🥇Експеримент: може ли да се намалят негативните последствия от DoS атаки с помощта на прокси

Изображение: Unsplash

DoS атаките представляват една от значителните заплахи за информационната безопасност в съвременния интернет. Съществуват десетки ботнетове, които нападателите отдават под наем за провеждане на подобни атаки.

Учените от университета в Сан Диего проведоха проучване изследване за това, в каква степен използването на прокси помага за намаляване на негативния ефект от DoS атаките – представяме ви основните тези на тази работа.

Въведение: прокси като инструмент за борба с DoS

Подобни експерименти периодично провеждат изследователи от различни страни, но основният проблем е недостатъкът на ресурси за моделиране на атаки, близки до реалността. Тестовете на малки стендове не позволяват да се отговори на въпросите колко успешно прокситата ще противодействат на атаката в сложни мрежи, какви параметри играят ключова роля за минимизиране на щетите и т.н.

За експеримента учените създадоха модел на типично уеб приложение – например, електронен търговски сервиз. То работи с помощта на клъстер от сървъри, а потребителите са разпределени по различни географски локации и използват интернет за достъп до сервиза. В този модел интернетът служи като средство за комуникация между сървиса и потребителите – така работят уеб услугите от търсачките до инструментите за онлайн банкиране.

DoS атаките правят невъзможно нормалното взаимодействие между сървиса и потребителите. Съществуват два типа DoS атаки: атаки на ниво приложение и атаки на ниво инфраструктура. В последния случай нападателите атакуват директно мрежата и хостовете, на които работи сервиза (например, запълвайки целия капацитет на мрежата с flood трафик). В случай на атака на ниво приложение, целта на нападателя е интерфейсът за взаимодействие с потребителите – за това те изпращат огромно количество заявки с цел да предизвикат срив на приложението. Описваният експеримент се отнася до атаки на ниво инфраструктура.

Proxy мрежи – един от инструментите за минимизиране на щетите от DoS атаки. При използване на проксита, всички запитвания от потребителя към услугата и отговорите на тях се предават не директно, а чрез междинни сървъри. Както потребителят, така и приложението„ не виждат” едно друго директно, а имат достъп само до адресите на проксито. В резултат на това е невъзможно да се атакува приложението директно. На границата на мрежата са разположени така наречените edge proxy – външни проксита с достъпни IP адреси, свързването минава първо през тях.

За да се противопостави успешно на DoS атака, прокси мрежата трябва да притежава две ключови възможности. Първо, такава междинна мрежа трябва да играе ролята на посредник, тоест „да се доближи“ до приложението може само чрез нея. Това изключва възможността за директна атака на услугата. Второ, прокси мрежата трябва да има възможност да предостави на потребителите възможността да взаимодействат с приложението, дори по време на атака.

Инфраструктура на експеримента

По време на изследването бяха използвани четири ключови компонента:

имплементация на прокси мрежа;
веб сървър Apache;
инструмент за веб тестване Siege;
инструмент за провеждане на атаки Trinoo.

Симулацията се проведе в среда MicroGrid – тя може да бъде използвана за симулации на мрежи с 20 хиляди маршрутизатора, което е сравнимо с мрежите на оператори Tier-1.

Типична мрежа Trinoo се състои от набор от компрометирани хостове, на които е активиран демон на програмата. Също така има контролен софтуер за контрол на мрежата и насочване на DoS атаките. След като получи списък с IP адреси, демон Trinoo изпраща UDP пакети към целите в определено време.

В хода на експеримента бяха използвани два клъстера. Симулаторът MicroGrid работеше в клъстер Xeon Linux с 16 узла (сървъри 2.4GHz с 1 гигабайт памет на всяка машина), свързани чрез 1 Gbps Ethernet хъб. Другите софтуерни компоненти бяха разположени в клъстер от 24 узла (450MHz PII Linux-cthdths с 1 GB памет на всяка машина), обединени чрез 100Mbps Ethernet хъб. Двата клъстера бяха свързани с канал от 1Gbps.

Прокси мрежата е разположена в пул от 1000 хоста. Edge-прокситата са равномерно разпределени в целия ресурсен пул. Прокситата за работа с приложението са разположени на хостове, които са по-близо до неговата инфраструктура. Останалите проксита са равномерно разпределени между граничните проксита и прокситата за приложение.

Мрежа за симулация

За да се изучи ефективността на прокситата като инструмент за противодействие на DoS атаки, изследователите измерваха производителността на приложението при различни сценарии на външно влияние. В прокси мрежата имаше 192 проксита (от които 64 бяха гранични). За провеждане на атаката беше създадена мрежа Trinoo, включваща 100 демона. Всеки от демоните имаше канал от 100Mbps. Това съответства на ботнет от 10 хиляди домашни рутера.

Измерваше се влиянието на DoS атаката върху приложението и прокси мрежата. В експерименталната конфигурация приложението имаше интернет канал от 250Mbps, а всеки от граничните проксита - 100 Mbps.

Резултати от експеримента

Според резултатите от анализа, атаката на 250Mbps значително увеличава времето за реакция на приложението (приблизително десетократно), в резултат на което е невъзможно да се ползва. Въпреки това, при използване на прокси мрежата, атаката не оказва значително влияние върху производителността и не влошава потребителското изживяване. Това се случва, защото граничните проксита размиват ефекта от атаката, а общият обем ресурси на прокси мрежата е по-висок от самото приложение.

Според статистиката, ако мощността на атаката не надвишава 6.0Gbps (при условие, че общата пропускателна способност на каналите на граничните проксита е само 6.4Gbps), 95% от потребителите не изпитват съществено намаление на производителността. При много мощна атака, надвишаваща 6.4Gbps, дори използването на прокси мрежа не би предотвратило влошаване на нивото на обслужване за крайните потребители.

В случай на концентрирани атаки, когато тяхната мощност се концентрира върху произволен набор от гранични проксита. В този случай атаката запълва част от прокси мрежата, поради което значителна част от потребителите забелязват падане на производителността.

Изводи

Резултатите от експеримента показват, че прокси мрежите могат да подобрят производителността на TCP приложения и да осигурят обичайната услуга за потребителите, дори в случай на DoS атаки. Според получените данни, прокси мрежите се явяват ефективен начин за минимизиране на последствията от атаките; над 90% от потребителите по време на експеримента не са усетили намаление на качеството на услугата. Освен това, изследователите установили, че при увеличаване на размера на прокси мрежата, мащабът на DoS атаките, които тя може да понесе, нараства практически линейно. Затова, колкото по-голяма е мрежата, толкова по-ефективно ще се справя с DoS.