Czym jest atak DDoS (cz. 1) — podstawowe informacje

Ataki odmowy dostępu do usługi (ang. Denial of Service; DoS) są jednymi z najprostszych sposobów paraliżowania infrastruktury sieciowej oraz aplikacji. Odpowiednio przygotowane, w szczególności w postaci ataków rozproszonych (ang. Distributed Denial of Service; DoS), mogą mieć druzgocący wpływ na działanie usług nawet największych. W dodatku — mimo że są to jedne z najstarszych zagrożeń teleinformatycznych — skuteczna ochrona przeciwko nim staje się coraz trudniejsza.

Czym charakteryzują się ataki z rodziny DDoS, jak sporym są zagrożeniem dla firm oraz prywatnych projektów, jaką można obrać strategię obrony? Poznajmy kilka  podstawowych aspektów tego niezwykle popularnego zagrożenia.

Ewolucja ataków (D)DoS

Ataki „odmowy dostępu” są zagrożeniami, które trapią administratorów od wielu lat. W latach 90. ubiegłego wieku ataki te były dość wyrafinowane — ze względu na małą dostępność Internetu oraz duże koszty połączeń wdzwanianych, crackerzy zamiast zalewać pakietami, chętniej analizowali protokoły sieciowe oraz usługi systemowe. Dwie dekady temu ataki DoS polegały głównie na wykorzystywaniu luk w oprogramowaniu sieciowym, które zawieszało systemy operacyjne przetwarzające spreparowane pakiety. Takie ataki były przeprowadzane prawie zawsze z pojedynczych węzłów.

Na początku XXI wieku koszt dostępu do Internetu znacznie zmalał, a twórcy systemów operacyjnych z większą starannością zaczęli implementować sterowniki w swoich produktach. Szukanie luk w usługach sieciowych stało się przez to uciążliwe. Aby zatkać system łatwiej (i taniej) było wysłać wiele zapytań do usługi sieciowej, aby wysycić łącze celu. Duży wzrost urządzeń podpiętych na stałe do Internetu oraz lawinowy wzrost złośliwego oprogramowania spowodował, że DoS zaczął ewoluować w stronę ataków rozproszonych (ang. Distributed Denial of Service; DDoS), których celem było zalewanie wybranego celu pakietami z kilkuset źródeł jednocześnie.

Początek XXI wieku to także dynamiczny rozwój aplikacji internetowych. Początek ery Web 2.0 był łakomym kąskiem dla crackerów szukających luk w aplikacjach internetowych. Crackerzy przestali tak chętnie eksploitować niskopoziomowe usługi sieciowe systemów operacyjnych na rzecz błędów w samych web aplikacjach oraz w powiązanych z nimi usługach. Pojawił się nowy rodzaj klasycznych, nierozproszonych ataków DoS — ataki na logikę aplikacji — głównie na złożoność operacji wykonywanych przez serwer web aplikacji.

Obecnie, w drugiej dekadzie XXI wieku, Internet jest medium, z którego korzysta ponad 1/3 ludzi na świecie (1) (2), a koszt stałego dostępu do sieci dla osób prywatnych stał się w zasadzie pomijalny. Obecnie Internet łączy nie tylko komputery osobiste, ale również urządzenia mobilne — smartfony i tablety. Coraz częściej używamy też tzw. urządzeń inteligentnych — telewizorów, lodówek czy nawet żarówek, które podłączone do globalnej sieci, zaczynają oferować nowe funkcje. Każde z tych urządzeń — od komputera po inteligentny sprzęt AGD — może posiadać błędy, które staną się pożywką dla cyberprzestępców.

Tak duży wzrost urządzeń w sieci sprawił, że obecnie ataki odmowy dostępu praktycznie zawsze mają charakter rozproszony. Crackerzy szukają luk w oprogramowaniu różnych urządzeń, eksploitują luki, a następnie dołączają sprzęt do sieci botnet. Przepustowość łączy przejętych urządzeń jest następnie wykorzystywana do przeprowadzania skoordynowanych ataków, które zalewają wskazany cel milionami pakietów. Współczesne botnety osiągają wielkości dziesiątek, a nawet setek tysięcy urządzeń zombie, a liczba ta będzie ciągle wzrastać. Ilość informacji wysyłanych przez sieć przejętych urządzeń może być liczona w Gigabitach na sekundę — ochrona przed takim zalewem informacji stanowi duże wyzwanie nie tylko dla administratorów firm, ale również dla dostawców Internetu (ISP).

Jak widać, ataki odmowy dostępu zmieniły się w czasie. Od wyrafinowanej eksploitacji usług sieciowych, przez proste wysyłanie tysięcy pakietów z pojedynczych maszyn, po wielopoziomowy zalew pakietów z wykorzystaniem botnetów.

DDOS — bilans zysków i strat

Współczesne ataki DDoS wymagają użycia równocześnie kilku tysięcy urządzeń. Stworzenie takiej sieci nie jest takie proste i w dłuższej perspektywie musi być opłacalne dla cyberprzestępców. Zastanówmy się więc, jaka jest szacunkowa cena DDoS oraz jakie motywacje kierują crackerami przeprowadzającymi takie ataki.

