Bild:
DoS-Attacken sind eine der wesentlichen Bedrohungen für die Informationssicherheit im modernen Internet. Es gibt Dutzende von Botnets, die von Kriminellen zur Durchführung solcher Angriffe vermietet werden.
Wissenschaftler der Universität San Diego haben untersucht, inwieweit der Einsatz von Proxys hilft, die negativen Auswirkungen von DoS-Attacken zu verringern – wir präsentieren Ihnen die wichtigsten Thesen dieser Arbeit.
Einführung: Proxy als Instrument im Kampf gegen DoS
Ähnliche Experimente werden regelmäßig von Forschern aus verschiedenen Ländern durchgeführt, jedoch besteht ihr allgemeines Problem im Mangel an Ressourcen zur Modellierung von Angriffen, die der Realität nahekommen. Tests auf kleinen Ständen ermöglichen keine Antworten auf Fragen dazu, wie erfolgreich Proxys in komplexen Netzwerken gegen Angriffe vorgehen können, welche Parameter eine Schlüsselrolle bei der Minimierung von Schäden spielen usw.
Für das Experiment haben die Wissenschaftler ein Modell einer typischen Webanwendung erstellt – beispielsweise eines E-Commerce-Dienstes. Dieser funktioniert mithilfe eines Serverclusters, wobei die Benutzer über verschiedene geografische Standorte verteilt sind und das Internet für den Zugriff auf den Dienst nutzen. In diesem Modell dient das Internet als Kommunikationsmittel zwischen dem Dienst und den Benutzern – so funktionieren Webdienste von Suchmaschinen bis hin zu Online-Banking-Tools.
DoS-Attacken machen eine normale Interaktion zwischen Dienst und Benutzern unmöglich. Es gibt zwei Arten von DoS: Angriffe auf Anwendungsebene und auf Infrastrukturebene. Im letzteren Fall greifen die Angreifer direkt das Netzwerk und die Hosts an, auf denen der Dienst läuft (z. B. überfluten sie die gesamte Bandbreite des Netzwerks mit Flood-Traffic). Bei einem Angriff auf Anwendungsebene ist das Ziel des Angreifers die Benutzeroberfläche – hierzu senden sie eine enorme Menge an Anfragen, um einen Absturz der Anwendung zu provozieren. Das beschriebene Experiment betraf Angriffe auf Infrastrukturebene.
Proxy-Netzwerke sind ein Werkzeug zur Minimierung von Schäden durch DoS-Angriffe. Bei der Verwendung von Proxys werden alle Anfragen vom Benutzer an den Dienst und die darauf gegebenen Antworten nicht direkt, sondern über Zwischenserver übertragen. Weder der Benutzer noch die Anwendung "sehen" einander direkt; ihnen sind nur die Adressen der Proxys zugänglich. Dadurch wird ein direkter Angriff auf die Anwendung unmöglich. An der Netzwerkgrenze befinden sich sogenannte Edge-Proxys – externe Proxys mit verfügbaren IP-Adressen, zu denen die Verbindung zunächst hergestellt wird.
Um erfolgreich gegen DoS-Angriffe vorzugehen, muss das Proxy-Netzwerk über zwei Schlüsselmerkmale verfügen. Erstens sollte ein solches Zwischennetz als Vermittler fungieren, d. h. das Erreichen der Anwendung ist nur über dieses möglich. Dies schließt die Möglichkeit eines direkten Angriffs auf den Dienst aus. Zweitens muss das Proxy-Netzwerk die Möglichkeit bieten, dass Benutzer auch während eines Angriffs weiterhin mit der Anwendung interagieren können.
Infrastruktur des Experiments
Im Rahmen der Untersuchung wurden vier Schlüsselfunktionen verwendet:
- Implementierung des Proxy-Netzwerks;
- Webserver Apache;
- Werkzeug für Web-Tests ;
- Werkzeug zur Durchführung von Angriffen .
Die Simulation fand in einer MicroGrid-Umgebung statt – diese kann für Simulationen von Netzwerken mit 20.000 Routern verwendet werden, was mit Tier-1-Betreiber-Netzwerken vergleichbar ist.
Ein typisches Trinoo-Netzwerk besteht aus einer Sammlung kompromittierter Hosts, auf denen ein Programm-Dämon läuft. Es gibt auch Software zur Überwachung des Netzwerks und zur Durchführung von DoS-Angriffen. Nachdem eine Liste von IP-Adressen erhalten wurde, sendet der Trinoo-Dämon UDP-Pakete an die Ziele zu festgelegten Zeiten.
