Все новости от 4 июня 2001 г.

DoS атаки: защиты не предвидится

На прошлой неделе неизвестный хакер напал на Координационный центр организации Computer Emergency Response Team (CERT), распространяющий среди специалистов информацию о слабых местах в защите компьютерных систем. Атака типа denial-of-service завалила веб-сайт центра запросами данных и сделала его — а также важнейшие сведения по компьютерной безопасности — практически недоступными более чем на сутки. «Существуют другие организации, предоставляющие те же услуги, что и CERT, но это слабое утешение», — говорит профессор вычислительной техники Калифорнийского университета в Сан-Диего и учредитель компании Asta Networks Стив Сэвидж (Stefan Savage). Он и другие эксперты считают, что атака на CERT и ряд случившихся в мае аналогичных атак на главный сайт Белого дома Whitehouse.gov подчеркивают неготовность интернета противостоять тому, что может перерасти в катастрофу.

Каждую неделю случаются тысячи атак. Сэвидж — один из соавторов опубликованного на прошлой неделе отчета, в котором утверждается, что частота атак denial-of-service составляет 4000 в неделю. Потенциальный ущерб от них растет по мере того как в онлайн выходят все более серьезные службы. «Если электронный бизнес прерывается на заметное время, это подрывает доверие к нему, — говорит Сэвидж. — Но некоторые системы страдают гораздо сильнее — это торговые сети и все, от чего зависят другие инфраструктуры, такие как энергетическая система или медицинские базы данных».

Главная проблема, связанная с атаками denial-of-service, заключается в невозможности проследить их источник. В типичных случаях онлайновый вандал использует компьютер для отправки на веб-сервер миллионов запросов доступа, которые приводят к его перегрузке. Каждый запрос содержит случайно выбранный обратный адрес, что оставляет жертву в неведении об истинном источнике атаки. Иногда атаки принимают форму специфически отформатированных данных, способных выводить из строя серверы. Защититься без помощи сервис-провайдера почти невозможно.

Стив Гибсон (Steve Gibson), независимый консультант по информационной безопасности, известный своей бесплатной службой тестирования ПК через веб Shields Up, с начала мая остается мишенью частых атак denial-of-service. Если первое время их можно было легко прекратить, договорившись с ISP, то в пятницу на его веб-сайт обрушилась новая, более сложная атака с использованием метода случайных источников, создающего впечатление, что данные сыплются со всего интернета (с ее деталями можно ознакомиться здесь). «Защититься невозможно, — говорит он. — Вот что необходимо понять!» В длинном сообщении на GRC.com Гибсон описывает, как предположительно 13-летний «скрипт-вундеркинд» атаковал его сеть целый месяц. «Я надеюсь довести до сознания каждого, что пока 13-летние дети легко и безнаказанно могут вывести из строя любой интернет-сервис, создать стабильную интернет-экономику невозможно».

Ситуация только усугубляется
В начале этого года двумя атаками denial-of-service более чем на день были отрезаны от внешнего мира многие крупнейшие веб-сайты Microsoft. На той же неделе был атакован и веб-сайт ФБР. В прошлом году в течение более чем трех месяцев то и дело подвергалась бомбардировкам система Internet Relay Chat.

Во многих проблемах Гибсон обвиняет интернет-сервис-провайдеров — за недостаток инициативы. «Еще три года назад было известно, что необходимо фильтровать пакеты на выходе из сети, чтобы гарантировать подлинность адресов, — говорит он. — Например, крупные провайдеры базовых сетей могли бы потребовать, чтобы недостоверные пакеты отфильтровывались».

Такие компании, как Asta Networks Сэвиджа и конкурирующие Arbor Networks и Mazu Networks, пытаются автоматизировать ответные действия на подобные атаки. Но все эти методы не будут по-настоящему эффективными без кооперации с крупными ISP. Пока сервис-провайдеры не начнут применять меры к тем, кто отправляет данные с подложным исходным адресом, атаки denial-of-service будут продолжаться, считает Гибсон. И как долго ждать? «Думаю, нужно готовиться к длительной осаде, — говорит он. — Я ничего не могу поделать. Читайте каждый день GRC.com. Может быть, мы что-нибудь придумаем».

