Atak DDoS

Co to jest atak DDoS?

Atak typu Distributed Denial-of-Service (rozproszona odmowa us?ugi) nie wymaga ?adnych umiej?tno?ci technicznych, a mimo to potrafi niemal natychmiast odci?? osob? od sieci i wykorzystywa? armi? nie?wiadomych u?ytkowników. Co to jest DDoS? W skrócie mówi?c – jest to proste cyberprzest?pstwo.

Led Zeppelin nie wyst?powali razem od 19 lat. Kiedy og?osili, ?e 1 grudnia 2007 roku zagraj? koncert na O2 Arena w Londynie, podekscytowanie si?ga?o zenitu. Do tego stopnia, ?e w celu zakupu biletów online co minut? rejestrowa?o si?… 80 000 fanów rocka! Strona sprzeda?y biletów po prostu nie poradzi?a sobie z takim ruchem. Nie wytrzyma?a i uleg?a awarii.

W?a?nie na tym polega atak DDoS (wymawiany po angielsku jako ?di-dos”). Przeci??a stron? internetow? – lub inny zasób internetowy – tak mocno, ?e ta po prostu nie potrafi przetworzy? tak du?ego ruchu.

Techopedia wyja?nia

Tamta witryna lub us?uga przesz?a w tryb offline. W wyniku takiego ataku firma cierpi na reputacji i zdolno?ci operacyjnej, a je?li jest to strona e-commerce – dodatkowo traci przychody. Utrata zysków mo?e mie? charakter d?ugoterminowy. Je?li klienci – z uwagi na brak dost?pu do serwisu – musz? uda? si? do konkurencji, mog? potem ponownie korzysta? z us?ug konkurencyjnej firmy.

Atak typu DDoS (Distributed Denial-of-Service) jest bez w?tpienia mocno wyniszczaj?cy dla ofiary, a jednocze?nie zadziwiaj?co prosty do przeprowadzenia.

Kto odpowiada za ataki DDoS?

Ataki DDoS przeprowadzaj? z?o?liwe podmioty o ró?nej skali – od sponsorowanych przez państwo grup Advanced Persistent Threat (APT) a? po niedosz?ych hakerów o zerowych umiej?tno?ciach.

Motywy ataków DDoS

1. Takie dzia?ania nie zawsze maj? pod?o?e finansowe, ale pieni?dze s? najcz?stszym powodem.

Typowy atak powoduje wy??czenie strony lub innego serwera czy us?ugi internetowej na pewien czas. Po jego zakończeniu pojawia si? ??danie okupu z gro?b? wznowienia ataku w razie braku zap?aty wskazanej kwoty w kryptowalutach.

2. Innym motywem jest haktywizm wojowników spo?ecznych. Grupy hakerskie, takie jak Anonymous, atakuj? firmy i organizacje, gdy? nie zgadzaj? si? z postaw? przyj?t? lub promowan? przez ofiary.

Atak mo?e mie? pod?o?e polityczne, etyczne lub ekologiczne. Haktywi?ci u?ywaj? DDoS jako cyfrowego odpowiednika studenckiego strajku lub protestu pod siedzib? firmy, któr? atakuj?.

Nie mo?na tego jednak nazwa? studenckimi wyg?upami. Przeprowadzanie ataków DDoS jest nielegalne. Podstaw? prawn? w USA jest ustawa o oszustwach i nadu?yciach komputerowych (Computer Fraud and Abuse Act), która przewiduje kar? do 10 lat pozbawienia wolno?ci i 500 tysi?cy dolarów grzywny.

W Wielkiej Brytanii stosuj? si? natomiast przepisy ustawy o nadu?yciach komputerowych (Computer Misuse Act), która nie zawiera oficjalnych wytycznych w zakresie wyroków, co pozostawia s?dziemu mo?liwo?? wymierzenia kary wed?ug w?asnego uznania

3. Motywem bywa równie? zemsta. Niezadowolony obecny lub by?y pracownik, a nawet rozczarowana osoba, która nie przesz?a rozmowy kwalifikacyjnej i nigdy nie pracowa?a w zak?adzie, mo?e ?atwo przeprowadzi? atak DDoS na firm?, do której ma ?al.

