DDoS IP/ICMP Фрагментационна атака

Какво е DDoS IP/ICMP Fragmentation атака?

DDoS атаката с фрагментиране на интернет протокол (IP)/протокол за контролни съобщения в интернет (ICMP) е често срещана форма на атака за отказ на услуга . При такава атака се използват механизми за фрагментиране на дейтаграма, за да се претовари мрежата.

IP фрагментацията възниква, когато IP дейтаграмите се разбиват на малки пакети, които след това се предават през мрежата и накрая отново се сглобяват в оригиналната дейтаграма, като част от нормалния комуникационен процес. Този процес е необходим, за да се изпълнят ограниченията за размера, които всяка мрежа може да обработва. Такова ограничение се описва като максимална предавателна единица (MTU).

Когато един пакет е твърде голям, той трябва да бъде разделен на по-малки фрагменти, за да бъде предаден успешно. Това води до изпращане на няколко пакета, като единият съдържа цялата информация за пакета, включително портове източник/дестинация, дължина и т.н. Това е първоначалният фрагмент.

Останалите фрагменти включват само IP хедър (IP хедър) плюс полезни данни. Тези фрагменти не съдържат информация за протоколи, капацитет или портове.

Нападателите могат да използват IP фрагментацията, за да атакуват комуникационни системи, както и компоненти за сигурност. Базираните на ICMP фрагментиращи атаки често изпращат фалшиви фрагменти, които не могат да бъдат дефрагментирани. Това от своя страна води до поставяне на фрагменти във временна памет, заемайки памет и в някои случаи изчерпвайки всички налични ресурси на паметта.

Признаци на IP/ICMP Fragmentation DDoS атака

IP/ICMP Fragmentation бомбардира дестинацията с фрагментирани пакети

IP/ICMP Fragmentation бомбардира местоназначението с фрагментирани пакети, което го кара да използва паметта, за да сглоби отново всички фрагменти и да претовари целевата мрежа.

Такива атаки се проявяват по няколко различни начина:

- UDP наводняване - При този тип DDoS атака нападателите използват ботнет , за да изпращат големи обеми фрагменти от множество източници. В много случаи приемникът няма да види началния фрагмент (тези фрагменти често се губят в хаоса на входящите пакети). Той просто вижда много пакети без фрагменти от заглавката на протокола. Тези непървоначални фрагменти са трудни, защото може да принадлежат на легитимна сесия, но в повечето случаи ще бъдат нежелан трафик. Получателят няма представа кой е легитимен и кой не, защото оригиналният фрагмент е изгубен.

- UDP & ICMP фрагментирана DDoS атака - При този тип DDoS атака се предават фалшиви UDP или ICMP пакети. Тези пакети са проектирани да изглеждат така, сякаш са по-големи от MTU на мрежата, но всъщност се изпращат само части от пакета. Тъй като пакетите са фалшиви и не могат да бъдат сглобени отново, ресурсите на сървъра се консумират бързо, което в крайна сметка го прави недостъпен за легитимен трафик.

- DDoS TCP Fragmentation Attack - Този тип DDoS атака, известна също като Teardrop атака , е насочена към TCP/IP механизми за повторно сглобяване. В този случай фрагментираните пакети няма да бъдат сглобени отново. В резултат на това пакетите с данни се припокриват и целевият сървър става напълно претоварен и в крайна сметка спира да работи.

• Какво е Ping of Death атака?

Защо IP/ICMP Fragmentation атаките са опасни?

Атаките с фрагментиране на IP/ICMP са много опасни

IP/ICMP Fragmentation атаките, подобно на много други DDoS атаки, ще претоварят ресурсите на целевия сървър с големия обем трафик. Въпреки това, тази DDoS атака също ще принуди целевия сървър да използва ресурси, опитвайки се да сглоби отново пакети, което често води до срив на мрежови устройства и сървъри. И накрая, тъй като нефрагментираните фрагменти първоначално не съдържат информация за услугата, към която принадлежат, е трудно да се реши кои пакети са безопасни и кои не.

Как да смекчите и предотвратите IP/ICMP Fragmentation атаки?

Подходът за предотвратяване на DDoS IP/ICMP Fragmentation атаки зависи от вида и степента на атаката.

Подходът за предотвратяване на DDoS IP/ICMP Fragmentation атаки зависи от вида и степента на атаката. Най-често срещаните методи за смекчаване включват гарантиране, че злонамерените пакети са предотвратени от достигане до целевите хостове. Това включва изследване на входящите пакети, за да се определи дали те нарушават правилата за фрагментиране.

Един потенциален метод за смекчаване на атаки при отказ на услуга е да се блокират всички фрагменти, различни от началния фрагмент, но това би довело до проблеми с легитимния трафик, разчитащ на тези фрагменти. По-добро решение е да се използва ограничаване на скоростта, което ще отхвърли повечето пакети (както добри, така и лоши, тъй като ограничаването на скоростта не прави разлика между един) и атакуваният целеви сървър ще бъде незасегнат.

Този подход рискува да създаде проблеми с легитимни услуги, които разчитат на фрагменти, но компромисът може да си струва. Няма метод, който да носи 100% успех. Ако използвате услуги, които разчитат на фрагменти, като DNS, можете да поставите в белия списък конкретните сървъри, на които разчитате, и да използвате ограничаване на скоростта за останалите.