1.4 Обзор атак, направленных на нарушение доступности информации и ресурсов в информационно-телекоммуникационных системах

Атака, направленная на нарушение доступности информации и ресурсов в ИТКС (атака типа «отказ в обслуживании») – атака на ИТКС с целью создания таких условий, при которых легальные пользователи ИТКС не могут получить доступ к обрабатываемой в ИТКС информации и предоставляемым системным ресурсам. Одним из наиболее простых и распространенных способов реализации атаки «отказ в обслуживании» является направление лавинного потока пакетов на атакуемый компонент ИТКС. Обработка такого потока требует использования большей части системных ресурсов, что способно сделать атакованный компонент ИТКС недоступным для пользователей. Другим распространенным подходом для осуществления такой атаки является отправление пакетов, содержащих некорректные значения некоторых полей (например, с указанием ложного обратного адреса), что приводит к отказам компонента ИТКС или его перезагрузке.

Методы передачи информации внутри ИТКС базируются на протоколах уровней сетевой модели OSI. Каждый используемый протокол имеет свои особенности – поддержку QoS, шифрование, аутентификацию, обеспечение целостности, и соответственно область применения. При этом некоторые из сетевых протоколов могут быть использованы при реализации атак «отказ в обслуживании».

Атака SYN-флуд (TCP-флуд) заключается в том, что на атакуемый сервер по протоколу TCP отправляется поток SYN-запросов, который переполняет очередь на подключение. Из-за этого легитимные соединения с сервером невозможно установить, либо они устанавливаются с задержками. Два сервера устанавливают TCP-соединение по правилу «тройного рукопожатия»: сервер А посылает SYN-запрос в серверу B, В отвечает SYN/ACK-запросом, и A отвечает ACK-запросом, после чего соединение считается установленным. Сервер, с которого происходит атака, отправляет SYN-запросы, содержащие поддельные или недоступные обратные адреса, на которые будут отправлены ответы SYN/ACK. В-сервер отвечает SYN/ACK-запросом по этим адресам, а затем ждет ответа ACK. Поскольку SYN/ACK-запрос отправляется на несуществующий или недоступный адрес, то А-сервер никогда не получит ответ, и время ожидания истечет [165]. При таком виде атаки, злоумышленник заполняет буфер памяти атакованного сервера. После заполнения буфера, сервер не может больше обрабатывать новые SYN-запросы. Атака даже может повредить операционную систему сервера.

Атака ICMP-флуд заключается в том, что атакуемый сервер по протоколу ICMP перегружается эхо-запросами (англ. Echo Request) настолько, что тратит все свои ресурсы на отправку эхо-ответов (англ. Echo Reply) и не может больше обрабатывать входящий сетевой трафик. Для защиты от ICMP-флуда можно задать порог количества запросов в секунду, которые будет принимать сервер (пороговое значение по умолчанию составляет 1000 запросов в секунду). Если порог будет превышен, то оставшиеся запросы будут перенесены на обработку в следующую секунду [165].

Реализация атаки UDP-флуд предполагает, что сервер, с которого производится атака, посылает IP-пакеты, содержащие UDP-дейтаграммы, с целью замедления работы атакованного сервера. В итоге, атакованный сервер не может справиться с новыми подключениями.

Датаграмма (англ. Datagram) – блок информации, посланный как пакет сетевого уровня через передающую среду без предварительного установления соединения и создания виртуального канала.

Для защиты от UDP-флуда можно задать порог количества пакетов, принимаемых в секунду сервером (пороговое значение по умолчанию составляет 1000 пакетов в секунду). Как только пороговое значение датаграмм будет превышено, оставшиеся пакеты будут отправлены серверу на обработку в следующую секунду [165].

Аналогичные механизмы деструктивного воздействия используют и другие виды атак «отказ в обслуживании», например [2]:

HTTP-флуд – вид атаки «отказ в обслуживании», при котором на веб-сервер по протоколу HTTP отправляется лавинный поток запросов типа GET и POST с целью перевода предоставляемых им ресурсов в недоступное для пользователей состояние.

MAC-флуд (ARP-флуд) – вид атаки «отказ в обслуживании», направленный на сетевое оборудование, при котором поток ARP-пакетов с поддельными MAC-адресами отправителя переполнит таблицу коммутации сетевого оборудования.

CDP-флуд – вид атаки «отказ в обслуживании», использующий специальный протокол CDP, с помощью которого сетевое оборудование, выпускаемое корпорацией CISCO получает информацию о подключаемых сетевых устройствах.