Zemsta by?a motywem powa?nych i d?ugotrwa?ych ataków DDoS na gigantów amerykańskiego sektora finansowego, takich jak US Bancorp, Bank of America, Wells Fargo i innych. Rozpocz??y si? one we wrze?niu 2012 roku i trwa?y z przerwami przez dwa tygodnie. Niektóre firmy musia?y nawet przej?? na kilka dni w tryb offline.

Do ataku przyzna?a si? nieznana dot?d grupa haktywistów o nazwie Izz ad-Din al-Qassam Cyber Fighters, czyli ?Miecz Sprawiedliwo?ci”. Badacze cybernetyczni przypisali ataki sponsorowanej przez Iran grupie APT. Wszystko wskazuje na to, ?e motywem by?a zemsta za s?ynny cyberatak Stuxnet na o?rodek wzbogacania uranu w Natanz w Iranie.

Rodzaje ataków DDoS

Podobnie jak ma to miejsce w przypadku z?o?liwego oprogramowania, istnieje wiele podkategorii ataków DDoS (rozproszonej odmowy us?ugi). Dziel? si? one na trzy g?ówne kategorie.

Ataki wolumetryczne

Jest to najcz?stszy typ ataku DDoS. Przeci??a przepustowo?? sieci komputera docelowego poprzez bombardowanie go fikcyjnymi ??daniami danych.

Czasami skupia si? na jednym porcie, a czasami na ka?dym otwartym porcie. Komputer lub urz?dzenie ofiary musi próbowa? poradzi? sobie z tymi pozornie prawdziwymi zapytaniami, które zajmuj? 100% jego przepustowo?ci i mo?liwo?ci przetwarzania. Uzasadnione zapytania nie mog? zosta? obs?u?one, a docelowy komputer, urz?dzenie lub us?uga zasadniczo przechodz? w tryb offline.

Zazwyczaj wiadomo?ciami wysy?anymi do komputera ofiary s? pakiety User Datagram Protocol (UDP) lub Internet Control Message Protocol (ICMP).

Protokó? UDP jest dostosowany do szybkiej transmisji danych, dzi?ki czemu uchodzi za doskona?e narz?dzie dla podmiotów stanowi?cych zagro?enie. Ataki ICMP wysy?aj? za? fa?szywe komunikaty o b??dach lub fa?szywe zapytania o informacje i w ten sposób obci??aj? komputer docelowy, który próbuje obs?u?y? wszystkie fikcyjne ??dania.

Ataki w warstwie aplikacji

Warstwa aplikacji jest najwy?szym poziomem (warstwa 7) modelu Open Systems Interconnection (OSI). Dotyczy oprogramowania, które wchodzi w interakcj? z ruchem sieciowym.

Ataki te zazwyczaj nadu?ywaj? bezpo?redniego ruchu internetowego przy u?yciu protoko?ów takich jak Hypertext Transfer Protocol (HTTP), Secure Hypertext Transfer Protocol (HTTPS), Domain Name System (DNS) lub Simple Mail Transfer Protocol (SMTP).

Wykorzystuj? one t? sam? zasad? zalewania komputera lub urz?dzenia ofiary i d?awienia go fikcyjnymi interakcjami sieciowymi, które uniemo?liwiaj? obs?ug? normalnego ruchu.

Ataki protoko?owe

Atak protoko?owy mo?e wykorzystywa? ogromn? liczb? umy?lnie zniekszta?conych pakietów w celu zmylenia i awarii urz?dzenia docelowego poprzez wyczerpanie wewn?trznych zasobów lub uszkodzenie tabel danych.

Inne ataki protoko?owe stosuj? tzw. trójstronny u?cisk d?oni, który ma miejsce, gdy po??czenie protokó? kontroli transmisji/protokó? internetowy (TCP/IP) jest ??dane, akceptowane i nawi?zywane.

