🥇Eksperiment: kas on võimalik vähendada DoS-rünnakute negatiivseid tagajärgi proxyde abil

Pilt: Unsplash

DoS-rünnakud on kaasaegse interneti üks suuri informatsiooni turvalisuse ohte. On olemas kümneid botnet'e, mida kurjategijad rendivad selliste rünnakute läbiviimiseks.

San Diego ülikooli teadlased viisid läbi uuring uurimus, et uurida, kuivõrd aitavad proxy-d vähendada DoS-rünnakute negatiivset mõju – presentatsioonis on esitatud peamised järeldused sellest tööst.

Sissejuhatus: proxy kui relv DoS-i vastu

Selliseid eksperimente viivad aeg-ajalt läbi teadlased eri riikidest, kuid nende ühiseks probleemiks on ressursside puudus rünnakute modelleerimiseks, mis oleksid reaalsusele lähedased. Väikestes testikeskkondades ei saa vastata küsimustele, kuivõrd hästi suudavad proxy-d rünnaku vastu seista keerulistes võrkudes, millised parameetrid mängivad võtmerolli kahju minimeerimisel jne.

Eksperimendi jaoks lõid teadlased tavalise veebirakenduse mudeli – näiteks e-kaubanduse teenuse. See töötab serverite klastriga, kus kasutajad on jagatud erinevatesse geograafilistesse asukohtadesse ja kasutavad teenusele pääsemiseks internetti. Selles mudelis teenib internet suhtlemisvahendina teenuse ja kasutajate vahel – nii töötavad veebiteenused alates otsingumootoritest kuni online-panganduse tööriistadeni.

DoS-rünnakud teevad teenuse ja kasutajate vahel normaalse suhtluse võimatuks. DoS-rünnakute tüübid jagunevad kaheks: rakenduste taseme rünnakud ja infrastruktuuri taseme rünnakud. Viimasel juhul ründavad kurjategijad otse võrku ja hoste, kus teenus töötab (näiteks täidavad tnod-lahendus riketega üle koormatud võrgu lairiba maht). Rakenduste taseme rünnaku puhul on kurjategija eesmärgiks kasutajate suhtlusliidese ründamine – selleks saadetakse tohutult palju päringute eesmärgiga põhjustada rakenduse langemine. Käesolev katse puudutas infrastruktuuri taseme rünnakuid.

Proxivõrgud on üks tööriist DoS-rünnakute kahjude vähendamiseks. Proxide kasutamisel edastatakse kõik kasutaja päringud teenusele ja nende vastused mitte otse, vaid läbi vahendavate serverite. Nii kasutaja kui ka rakendus ei näe üksteist otse, neile on kergesti kättesaadavad ainult proksiaadressid. Selle tulemusel ei ole rakendust otse rünnata võimalik. Võrgu piiril asuvad nn ääreproksid – välised proksid, millel on kergesti kättesaadavad IP-aadressid, ja ühendus toimub esmalt nende kaudu.

DoS-rünnakule tõhusalt vastu tõrjumiseks peab proxivõrk omama kahte peamist omadust. Esiteks peab see vahendusvõrk toimima vahendajana, st rakendusele on võimalik ligi pääseda ainult selle kaudu. See välistab otsese rünnaku teenusele. Teiseks peab proxivõrk olema suuteline võimaldama kasutajatel jätkuvalt rakendusega suhelda, isegi rünnaku ajal.

Eksperimendi infrastruktuur

Uuringus kasutati nelja peamist komponenti:

proxivõrgu rakendamine;
veebiserver Apache;
veebitesti tööriist Siege.;
rünnakute teostamise tööriist Trinoo..

Simulatsioon viidi läbi MicroGrid keskkonnas – seda saab kasutada võrgu simulatsioonideks, kus on 20 000 marsruuterit, mis on võrreldav Tier-1 operaatorite võrkudega.

