Hacking ético - Ataques DDOS

Um ataque de negação de serviço distribuído (DDoS) é uma tentativa de tornar um serviço online ou um site indisponível, sobrecarregando-o com enormes inundações de tráfego gerado de várias fontes.

Ao contrário de um ataque de negação de serviço (DoS), em que um computador e uma conexão de Internet são usados para inundar um recurso direcionado com pacotes, um ataque DDoS usa muitos computadores e muitas conexões de Internet, muitas vezes distribuídas globalmente no que é conhecido como um botnet.

Um ataque DDoS volumétrico em grande escala pode gerar um tráfego medido em dezenas de Gigabits (e até centenas de Gigabits) por segundo. Temos certeza de que sua rede normal não será capaz de lidar com esse tráfego.

O que são botnets?

Os invasores constroem uma rede de máquinas hackeadas que são conhecidas como botnets, espalhando código malicioso por meio de e-mails, sites e mídia social. Depois que esses computadores são infectados, eles podem ser controlados remotamente, sem o conhecimento de seus proprietários, e usados como um exército para lançar um ataque contra qualquer alvo.

Uma inundação DDoS pode ser gerada de várias maneiras. Por exemplo -

Os botnets podem ser usados para enviar mais solicitações de conexão do que um servidor pode controlar por vez.
Os invasores podem fazer com que os computadores enviem ao recurso da vítima enormes quantidades de dados aleatórios para usar a largura de banda do alvo.

Devido à natureza distribuída dessas máquinas, elas podem ser usadas para gerar alto tráfego distribuído que pode ser difícil de manusear. Por fim, resulta em um bloqueio completo de um serviço.

Tipos de ataques DDoS

Os ataques DDoS podem ser amplamente categorizados em três categorias -

Ataques baseados em volume
Ataques de protocolo
Ataques de camada de aplicativo

Ataques baseados em volume

Os ataques baseados em volume incluem inundações de TCP, inundações de UDP, inundações de ICMP e outras inundações de pacotes falsificados. Estes também são chamadosLayer 3 & 4 Attacks. Aqui, um invasor tenta saturar a largura de banda do site de destino. A magnitude do ataque é medida emBits per Second (bps).

UDP Flood - Uma inundação UDP é usada para inundar portas aleatórias em um host remoto com vários pacotes UDP, mais especificamente a porta número 53. Firewalls especializados podem ser usados para filtrar ou bloquear pacotes UDP maliciosos.
ICMP Flood- Isso é semelhante ao UDP flood e usado para inundar um host remoto com numerosos ICMP Echo Requests. Este tipo de ataque pode consumir largura de banda de entrada e saída e um alto volume de solicitações de ping resultará na lentidão geral do sistema.
HTTP Flood - O invasor envia solicitações HTTP GET e POST para um servidor da web direcionado em um grande volume que não pode ser manipulado pelo servidor e leva à negação de conexões adicionais de clientes legítimos.
Amplification Attack - O invasor faz uma solicitação que gera uma grande resposta que inclui solicitações DNS para grandes registros TXT e solicitações HTTP GET para arquivos grandes como imagens, PDFs ou quaisquer outros arquivos de dados.

Ataques de protocolo

Os ataques de protocolo incluem inundações de SYN, Ping of Death, ataques de pacotes fragmentados, Smurf DDoS, etc. Este tipo de ataque consome recursos reais do servidor e outros recursos, como firewalls e balanceadores de carga. A magnitude do ataque é medida emPackets per Second.

DNS Flood - As inundações de DNS são usadas para atacar a infraestrutura e um aplicativo DNS para sobrecarregar um sistema de destino e consumir toda a largura de banda de rede disponível.
SYN Flood- O invasor envia solicitações de conexão TCP mais rápido do que a máquina de destino pode processá-las, causando saturação da rede. Os administradores podem ajustar as pilhas TCP para mitigar o efeito de inundações de SYN. Para reduzir o efeito de inundações de SYN, você pode reduzir o tempo limite até que uma pilha libere memória alocada para uma conexão ou descartando seletivamente as conexões de entrada usando um firewall ouiptables.
Ping of Death- O invasor envia pacotes malformados ou grandes usando um comando ping simples. O IP permite o envio de pacotes de 65.535 bytes, mas o envio de um pacote de ping com mais de 65.535 bytes viola o protocolo da Internet e pode causar estouro de memória no sistema de destino e, finalmente, travar o sistema. Para evitar ataques de Ping of Death e suas variantes, muitos sites bloqueiam mensagens de ping ICMP em seus firewalls.

