-25, doi : 10.1109 / ICIMP.2007.42.
