Para hacer un tipo de ataque Distributed Reflection Denial of Service (DrDoS) usando tráfico UDP en el que no necesitamos una gran botnet (pc's infectados), simplemente una lista grande de servidores mal configurados que nos atacarán por la petición maliciosa de una tercera persona.
Un ataque de denegación de servicio distribuido supone el envío de solicitudes falsas (spoofed) a un gran número de equipos que responden a las solicitudes. Falsificando (spoofing) la dirección ip de origen el atacante consigue que respondan y ataquen "involuntariamente" a la víctima.
Un ataque de inundación UDP (Flood UPD) se inicia mediante el envío de un gran número de paquetes UDP a a puertos al azar del sistema de destino. El sistema de destino está además "obligado" a "responder" enviando muchos paquetes ICMP "Destination Unreachable", consumiendo así sus propios recursos y provocando DoS. Como UDP no requiere ningún procedimiento de configuración de la conexión para la transferencia de datos, cualquier persona con conexión a internet y suficientes conocimientos puede lanzar un ataque;
Según un reporte/informe en una encuesta realizada anualmente por la empresa Arbor:
La frecuencia, complejidad y mangnitud de los ataques DDoS va en aumento:
- El uso de la reflexión / amplificación para lanzar ataques masivos: El ataque más grande reportado en 2014 fue 400Gbps, con otros grandes eventos reportados en 300, 200 y 170Gbps con otros seis encuestados que informaron eventos por encima del umbral de 100 Gbps. Tan sólo hace diez años, el mayor ataque registrado fue de 8 Gbps.
- En 2013, poco más de una cuarta parte de los encuestados indicaron que habían visto más de 21 ataques por mes; en 2014, ese porcentaje casi se ha duplicado a 38 por ciento.
Los tres principales motivaciones detrás de los ataques siguen siendo vandalismo nihilismo, juegos en línea y hacktivismo- ideológica todos los cuales han sido entre los tres primeros en los últimos años. El Gaming ha ganado en porcentaje, que no es de extrañar, las campañas de ataque relacionadas con el juego de este año.
El porcentaje de encuestados que utilizan sistemas de mitigación de DDoS inteligentes (IDMS) para mitigar ataques DDoS se ha adelantado a ACL por primera vez este año.
81% de los encuestados vio ataques a nivel de aplicaciones dirigidas a HTTP, y casi el 60 por ciento vio ataques contra HTTPS y DNS.
Más de un tercio de los operadores de centros de datos vio los ataques DDoS que agotaron su ancho de banda de Internet.
Principales Protocolos Usados para el vector ataque
Malas noticias
La proporción de los encuestados de implementar BCP 38/84 anti-spoofing se ha reducido de alrededor de la mitad del año pasado a poco más de un tercio este año. Teniendo en cuenta que la falta de filtros anti-spoofing en el borde de Internet es una de las razones clave por las DDoS reflexión / amplificación ataques son posibles, se esperaba que esta proporción habría aumentado. Esta es una mala noticia.Anatomía de un ataque NTP (Network Time Protocol)
Se calcula que hay más 1 millón de servidores NTP vulnerables (a fecha de Enero de 2014) -Reporte de http://openntpproject.org
¿Dönde está el problema?
1. IP Spoofing
El atacante puede suplantar la ip de origen (Source Address Spoofing), udp no lo valida. No es un problema nada nuevo, ya que hay reportes en CERT desde el año 1997.2. Amplificación (Amplification)
• El atacante hace una pequeña solicitud que genera significativamente una mayor respuesta / respuesta. Se han visto ataques que pueden generar un tráfico de hasta 300gb/sec. Se caclcula que un atacante con una velocidad de subida uplink de 1 Gb/s podría generar varios ataques de varios Tbit/s
3. Reflectores (Reflection)
• El atacante envía peticiones falsificados a un gran número de servidores vulnerables que responden a las peticiones. El uso falsificado de la dirección IP, hace que la dirección "origen" es en realidad el objetivo real del ataque, donde se envían todas las respuestas. Cómo veremos, muchos servicios pueden ser explotados para actuar como reflectores.
UDP Reflection
- DNS Reflection (port 53, udp) open DNS recursive Poder Amplifcación del tráfico 18x/1000x
- CharGen (Character Generator Procotol) port 19. GetBulk request Poder Amplificación grande: 160x
- Echo (puerto 7)
- QOTD: (Quote of the Day) Muy similar a CharGen (puerto 17)
- NTP (Networt Time Protocol) port 123 Poder Amplificación muy grande 1000x
- SNMP (Simple Network Management Protocol) port 161 Poder Amplificación 880x
- SSDP (Simple Service Discovery Protocol) Puerto 1900 udp SSDP Plug & Play (UPnP)
Soluciones - Mitigación - Contramedidas
Los servidores vulnerables deberían ser cerrados o configurados correctamente:- NTP (Networt Time Protocol) no responder al comando, orden "monlist" es vulnerable se pueden filtrar consultas mediante "restrict"
Los paquetes falsos deberían prohibirse en el origen (BCP38) Network Ingress Filtering: Defeating Denial of Service Attacks que emplea "IP Source Address Spoofing"
Implementar (para evitar IP Spoofing)
- BCP38 (RFC2827)
- BCP84 (RFC3704)
La idea es simpple. Dropear (drop, descartar) los paquetes que entran la red (border router) cuya dirección de origen no es la misma que la dirección de red asignada de la red de origen
Implementar filtros ingress/egress filter en el border router del ISP:
Para verificar si en su red se ha implementado el filtrado de entrada, puedes descarga las herramientas de código abierto del proyecto Spoofer:
No hay comentarios:
Publicar un comentario