Ataques de camada de aplicativo

Ataques de camada de aplicativo incluem Slowloris, ataques DDoS de dia zero, ataques DDoS que visam vulnerabilidades do Apache, Windows ou OpenBSD e muito mais. Aqui, o objetivo é travar o servidor da web. A magnitude do ataque é medida emRequests per Second.

Application Attack - Isso também é chamado Layer 7 Attack, em que o invasor faz solicitações excessivas de login, pesquisa no banco de dados ou pesquisa para sobrecarregar o aplicativo. É realmente difícil detectar ataques da Camada 7 porque eles se assemelham ao tráfego de um site legítimo.
Slowloris- O invasor envia um grande número de cabeçalhos HTTP para um servidor da web de destino, mas nunca conclui uma solicitação. O servidor de destino mantém cada uma dessas conexões falsas abertas e, eventualmente, transborda o pool máximo de conexões simultâneas e leva à negação de conexões adicionais de clientes legítimos.
NTP Amplification - O invasor explora servidores de Network Time Protocol (NTP) acessíveis ao público para sobrecarregar o servidor de destino com tráfego UDP (User Datagram Protocol).
Zero-day DDoS Attacks- Uma vulnerabilidade de dia zero é uma falha de sistema ou aplicativo até então desconhecida do fornecedor e que não foi corrigida ou corrigida. Esses são novos tipos de ataques que surgem diariamente, por exemplo, explorando vulnerabilidades para as quais nenhum patch foi lançado.

Como corrigir um ataque DDoS

Existem algumas opções de proteção DDoS que você pode aplicar dependendo do tipo de ataque DDoS.

Sua proteção DDoS começa identificando e fechando todos os SOs e vulnerabilidades de nível de aplicativo possíveis em seu sistema, fechando todas as portas possíveis, removendo acessos desnecessários do sistema e escondendo seu servidor atrás de um proxy ou sistema CDN.

Se você observar uma baixa magnitude do DDoS, poderá encontrar muitas soluções baseadas em firewall que podem ajudá-lo a filtrar o tráfego baseado em DDoS. Mas se você tiver um alto volume de ataques DDoS, como em gigabits ou até mais, então você deve ter a ajuda de um provedor de serviços de proteção DDoS que oferece uma abordagem mais holística, proativa e genuína.

Você deve ter cuidado ao abordar e selecionar um provedor de serviços de proteção DDoS. Existem vários fornecedores de serviços que pretendem tirar partido da sua situação. Se você informar que está sob ataque DDoS, eles começarão a oferecer uma variedade de serviços a custos excessivamente elevados.

Podemos sugerir uma solução simples e funcional que começa com a busca por um bom provedor de soluções DNS que seja flexível o suficiente para configurar registros A e CNAME para seu site. Em segundo lugar, você precisará de um bom provedor de CDN que possa lidar com grande tráfego DDoS e fornecer um serviço de proteção contra DDoS como parte de seu pacote de CDN.

Suponha que o endereço IP do seu servidor seja AAA.BBB.CCC.DDD. Então você deve fazer a seguinte configuração de DNS -

Criar uma A Record no arquivo de zona DNS, conforme mostrado abaixo com um identificador DNS, por exemplo, ARECORDID e mantê-lo em segredo do mundo exterior.
Agora peça ao seu provedor de CDN para vincular o identificador DNS criado a um URL, algo como cdn.someotherid.domain.com.
Você usará o URL CDN cdn.someotherid.domain.com para criar dois registros CNAME, o primeiro a apontar para www e o segundo registro para apontar para @ conforme mostrado abaixo.

Você pode obter a ajuda do administrador do sistema para compreender esses pontos e configurar o DNS e o CDN de forma adequada. Finalmente, você terá a seguinte configuração em seu DNS.

Agora, deixe o provedor de CDN lidar com todos os tipos de ataques DDoS e seu sistema permanecerá seguro. Mas aqui a condição é que você não divulgue o endereço IP do seu sistema ou o identificador de registro A para ninguém; caso contrário, os ataques diretos começarão novamente.

Conserto rápido

Os ataques DDoS tornaram-se mais comuns do que nunca e, infelizmente, não existe uma solução rápida para esse problema. No entanto, se o seu sistema estiver sob um ataque DDoS, não entre em pânico e comece a examinar o problema passo a passo.