🥇Eksperiment: kas on võimalik vähendada DoS-rünnakute negatiivseid tagajärgi proxy abil

Pilt: Unsplash

DoS-rünnakud on üks tõsisemaid küberturbeohte tänapäeva internetis. On kümneid botnet'e, mida kurjategijad rendivad selliste rünnakute läbiviimiseks.

San Diegose ülikooli teadlased viisid läbi uurimus uurimus, milles analüüsitakse, kuidas proxy kasutamine aitab vähendada DoS-rünnakute negatiivset mõju — tutvustame teile selle töö põhiteese.

Sissejuhatus: proxy kui vahend DoS-rünnakute vastu võitlemiseks

Sarnaseid eksperimente viivad aeg-ajalt läbi teadlased erinevates riikides, kuid nende üldine probleem seisneb ressursside puuduses rünnakute realistlikuks modelleerimiseks. Väikestes katsepaikades läbi viidud testid ei võimalda vastata küsimustele, kui tõhusalt saavad proxy'd rünnakutele vastu seista keerukates võrkudes ning millised parameetrid mängivad võtmerolli kahju minimeerimisel jne.

Katsed on teadlaste loodud tüüpilise veebirakenduse mudel, näiteks e-kaubanduse teenus. See töötab serverite klastriga, kasutajad on jagatud erinevatesse geograafilistesse asukohtadesse ja kasutavad teenusele juurdepääsuks internetti. Selles mudelis on internet teenuse ja kasutajate vahelise suhtluse vahend – nii töötavad veebiteenused alates otsingumootoritest kuni internetipankade tööriistadeni.

DoS-rünnakud muudavad teenuse ja kasutajate normaalse suhtlemise võimatuks. On kahte tüüpi DoS: rakenduse tasandi rünnakud ja infrastruktuuri tasandi rünnakud. Viimases juhul ründavad küberkurjategijad otse võrku ja hoste, millel teenus töötab (näiteks täidavad nad kogu võrgu läbilaskevõime flood-traffikuga). Rakenduse tasandi rünnaku korral on küberkurjategija eesmärk kasutajate vahelesegamise liides – selleks saadavad nad tohutul hulgal päringuid, et saavutada rakenduse kokkuvarisemine. Kirjeldatud katse puudutas infrastruktuuri tasandi rünnakuid.

Proksiüksused on üks tööriistadest, mis aitavad minimeerida DoS-rünnakute kahju. Prokside kasutamisel edastatakse kõik kasutaja päringud teenusele ja vastused neile mitte otse, vaid läbi vahendavate serverite. Nii kasutaja kui ka rakendus ei 'näe' üksteist otse, neil on ligipääs ainult proksi aadressidele. Lõpuks ei ole rakendust võimalik otse rünnata. Võrgupiiril asuvad nn edge proksid – välised proksid, millel on kergesti ligipääsetavad IP-aadressid, ja ühendus toimub esmalt nendega.

Kuna DoS-rünnakutele tõhusalt vastu seista, peab proksi võrgul olema kaks põhivõimet. Esiteks peab selline vahendav võrk mängima vahendaja rolli, st rakendusele on võimalik 'jõuda' ainult selle kaudu. See välistab võimaluse otse rünnata teenust. Teiseks peab proksi võrk suutma pakkuda kasutajatele võimalust rakendusega endiselt suhelda, isegi rünnaku ajal.

Eksperimendi infrastruktuur

Uuringu käigus kasutati nelja peamist komponenti:

proksi võrgu rakendamine;
veebiserver Apache;
veebitestimise tööriist Siege;
ründamise tööriist Trinoo.

Simulatsioon viidi läbi MicroGrid keskkonnas – seda saab kasutada 20 000 ruuteriga võrkude simuleerimiseks, mis on võrreldav Tier-1 operaatorite võrkudega.