Tüüpiline Trinoo võrk koosneb komplektist kompromiteeritud hostidest, millel töötab programmi deemon. Samuti on olemas kontrolli tarkvara võrgu jälgimiseks ja DoS-rünnakute suunamiseks. Saades IP-aadresside loendi, saadab Trinoo deemon määratud ajal sihtkohtadesse UDP-pakke.

Eksperimendi käigus kasutati kahte klastrit. MicroGrid simulaator töötas 16-s sõlmes Xeon Linux klastris (2,4 GHz serverid, millega igal masinal on 1 GB RAM-i), mis on ühendatud 1 Gbps Etherneti keskjaama kaudu. Teised tarkvarakomponendid asusid 24-s sõlmes (450MHz PII Linux-cthdths, millel on 1 GB RAM-i igal masinal), mis on koondatud 100Mbps Etherneti keskjaama. Kaks klastrit olid ühendatud 1 Gbps kanali kaudu.

Proxivõrk on paigutatud 1000 hosti, mida jagatakse. Edge-proksid on ühtlaselt jaotatud kogu ressurspuuli lõikes. Rakenduse jaoks mõeldud proksid on paigutatud hostidele, mis asuvad lähemal selle infrastruktuurile. Ülejäänud proksid on ühtlaselt jaotatud piiri- ja rakenduseprokside vahel.

Simulatsiooni võrk

Prokside efektiivsuse uurimiseks DoS-rünnakute vastastes tööriistades mõõtsid teadlased rakenduse tootlikkust erinevate välistest mõjudest. Kogu proksivõrgus oli 192 proksi (sh 64 piiri). Rünnaku teostamiseks loodi Trinoo võrk, mis koosnes 100 deemonist, kus igal deemonil oli 100 Mbps kanal. See vastab 10 000 kodu ruuteri botnetile.

Mõõdeti DoS-rünnaku mõju rakendusele ja proksivõrgule. Eksperimentaalses konfigureerimises oli rakendusel 250 Mbps interneti kanal ja igal piiri proksil 100 Mbps.

Eksperimendi tulemused

Analüüsi tulemuseks selgus, et 250 Mbps rünnak suurendab rakenduse vastamise aega oluliselt (ligikaudu kümme korda), muutes selle kasutamise peaaegu võimatuks. Kui aga kasutatakse proksivõrku, ei avalda rünnak märkimisväärset mõju jõudlusele ega halvendab kasutajakogemust. See juhtub, kuna piiriproksid hajutavad rünnaku mõju, ja proksivõrgu kogusuurus on suurem kui rakenduse enda.

Statistika kohaselt, kui rünnaku võimsus ei ületa 6.0 Gbps (kui piiriprokside kanalite koguvõimekus on vaid 6.4 Gbps), siis 95% kasutajatest ei tunne märgatavat jõudluse langust. Kuid juhul, kui rünnak ületab 6.4 Gbps, ei suudaks isegi proksivõrgu kasutamine vältida lõppkasutajate teenuse taseme halvenemist.

Kontsentreeritud rünnakute puhul, kui nende jõudlus koondub juhuslikule valikule piiriproksidest. Sellel juhul rünnak tühjendab osa proksivõrgust, mistõttu märgib suur osa kasutajatest jõudluse langust.

Järeldused

Eksperimendi tulemused näitavad, et proxy-võrgud võivad parandada TCP-rakenduste jõudlust ja tagada kasutajatele tuttava teenuse taseme, isegi DoS-rünnakute korral. Saadud andmete kohaselt osutuvad proxy-võrgud tõhusaks meetodiks rünnakute tagajärgede minimeerimiseks, rohkem kui 90% katse ajal osalenud kasutajatest ei tundnud teenuse kvaliteedi langust. Lisaks avastasid teadlased, et proxy-võrgu suuruse suurenemisega suureneb peaaegu lineaarselt ka DoS-rünnakute ulatus, mida ta suudab taluda. Seetõttu, mida suurem on võrk, seda tõhusamalt ta võitleb DoS-iga.