??danie po??czenia rozpoczyna si? od pakietu z flag? SYN z komputera ??daj?cego po??czenia. Odbiorca, w tym przypadku komputer docelowy, odpowiada pakietem SYN+ACK w celu potwierdzenia pakietu SYN.

Klient potwierdza pakiet SYN+ACK poprzez wys?anie pakietu ACK do komputera docelowego. Nast?pnie negocjuj? pr?dko?ci transmisji, protoko?y, rozmiary pakietów itp., a nast?pnie nawi?zuj? po??czenie.

Atak SYN Flood

Atak SYN flood jest atakiem protoko?owym, który dzia?a poprzez wysy?anie zalewu pakietów SYN do maszyny docelowej. Ta odpowiada pakietem SYN+ACK na ka?de z tych zapytań i czeka na ostateczne ACK od wszystkich zdalnych urz?dzeń.

Te jednak nigdy nie s? wysy?ane. Oznacza to, ?e ka?de z tych fa?szywych po??czeń obci??a zasoby sieciowe na maszynie docelowej, dopóki wszystkie nie wygasn?. Oczywi?cie przy zalewie zapytań SYN, które nieustannie przychodz? na komputer docelowy, nie mo?e on te? zaakceptowa? ?adnych prawdziwych ??dań po??czenia.

Odmian? tego typu ataku jest ?low and slow”. Wykorzystuje on stosunkowo niewielk? ilo?? ruchu, wi?c bywa trudniejszy do zidentyfikowania jako bezpo?redni atak.

Polega na wysy?aniu sta?ego strumienia ??dań po??czenia i jak najd?u?szym wstrzymywaniu ka?dego kroku interakcji, ale bez przekroczenia limitu czasu oczekiwania komputera docelowego.

Komputer docelowy nadal wi?c dzia?a, acz bardzo wolno, do tego stopnia, ?e równie dobrze móg?by nie dzia?a? w ogóle. To tak, jakby sta? w kolejce do kasy w sklepie, a ka?da osoba przed tob? celowo robi wszystko jak najwolniej.

Atak ICMP Flood (Ping Flood)

Inn? metod? stanowi wykorzystanie pakietów ??dań ICMP. Nie s? one wysy?ane do komputera ofiary, ale do innych, du?ych sieci.

Pakiety ICMP ??daj? udost?pnienia pakietu wszystkim urz?dzeniom w sieci. Zapytanie jest wi?c replikowane i wysy?ane do ka?dego urz?dzenia sieciowego. Dotyczy ono informacji na temat wszystkich urz?dzeń ka?dym urz?dzeniu, a ??danie zostaje spe?nione.

Jednak pocz?tkowe zapytanie ICMP jest fa?szowane, aby wygl?da?o na wys?ane przez komputer ofiary. Wszystkie odpowiedzi od ka?dego z urz?dzeń sieciowych s? wysy?ane na stron? internetow?, serwer lub inn? us?ug? internetow? ofiary.

Przez jeden pakiet ofiara mo?e zosta? zalana ogromem informacji. Zjawisko okre?la si? mianem amplifikacji. Oczywi?cie sprawca u?ywa znacznej liczby du?ych, niewinnych sieci do bombardowania komputera docelowego.

To tak, jakby zaatakowa? górsk? wiosk? poprzez str?canie ?niegu. Lawina niszczy wiosk?, a sprawca zagro?enia nie ma z ni? ?adnego bezpo?redniego kontaktu.

Zaawansowane ataki DDoS

Zaawansowane ataki DDoS mog? wykorzystywa? mieszank? ataków wolumetrycznych, w warstwie aplikacji i protoko?ów jednocze?nie. Cho? wi?kszo?? ataków DDoS nie jest zaawansowana, potrafi? wyrz?dzi? spore szkody.

Dlaczego ka?dy mo?e przeprowadzi? atak DDoS?

