Bild:
DoS-Angriffe gehören zu den gravierendsten Bedrohungen der Informationssicherheit im heutigen Internet. Es gibt Dutzende von Bot-Netzen, die von Angreifern gemietet werden, um solche Angriffe durchzuführen.
Wissenschaftler der Universität San Diego haben untersucht, inwieweit der Einsatz von Proxys hilft, die negativen Effekte von DoS-Angriffen zu mindern – wir präsentieren Ihnen die wesentlichen Thesen dieser Arbeit.
Einführung: Proxys als Werkzeug im Kampf gegen DoS
Solche Experimente werden regelmäßig von Forschern in verschiedenen Ländern durchgeführt, jedoch besteht ihr gemeinsames Problem in der mangelnden Infrastruktur, um realitätsnahe Angriffe zu simulieren. Tests auf kleinen Testanlagen erlauben es nicht, die Frage zu beantworten, wie effektiv Proxys in komplexen Netzwerken gegen Angriffe sind und welche Parameter entscheidend sind, um den Schaden zu minimieren, usw.
Für das Experiment haben Wissenschaftler ein typisches Webanwendungsmodell erstellt – zum Beispiel einen E-Commerce-Service. Dieser arbeitet mit einem Servercluster, die Benutzer sind über verschiedene geografische Standorte verteilt und nutzen das Internet, um auf den Service zuzugreifen. In diesem Modell dient das Internet als Kommunikationsmittel zwischen dem Service und den Benutzern – so funktionieren Webdienste von Suchmaschinen bis hin zu Online-Banking-Tools.
DoS-Attacken machen eine normale Interaktion zwischen dem Service und den Benutzern unmöglich. Es gibt zwei Arten von DoS-Attacken: solche auf Anwendungsebene und solche auf Infrastrukturebene. Im letzteren Fall zielen Angreifer direkt auf das Netzwerk und die Hosts ab, auf denen der Service läuft (zum Beispiel indem sie die gesamte Netzwerkbandbreite mit Flood-Traffic auslasten). Bei einer Attacke auf Anwendungsebene liegt das Ziel des Angreifers im Benutzerinterface – dazu senden sie eine enorme Anzahl von Anfragen, um den Absturz der Anwendung herbeizuführen. Das beschriebene Experiment bezog sich auf Angriffe auf Infrastrukturebene.
Proxy-Netzwerke sind ein Werkzeug zur Minimierung von Schäden durch DoS-Angriffe. Bei der Nutzung von Proxys werden alle Anfragen vom Benutzer zum Dienst und die Antworten darauf nicht direkt, sondern über Zwischenserver weitergeleitet. Sowohl der Benutzer als auch die Anwendung "sehen" einander nicht direkt; sie haben nur Zugriff auf die Adressen der Proxys. Dadurch ist eine direkte Attacke auf die Anwendung unmöglich. An der Netzwerkgrenze befinden sich sogenannte Edge-Proxys – externe Proxys mit verfügbaren IP-Adressen, zu denen zunächst eine Verbindung hergestellt wird.
Um erfolgreich DoS-Angriffen entgegenzuwirken, muss das Proxy-Netzwerk über zwei wesentliche Funktionen verfügen. Erstens muss dieses Zwischennetzwerk als Vermittler fungieren, das heißt, das Erreichen der Anwendung ist nur über dieses möglich. So wird eine direkte Attacke auf den Dienst ausgeschlossen. Zweitens muss das Proxy-Netzwerk den Benutzern ermöglichen, auch während eines Angriffs weiterhin mit der Anwendung zu interagieren.
Infrastruktur des Experiments
Im Verlauf der Untersuchung wurden vier Schlüsselkomponenten eingesetzt:
- Implementierung des Proxy-Netzwerks;
- Webserver Apache;
- Werkzeug für Web-Tests ;
- Werkzeug für Angriffe .
Die Simulation wurde in der MicroGrid-Umgebung durchgeführt – sie kann für Simulationen von Netzwerken mit bis zu 20.000 Routern verwendet werden, die mit Tier-1-Betreibern vergleichbar sind.
Ein typisches Trinoo-Netzwerk besteht aus einer Gruppe kompromittierter Hosts, auf denen ein Daemon der Software läuft. Es gibt auch eine Kontrollsoftware für die Überwachung des Netzwerks und die Durchführung von DoS-Angriffen. Nachdem eine Liste von IP-Adressen erstellt wurde, sendet der Trinoo-Daemon UDP-Pakete zu festgelegten Zeiten an die Ziele.
