Postavte se velké vodě: Nejčastějšími DDoS útoky jsou SYN a UDP záplavy

Ihned se spolu se svým týmem pustil do boje s útočníky, který nakonec trval celých 39 hodin. Obránce vyšel na běžné poměry ještě vcelku levně – zhruba na 1500 amerických dolarů, tedy asi 36 tisíc korun.

Newby a jeho tým nakonec hrozbu s velkým štěstím odrazili. Pomohla jim flexibilita cloudu, škálováním kapacit serverů útočníky umořili.

Situace pro ně ale mohla dopadnout mnohem hůře. Kdyby je zasáhl útok jiného typu, ani cloud by jim nemusel zachránit kůži. Existuje více různých druhů DDoS a proti každému je třeba se bránit jinak.

Nejčastější ale útočníci používají dva konkrétní postupy. Které to jsou a jak se proti nim bránit? Čtěte dál.

Ne všechny útoky fungují stejně

Možná víte, jak DDoS zhruba fungují. Opravdu velmi zjednodušeně řečeno: při útoku nastane podobná situace, jako by se vám na mobil zničehonic snažilo dovolat tisíc lidí. Nic důležitého od vás nepotřebují – představte si je třeba jako pojišťovací agenty – jen obsazují linku, aby se vám nemohl dovolat nikdo jiný. Pro lidi mimo síť útočníků (v našem případě pojišťováků) je váš mobil prakticky nedostupný. Takové přirovnání je samozřejmě nepřesné v mnoha ohledech, ale pro představu stačí.

Skutečná situace je však mnohem komplikovanější. Především neexistuje jediný typ útoku. Různých technik je mnoho a v mnohém se od sebe liší.

Experti rozdělují DDoS údery do několika obecných kategorií, zpravidla podle toho, jakým způsobem se pokoušejí službu znepřístupnit. Výrobce ochranných síťových prvků Radware zmiňuje například útoky zaměřené na serverové prostředky, na aplikace, síťové prostředky, nebo třeba na SSL vrstvu.

Názvy kategorií do jisté míry o metodách vypovídají – některé se snaží vyčerpat prostředky serveru, jiné využívají slabin aplikací nebo zabezpečení. Za zmínku stojí údery zaměřené na síťové prostředky. Ty se snaží takříkajíc „ucpat trubky“ tím, že prostě vyčerpají kapacity webové konektivity příslušného serveru. Tím pak server znepřístupní běžným uživatelům.

Hrozeb je čím dál víc a jsou silnější než dřív

Jak zaznělo v jednom z dřívějších příspěvků zde na blogu, DDoS útoků v poslední době přibývá. A při velké částí z nich jsou oběti vystaveny hned několika různým úderům najednou. Podle průzkumů agresoři nejčastěji volí dva konkrétní vektory útoku – takzvané SYN flood a UDP flood.

Jak tyto způsoby fungují?

Nejčastější metodou je UDP záplava. Server prostě zahltí

S přehledem nejčastější formou útoku je záplava UDP, anglicky UDP flood. Zkratkou UDP je míněn internetový protokol zvaný User Datagram Protocol. Ten se stará o komunikaci v síti podobně jako TCP, na rozdíl od něj ale nevyužívá žádný handshaking, tedy ověřování navázání, průběhu a vypršení času komunikace. Díky tomu je zásadně rychlejší, na druhou stranu se ale trochu otevírá možnému zneužití.

Například UDP záplavou.

Ta funguje na vcelku jednoduchém principu. Útočníci pošlou velké množství UDP paketů na náhodné porty cílového serveru. Ten musí na pakety reagovat. Nejprve zkontroluje, jestli tyto porty sleduje nějaká z jeho aplikací. Když zjistí, že ne, musí odpovědět informací, že cílová destinace je nedostupná. Tu posílá paketem internetového protokolu ICMP, který slouží pro odesílání chybových zpráv.

Na každý UDP paket, který server přijme, musí podle pravidel komunikace odpovědět. Když jich obdrží obrovské množství, na všechny se snaží odpovědět a tím vyčerpá svou internetovou konektivitu a někdy i další prostředky. Obrovské množství informací „ucpe trubky“ a znemožní serveru jinou komunikaci.

Tento typ lze zařadit mezi údery zaměřené na síťové prostředky nebo také volumetrické útoky. Je oblíbený pravděpodobně proto, že obrana proti němu je vcelku obtížná. Sami vlastníci serveru proti němu mohou dělat minimum, snad jen limitovat množství zároveň zpracovaných ICMP paketů. Tím ale nevyřeší vytížení linky směrem k serveru, které může být v případě UDP záplavy také značné.

Efektivně řešit takový typ DDoS může především poskytovatel, třeba filtrováním UDP paketů do takzvaných černých děr, destinací, odkud už neputují dál a nevracejí zprávu odesílateli.

Jeho spuštění je navíc relativně jednoduché, zejména díky dostupnosti aplikací jako například Low-Orbit Ion Cannon, které celý proces útoku usnadňují na pouhých několik kroků.

