Атака отказа в обслуживании - Denial-of-service attack

"DoS" перенаправляется сюда. Для семейства компьютерных операционных систем см. ДОС. Информацию о федеральном исполнительном департаменте США см. Государственный департамент США. Для использования в других целях см. DOS (значения).
Схема атаки DDoS Stacheldraht.

В вычисление, а атака отказа в обслуживании (DOS атаки) это кибератака в котором злоумышленник пытается сделать машину или сетевой ресурс недоступными для предполагаемого пользователи временно или на неопределенный срок нарушив Сервисы из хозяин подключен к Интернет. Отказ в обслуживании обычно достигается путем переполнения целевой машины или ресурса избыточными запросами в попытке перегрузить системы и предотвратить выполнение некоторых или всех законных запросов.[1]

В распределенная атака отказа в обслуживании (DDoS-атака), входящий трафик, наводняющий жертву, исходит из множества различных источников. Это фактически делает невозможным остановить атаку, просто заблокировав единственный источник.

DoS- или DDoS-атака аналогична тому, что группа людей заполняет входную дверь магазина, затрудняя вход законным покупателям и тем самым нарушая торговлю.

Преступники, совершающие DoS-атаки, часто нацелены на сайты или сервисы, размещенные на известных сайтах. веб-серверы такие как банки или кредитная карта платежные шлюзы. Месть, шантажировать[2][3][4] и активизм[5] может мотивировать эти атаки.

История

Panix, третий по возрасту интернет-провайдер в мире, стал целью, как считается, первой DoS-атаки. 6 сентября 1996 года компания Panix подверглась SYN флуд атака, в результате которой ее сервисы были отключены на несколько дней, пока производители оборудования, в особенности Cisco, придумали надлежащую защиту.[6]

Еще одна ранняя демонстрация DoS-атаки была сделана Кханом С. Смитом в 1997 году во время DEF CON событие, нарушающее доступ в Интернет к Лас Вегас Стрип больше часа. Выпуск образца кода во время мероприятия привел к онлайн-атаке Спринт, EarthLink, Электронная торговля, и другие крупные корпорации в следующем году.[7]

5 марта 2018 г. неназванный заказчик американского поставщика услуг Arbor Networks стал жертвой крупнейшего в истории DDoS-атак, достигнув пика около 1,7 терабит в секунду.[8] Предыдущий рекорд был установлен несколькими днями ранее, 1 марта 2018 года, когда GitHub подвергся атаке со скоростью 1,35 терабит в секунду.[9] В феврале 2020 г. Веб-сервисы Amazon испытал атаку с пиковой громкостью 2.3 терабит в секунду.[10][11]

Телеграмма Гонконга

Вовремя Протесты против экстрадиции в Гонконге в июне 2019 года приложение для обмена сообщениями Телеграмма подвергся DDoS-атаке с целью помешать протестующим использовать его для координации движений. Основатели Telegram заявили, что эта атака, по всей видимости, была совершена "субъектом государственного масштаба" через IP-адреса, происходящие из Китая.[12]

Википедия вниз

6 и 7 сентября 2019 года Wikipedia была заблокирована DDoS-атакой в ​​Германии и некоторых частях Европы. Пользователи социальных сетей, ожидая восстановления Википедии, создали "хэштег ", #WikipediaDown, на Twitter в попытке привлечь внимание общественности.[13]

Типы

Атаки типа «отказ в обслуживании» характеризуются явной попыткой злоумышленников предотвратить законное использование службы. Есть две основные формы DoS-атак: те, которые вызывают сбой сервисов, и те, которые наводняют сервисы. Распространены самые серьезные атаки.[14]

Распределенный DoS

Распределенная атака типа «отказ в обслуживании» (DDoS) происходит, когда несколько систем наводняют полосу пропускания или ресурсы целевой системы, обычно одного или нескольких веб-серверов.[14] DDoS-атака использует более одного уникального айпи адрес или машины, часто с тысяч хостов, зараженных вредоносным ПО.[15][16] Распределенная атака типа «отказ в обслуживании» обычно включает более 3-5 узлов в разных сетях; меньшее количество узлов может квалифицироваться как DoS-атака, но не DDoS-атака.[17][18]