Istnieje wiele pakietów oprogramowania do ataków DDoS, które mo?na ?atwo i bezp?atnie pobra? z Internetu. I to nie z dark webu. Znajduj? si? w zwyk?ej lub ?czystej sieci”.

Wystarczy je pobra?, a nast?pnie post?powa? zgodnie z kilkoma prostymi instrukcjami – i gotowe, stajesz si? przest?pc?. Nie jest do tego wymagana ?adna wiedza informatyczna ani cybernetyczna.

Kod ?ród?owy niektórych programów DDoS mo?na uzyska? z serwisu GitHub. Wystarczy sklonowa? repozytorium, skompilowa? kod ?ród?owy i uruchomi? program.

Do tego potrzeba nieco wi?kszej wiedzy, ale je?li potrafisz post?powa? zgodnie z prost? instrukcj? i posiadasz cho?by niewielkie do?wiadczenie informatyczne, z pewno?ci? sobie poradzisz. Obrazek na górze tego artyku?u jest fragmentem kodu ?ród?owego jednego z takich programów.

Je?li potrafisz wej?? do dark webu, znajdziesz nawet osoby, które wykonaj? atak DDoS. P?acisz im za przeprowadzenie ataku w twoim imieniu. Zazwyczaj osoby te opracowuj? z?o?liwe oprogramowanie i wcze?niej infekuj? jak najwi?cej komputerów (lub innych urz?dzeń sieciowych).

Nast?pnie zainfekowane urz?dzenia – zwane botami – mog? pos?u?y? do generowania du?ego nat??enia ruchu, niezb?dnego do zablokowania danej strony internetowej. W?a?ciciel zainfekowanego urz?dzenia nawet nie wie, ?e przyczynia si? do ataku.

Im wi?cej botów posiada dana osoba, która oferuje DDoS jako us?ug?, tym wi?kszy ruch wygeneruje. Niestety istniej? us?ugi dost?pne ju? za 20 dolarów za godzin?.

Jak chroni? si? przed atakami DDoS?

Najskuteczniejsze metody ochrony przed DDoS opieraj? si? na chmurze. Dostawcy zabezpieczeń przed DDoS utrzymuj? niezwykle szybkie sieci, które mog? dostarcza? wiele terabitów danych na sekund?.

Dzia?a podobnie jak ogromny serwer proxy – ca?y ruch do twojej witryny lub dowolnego innego zasobu sieciowego, który chcesz chroni?, jest wówczas dostarczany przez sie? dostawcy ochrony DDoS.

Je?li staniesz si? ofiar? ataku, ogromny ruch rozdziela si? mi?dzy wiele punktów obecno?ci lub ?centrów przetwarzania danych”.

S? one wystarczaj?co liczne i szybkie, aby w czasie rzeczywistym inteligentnie oddziela? prawdziwy ruch od sfa?szowanego. Prawdziwy ruch jest przepuszczany do witryny lub serwera, a ruch DDoS – odrzucany.

Czasami us?ugi te wspiera firewall aplikacji lub inne formy obrony, które ró?ni? si? w zale?no?ci od dostawcy.

Podsumowanie

Podstawowy atak DDoS sta? si? jedn? z najpopularniejszych form wirtualnej zemsty. Istniej? ku temu dwa powody. Po pierwsze, przeprowadzenie ataku DDoS jest proste. Po drugie, sprawcy my?l?, ?e ich przest?pstw nie da si? wykry?.

Chocia? nie pope?niliby fizycznego przest?pstwa z obawy przed z?apaniem, b??dnie wierz?, ?e w ?wiecie wirtualnym s? chronieni przed wykryciem i kar?. Jednak przest?pstwo pozostaje przest?pstwem i istnieje du?a ró?nica mi?dzy mo?liwo?ci? jego pope?nienia a unikni?cia kary.

Tacy naiwni cyberprzest?pcy s? cz?sto ?apani, i to szybko, ale zwykle daje tylko niewielkie pocieszenie dla ofiary, której strona zosta?a wy??czona i tym samym straci?a przychody, klientów i wiarygodno??.