Im Rahmen des Experiments wurden zwei Cluster verwendet. Der MicroGrid-Simulator lief in einem Xeon Linux-Cluster mit 16 Nodes (2,4 GHz-Server mit 1 Gigabyte RAM auf jeder Maschine), verbunden über einen 1 Gbps Ethernet-Switch. Andere Softwarekomponenten befanden sich in einem Cluster mit 24 Nodes (450 MHz PII Linux-cthdths mit 1 GB RAM auf jeder Maschine), die über einen 100 Mbps Ethernet-Switch verbunden waren. Die beiden Cluster waren durch einen 1 Gbps-Kanal verbunden.
Das Proxy-Netzwerk ist in einem Pool von 1.000 Hosts untergebracht. Die Edge-Proxys sind gleichmäßig über den Pool von Ressourcen verteilt. Die Proxys für die Anwendungsnutzung sind auf Hosts platziert, die näher an der Infrastruktur des Anwendungsservers liegen. Die anderen Proxys sind gleichmäßig zwischen den Edge-Proxys und den Anwendungs-Proxys verteilt.
Netzwerk zur Simulation
Um die Effektivität der Proxys als Abwehrmaßnahme gegen DoS-Angriffe zu untersuchen, haben Forscher die Produktivität der Anwendung unter verschiedenen Szenarien externer Einflüsse gemessen. Insgesamt gab es im Proxy-Netzwerk 192 Proxys (davon 64 Edge-Proxys). Für den Angriff wurde ein Trinoo-Netzwerk mit 100 Daemons erstellt. Jeder Daemon hatte einen Kanal mit 100 Mbps. Dies entspricht einem Botnet von 10.000 heimischen Routern.
Das Einfluss der DoS-Angriffe auf die Anwendung und das Proxy-Netzwerk wurde gemessen. In der experimentellen Konfiguration hatte die Anwendung einen Internetzugang von 250 Mbps, während jeder Edge-Proxy einen Zugang von 100 Mbps hatte.
Ergebnisse des Experiments
Laut der Analyse führt ein Angriff von 250 Mbps zu einer erheblichen Erhöhung der Reaktionszeit der Anwendung (ungefähr das Zehnfache), sodass eine Nutzung nahezu unmöglich wird. Bei Verwendung eines Proxy-Netzwerks hat der Angriff jedoch keinen signifikanten Einfluss auf die Leistung und beeinträchtigt nicht die Benutzererfahrung. Dies geschieht, weil Grenzproxies den Angriffseffekt verwässern, während die Gesamtressourcenkapazität des Proxy-Netzwerks höher ist als die der Anwendung selbst.
Statistiken zeigen, dass, wenn die Angriffsstärke 6,0 Gbps nicht übersteigt (wobei die gesamte Bandbreite der Grenzproxies lediglich 6,4 Gbps beträgt), 95 % der Benutzer keinen spürbaren Leistungsverlust erleben. Bei einem sehr starken Angriff, der 6,4 Gbps übersteigt, würde selbst die Nutzung eines Proxy-Netzwerks nicht verhindern, dass die Dienstleistung für die Endbenutzer beeinträchtigt wird.
Bei konzentrierten Angriffen, bei denen ihre Kraft auf eine zufällige Auswahl von Grenzproxies fokussiert wird, wird ein Teil des Proxy-Netzwerks überlastet, was dazu führt, dass viele Benutzer einen Rückgang der Leistung bemerken.
Fazit
Die Ergebnisse des Experiments zeigen, dass Proxy-Netzwerke die Leistung von TCP-Anwendungen verbessern und ein gewohntes Serviceniveau für die Benutzer gewährleisten können, selbst im Falle von DoS-Angriffen. Laut den gesammelten Daten erweisen sich Proxy-Netze als effektive Methode zur Minimierung der Auswirkungen von Angriffen; über 90 % der Benutzer spürten während des Experiments keine Verschlechterung der Servicequalität. Zudem stellten die Forscher fest, dass mit der Vergrößerung des Proxy-Netzwerks auch die Skalierbarkeit der DoS-Angriffe, die es bewältigen kann, nahezu linear ansteigt. Daher gilt: Je größer das Netzwerk, desto effektiver kann es gegen DoS-Angriffe vorgehen.
Nützliche Links und Materialien von :
Quelle: habr.com
