Immagine:
Gli attacchi DoS rappresentano una delle minacce più rilevanti alla sicurezza informatica nell'attuale internet. Esistono decine di botnet che i criminali affittano per condurre attacchi di questo tipo.
Gli scienziati dell'università di San Diego hanno condotto una ricerca su quanto l'uso di proxy possa aiutare a ridurre l'effetto negativo degli attacchi DoS – presentiamo alla vostra attenzione i punti principali di questo lavoro.
Introduzione: proxy come strumento di difesa contro i DoS
Esperimenti di questo tipo vengono condotti periodicamente da ricercatori di diversi paesi, ma il loro problema comune è la mancanza di risorse per simulare attacchi realistici. I test su piccoli stand non permettono di rispondere alle domande su quanto efficacemente i proxy possano contrastare un attacco in reti complesse, quali parametri giocano un ruolo cruciale nella capacità di minimizzare i danni, e così via.
Per l'esperimento, gli scienziati hanno creato un modello di tipica applicazione web – per esempio, un servizio di e-commerce. Essa funziona attraverso un cluster di server, gli utenti sono distribuiti in diverse località geografiche e accedono al servizio tramite internet. In questo modello, internet funge da mezzo di comunicazione tra il servizio e gli utenti – così operano i servizi web dai motori di ricerca agli strumenti di online banking.
Gli attacchi DoS rendono impossibile una normale interazione tra il servizio e gli utenti. Esistono due tipi di DoS: attacchi a livello applicativo e attacchi a livello infrastrutturale. Nel secondo caso, i criminali attaccano direttamente la rete e gli host su cui opera il servizio (ad esempio, saturano il traffico inondando tutta la larghezza di banda della rete). Nel caso di un attacco a livello applicativo, l'obiettivo del criminale è l'interfaccia di interazione con gli utenti – per questo inviano un'enorme quantità di richieste per raggiungere il collasso dell'applicazione. L'esperimento descritto riguardava attacchi a livello infrastrutturale.
Le reti proxy sono uno degli strumenti per minimizzare i danni da attacchi DoS. Nel caso venga utilizzato un proxy, tutte le richieste dell'utente al servizio e le relative risposte vengono trasmesse non direttamente, ma tramite server intermedi. Sia l'utente che l'applicazione «non vedono» direttamente l'uno l'altro, ma hanno accesso solo agli indirizzi proxy. Di conseguenza, non è possibile attaccare direttamente l'applicazione. Sulla frontiera della rete si trovano i cosiddetti edge proxy – proxy esterni con indirizzi IP accessibili, al quale la connessione avviene inizialmente.
Per contrastare efficacemente un attacco DoS, la rete proxy deve avere due capacità chiave. In primo luogo, tale rete intermedia deve fungere da intermediario, il che significa che si può «raggiungere» l'applicazione solo attraverso essa. Ciò escluderebbe la possibilità di un attacco diretto al servizio. In secondo luogo, la rete proxy deve poter consentire agli utenti di interagire con l'applicazione anche durante l'attacco.
Infrastruttura dell'esperimento
Durante la ricerca sono stati utilizzati quattro componenti chiave:
- implementazione della rete proxy;
- server web Apache;
- strumento per testare il web ;
- strumento per condurre attacchi .
La simulazione è stata condotta nell'ambiente MicroGrid – esso può essere utilizzato per simulare reti con 20.000 router, pari alle reti degli operatori Tier-1.
Una tipica rete Trinoo consiste in un insieme di host compromessi su cui è in esecuzione un demone del programma. Esiste anche un software di controllo per monitorare la rete e dirigere gli attacchi DoS. Dopo aver ricevuto un elenco di indirizzi IP, il demone Trinoo invia pacchetti UDP agli obiettivi a un orario prestabilito.
Durante l'esperimento sono stati utilizzati due cluster. Il simulatore MicroGrid operava in un cluster Xeon Linux costituito da 16 nodi (server 2.4GHz con 1 gigabyte di RAM su ogni macchina), collegati tramite uno switch Ethernet da 1 Gbps. Altri componenti software erano collocati in un cluster di 24 nodi (450MHz PII Linux-cthdths con 1 Gb di RAM su ogni macchina), uniti da uno switch Ethernet da 100 Mbps. I due cluster erano connessi tramite un canale di 1 Gbps.
La rete proxy è distribuita su un pool di 1000 host. I proxy Edge sono uniformemente distribuiti su tutto il pool di risorse. I proxy per l'applicazione sono collocati su host più vicini alla sua infrastruttura. Gli altri proxy sono distribuiti uniformemente tra i proxy di frontiera e i proxy per l'applicazione.
Rete per simulazione
Per studiare l'efficacia dei proxy come strumento di difesa contro un attacco DoS, i ricercatori hanno misurato la produttività dell'applicazione in diversi scenari di impatti esterni. In totale, nella rete dei proxy c'erano 192 proxy (64 dei quali erano di frontiera). Per eseguire l'attacco è stata creata una rete Trinoo, composta da 100 demoni. Ognuno di questi demoni aveva un canale di 100Mbps. Questo corrisponde a un botnet di 10.000 router domestici.
È stata misurata l'influenza dell'attacco DoS sull'applicazione e sulla rete dei proxy. Nella configurazione sperimentale, l'applicazione aveva un canale Internet di 250Mbps, mentre ciascun proxy di frontiera aveva un canale di 100Mbps.
Risultati dell'esperimento
Dall'analisi è emerso che un attacco di 250Mbps aumenta significativamente il tempo di risposta dell'applicazione (circa dieci volte), rendendola quindi inutilizzabile. Tuttavia, utilizzando la rete proxy, l'attacco non influisce significativamente sulle prestazioni e non deteriora l'esperienza utente. Questo accade perché i proxy di frontiera attenuano l'effetto dell'attacco, e la capacità complessiva della rete di proxy è superiore a quella dell'applicazione stessa.
Secondo le statistiche, se la potenza dell'attacco non supera i 6.0Gbps (considerando che la capacità totale dei canali dei proxy di frontiera è di 6.4Gbps), il 95% degli utenti non sperimenta una riduzione significativa delle prestazioni. In caso di un attacco molto potente, superiore a 6.4Gbps, anche l'uso della rete dei proxy non permetterebbe di evitare il deterioramento del livello di servizio per gli utenti finali.
In caso di attacchi concentrati, quando la loro potenza si concentra su un insieme casuale di proxy di frontiera. In questo caso, l'attacco congestiona parte della rete proxy, quindi una parte significativa degli utenti noterà una diminuzione delle prestazioni.
Conclusioni
I risultati dell'esperimento indicano che le reti proxy possono migliorare le prestazioni delle applicazioni TCP e fornire un livello di servizio abituale per gli utenti, anche in caso di attacchi DoS. Secondo i dati ottenuti, le reti proxy si dimostrano un metodo efficace per minimizzare le conseguenze degli attacchi, con oltre il 90% degli utenti durante l'esperimento che non ha percepito alcun calo nella qualità del servizio. Inoltre, i ricercatori hanno scoperto che all'aumentare della dimensione della rete proxy, la portata degli attacchi DoS che essa è in grado di sopportare aumenta praticamente in modo lineare. Pertanto, quanto più grande è la rete, tanto più efficace sarà nella lotta contro i DoS.
Link e materiali utili da :
Fonte: habr.com
