🥇Esperimento: è possibile ridurre gli effetti negativi degli attacchi DoS tramite un proxy

Immagine: Unsplash

Gli attacchi DoS rappresentano una delle minacce maggiori alla sicurezza informatica nell'odierno internet. Esistono decine di botnet che i malintenzionati affittano per eseguire tali attacchi.

I ricercatori dell'università di San Diego hanno condotto uno studio uno studio su come l'uso di proxy aiuti a ridurre l'effetto negativo degli attacchi DoS – presentiamo i punti principali di questo lavoro.

Introduzione: il proxy come strumento per contrastare il DoS

Esperimenti simili vengono condotti periodicamente da ricercatori in diversi paesi, ma il loro problema comune è la mancanza di risorse per modellare attacchi realistici. I test su piccole piattaforme non permettono di rispondere a domande su quanto efficacemente i proxy possano contrastare un attacco in reti complesse, quali parametri siano cruciali per minimizzare il danno, ecc.

Per l'esperimento, gli scienziati hanno creato un modello di un'applicazione web tipica, come un servizio di e-commerce. Funziona grazie a un cluster di server, con gli utenti distribuiti in diverse posizioni geografiche che accedono al servizio tramite internet. In questo modello, internet funge da mezzo di comunicazione tra il servizio e gli utenti – così operano i servizi web, dai motori di ricerca agli strumenti di online banking.

Gli attacchi DoS rendono impossibile una normale interazione tra il servizio e gli utenti. Esistono due tipi di DoS: attacchi a livello applicativo e a livello infrastrutturale. Nel secondo caso, gli aggressori attaccano direttamente la rete e gli host su cui opera il servizio (ad esempio, saturando la banda disponibile con traffico flood). Nel caso di un attacco a livello applicativo, l'obiettivo dell'aggressore è l'interfaccia di interazione con gli utenti, inviando un numero elevato di richieste per causare il crash dell'applicazione. L'esperimento descritto riguardava attacchi a livello infrastrutturale.

Le reti proxy rappresentano uno degli strumenti per ridurre i danni causati dagli attacchi DoS. Utilizzando un proxy, tutte le richieste dall'utente al servizio e le risposte vengono inoltrate non direttamente, ma attraverso server intermedi. Né l'utente né l'applicazione «vedono» direttamente l'uno l'altro, ma solo gli indirizzi proxy. Di conseguenza, non è possibile attaccare direttamente l'applicazione. All'estremità della rete si trovano i cosiddetti edge proxy – proxy esterni con indirizzi IP accessibili, a cui la connessione avviene inizialmente.

Per contrastare con successo un attacco DoS, la rete proxy deve possedere due capacità chiave. In primo luogo, tale rete intermedia deve fungere da intermediario, il che significa che si può accedere all'applicazione solo attraverso di essa. Ciò esclude la possibilità di attacchi diretti al servizio. In secondo luogo, la rete proxy deve essere in grado di consentire agli utenti di continuare a interagire con l'applicazione anche durante l'attacco.

Infrastruttura dell'esperimento

Durante la ricerca sono stati utilizzati quattro componenti chiave:

implementazione della rete proxy;
server web Apache;
strumento per il testing web Siege;
strumento per l'esecuzione di attacchi Trinoo.

La simulazione è stata condotta nell'ambiente MicroGrid, che può essere utilizzato per simulazioni di reti con 20.000 router, comparabile alle reti degli operatori Tier-1.

Una rete tipica di Trinoo è composta da un insieme di host compromessi, su cui è in esecuzione un demone del programma. C'è anche un software di controllo per gestire la rete e dirigere gli attacchi DoS. Dopo aver ottenuto un elenco di indirizzi IP, il demone Trinoo invia pacchetti UDP ai target nel momento prestabilito.

Nell'esperimento sono stati utilizzati due cluster. Il simulatore MicroGrid operava in un cluster Xeon Linux di 16 nodi (server a 2.4GHz con 1 gigabyte di memoria per macchina), connessi tramite uno switch Ethernet da 1 Gbps. Altri componenti software si trovavano in un cluster di 24 nodi (450MHz PII Linux-cthdths con 1 GB di memoria per macchina), uniti da uno switch Ethernet da 100Mbps. I due cluster erano connessi tramite un canale da 1Gbps.

La rete proxy è ospitata in un pool di 1000 host. I proxy Edge sono distribuiti uniformemente in tutto il pool di risorse. I proxy per le applicazioni sono posizionati su host che si trovano più vicini alla loro infrastruttura. Gli altri proxy sono distribuiti uniformemente tra i proxy edge e i proxy per le applicazioni.

Rete di simulazione

Per studiare l'efficacia dei proxy come strumento contro gli attacchi DoS, i ricercatori hanno misurato la produttività dell'applicazione in vari scenari di impatto esterno. In totale, nella rete proxy erano presenti 192 proxy (di cui 64 edge). Per condurre l'attacco è stata creata una rete Trinoo, composta da 100 demoni. Ognuno dei demoni aveva una connessione da 100 Mbps. Questo corrisponde a un botnet di 10.000 router domestici.

È stata misurata l'influenza dell'attacco DoS sull'applicazione e sulla rete proxy. Nella configurazione sperimentale, l'applicazione aveva una connessione internet da 250 Mbps e ogni proxy edge una connessione da 100 Mbps.

Risultati dell'esperimento

Dall'analisi è emerso che un attacco di 250Mbps aumenta significativamente il tempo di risposta dell'applicazione (circa dieci volte), rendendo impossibile l'utilizzo. Tuttavia, con l'uso di una rete proxy, l'attacco non influisce in modo significativo sulle prestazioni e non peggiora l'esperienza dell'utente. Questo accade perché i proxy di frontiera disperdono l'effetto dell'attacco, e la capacità totale delle risorse della rete proxy è superiore a quella dell'applicazione stessa.

Secondo le statistiche, se la potenza dell'attacco non supera i 6.0Gbps (dato che la capacità totale delle linee dei proxy di frontiera è di soli 6.4Gbps), il 95% degli utenti non sperimenta un calo percepibile delle prestazioni. Tuttavia, in caso di un attacco molto potente, superiore a 6.4Gbps, anche l'uso di una rete proxy non permetterebbe di evitare la degradazione del livello di servizio per gli utenti finali.

Nel caso di attacchi concentrati, quando la loro potenza è focalizzata su un insieme casuale di proxy di frontiera. In questo caso, l'attacco congestiona parte della rete proxy, quindi una significativa porzione degli utenti noterà una riduzione delle prestazioni.

Conclusioni

I risultati degli esperimenti mostrano che le reti proxy possono migliorare le prestazioni delle applicazioni TCP e garantire un livello di servizio familiare per gli utenti, anche in caso di attacchi DoS. Secondo i dati ottenuti, le reti proxy si rivelano un modo efficace per minimizzare le conseguenze degli attacchi, con oltre il 90% degli utenti che non ha avvertito diminuzione della qualità del servizio durante l'esperimento. Inoltre, i ricercatori hanno scoperto che aumentando la dimensione della rete proxy, la scala degli attacchi DoS che essa è in grado di sopportare aumenta praticamente in modo lineare. Pertanto, più grande è la rete, più efficace sarà nella lotta contro i DoS.