Im Experiment wurden zwei Cluster verwendet. Der MicroGrid-Simulator arbeitete in einem Xeon-Linux-Cluster mit 16 Knoten (Server mit 2,4 GHz und 1 GB RAM pro Maschine), die über einen 1 Gbps Ethernet-Switch verbunden waren. Andere Softwarekomponenten befanden sich in einem Cluster mit 24 Knoten (450 MHz PII Linux-cthdths mit 1 GB RAM pro Maschine), die über einen 100 Mbps Ethernet-Switch verbunden waren. Die beiden Cluster waren über einen 1 Gbps Kanal verbunden.
Das Proxy-Netzwerk ist in einem Pool von 1000 Hosts untergebracht. Edge-Proxys sind gleichmäßig über den gesamten Ressourcenpool verteilt. Die Proxys für die Arbeit mit der Anwendung sind auf Hosts platziert, die näher an ihrer Infrastruktur liegen. Die anderen Proxys sind gleichmäßig zwischen den Edge-Proxys und den Proxys für die Anwendung verteilt.
Netzwerk zur Simulation
Zur Untersuchung der Wirksamkeit von Proxys als Instrument zur Bekämpfung von DoS-Attacken haben die Forscher die Produktivität der Anwendung bei verschiedenen Szenarien externer Einflüsse gemessen. Insgesamt gab es im Proxy-Netzwerk 192 Proxys (64 davon waren Edge-Proxys). Für die Durchführung des Angriffs wurde ein Trinoo-Netzwerk mit 100 Daemons erstellt. Jeder dieser Daemons hatte eine Bandbreite von 100 Mbps. Das entspricht einem Botnet aus 10.000 Heimroutern.
Der Einfluss der DoS-Attacke auf die Anwendung und das Proxy-Netzwerk wurde gemessen. In der experimentellen Konfiguration hatte die Anwendung eine Internetverbindung mit 250 Mbps, während jeder Edge-Proxy über 100 Mbps verfügte.
Ergebnisse des Experiments
Laut den Analyseergebnissen führte ein Angriff von 250 Mbps zu einer erheblichen Erhöhung der Reaktionszeit der Anwendung (ungefähr um das Zehnfache), was es unmöglich machte, sie zu nutzen. Bei Verwendung des Proxy-Netzwerks hat der Angriff hingegen keinen signifikanten Einfluss auf die Leistung und beeinträchtigt nicht das Benutzererlebnis. Dies geschieht, weil die Edge-Proxys den Effekt des Angriffs abschwächen und die Gesamtkapazität des Proxy-Netzwerks höher ist als die der Anwendung selbst.
Statistisch gesehen, wenn die Angriffsleistung 6.0 Gbps nicht überschreitet (während die gesamte Bandbreite der Kanäle der Edge-Proxys nur 6.4 Gbps beträgt), haben 95 % der Benutzer keine spürbaren Leistungseinbußen. Bei einem sehr starken Angriff, der 6.4 Gbps überschreitet, würde selbst die Verwendung des Proxy-Netzwerks nicht verhindern, dass der Service-Level für die Endbenutzer abnimmt.
Bei konzentrierten Angriffen, wenn ihre Leistung auf einer zufälligen Auswahl von Edge-Proxys konzentriert ist. In diesem Fall blockiert der Angriff einen Teil des Proxy-Netzwerks, sodass ein erheblicher Teil der Benutzer einen Rückgang der Leistung feststellen wird.
Das DBMS Tarantool ist ein attraktives, zukunftsträchtiges Produkt zur Erstellung von hochbelasteten Anwendungen.
Die Ergebnisse des Experiments zeigen, dass Proxy-Netzwerke die Leistung von TCP-Anwendungen verbessern und ein gewohntes Serviceniveau für Benutzer bieten können, selbst bei DoS-Attacken. Laut den gewonnenen Daten erweisen sich Proxy-Netze als effektive Möglichkeit, die Folgen von Angriffen zu minimieren, wobei über 90 % der Benutzer während des Experiments keine Verschlechterung der Servicequalität wahrnahmen. Darüber hinaus fanden die Forscher heraus, dass mit zunehmender Größe des Proxy-Netzwerks das Ausmaß der DoS-Attacken, die es abwehren kann, nahezu linear ansteigt. Daher gilt: Je größer das Netzwerk, desto effektiver kann es gegen DoS-Angriffe vorgehen.
Nützliche Links und Materialien von :
Quelle: habr.com
