Вопрос 16. Сетевые атаки. Dos-атаки. Flooding.

Затопление ICMP пакетами (ping flood). Т.к. для проверки работоспособности узлов используется диалог обмена пакетами ICMP, все узлы по умолчанию должны принимать данные пакеты и обрабатывать их с повышенным приоритетом, чтобы избежать корректной оценки времени доступа к узлу. Атака ping flood заключается в генерации нарушителем большого числа ICMP запросов на узел жертвы с минимальным интервалом между пакетами, что приводит к затоплению каналов узла жертвы, либо повышенная трата вычислительных ресурсов на обработку данных пакетов. Это так называемая Dos атака, т.е. атака на доступность.

Для реализации в сети Internet используется разновидность DDoS – распределенная атака на отказуемость в сервисе. Направление только на затопления каналов узла жертвы. Реализуется отсылает пакет с ICMP запросом на широковещательный адрес крупной сети. В качестве адреса получателя указывается адрес узла жертвы. В результате в ответ на один запрос возникает большое количество ответов, что и затопляет канал жертвы.

Для защиты: большинство критичных узлов или маршрутизаторов запрещают прием и маршрутизацию ICMP трафика вообще.

Локальная буря

7 – echo, любой пакет возвращается обратно

19 – chargen, возвращает пакет со строкой символов.

Нарушитель посылает единственный пакет UDP, где в качестве исходного порта указан 7, а в качестве порта получателя 19, а в качестве адресов, либо адрес двух атакуемых машин локальной сети, либо адрес одной и той же машины. В результате, попав на порт 19, пакет будет отработан и в ответ послана строка на порт 7, а 7 отразит ее на 19. Бесконечный цикл добавляет нагрузку канала и машины.

Затопление SYN пакетами (SYN flood)

SYN-запрос на установление соединения. В ответ на пакет SYN узел отвечает пакетом SYN ASK и переводит соединение из состояния Listen в состоянии SYN-Received. Соединение в этом состоянии переводится в специальную очередь соединений, ожидающих установления. У большинства узлов эта очередь конечна и при ее заполнении все следующие соединения будут отброшены, т.е. нарушителю достаточно генерировать не очень большое количество SYN запросов, не отвечая на подтверждения, чтобы полностью исключить возможность подключения к узлу легальных пользователей.