Експериментирайте: възможно ли е да се намалят отрицателните ефекти от DoS атаките с помощта на прокси

Снимка: Unsplash

DoS атаките са една от най-големите заплахи за информационната сигурност в съвременния интернет. Има десетки ботнети, които нападателите наемат, за да извършват подобни атаки.

Учени от университета в Сан Диего проучване до каква степен използването на проксита помага за намаляване на негативния ефект от DoS атаките - представяме на вашето внимание основните тези на тази работа.

Въведение: Прокси като инструмент за борба с DoS

Подобни експерименти периодично се провеждат от изследователи от различни страни, но техният общ проблем е липсата на ресурси за симулиране на атаки, които са близки до реалността. Тестовете на малки пейки не позволяват да се отговори на въпроси за това колко успешно прокситата ще устоят на атака в сложни мрежи, какви параметри играят ключова роля в способността за минимизиране на щетите и т.н.

За експеримента учените са създали модел на типично уеб приложение – например услуга за електронна търговия. Работи с помощта на клъстер от сървъри, потребителите са разпределени в различни географски местоположения и използват интернет за достъп до услугата. В този модел интернет служи като средство за комуникация между услугата и потребителите - така работят уеб услугите от търсачките до инструментите за онлайн банкиране.

DoS атаките правят невъзможно нормалното взаимодействие между услугата и потребителите. Има два вида DoS: атаки на приложния слой и атаки на инфраструктурния слой. В последния случай нападателите директно атакуват мрежата и хостовете, на които се изпълнява услугата (например, те наводняват цялата честотна лента на мрежата с наводняващ трафик). В случай на атака на ниво приложение, целта на нападателя е интерфейсът за взаимодействие с потребителя - за това те изпращат огромен брой заявки, за да предизвикат срив на приложението. Описаният експеримент засяга атаки на ниво инфраструктура.

Прокси мрежите са един от инструментите за минимизиране на щетите от DoS атаки. В случай на използване на прокси, всички заявки от потребителя към услугата и отговорите към тях не се предават директно, а чрез междинни сървъри. И потребителят, и приложението не се "виждат" директно, достъпни са им само прокси адреси. В резултат на това е невъзможно приложението да се атакува директно. В края на мрежата има така наречените edge proxies - външни проксита с налични IP адреси, връзката минава първо към тях.

За да устои успешно на DoS атака, прокси мрежата трябва да има две ключови възможности. Първо, такава междинна мрежа трябва да играе ролята на посредник, тоест можете да „преминете“ до приложението само чрез нея. Това ще премахне възможността за директна атака срещу услугата. Второ, прокси мрежата трябва да може да позволи на потребителите да все още взаимодействат с приложението, дори по време на атаката.

Експериментална инфраструктура

Проучването използва четири ключови компонента:

• внедряване на прокси мрежа;
• Apache уеб сървър
• инструмент за уеб тестване Обсада;
• инструмент за атака Трину.

Симулацията е извършена в среда MicroGrid - с нея могат да се симулират мрежи с 20 хиляди рутера, което е сравнимо с мрежите на Tier-1 операторите.

Типичната мрежа на Trinoo се състои от набор от компрометирани хостове, изпълняващи демона на програмата. Има и софтуер за наблюдение за контрол на мрежата и директни DoS атаки. Като има списък с IP адреси, демонът Trinoo изпраща UDP пакети до целите в определеното време.

По време на експеримента са използвани два клъстера. Симулаторът на MicroGrid работи на Xeon Linux клъстер от 16 възела (2.4 GHz сървъри с 1 GB памет на машина), свързани чрез 1 Gbps Ethernet хъб. Други софтуерни компоненти бяха разположени в клъстер от 24 възела (450MHz PII Linux-cthdths с 1 GB памет на машина), свързани с 100Mbps Ethernet хъб. Два клъстера бяха свързани чрез 1Gbps канал.

Прокси мрежата се хоства в група от 1000 хоста. Edge прокситата са равномерно разпределени в целия пул от ресурси. Проксита за работа с приложението се намират на хостове, които са по-близо до неговата инфраструктура. Останалите проксита са равномерно разпределени между крайните проксита и прокситата на приложенията.

Мрежа за симулация

За да проучат ефективността на проксито като инструмент за противодействие на DoS атака, изследователите измерват производителността на приложението при различни сценарии на външни влияния. Общо в прокси мрежата имаше 192 проксита (64 от тях бяха гранични). За извършване на атаката е създадена мрежа Trinoo, включваща 100 демона. Всеки от демоните имаше 100Mbps канал. Това съответства на ботнет от 10 XNUMX домашни рутера.

Беше измерено въздействието на DoS атака върху приложението и прокси мрежата. В експерименталната конфигурация приложението имаше интернет канал от 250 Mbps, а всеки граничен прокси имаше 100 Mbps.

Резултати от експеримента

Според резултатите от анализа се оказа, че атака на 250Mbps значително увеличава времето за реакция на приложението (около десет пъти), в резултат на което става невъзможно да се използва. Въпреки това, когато се използва прокси мрежа, атаката няма значително въздействие върху производителността и не влошава потребителското изживяване. Това е така, защото периферните проксита намаляват ефекта от атаката и общите ресурси на прокси мрежата са по-високи от тези на самото приложение.

Според статистиката, ако мощността на атаката не надвишава 6.0Gbps (въпреки факта, че общата честотна лента на граничните прокси канали е само 6.4Gbps), тогава 95% от потребителите не изпитват забележимо влошаване на производителността. В същото време, в случай на много мощна атака, надвишаваща 6.4Gbps, дори използването на прокси мрежа не би позволило да се избегне влошаване на нивото на обслужване за крайните потребители.

В случай на концентрирани атаки, когато силата им е съсредоточена върху случаен набор от периферни проксита. В този случай атаката задръства част от прокси мрежата, така че значителна част от потребителите ще забележат спад в производителността.

Данни

Резултатите от експеримента показват, че прокси мрежите могат да подобрят производителността на TCP приложенията и да осигурят познато ниво на обслужване за потребителите, дори в случай на DoS атаки. Според получените данни мрежовите проксита са ефективен начин за минимизиране на последствията от атаки, повече от 90% от потребителите по време на експеримента не са усетили намаляване на качеството на услугата. В допълнение, изследователите установиха, че с увеличаването на размера на прокси мрежата, мащабът на DoS атаките, които тя може да издържи, нараства почти линейно. Следователно, колкото по-голяма е мрежата, толкова по-ефективно ще се справи с DoS.

Полезни връзки и материали от Инфатика:

• Проучване: Създаване на устойчива на блокове прокси услуга с помощта на теория на игрите
• Историята на борбата срещу цензурата: как работи флаш прокси методът, създаден от учени от MIT и Станфорд
• Как да разберете кога прокситата лъжат: проверка на физическите местоположения на мрежовите проксита с помощта на активния алгоритъм за геолокация
• Как да се прикриете в Интернет: сравняване на сървърни и домашни проксита

Източник: www.habr.com