Tüüpiline Trinoo võrk koosneb mitmest kompromiteeritud hostist, millel töötab programmi demon. Samuti on olemas juhtimisprogramm, mis kontrollib võrgustikku ja suunab DoS rünnakud. Pärast IP-aadresside nimekirja saamist saadab Trinoo demon UDP-pakette sihtmärkidele ettenähtud ajal.

Katses kasutati kahte klastrit. MicroGrid simulaator töötas Xeon Linux klastris, mis koosneb 16 sõlmest (2,4 GHz serverid, millel on 1 GB mälu igas masinas), ühendatuna 1 Gbps Etherneti keskuse kaudu. Teised tarkvarakomponendid asusid 24-sõlmelises klastris (450MHz PII Linux-cthdths, 1 GB mälu igas masinas), mis olid ühendatud 100 Mbps Etherneti keskusega. Kaks klastrit olid ühendatud 1 Gbps kanali kaudu.

Proksi võrk on paigutatud 1000 hosti hulka. Serv-proksid on ühtlaselt jaotatud kogu ressursipoolde. Rakendusega töötamiseks mõeldud proksid asuvad hostides, mis on infrastruktuurile lähemal. Ülejäänud proksid on ühtlaselt jaotatud serv-prokside ja rakenduse prokside vahel.

Simulatsioonivõrk

Prokside efektiivsuse uurimiseks DoS-rünnaku vastu on teadlased mõõtnud rakenduse töö produktiivsust erinevates välistes mõjude stsenaariumides. Proksi-võrgus oli kokku 192 proksit (64 neist serv-proksid). Rünnaku läbiviimiseks loodi Trinoo võrk, mis koosnes 100 demonist. Igal demonil oli kanal 100 Mbps. See vastab 10 000 kodurouteri botnetile.

Mõõdeti DoS-rünnaku mõju rakendusele ja proksi-võrgule. Eksperimentaalses konfiguratsioonis oli rakendusel internetiühendus 250 Mbps ja igal serv-proksil 100 Mbps.

Eksperimendi tulemused

Analüüsi tulemused näitasid, et 250 Mbps rünnak suurendab rakenduse reageerimisaega oluliselt (umbes kümme korda), tehes selle kasutamise praktiliselt võimatuks. Kuid proxy-võrgu kasutamisel ei mõjuta rünnak oluliselt jõudlust ja ei halvendada kasutajakogemust. See toimub seetõttu, et serva proxy-d leevendavad rünnaku mõju ja proxy-võrgu kogused on suuremad kui rakendusel endal.

Statistika kohaselt, kui rünnaku võimsus ei ületa 6,0 Gbps (kui serva proxy-de kogusoodustus on vaid 6,4 Gbps), siis 95% kasutajatest ei koge märgatavat jõudluse langust. Samas, kui rünnak ületab 6,4 Gbps, ei suudaks isegi proxy-võrgu kasutamine vältida teenuse kvaliteedi halvenemist lõppkasutajatele.

Keskendatud rünnakute korral, kus nende võimsus koondub juhuslikule rühmale serva proxy-dele, ummistab rünnak osa proxy-võrgust, mistõttu märgatav osa kasutajatest tunneb jõudluse langust.

Järeldused

Eksperimendi tulemused näitavad, et proxy-võrgud võivad parandada TCP-rakenduste jõudlust ja tagada kasutajatele tuttava teenuse taseme isegi DoS-rünnakute korral. Saadud andmete kohaselt osutuvad proxy-võrgud tõhusaks viisiks rünnakute tagajärgede minimaaliseerimiseks – üle 90% katse ajal ei kogenud kasutajad teenuse kvaliteedi langust. Lisaks leidsid teadlased, et proxy-võrgu suuruse kasvuga suureneb peaaegu lineaarselt ka DoS-rünnakute ulatus, mida see suudab taluda. Seetõttu kehtib, et mida suurem on võrk, seda tõhusamalt suudab see DoS-i vastu võidelda.