DDoS IP/ICMP Fragmentačný útok

Čo je DDoS IP/ICMP fragmentačný útok?

Fragmentácia internetového protokolu (IP)/ICMP (Internet Control Message Protocol) Útok DDoS je bežnou formou útoku odmietnutia služby . Pri takomto útoku sa využívajú mechanizmy fragmentácie datagramov na zahltenie siete.

Fragmentácia IP nastáva, keď sú datagramy IP rozdelené na malé pakety, ktoré sa potom prenášajú cez sieť a nakoniec sa znova poskladajú do pôvodného datagramu ako súčasť normálneho komunikačného procesu. Tento proces je potrebný na splnenie limitov veľkosti, ktoré každá sieť zvládne. Takýto limit je opísaný ako maximálna prenosová jednotka (MTU).

Keď je paket príliš veľký, musí byť rozdelený na menšie časti, aby sa úspešne preniesol. Výsledkom je odoslaných niekoľko paketov, jeden obsahuje všetky informácie o pakete, vrátane zdrojových/cieľových portov, dĺžky atď. Toto je počiatočný fragment.

Zostávajúce fragmenty obsahujú iba hlavičku IP (hlavičku IP) plus dátové zaťaženie. Tieto fragmenty neobsahujú informácie o protokoloch, kapacite alebo portoch.

Útočníci môžu pomocou fragmentácie IP zacieliť komunikačné systémy, ako aj bezpečnostné komponenty. Fragmentačné útoky založené na ICMP často posielajú falošné fragmenty, ktoré sa nedajú defragmentovať. To zase spôsobí, že sa fragmenty uložia do dočasnej pamäte, zaberajú pamäť a v niektorých prípadoch vyčerpajú všetky dostupné pamäťové zdroje.

Známky útoku DDoS fragmentácie IP/ICMP

Fragmentácia IP/ICMP bombarduje cieľ fragmentovanými paketmi

Fragmentácia IP/ICMP bombarduje cieľ fragmentovanými paketmi, čo spôsobí, že použije pamäť na opätovné zostavenie všetkých fragmentov a zahltí cieľovú sieť.

Takéto útoky sa prejavujú rôznymi spôsobmi:

- Záplava UDP - Pri tomto type DDoS útoku útočníci používajú botnet na odosielanie veľkých objemov fragmentov z viacerých zdrojov. V mnohých prípadoch prijímač neuvidí počiatočný fragment (tieto fragmenty sa často stratia v chaose prichádzajúcich paketov). Len vidí veľa paketov bez fragmentov hlavičky protokolu. Tieto nepočiatočné fragmenty sú zložité, pretože môžu patriť k legitímnej relácii, ale vo väčšine prípadov pôjde o nevyžiadanú návštevnosť. Prijímač nevie, čo je legitímne a ktoré nie, pretože pôvodný fragment sa stratil.

- UDP & ICMP Fragmentácia DDoS útok - Pri tomto type DDoS útoku sa prenášajú falošné UDP alebo ICMP pakety. Tieto pakety sú navrhnuté tak, aby vyzerali, že sú väčšie ako MTU siete, ale v skutočnosti sa odosielajú iba časti paketu. Pretože pakety sú falošné a nedajú sa znova zostaviť, zdroje servera sa rýchlo spotrebúvajú, čo nakoniec robí server nedostupným pre legitímnu prevádzku.

- DDoS TCP Fragmentation Attack - Tento typ DDoS útoku, známy aj ako Teardrop útok , sa zameriava na mechanizmy opätovného zostavenia TCP/IP. V tomto prípade sa fragmentované pakety znova nezložia. V dôsledku toho sa dátové pakety prekrývajú a cieľový server sa úplne preťaží a nakoniec prestane fungovať.

• Čo je útok Ping of Death?

Prečo sú útoky fragmentácie IP/ICMP nebezpečné?

IP/ICMP Fragmentačné útoky sú veľmi nebezpečné

IP/ICMP Fragmentačné útoky, podobne ako mnohé iné DDoS útoky, zahltia zdroje cieľového servera veľkým objemom prevádzky. Tento útok DDoS však tiež prinúti cieľový server použiť prostriedky na opätovné zostavenie paketov, čo často vedie k zlyhaniu sieťových zariadení a serverov. Nakoniec, pretože nefragmentované fragmenty spočiatku neobsahujú žiadne informácie o službe, ku ktorej patria, je ťažké rozhodnúť, ktoré pakety sú bezpečné a ktoré nie.

Ako zmierniť a zabrániť útokom fragmentácie IP/ICMP?

Prístup k predchádzaniu útokom DDoS IP/ICMP Fragmentation závisí od typu a rozsahu útoku.

Prístup k predchádzaniu útokom DDoS IP/ICMP Fragmentation závisí od typu a rozsahu útoku. Najbežnejšie metódy zmierňovania zahŕňajú zabezpečenie toho, aby sa škodlivé pakety nedostali k cieľovým hostiteľom. To zahŕňa skúmanie prichádzajúcich paketov, aby sa zistilo, či neporušujú pravidlá fragmentácie.

Jednou z možných metód na zmiernenie útoku odmietnutia služby je blokovanie všetkých fragmentov okrem počiatočného, ​​čo by však viedlo k problémom s legitímnou prevádzkou, ktorá sa spolieha na tieto fragmenty. Lepším riešením je použiť obmedzenie rýchlosti, ktoré zahodí väčšinu paketov (dobrých aj zlých, pretože obmedzenie rýchlosti nerozlišuje medzi jedným) a napadnutý cieľový server zostane nedotknutý.

Tento prístup riskuje vytvorenie problémov s legitímnymi službami, ktoré sa spoliehajú na fragmenty, ale kompromis môže stáť za to. Neexistuje metóda, ktorá by priniesla 100% úspech. Ak používate služby, ktoré sa spoliehajú na fragmenty, ako napríklad DNS, môžete uviesť na bielu listinu konkrétne servery, na ktoré sa spoliehate, a na zvyšok použiť obmedzenie rýchlosti.