Cyberprzestępca przeprowadzający DDoS nie robi tego bezinteresownie — w krótszym czy dłuższym rozrachunku cracker chce zmonetaryzować atak —  oczekując strat finansowych lub utraty reputacji konkurencji, która zostaje sparaliżowana przez niedostępność usług. Zdarza się również, że ataki DDoS stają się narzędziem walki haktywistów, którzy chcą z ich pomocą wpłynąć na decyzje polityczne lub wywołać określone ruchy społeczne — było to szczególnie widoczne chociażby w działaniach grup Anonymous czy podczas polskich manifestacji ws. ACTA.

Niezależnie od pobudek jasne jest, że atak musi być opłacalny. Crackerzy inwestują czas i pieniądze w narzędzia do rozszerzania botnetów, aby następnie udostępnić moc maszyn zombie dla innych cyberprzestępców… oczywiście odpłatnie. Wrogowie polityczni czy konkurencja może skorzystać z usług crackerów, wykupując „usługę” ataku, która przez określony czas ma osłabić wskazany cel. W takim modelu niestety zyskują dwa podmioty — cracker utrzymujący botnet oraz cyberprzestępca, wynajmujący maszyny do zalewania konkretnej ofiary.

W jaki sposób można zlecić wykonanie ataku i jaka jest jego cena? Odpowiedź na to pytanie oczywiście nie jest prosta. Cena mocno zależy od metody zalewania celu, liczby atakujących urządzeń, przepustowości czy chociażby reputacji „botnetu”.

Aby przybliżyć rząd wielkości kosztów współczesnych ataków DDoS, przyjrzyjmy się jednemu z popularniejszych marketów, sprzedających podobnego rodzaju usługi oraz narzędzia — http://www.hackforums.net/. Hackforums posiada dział testów przeciążeniowych serwerów (ang. Server Stress Testing):

Rysunek 1. Hackforums.net — sprzedaż usług „Server Stress Testing”.

Oferty pokazane na rysunku 1. oczywiście nie są kierowane bezpośrednio do crackerów tylko do pentesterów, badających stabilność systemów teleinformatycznych. Nie jest jednak niespodzianką, że z powyższych ofert wcale nie muszą korzystać osoby o dobrych zamiarach, a same „testy” również nie są sprzedawane wyłącznie przez legalnie działające firmy. „Podziemny” charakter takich ofert z pewnością nakręca możliwość zachowania anonimowości przez kupujących oraz sprzedających, a nawet sama forma transakcji, która może być finalizowana chociażby w bitcoinach.

W dziale stress–testów Hackforums.net można obecnie znaleźć setki ofert. Sprawdźmy jakie są koszty takich „testów przeciążeniowych”.

Rysunek 2. przedstawia kilka wybranych pozycji, które charakteryzują się dobrze przygotowaną reklamą oraz atrakcyjnymi dodatkami, takimi jak wsparcie przy ataku, zautomatyzowany zakup usługi itp. W najniższych „taryfach” koszt godzinnego ataku wynosi około $15 —$40. Testy przeprowadzane są wieloma różnymi technikami równocześnie — zarówno bardzo prostymi, przez zwykłe zalewanie pakietami, po bardziej wyrafinowane, jak np. ataki Slowloris.  W wyniku ataku łącza ofiary są obciążane transferem rzędu kilkunastu gigabitów na sekundę. Crackerzy udostępniają przejrzyste narzędzia, aby sam sposób przeprowadzenia ataku był jak najprostszy i zautomatyzowany, co jeszcze bardziej zachęca do skorzystania z ofert DDoS.

Rysunek 2. Wybrane oferty testów przeciążeniowych z Hackforums.net.

Osoby odpowiedzialne za dostępność usług w firmach muszą odpowiedzieć sobie na pytanie, czy koszt godzinnego wyłączenia kluczowej usługi (w dowolnym czasie) jest większy, niż prace administratorów zabezpieczających kluczowe elementy infrastruktury sieciowej. Trzeba pamiętać, że atakujący za kilkaset dolarów może bez problemu skorzystać z „oferty”, która może całkowite sparaliżować część publicznie dostępnej infrastruktury sieciowej. To ogromne zagrożenie.

Obrona przed atakami DDoS jest niezwykle trudna. Na szczęście skutki takich incydentów można skutecznie minimalizować, a w prostszych przypadkach nawet bez problemu sobie z nimi radzić. Dowiemy się o tym w kolejnych częściach cyklu. Na początek zaprezentuję podstawowe rodzaje ataków DDoS, aby lepiej zrozumieć problematykę obrony przed nimi.

Bibliografia

1. Internet Usage Statistics — The Internet Big Picture. World Internet Users and Population Stats. [Online] June 2012.

2. The Culture–ist: More Than 2 Billion People Use the Internet, Here’s What They’re Up To (INFOGRAPHIC). [Online] 9 May 2013.

Adrian “Vizzdoom” Michalczyk