Smurfattack - Smurf attack
Den Smurf attack är en distribuerad denial of service där ett stort antal Internet Control Message Protocol (ICMP) paket med den avsedda offrets falsk källa IP sänds till ett datornätverk med hjälp av en IP- broadcast-adress . De flesta enheter i ett nätverk kommer som standard att svara på detta genom att skicka ett svar till källens IP -adress. Om antalet maskiner i nätverket som tar emot och svarar på dessa paket är mycket stort, kommer offrets dator att översvämmas av trafik. Detta kan bromsa offrets dator till den punkt där det blir omöjligt att arbeta med.
Historia
Den ursprungliga smurfen skrevs av Dan Moschuk, aka TFreak.
I slutet av 1990 -talet skulle många IP -nätverk delta i Smurfattacker om de uppmanades (det vill säga de skulle svara på ICMP -förfrågningar som skickades till sändningsadresser). Namnet kommer från tanken på mycket små, men många angripare som överväldigar en mycket större motståndare (se Smurfarna ). Idag kan administratörer göra ett nätverk immun mot sådana övergrepp; därför är väldigt få nätverk fortfarande sårbara för Smurfattacker.
Attackförstärkningsfaktorer
En Smurfförstärkare är ett datornätverk som lämpar sig för att användas i en Smurfattack. Smurfförstärkare verkar för att förvärra svårigheten hos en Smurf -attack eftersom de är konfigurerade på ett sådant sätt att de genererar ett stort antal ICMP -svar till offret vid den falska källans IP -adress. Attack Amplification Factor (AAF) är en term som myntats av Dr Sanjeev Kumar, professor vid University of Texas i hans publicerade uppsats för att representera graden av bandbreddförbättring eller förstärkning som en original attacktrafik genomgår (med hjälp av Smurfförstärkare) under dess överföring till offerdatorn.
Under antagandet vidtas inga motåtgärder för att dämpa effekten av en Smurfattack, detta är vad som händer i målnätverket med n aktiva värdar (som kommer att svara på ICMP -ekoförfrågningar). Paketet för ICMP -ekoförfrågan har en falsk källadress (Smurfarnas mål) och en destinationsadress (patsy; den uppenbara källan till attacken). Båda adresserna kan ha två former: unicast och broadcast .
Den dubbla unicast -formen är jämförbar med en vanlig ping: en ICMP -ekoförfrågan skickas till patsy (en enda värd), som skickar ett enda ICMP -ekosvar (en Smurf) tillbaka till målet (den enda värden i källadressen) . Denna typ av attack har en förstärkningsfaktor på 1, vilket betyder: bara en enda Smurf per ping.
När målet är en enhetsadress och destinationen är sändningsadressen för målets nätverk, kommer alla värdar i nätverket att få en ekoförfrågan. I gengäld svarar de var och en på målet, så målet trängs över med n Smurfar. Förstärkningsfaktor = n . Om n är liten kan en värd vara hindrad men inte förlamad. Om n är stor kan en värd stanna.
Om målet är sändningsadressen och patsy en unicast -adress, kommer varje värd i nätverket att få en enda Smurf per ping, alltså en förstärkningsfaktor på 1 per värd, men en faktor n för nätverket. I allmänhet skulle ett nätverk kunna hantera denna form av attack, om n inte är för stort.
När både käll- och destinationsadress i det ursprungliga paketet är inställda på sändningsadressen för målnätverket börjar saker gå ur hand snabbt. Alla värdar får en ekoförfrågan, men alla svar på det sänds igen till alla värdar. Varje värd kommer att få en första ping, sända svaret och få ett svar från alla n-1- värdar. En förstärkningsfaktor på n för en enda värd, men en förstärkningsfaktor på n 2 för nätverket.
ICMP -ekoförfrågningar skickas vanligtvis en gång i sekunden. Svaret bör innehålla innehållet i begäran. några byte, normalt. En enkel (dubbel sändning) ping till ett nätverk med 100 värdar får nätverket att behandla 10 000 paket. Om pingens nyttolast ökas till 15 000 byte (eller 10 hela paket i ethernet ) så kommer den pingen att få nätverket att behöva bearbeta 100 000 stora paket per sekund. Skicka fler paket per sekund, och alla nätverk skulle kollapsa under belastningen. Detta gör alla värdar i nätverket oåtkomliga så länge attacken varar.
Begränsning
Fixen är tvåfaldig:
- Konfigurera värdar och routrar för att ignorera paket där källadressen är en sändningsadress; och
- Konfigurera routrar för att inte vidarebefordra paket som riktas till sändningsadresser. Fram till 1999 krävde standarder att routrar vidarebefordrade sådana paket som standard. Sedan dess har standardstandarden ändrats för att inte vidarebefordra sådana paket.
Det är också viktigt för Internetleverantörer att implementera intrångsfiltrering , vilket avvisar de attackerande paketen på grundval av den förfalskade källadressen.
Begränsning på en Cisco -router
Ett exempel på att konfigurera en router så att den inte vidarebefordrar paket till sändningsadresser för en Cisco -router är:
Router(config-if)# no ip directed-broadcast
(Detta exempel skyddar inte ett nätverk från att bli målet för en Smurfattack, det hindrar bara nätverket från att delta i en Smurfattack.)
Fraggle attack
En Fraggle -attack är en variant av en Smurfattack där en angripare skickar en stor mängd UDP -trafik till hamnar 7 ( Echo ) och 19 ( CHARGEN )
Det fungerar mycket på samma sätt som Smurf -attacken genom att många datorer i nätverket kommer att svara på denna trafik genom att skicka trafik tillbaka till offrets förfalskade käll -IP och översvämma den med trafik.
Fraggle.c, källkoden för attacken, släpptes också av TFreak.
Se även
Referenser
S. Kumar, "Smurf-based Distributed Denial of Service (DDoS) Attack Amplification in Internet," Andra internationella konferensen om internetövervakning och skydd (ICIMP 2007), San Jose, CA, USA, 2007, s. 25-25, doi : 10.1109/ICIMP.2007.42.
