🥇Kísérlet: csökkenthetők-e a DoS-támadások negatív következményei proxyk segítségével

Kép: Unsplash

A DoS attack is one of the major threats to information security in today's internet. There are dozens of botnets that malicious actors rent out to conduct such attacks.

Researchers from the University of San Diego conducted kutatás a study on how using proxies helps mitigate the negative effects of DoS attacks – we present to your attention the main theses of this work.

Introduction: Proxies as a Tool Against DoS

Such experiments are periodically conducted by researchers from various countries, but their common problem lies in the lack of resources to model attacks closely resembling real-life scenarios. Tests on small setups do not allow for answers to questions about how effectively proxies can resist attacks in complex networks, what parameters play a crucial role in minimizing damage, etc.

For the experiment, the scientists created a model of a typical web application – for example, an e-commerce service. It operates using a cluster of servers, users are distributed across different geographical locations, and they access the service via the internet. In this model, the internet serves as the means of communication between the service and the users – this is how web services from search engines to online banking tools work.

DoS attacks make normal interaction between the service and users impossible. There are two types of DoS: application layer attacks and infrastructure layer attacks. In the latter case, attackers directly target the network and hosts on which the service operates (for instance, flooding the network's bandwidth with traffic). In the case of an application layer attack, the attacker's goal is the interface that users interact with – they send a massive number of requests to cause the application to crash. The described experiment focused on infrastructure layer attacks.

A proxy network is one of the tools to minimize the damage from DoS attacks. When using a proxy, all requests from the user to the service and the responses are transmitted not directly, but through intermediary servers. Both the user and the application do not 'see' each other directly; they only have access to the proxy addresses. As a result, it is impossible to attack the application directly. Edge proxies – external proxies with accessible IP addresses, are located at the network boundary, and connections first go through them.

To successfully counter a DoS attack, the proxy network must have two key capabilities. Firstly, such an intermediary network must act as a mediator, meaning it is only possible to 'reach' the application through it. This will eliminate the possibility of a direct attack on the service. Secondly, the proxy network should be able to provide users with the ability to continue interacting with the application even during an attack.

The experiment infrastructure.

The study used four key components:

implementation of the proxy network;
web server Apache;
web testing tool Siege;
attack tool Trinoo.

The simulation was conducted in a MicroGrid environment, which can be used for simulating networks with 20,000 routers, comparable to Tier-1 operator networks.

A typical Trinoo network consists of a set of compromised hosts running the program's daemon. There is also controlling software for monitoring the network and directing DoS attacks. After obtaining a list of IP addresses, the Trinoo daemon sends UDP packets to the targets at the specified time.

The experiment used two clusters. The MicroGrid simulator operated in a Xeon Linux cluster of 16 nodes (servers with 2.4GHz and 1GB of memory on each machine), connected via a 1 Gbps Ethernet hub. Other software components were located in a cluster of 24 nodes (450MHz PII Linux-cthdths with 1GB of memory on each machine), connected by a 100Mbps Ethernet hub. The two clusters were connected via a 1Gbps channel.

A proxy network is hosted in a pool of 1000 hosts. Edge proxies are evenly distributed across the resource pool. Proxies for application work are located on hosts that are closer to its infrastructure. The remaining proxies are evenly distributed between edge proxies and application proxies.

Simulációs hálózat

A proxy hatékonyságának vizsgálatára a DoS támadás ellen, a kutatók mérték az alkalmazás teljesítményét különböző külső behatások mellett. A proxyhálózatban összesen 192 proxy volt (64 ebből határoló). A támadás végrehajtásához létrehoztak egy Trinoo nevezetű hálózatot, amely 100 démonból állt. Mindegyik démon 100Mbps csatornával rendelkezett. Ez megfelel egy 10 ezer otthoni routerből álló botnetnek.

A DoS támadás hatását mérték az alkalmazásra és a proxyhálózatra. Az kísérleti konfigurációban az alkalmazás internetkapacitása 250Mbps, míg minden határoló proxyé 100 Mbps volt.

A kísérlet eredményei

Az elemzés eredményei alapján a 250Mbps sebességű támadás jelentősen megnöveli az alkalmazás válaszidejét (kb. tízszer), aminek következtében használata lehetetlenné válik. Azonban a proxyhálózat használatával a támadás nem gyakorol jelentős hatást a teljesítményre, és nem rontja a felhasználói élményt. Ez azért történik, mert a határoló proxyk elmosják a támadás hatását, és a proxyhálózat összes erőforrása magasabb, mint magának az alkalmazásnak.

Statisztikák szerint, ha a támadás teljesítménye nem haladja meg a 6.0Gbps-t (figyelembe véve, hogy a határoló proxyk csatornáinak összes sávszélessége mindössze 6.4Gbps), akkor a felhasználók 95%-a nem tapasztal érzékelhető teljesítménycsökkenést. Ugyanakkor egy nagyon erős, 6.4Gbps-t meghaladó támadás esetén még a proxyhálózat használata sem segítene elkerülni a végfelhasználók szintű szolgáltatásdegradációt.

Koncentrált támadások esetén, ahol azok hatalma egy véletlenszerű határoló proxykészletre összpontosul. Ebben az esetben a támadás egy részét leterheli a proxyhálózatnak, ezért a felhasználók jelentős része észlelni fogja a teljesítménycsökkenést.

Következtetések

A kísérlet eredményei azt mutatják, hogy a proxyhálózatok javíthatják a TCP-alkalmazások teljesítményét, és megszokott szintű szolgáltatást nyújthatnak a felhasználóknak, még DoS-támadások esetén is. Az elért adatok szerint a proxyhálózatok hatékony módja a támadások következményeinek minimalizálásának, a kísérlet során a felhasználók több mint 90%-a nem tapasztalt csökkenést a szolgáltatás minőségében. Ezenkívül a kutatók megállapították, hogy a proxyhálózat méretének növekedésével a DoS-támadások mértéke, amelyet el tud viselni, gyakorlatilag lineárisan nő. Így minél nagyobb a hálózat, annál hatékonyabban küzd a DoS ellen.