Глава 2 Атаки типа «сетевой шторм», как угроза информационной безопасности информационно-телекоммуникационных систем
2.1 Понятие атаки типа «сетевой шторм»
Атака типа «сетевой шторм» на компонент ИТКС, состоящий из нескольких элементов – вычислительного и коммутационного оборудования, является сложной комплексной атакой, задачей которой является перевод коммутатора атакуемого компонента ИТКС в состояние концентратора с целью распространения критических объемов легального или вредоносного трафика на элементы ИТКС, подключенные к коммутатору компонента ИТКС. В результате элементам с вычислительными и коммутационными функциями приходится тратить свои ресурсы на обработку такого трафика, что делает их недоступными для остальных пользователей ИТКС.
Атака типа «сетевой шторм» может быть одно- или двухэтапной. В случае высоконагруженных ИТКС достаточно добиться возникновения эффекта «unicast flooding», при котором весь поступающий на коммутатор трафик передается всем подключенным к нему элементам. При этом весь критический объем легального трафика фактически станет вредоносным. Добиться этого можно, реализовав атаку типа «MAC-флуд», атаку на протокол STP или используя уязвимости в маршрутизации внутри ИТКС. Усилить деструктивное воздействие атаки можно, направив на атакованный компонент ИТКС искусственно сгенерированный вредоносный трафик.
2.2 Атаки типа «mac-флуд», как причина возникновения эффекта «unicast flooding»
Для хранения уникальных MAC-адресов устройств, отправленные сетевые кадры которых достигли соответствующего порта, коммутаторы 2 уровня (s) используют специальную системную память (англ. Content Addressable Memory, CAM) [80]. CAM-таблицы фактически содержат записи (rcd) с сопоставлением номера порта коммутатора (p), на который последним пришел кадр от источника, и MAC-адрес источника кадра (c). При этом информация о подобной связи дополняется меткой со временем её установления (t). Процесс заполнения и обновления CAM-таблицы коммутатора также называют «обучением» структуре ИТКС (рис. 2.1).
Рис. 2.1. Граф процесса «обучения»
и штатное состояние CAM-таблицы коммутатора
Размер CAM-таблицы ограничен – одновременно в ней могут содержаться от нескольких тысяч до сотен тысяч записей (Rmax). В случае, если злоумышленник (d) имеет доступ к коммутатору, он может вызвать переполнение CAM-таблицы путем генерирования лавинного потока (m>>Rmax) кадров (frm) с поддельными MAC-адресами, отправки их через атакуемый коммутатор и создания, таким образом, множества несуществующих сетевых устройств (f), что приведет к невозможности для сетевых устройств легальных абонентов ИТКС в штатном режиме взаимодействовать с атакованным коммутатором (рис. 2.2).
Рис. 2.2. Граф процесса атаки типа «MAC-флуд»
и заполнение CAM-таблицы коммутатора
Рис. 2.3. Граф процесса перенаправления одноадресного потока
на все порты коммутатора
Чтобы не нарушать непрерывность информационных процессов в ИТКС, атакованный коммутатор фактически превратится в концентратор и начнет перенаправлять все проходящие через него одноадресные потоки на все порты, за исключением того, на который поток поступил, что может повлечь за собой отказ подключенного к коммутатору оборудования абонентов ИТКС (рис. 2.3).
Весь легальный трафик при этом превратится во вредоносный трафик, критический объем которого вызовет отказ компонента ИТКС, что приведет к нарушению доступности информации и ресурсов в ИТКС.
Рис. 2.4. Граф процесса перенаправления вредоносного трафика
на все порты коммутатора
Если злоумышленник имеет доступ к виртуальному компоненту ИТКС, который относится к атакованному коммутатору, то для усиления последствий эффекта «unicast flooding» и он сам способен генерировать вредоносный трафик (рис. 2.4).