 В продолжение темы:

Обсуждение и комментарии

	eXOR 5 Jun 2001 8:10 AM
Блин вот же чушь. Запарили уже пугать. Чтобы ДоС'ом не завалили админу надо не сидеть и играть в квак, а работой заниматься.
	fotak 5 Jun 2001 11:01 AM
наивный чукотский юноша
	Zam 5 Jun 2001 11:52 AM
2eXOR: Какой работой? Крупных ISP напрягать? Действительно, наивный...
	Snake - tomilinrambler.ru 5 Jun 2001 2:18 PM
2eXOR Расскажите, пожалуйста, как с помощью "работы" админу уберечься от того, чтобы не стать жертвой DoS? Как не стать источником - боль-мень ясно, а вот жертвой?
	Hrynya - hryunamail.ru 5 Jun 2001 4:18 PM
Да за копейку!!!! Рубишь инетные сервера , берешь только почту по IMAP, или как там его, ...ик.
	AT - 220220pager.icq.com 6 Jun 2001 4:12 AM
UUCP имел в виду. А че ? Хорошая идея - и ftpmail и agora есть - что еще надо человеку ?? Чтобы не стать жертвой надо линки на нескольких провайдеров. И 24*7 суппорт у каждого из них. Тода жить будете. P.S> Некоторые говорят что и одного ISP хватает - честное слово - на своей шкуре знаю - мала.
	AT - 220220pager.icq.com 6 Jun 2001 4:12 AM
UUCP имел в виду. А че ? Хорошая идея - и ftpmail и agora есть - что еще надо человеку ?? Чтобы не стать жертвой надо линки на нескольких провайдеров. И 24*7 суппорт у каждого из них. Тода жить будете. P.S> Некоторые говорят что и одного ISP хватает - честное слово - на своей
	eXOR 6 Jun 2001 7:30 AM
Да просто переодически netstat набирать и логи читать не раз в неделю, а раз в 3 - 4 часа. ------- PS: Да и еще поправка не защититься от возможности быть задосеным, а защититься от последствий...
	Hrynya - Hrynyamail.ru 6 Jun 2001 10:53 AM
Гы-гы, я вообще то еще и сплю, и в преф люблю сыграть, и фильмец посмотреть, и книжец почитать и "дум" погонять, и с женой погулять, и естественно по лопать. И уж никак не люблю работать круглые сутки......;)
	Snake - tomilinrambler.ru 6 Jun 2001 3:49 PM
2eXOR Насчёт последствий - налейте ещё мне глупому. Какие последствия у DoS? Почта и DoS: А много писем со случайных адресов через релеи с аттачами метров по (какой у Вас максимум выставлен - во по стольку). Получите N писем, разбирайте до вечера. Будет мало - пришлют N! ;-)
	Hrynya - Hrynyamail.ru 6 Jun 2001 5:20 PM
Не, с почтой усе у порядке, это чисто провайдерские проблемы, была у меня такая срань, ничего, пришлось ходить на провайдерский сайт и просматривать че лежит в почте, если че не нравилось - убивал, а опосля принимай ее родимую, кончно СМТП оперативней,но к пиву и рыба-рак, хотя по правде говоря лучше напрягать провайдеров почаще, нехай отрабатывают деревянные
	Snake - tomilinrambler.ru 6 Jun 2001 5:38 PM
2Hrynya Не сказал бы, что с почтой всё в порядке. Вы сколько заголовков просматриваете в минуту? Умножьте количество на 480 и отдыхайте весь день, читая почту. Кроме прочего: что такое "смотрю, что лежит в почте". Письмо от ваших бизнес-партнеров с темами типа "Новый контракт" и вложениями соответствующими, и текст письма короткий, но хороший... А на деле - чепуха. А мегабайт сколько Вам отвели под UUCP storage? Или Вы не верите, что его можно заполнить? Заполнят Вам весь storage, остальные письма с отлупом уйдут. Вот и DoS в чистом виде. Провайдер, кстати, в этом случае вполне прав - это Вы редко свою почту забираете ;-(. Лучший способ защиты от сетевых атак - отключение от сети или игнорирование сетевых протоколов ;-)
	Egres 7 Jun 2001 7:12 AM
/etc/sendmail.cw - туда напишем наш домен и все остальные почтовые домены, которые смотрят на мою машину. Пишем просто с новой строчки. /etc/mail/relay-domains - сюда пишем те же почтовые адреса. На эти адреса система будет принимать почту, все остальное будет жестоко отплевываться и спаммер не сможет через вас кому-то что-то послать.
	eXOR 7 Jun 2001 8:17 AM
2 Hrynya: А тогда опа...
	Hrynya - Hrynyamail.ru 7 Jun 2001 10:50 AM
Ну, господа-товарищи я же не панацею описываю, а реальный случай, мне такого решения хватило, больше пока не случалось...А если о панацее говорить, то опять дело упирается в провайдеров, нехай отлаживают систему фильтрации почты (Egres прав, хотя и тут есть варианты), а то получаю стабильно раз, два раза в неделю трояны от microsoft.com отправленные из соседнего подъезда (образно выражаясь).
	Старый Батыр - hujstingr.net 25 Jun 2001 12:22 AM
Чинить интернет надо, чинить ...