Záplava SYN paketů: Server marně čeká na odpověď

Druhým nejčastějším útokem je podle statistik takzvaná záplava SYN, anglicky SYN flood. Využívá klíčového internetového protokolu TCP, konkrétně jedné jeho charakteristiky. Oproti jednoduššímu, rychlejšímu, ale méně přesnému UDP totiž TCP hlídá průběh komunikace mezi dvěma stranami. Toho docílí pomocí signálů, které si obě strany musí navzájem poslat, než je jejich spojení oficiálně zahájeno.

Strana vyvolávající komunikaci pošle cílovému serveru zprávu SYN, zkratka vychází z anglického synchronize, česky synchronizovat či sladit. Tím dá najevo serveru snahu o zahájení komunikace.

Druhý krok této komunikace provádí cílový server. Ten reaguje na zprávu SYN další zprávou, tentokrát SYN-ACK – z anglického synchronize acknowledged – čímž potvrdí první straně komunikace přijetí paketu SYN.

Třetím krokem má být další zpráva od počítače vyvolávajícího komunikaci. Měl by zaslat paket ACK, čímž potvrdí potvrzení serveru. Spojení TCP je v tom případě úspěšně zahájeno.

Celý proces sestává ze zpráv SYN, poté SYN-ACK, a nakonec ACK. Někdy se nazývá anglicky three-way handshake, česky trojcestné potřesení rukou, nebo volněji trojité navázání spojení.

Právě ve třetím bodě se ale postup v případě SYN záplavy liší.

Cílový server sice obdrží zprávu SYN a odpoví na ni svým SYN-ACK, už k němu ale nedojde tolik potřebná zpráva ACK. Server tedy neví, v jakém stavu se komunikace nachází a dál čeká na přijetí této zprávy – mohla se přece jen opozdit kvůli vytížení sítě.

Musí ale kvůli tomu ponechat toto spojení nějakou dobu takto napůl otevřené, čímž vyčerpává své prostředky.

Mezitím dostává další a další žádosti SYN, na které odpovídá, ale které mu opět nejsou potvrzeny. Celá situace může vést k vyčerpání prostředků serveru, k jeho chybnému fungování, nebo přímo zhroucení.

Postavte hráz ze sušenek

Proti útokům pomocí SYN záplavy mají naštěstí vlastníci serverů k dispozici možnost obrany. Jejich servery mohou na začátek paketů, které při navazování TCP komunikace vysílají, přidat speciální hodnotu – takzvané SYN cookies.

To umožní serveru na komunikaci zapomenout do chvíle, dokud neobdrží závěrečný ACK paket. Server nemusí tedy držet spojení napůl otevřené a vyčerpávat zbytečně své prostředky. Místo toho jej obnoví až ve chvíli, kdy ACK zprávu opravdu dostane. Potřebné informace si znovu sestaví z hodnot SYN cookies.

Fungování cookies je trochu podobné tomu, jako byste vyzvánějící mobil zvedali jen lidem ve vašem telefonním seznamu a ostatní ignorovali.

Tato metoda existuje už od roku 1996, její formulace se připisuje americkému expertovi a kryptologovi Danielu J. Bernsteinovi.

V poslední době se ale objevila technika, na kterou by ani jeho mazané SYN cookies nestačily. Odborníci z firmy Radware zachytili nový způsob útoku, který nazvali tsunami SYN flood. Podobně jako ona přírodní katastrofa je totiž tsunami SYN záplava obrovská.

Zlomyslní lidé stojící za zrodem tsunami uměle prodloužili SYN paket při svých nájezdech z běžných 40 až 60 bajtů na velikosti dosahující až jednoho tisíce bajtů. Tak velké pakety jsou podle protokolu sice přípustné, ale podle Radware komplikují a znemožňují několik obranných algoritmů. Včetně SYN cookies.

Kromě toho má tsunami úctyhodné rozměry ještě v jednom ohledu – SYN žádosti přichází v obrovském množství. Pro volumetrické útoky většinou pachatelé volí spíše výše zmíněný UDP. Při obraně proti tsunami SYN ale podle odborníků z Radware není možné použít stejné postupy jako při UDP záplavě.

Záplavové útoky jsou obrovská hrozba. Připravte se na ně

Oba typy DDoS – zmiňované UDP i SYN – mohou přivodit cílovým serverům opravdové problémy.

Všechno ale závisí na jejich síle – některým se mohou administrátoři ubránit jen s trochou snahy, zatímco jiné dokážou servery položit stůj co stůj. Vůbec nejsilnější z poslední doby dosáhl až 253 gigabitů za sekundu. Pro srovnání – tým expertů Adriana Newbyho měl plné ruce práce soubojem s útokem, který byl třináctkrát slabší.

Administrátoři a administrátorky musí proto klást velký důraz na prevenci. Jen s dostatečnou přípravou, testováním a mapováním slabin mohou rychle reagovat na příchozí hrozby.

Jaké jsou vaše zkušenosti? Zažili jste už DDoS útok? Kterým metodám jste museli odolávat? A obstáli jste proti nim? Podělte se s ostatními o své zážitky a zkušenosti.