Černá sestra – technika DDoS pomáhá normálnímu notebooku sundat celý serverový systém

I když jsou tyto servery vybaveny dobře známými firewallovými zařízeními, mohou být stále odstraněny, pokud útočník zneužije tuto techniku.

Může to znít neuvěřitelně, ale místo obřího botnetu potřebujete pouze notebook s připojením k internetu, abyste mohli spustit silný DDoS útok , který odstraní důležité internetové servery a stávající firewally.

Výzkumníci z TDC Security Operations Center objevili novou techniku ​​útoku, která umožňuje osamělým útočníkům s omezenými zdroji (v tomto případě notebook se širokopásmovou sítí s šířkou pásma alespoň 15 Mbps) zničit velké servery .

Tuto techniku , nazývanou útok BlackNurse nebo nízkorychlostní útok „ Ping of Death “ , lze použít ke spuštění série maloobjemových DoS útoků pomocí odesílání paketů ICMP nebo „pingů“, které zahltí procesory na serveru.

Dokonce i servery chráněné firewally od společností Cisco , Palo Alto Networks nebo jiných společností jsou touto technikou útoku ovlivněny.

ICMP (Internet Control Message Protocol) je protokol používaný směrovači a dalšími síťovými zařízeními k odesílání a přijímání chybových zpráv.

Ping of Death je technika útoku, která přetěžuje síť odesíláním paketů ICMP přesahujících velikost 65 536 bajtů do cíle. Protože je tato velikost větší než povolená velikost paketů IP, bude rozdělena na menší části a odeslána do cílového počítače. Když se dostane do cíle, bude znovu sestaven do kompletního paketu, kvůli nadměrné velikosti způsobí přetečení vyrovnávací paměti a pád.

Podle technické zprávy zveřejněné tento týden je útok BlackNurse znám také pod tradičnějším názvem: „ ping flood attack “ a je založen na dotazech (nebo chybách) ICMP Type 3. Destination Unreachable) Code 3 (Port Unreachable error) .

Tyto dotazy jsou pakety odpovědí, které se obvykle vracejí do zdrojového pingu, když je cílový port nedosažitelný – nebo Nedosažitelný .

1. Jak funguje technika útoku BlackNurse:

Odesláním paketu ICMP Type 3 s kódem 3 může hacker způsobit stav odmítnutí služby (DoS) přetížením CPU na určitých typech serverových firewallů., bez ohledu na kvalitu internetového připojení.

Objem provozu pomocí techniky BlackNurse je velmi malý, pouze od 15 Mbps do 18 Mbps (nebo asi 40 000 až 50 000 paketů za sekundu), zejména ve srovnání s rekordním 1 Tbps DDoS útokem zaměřeným na poskytovatele. Francouzský poskytovatel internetových služeb OVH v září .

Mezitím TDC také uvedlo, že tento obrovský objem není důležitým problémem, když pouhé udržování stálého proudu ICMP paketů od 40 000 do 50 000, které se dostanou do síťového zařízení oběti, jej může zničit.

Jaké jsou tedy dobré zprávy? „ Jakmile dojde k útoku, uživatelé v LAN již nebudou moci odesílat ani přijímat provoz do az internetu," uvedli výzkumníci ."

To však znamená, že tato technika nízkoobjemového DoS útoku je stále velmi účinná, protože nejen že zahlcuje firewall přístupy, ale také nutí CPU k vysoké zátěži, a to i k přepnutí serverů do stavu offline, pokud má útok dostatečnou kapacitu sítě.

Výzkumníci tvrdí, že BlackNurse by neměl být zaměňován s útoky ping flooding, které se spoléhají na pakety ICMP Type 8 Code 0 (nebo běžné ping pakety). Výzkumníci vysvětlují:

" Technika útoku BlackNurse přitáhla naši pozornost, protože při testování řešení anti-DDoS, i když rychlost přístupu a objem paketů za sekundu byly na velmi nízké úrovni, může tento útok také zastavit všechny operace našich zákazníků ."

" Tuto techniku ​​útoku lze dokonce použít na podniky vybavené firewally a velkými internetovými připojeními. Doufáme, že profesionální firewallová zařízení budou schopna tyto útoky zvládnout. tento útok ."

2. Dotčená zařízení

Technika útoku BlackNurse je účinná s následujícími produkty:

• Cisco ASA Firewall Appliances 5506, 5515, 5525 (ve výchozím nastavení).
• Firewallová zařízení Cisco ASA 5550 (starší generace) a 5515-X (nejnovější generace).
• Cisco Router 897 (může být downgradován).
• SonicWall (nesprávná konfigurace může být změněna a zmírněna).
• Některá neznámá zařízení od Palo Alto.
• Router Zyxel NWA3560-N (bezdrátový útok z vnitřní LAN).
• Firewall Zyxel Zywall USG50.

3. Jak zmírnit útok BlackNurse?

Stále pro vás máme dobré zprávy – existuje řada způsobů, jak se můžete bránit útokům BlackNurse.

TDC doporučuje řadu zmírnění a pravidel IDS SNORT (open source intrusion detection system SNORT), které lze použít k detekci útoků BlackNurse. Navíc kódy PoC (proof-of-concept) byly zaslány na GitHub inženýry OVH, které lze také použít k testování zařízení Wiki.SpaceDesktop proti BlackNurse.

Pro zmírnění útoků BlackNurse na firewally a další zařízení TDC doporučuje, aby si uživatelé vytvořili seznam důvěryhodných zdrojů, které mohou odesílat a přijímat ICMP pakety . Nejlepším způsobem, jak zmírnit útok, je však jednoduše zakázat pakety ICMP Type 3 Code 3 na rozhraní WAN.

Společnost Palo Alto Networks také vydala prohlášení, v němž uvedla, že její zařízení byla ovlivněna pouze ve „ velmi specifických scénářích, nikoli ve výchozím nastavení a proti běžným postupům “. Společnost také uvedla některá doporučení pro své zákazníky.

Mezitím Cisco uvedlo, že chování uvedené ve zprávě nepovažuje za bezpečnostní problém, ale varovalo, že:

" Doporučujeme, aby si každý nastavil licenci pro nedosažitelné pakety ICMP Type 3. Odmítnutí zpráv o nedostupnosti ICMP pomáhá deaktivovat protokol Path MTU Discovery pro pakety ICMP. Mohou zabránit IPSec (Internet Protocol Security: sada protokolů pro zabezpečení procesu přenosu informací ) a přístup podle protokolu PPTP (Point-To-Point Tunneling Protocol: Protokol používaný k přenosu dat mezi virtuálními privátními sítěmi VPN) .

Kromě toho nezávislý dodavatel softwaru NETRESEC také publikoval podrobnou analýzu BlackNurse s názvem: " Technika záplavového útoku z 90. let je zpět ." Kromě výše uvedených varování oznámil institut SANS také krátkou zprávu o útoku BlackNurse, v níž se diskutuje o útoku a o tom, co by uživatelé měli udělat pro jeho zmírnění.