Все новости от 13 февраля 2001 г.

Защита еще слаба

Канадский юноша, известный под псевдонимом Mafiaboy, которого обвиняют в организации прошлогодней серии распределенных атак на семь популярных узлов Интернета, приведших к подавлению обслуживания, в середине января - перед началом слушаний по его делу в суде Монреаля - признал свою виновность по 56 из 66 предъявленных ему обвинений.

Хотя этот процесс ставит точку в одной из печальных глав DDoS-саги 2000 г., главная проблема остается нерешенной: многие крупные сайты по-прежнему практически беспомощны против подобных атак.

Для нанесения в начале февраля прошлого года ударов по Amazon.com, Buy.com, CNN.com, eBay.com, E-Trade.com, Yahoo.com и ZDNet была использована целая армия "зомбированных" компьютеров Интернета; эти компьютеры затопили Web-серверы тысячами одновременных запросов на обслуживание, из-за чего узлы в течение нескольких часов были недоступны. Вопреки усилиям производителей, пытавшихся учесть прошлогодние уроки и предотвратить будущие налеты, надежных способов обезопасить сайт от DDoS-атаки, по мнению экспертов, до сих пор, увы, не создано.

"Пока еще любой сайт уязвим, - сказал Алан Филипс, бывший во время прошлогодней атаки ИТ-директором ZDNet (Кеймбридж, шт. Массачусетс). - При наличии смекалки и упорства лазейка найдется".

Администраторы других пострадавших Web-сайтов отказались от интервью для этой статьи. Но, как считают эксперты, слабое звено безопасности коренится в людях, а не в технологии.

Практически все корпоративные сети защищены тем или иным видом брандмауэров, но этого нельзя сказать о домашних компьютерах, которые становятся легкой добычей хакеров, ищущих ПК для начала атак. Со своей стороны сетевые администраторы, как считают эксперты, слишком беспечны и навлекают беду на свои сети, в частности, тем, что оставляют лишние открытые порты.

Повторить прошлогоднее вредительство не так уж и трудно, утверждает Брюс Шнайер, технологический директор фирмы Counterpane Internet Security (Сан-Хосе, шт. Калифорния). По его мнению, дело в том, что многие администраторы полагаются на ПО и не понимают необходимости постоянного упреждающего мониторинга сети.

"От этой проблемы никуда не деться, - сказал Шнайер. - Установив всевозможное ПО, эти люди проникаются обманчивым чувством безопасности и перестают обращать внимание на важные вещи. Для безопасности важнее своевременное обнаружение и реагирование, а не постройка все более высоких заграждений".

Вдобавок многие организации считают приоритетной задачей обеспечение внутренней защиты. "Положа руку на сердце, мы знаем о своей уязвимости, но больше беспокоимся о том, что кто-то откроет электронное письмо с вирусом, и о других подобных вещах, чем о DDoS-атаках, - заметил сетевой администратор фирмы Viacom (Нью-Йорк), попросивший не упоминать его имени. - Web-сайты приносят не так уж много прибыли, и нам куда страшнее, если выйдет из строя внутренняя сеть".

Хакеры как раз рассчитывают на недостаточную бдительность администраторов, зная, что атаку обычно обнаруживают уже слишком поздно. Им также известно, что в случае кризиса у администраторов нет способов совместного пользования информацией.

Чтобы изменить ситуацию, Министерство торговли США и группа из 19 высокотехнологичных компаний учредили в начале года Information Technology - Information Sharing and Analysis Center. Этот центр позволит лидерам индустрии и правительственным учреждениям разделять ресурсы и информацию перед, во время и после катастрофических хакерских налетов.

Можно ли сделать что-то еще? Один из ответов готовит молодая фирма Asta Networks (Сиэтл), намеревающаяся в этом году выпустить новое ПО для мониторинга сети, которое будет обнаруживать специфические признаки трафика, указывающие на DDoS-атаку.

Обсуждение и комментарии

	Николай Малых - nmalykhbilim.com 14 Feb 2001 10:21 AM
DDoS атаки отличаются от остальных типов атак прежде всего тем, что предотвратить такую атаку или даже просто защититься от нее конечный пользователь (домашняя машина или крупный Web-сервер) не может просто в силу природы таких атак. В этом случае средства борьбы со злоумышленниками, а также средства детектирования должны размещаться на крупных узлах маршрутизации трафика. Поэтому произнесенные в статье упреки в адрес администраторов представляются не совсем корректными. Что может (и должен, на мой взгляд) сделать каждый администратор каждый администратор - принять меры против вовлечения компьютеров своей сети в распределенные DoS-атаки. А вот здесь, как показала недавняя история с практически безвредным червем Ramen - поле просто не пахано. Многие администраторы годами не обновляют операционную систему. Как ни печально, даже Ramen научил далеко не всех - до сих пор следы его деятельности проявляются в сети, несмотря на то, что этот червь использует "дыры", для которых уже много месяцев назад подготовлены "заплаты".