DOS ( D enial- o f- s ervice)

1. DOS(Denial-of-service) Ján Franek Bezpečnosť informačných systémov

2. Cieľ DOS útoku • Zahltenie cieľa nepotrebnými požiadavkami natoľko, že nestíha obsluhovať bežných používateľov (služby) • Vyradenie systému je jednoduchšie ako získanie prístupu k nemu

3. Problémy • Sieťové protokoly TCP/IP boli navrhnuté na použitie v rámci otvorenej a dôveryhodnej komunity • Pri ich tvorbe sa nekládol dôraz na zabezpečenie proti ich zneužitiu • Rozsah dopadu môže byť od mierneho narušenia danej služby, až po jej kompletné vyradenie

4. Exploit • Jednoúčelový program slúžiaci na uskutočnenie útoku(na zistenie zabezpečenia systému) • Distribuuje sa výlučne v podobe zdrojového kódu (C, Perl, Python, ...)

5. Delenie • Podľa prístupu k systému • Lokálny • Vzdialený • Podľa množstva použitých útočiacich zdrojov • Cyklické generovanie požiadaviek z jedného počítača (DOS) • Generovanie požiadaviek z množstva klientov (DDOS – distribuovaný DOS)

6. Kategórie DOS • Záplavové (DOS Flood) • Využívajúce chyby a vyčerpanie systémových prostriedkov • Využívajúce bezpečnostné opatrenia • Využívajúce MITM útoky (man in the middle) • Distribuované (DDOS) • Reflective (odrážajúce) a zosiľujúce DOS útoky

7. Záplavové (DOS Flood) • ICMP záplava (ICMP Flood) • Zasielanie ICMP Echo Request paketov, ktoré žiadajú o odpoveď v podobe ICMP Echo Reply, či je objekt dostupný • Jednoducho realizovateľné (ICMP Echo pakety však bývajú často filtrované) • UDP záplava (UDP Flood) • Využíva najčastejšie služby chargen a echo – v linuxe zvyčajne defaultne spustené • Mass mailing list, E-mail bombs

8. Využívajúce chyby a vyčerpanie systémových prostriedkov (1) • Teardrop (slza) • Využíva a mení postup posielania paketov: • Väčšie pakety sa pri posielaní prostredníctvom siete rozdeľujú na menšie (fragmenty) a až následne odošlú cieľovému PC • Ten z nich naspäť pomocou informácií o tom, o koľko má údaje z ktorého fragmentu posunúť, zostaví pôvodný IP paket • Útok spočíval v poslaní fragmentovaného IP paketu, u ktorého sa fragmenty prekrývali • V minulosti mali následne operačné systémy problém s opätovným poskladaním paketu • V súčasnosti už neúčinné

9. Využívajúce chyby a vyčerpanie systémových prostriedkov (2)

10. Využívajúce chyby a vyčerpanie systémových prostriedkov (3) • Podstata útoku • Zasielanie SYN paketov serveru, ktorý alokuje prostriedky pre nové spojenie a odošle pakety s príznakmi SYN+ACK, no odpoveď mu už nepríde avšak alokované prostriedky zostávajú. Útočník takto môže vygenerovať viac SYN paketov, až kým server nevyčerpá všetku svoju kapacitu možných spojení. • Veľkosť SYN paketu len 42 bytov – nie je nutná vysoká rýchlosť pripojenia. • SYN záplava (SYN Flood) • TCP HANDSHAKE

11. Využívajúce chyby a vyčerpanie systémových prostriedkov (4) • Fork bomb • K uskutočneniu sa používajú programy, ktoré spúšťajú donekonečna samé seba(napr. funkcia fork() ktorá by volala samú seba, až kým sa nezrúti systém) • Ako útok nie veľmi nebezpečný kvôli obmedzenému použitiu na lokálnom počítači, účinnosť však stopercentná • Nukes • Jednoúčelové programy (na rozdiel od exploit už skompilované), ktoré môžu po zadaní IP adresy cieľa použiť na DOS útok aj absolútni začiatočníci

12. Využívajúce „Man in themiddle“ • Spočívajú v presmerovaní sieťového dátového toku tak, aby prechádzal cez počítač útočníka • Podstata – útočník, tým že sa stane sprostredkovateľom, môže rozhodovať, ktoré(a či vôbec) dáta pošle ďalej obeti • Delenie: • útoky v lokálnych sieťach • útoky v prostredí Internetu (prípadne MAN či WAN sieťach) • Konkrétne typy útokov: ARP Cache poisoning, DHCP Spoofing, ICMP Redirecting, Port stealing, DNS Spoofing

13. Využívajúce bezpečnostné opatrenia • Založené na prehnaných bezpečnostných opatreniach • Zablokovanie prihlasovacích účtov po určitom počte neúspešných pokusov • Automatické filtrovanie útokov z útočiacej IP adresy – problém ak útočník sfalšuje IP adresu, a systém zablokuje obeť

14. Distribuované DOS (1) • Ide o záplavové útoky kedy útočí viac ako 1 počítač • Útočníci získavajú nové počítače pomocou trojských koní, ktoré sa na počítače dostanou väčšinou využitím nejakej novo objavenej chyby • Akonáhle sa trojský kôň dostane na počítač, často si ešte stiahne dodatočné programy a pripojí sa na určitý IRC server, kde čaká na rozkazy • Botnety sú siete zombie (infikovaných) počítačov, väčšinou sa ich počet pohybuje v stovkách alebo tisíckach

15. Distribuované DOS (2) • Dnes • Kedysi

16. Reflektívne a zosiľujúce typy (1) • k útoku používajú iné počítače (alebo routre) ako sprostredkovateľov, avšak nepotrebujú ich napadnúť

17. Reflektívne a zosiľujúce typy(2) • Smurf • Podobný ako ICMP flood, avšak pridáva zosilnenie • Namiesto pingu priamo na útočníka je poslaný ping na IP adresu siete s nastavením zdrojovej IP adresy na IP adresu obete • Následne všetky počítače z cieľovej siete odpovedia paketom "ICMP Echo reply" obeti • SYN Záplava • TTL Záplava (TTL Expiration flood)

18. Reflektívne a zosiľujúce typy(3) • DNS zosiľujúci útok (DNS Amplification Attack) • posielanie DNS požiadaviek so zdrojovou IP adresou nastavenou na IP adresu obete • môže dosiahnuť viac ako 70 násobku pôvodných dát • útok je považovaný za vysoko nebezpečný a obrana proti nemu je veľmi ťažká

19. Použitá literatúra • Michal JAKAB, Diplomová práca – Bezpečnosť VOIP, 2007, Košice • http://www.lupa.cz/serialy/utoky-typu-dos/ • http://cs.wikipedia.org/wiki/SYN-cookies • http://cs.wikipedia.org/wiki/Denial_of_Service

20. Ďakujem za pozornosť