Тандемные DDoS-атаки (Артём Гавриченков)

Тандемные DDoS-атаки
Артём Гавриченков
<ag@highloadlab.com>

Проблема марсохода
Создавая Web-приложение,
90% разработчиков* программируют марсоход.

Как это происходит?

* – по данным сайта http://lurkmore.ru

Устройство Интернета
Прикладной уровень
HTTP, HTTPS, FTP, ...
Транспортный уровень
TCP, UDP, ...
Сетевой уровень
IP, ...
Канальный уровень
Ethernet, ...

Протокол TCP
 Придуман DARPA
 Используется для всего
 От задач Минобороны и NASA
 До гражданских приложений
 TCP – основа протокола HTTP

 Задачи:
 Целостность данных

 Устранение дубликатов

 Порядок

 Гарантия доставки

 Борьба с перегрузкой сети

Накладные расходы!

 TCP – это соединение
 Автомат TCP-соединения

Пример 1: установление соединения

«Без TCP» TCP

send();
recv();

Проблема!
Много SYN-запросов
=> много занятых ресурсов
=> ресурсы заканчиваются

Такая атака называется SYN Flood

Решение
 SYN Cookies, SYN Cache, TCPMaxHalfOpen
 http://www.symantec.com/connect/articles/hardening-tcpip-stack-syn-
attacks
 http://www.cisco.com/web/about/ac123/ac147/archived_issues/ipj_9-
4/syn_flooding_attacks.html
 http://people.redhat.com/sgrubb/files/hardening-rhel5.pdf
 http://support.microsoft.com/kb/324270

Пример 2: закрытие соединения

«Без TCP» TCP

nop;

Проблема!
После получения ACK атакующий
может не высылать FIN
=> соединение не закрывается
=> ресурсы не освобождаются

Так называемая «FIN-WAIT-2 атака»

Sockstress

 2008 г.
 Стресс-тестирование сетевого

приложения
 Обнаружили FIN-WAIT-2 атаку

Решение
 Stateful firewall
 Помним уже установленные соединения
 Ограничиваем количество новых
 Ссылки:
 http://www.microsoft.com/technet/security/Bulletin/MS09-048.mspx
 http://kbase.redhat.com/faq/docs/DOC-18730
 http://www.cisco.com/warp/public/707/cisco-sa-20090908-tcp24.shtml

Следите за руками.

Атакуем!
1. SYN Flood на машину
 Устанавливаем много соединений
 Переполняем stateful firewall

Атакуем!
2. Когда отслеживание соединений
отключается – FIN-WAIT-2

Атакуем!
2. Когда отслеживание соединений
отключается – FIN-WAIT-2
3. PROFIT!

Как же так?

 Как они могут ошибаться?

Как же так?

 Как они могут ошибаться?
 А они и не ошибаются.

TCP – швейцарский нож

 Делать можно всё
 Но не одновременно

Параметры TCP
 У автомата TCP есть мно-о-о-го
параметров
 Не путать с TCP options!
 Таймауты
 Размеры временных окон
 Фрагментация
 ...

Параметры TCP
 Вендоры используют стандартные
значения параметров TCP
 Стандартные значения одинаково [не]

работают для всех приложений

Один TCP – на всех
 VPN
 Web-сервер
 Телеметрия

 MMS-гейт
Комплекс ПВО
BitTorrent



Электронное голосование
Марсоход



Но у нас не марсоход!
1. ОС с параллельными SYN Cookies
2. Параметры автомата TCP
Linux: net.ipv4.tcp_fin_timeout=5
Windows: HKLMSystemCurrentControlSet
ServicesTcpipParameters
TcpFinWait2Delay [?]

Now it works!
 «Кончил, не кончил – 3 минуты!»
– М. С. Горбачев
 Отключаем connection tracking

 Боремся с SYN Flood, как привыкли

Sockstress

 2009 г.
 Фундаментальная уязвимость

в автомате TCP

Sockstress
 Тёмная лошадка
 Можем делать предположения

 Имитация SYN Cookies в ботнете

 Атака на механизмы борьбы с

перегрузкой сети

Выводы?
 Протокол TCP был создан в 1970-х годах
 Автомат TCP-соединения описан

недостаточно подробно
 Исследуя автомат TCP, можно находить

актуальные уязвимости

Прогноз
 Анализ автомата TCP-соединения даст
информацию о новых атаках
 Чтобы быть готовым к будущему,

необходимо проводить такой анализ

Сейчас?
 Outpost24 тестирует протокол TCP
 Это даёт результаты

 Highload Lab занимается моделированием

автомата TCP-соединения по
спецификации
 Сложно, но перспективнее

Что же делать?
 Мы научились бороться с тандемной
атакой. Уже хорошо
 Ждём новостей о новых проблемах

Встретимся через год

Спасибо за внимание!
Вопросы?

Тандемные DDoS-атаки (Артём Гавриченков)

Related slideshows

More Related Content

Тандемные DDoS-атаки (Артём Гавриченков)