🥇Експеримент: може ли да се намалят негативните последици от DoS атаките с помощта на прокси

Изображение: Unsplash

DoS атаки са една от основните заплахи за информационната безопасност в съвременния интернет. Съществуват десетки ботнетове, които злонамерени лица отдават под наем за провеждане на подобни атаки.

Учени от университета в Сан Диего проведоха изследване изследване, което анализира колко ефективни са прокситата в намаляване на негативния ефект от DoS атаките – представяме ви основните изводи от тази работа.

Въведение: прокси като инструмент в борбата с DoS

Подобни експерименти периодично се провеждат от изследователи от различни страни, но общият им проблем е недостатъкът на ресурси за моделиране на атаки, близки до реалността. Тестовете на малки стендове не дават отговор на въпросите колко успешно прокситата ще противодействат на атаката в сложни мрежи, какви параметри играят ключова роля в способността за минимизиране на щетите и т.н.

За експеримента учените създадоха модел на типично уеб приложение – например, онлайн търговски сайт. То функционира с помощта на клъстер от сървъри, потребителите са разпределени в различни географски локации и достъпват услугата през интернет. В този модел интернетът служи като средство за комуникация между услугата и потребителите – така работят уеб услуги от търсачки до онлайн банкови инструменти.

DoS атаките правят нормалното взаимодействие между услугата и потребителите невъзможно. Съществуват два типа DoS атаки: атаки на ниво приложение и атаки на ниво инфраструктура. В последния случай злонамерените лица атакуват директно мрежата и хостовете, на които работи услугата (например, блокират пропускателната способност на мрежата чрез flood трафик). При атаките на ниво приложение целта на извършителя е интерфейсът за взаимодействие с потребителите – за целта изпращат голямо количество запитвания, за да предизвикат срив на приложението. Описаният експеримент се отнася до атаки на ниво инфраструктура.

Пр proxies мрежи – инструмент за минимизиране на вредата от DoS атаки. При използване на прокси, всичките заявки от потребителя към услугата и отговорите на тях се предават не директно, а през междинни сървъри. Както потребителят, така и приложението не се виждат директно, а им се предлагат само адресите на проксито. В резултат, атаката директно към приложението е невъзможна. На границата на мрежата се намират така наречените edge proxy – външни проксита с налични IP адреси, свързването преминава първо през тях.

За успешно противодействие на DoS атака, прокси мрежата трябва да има две ключови възможности. Първо, тази междинна мрежа трябва да играе роля на посредник, тоест достъпът до приложението може да стане единствено през нея. Това изключва възможността за пряка атака на услугата. Второ, прокси мрежата трябва да осигури на потребителите възможност да взаимодействат с приложението, дори по време на атака.

Инфраструктура на експеримента

В хода на изследването бяха използвани четири ключови компонента:

имплементация на прокси мрежата;
уеб сървър Apache;
инструмент за уеб тестване Siege;
инструмент за провеждане на атаки Trinoo.

Симулацията се проведе в среда MicroGrid – тя може да се използва за симулации на мрежи с 20 000 маршрутизатора, което е сравнимо с мрежите на оператори Tier-1.

Типичната мрежа Trinoo се състои от набор от компрометирани хостове, на които е стартиран демон на програмата. Също така има контролен софтуер за управление на мрежата и насочване на DoS атаките. Получавайки списък с IP адреси, демонът Trinoo изпраща UDP пакети към целите в зададеното време.

В хода на експеримента бяха използвани два кластера. Симулаторът MicroGrid работеше в кластер Xeon Linux от 16 възела (сървъри 2.4GHz с 1 гигабайт памет на всяка машина), свързани чрез концентратора Ethernet 1 Gbps. Другите софтуерни компоненти се намираха в кластер от 24 възела (450MHz PII Linux-cthdths с 1 GB памет на всяка машина), обединени от концентратора Ethernet с 100Mbps. Двата кластера бяха свързани с канал от 1Gbps.

Мрежата от прокси е разположена в пул от 1000 хоста. Edge-прокситата са равномерно разпределени из цялото пул от ресурси. Прокситата, използвани за работа с приложението, са разположени на хостове, които са по-близо до инфраструктурата му. Останалите проксита са равномерно разпределени между граничните проксита и прокситата за приложения.

Мрежа за симулация

За изучаване на ефективността на прокситата като инструмент за противодействие на DoS атаки, изследователите измерваха производителността на приложението при различни сценарии на външно въздействие. Общо в прокси мрежата имаше 192 проксита (64 от тях гранични). За извършване на атаката беше създадена мрежа Trinoo, включваща 100 демона. Всеки от демоните имаше канал с 100Mbps. Това съответства на ботнет от 10 хиляди домашни маршрутизатори.

Измерваше се влиянието на DoS атаката върху приложението и прокси мрежата. В експерименталната конфигурация приложението имаше интернет канал с 250Mbps, а всеки граничен прокси – с 100Mbps.

Резултати от експеримента

Според анализа, атаката с 250Mbps значително увеличава времето за отговор на приложението (приблизително десет пъти), в резултат на което неговото използване става невъзможно. Въпреки това, при използването на прокси мрежа, атаката не оказва значително влияние върху производителността и не влошава потребителското изживяване. Това се дължи на факта, че граничните проксита размазват ефекта от атаката, а общият обем ресурси на прокси мрежата е по-висок от този на самото приложение.

Според статистиката, ако мощността на атаката не надвишава 6.0Gbps (при условие, че общата пропускателна способност на каналите на граничните проксита е само 6.4Gbps), то 95% от потребителите не изпитват осезаемо намаление на производителността. В случаите на много мощна атака, надвишаваща 6.4Gbps, дори използването на прокси мрежа няма да може да предотврати деградацията на нивото на услугата за крайните потребители.

В случаи на концентрирани атаки, когато тяхната мощност е концентрирана на случайно избрани гранични проксита. В този случай атаката запълва част от прокси мрежата, поради което значителна част от потребителите ще забележат спад в производителността.

Изводи

Резултатите от експеримента показват, че прокси мрежите могат да подобрят производителността на TCP приложенията и да осигурят обичаен ниво на услуги за потребителите, дори при DoS атаки. Според получените данни, прокси мрежите се оказват ефективен начин за минимизиране на последствията от атаките, като над 90% от потребителите по време на експеримента не усещат намаляване на качеството на услугата. Освен това, изследователите установиха, че с увеличаване на размера на прокси мрежата, мащабът на DoS атаките, които тя може да понесе, нараства почти линейно. Затова колкото по-голяма е мрежата, толкова по-ефективно ще се бори с DoS.