Несколько машин могут генерировать больше трафика атаки, чем одна машина, несколько атакующих машин сложнее отключить, чем одну атакующую, и что поведение каждой атакующей машины может быть более незаметным, что затрудняет отслеживание и отключение. Поскольку входящий трафик, наводняющий жертву, исходит из разных источников, остановить атаку, просто используя входящая фильтрация. Это также затрудняет различение легитимного пользовательского трафика от трафика атаки, когда он распространяется по нескольким точкам происхождения. В качестве альтернативы или расширения DDoS атаки могут включать подделку IP-адресов отправителей (Подмена IP-адреса ), что еще больше усложняет выявление и устранение атаки. Эти преимущества злоумышленника создают проблемы для защитных механизмов. Например, простая покупка большей входящей полосы пропускания, чем текущий объем атаки, может не помочь, потому что злоумышленник может просто добавить больше атакующих машин.

Масштабы DDoS-атак в последние годы продолжали расти, и к 2016 г. терабит в секунду.[19][20] Некоторые распространенные примеры DDoS-атак: UDP флуд, SYN флуд и Усиление DNS.[21][22]

Атаки на уровне приложений

An DDoS-атака на прикладном уровне (иногда называют DDoS-атака 7 уровня) - это форма DDoS-атаки, при которой злоумышленники нацелены прикладной уровень процессы.[23][17] Атака чрезмерно использует определенные функции или возможности веб-сайта с намерением отключить эти функции или возможности. Эта атака на уровне приложений отличается от атаки всей сети и часто используется против финансовых учреждений, чтобы отвлечь ИТ-персонал и персонал службы безопасности от нарушений безопасности.[24] В 2013 году DDoS-атаки на уровне приложений составляли 20% всех DDoS-атак.[25] Согласно исследованиям Akamai Technologies, с четвертого квартала 2013 года по четвертый квартал 2014 года было «на 51 процент больше атак на уровне приложений» и «на 16 процентов больше» с третьего квартала 2014 года по четвертый квартал 2014 года.[26] В ноябре 2017 г .; Джунад Али, специалист по информатике в Cloudflare отметил, что, хотя атаки на уровне сети по-прежнему имеют высокую мощность, они происходят реже. Али далее отмечает, что, хотя атаки на уровне сети становятся все реже, данные Cloudflare демонстрируют, что атаки на уровне приложений по-прежнему не демонстрируют признаков замедления.[27]

Уровень приложения

В Модель OSI (ISO / IEC 7498-1) - это концептуальная модель, которая характеризует и стандартизирует внутренние функции системы связи путем разделения ее на слои абстракции. Модель является продуктом проекта «Взаимосвязь открытых систем» Международная организация по стандартизации (ISO). Модель группирует похожие коммуникационные функции на один из семи логических уровней. Слой обслуживает слой над ним и слой под ним. Например, уровень, который обеспечивает безошибочную связь по сети, обеспечивает путь связи, необходимый для приложений над ним, в то время как он вызывает следующий более низкий уровень для отправки и получения пакетов, которые проходят по этому пути.

В модели OSI определение ее прикладной уровень имеет более узкую область применения, чем это часто реализуется. Модель OSI определяет прикладной уровень как пользовательский интерфейс. Уровень приложения OSI отвечает за отображение данных и изображений для пользователя в формате, распознаваемом человеком, и за взаимодействие с уровень представления под этим. В реализации часто объединяются уровни приложения и представления.

Способ атаки

DDoS-атака на прикладном уровне выполняется в основном для определенных целевых целей, включая прерывание транзакций и доступ к базам данных. Он требует меньше ресурсов, чем атаки сетевого уровня, но часто сопровождает их.[28] Атака может быть замаскирована под законный трафик, за исключением того, что она нацелена на определенные пакеты приложений или функции. Атака на прикладной уровень может нарушить работу таких служб, как поиск информации или функции поиска на веб-сайте.[25] Злоумышленники очень часто используют готовые приложения и проекты с открытым исходным кодом для проведения атаки.[нужна цитата ]

Продвинутый постоянный DoS

An продвинутый постоянный DoS (APDoS) связан с продвинутая постоянная угроза и требует специализированных Защита от DDoS-атак.[29] Эти приступы могут длиться неделями; самый продолжительный непрерывный период, отмеченный до сих пор, длился 38 дней. В этой атаке использовалось около 50+ петабит (50 000+ терабит) вредоносного трафика.[30]

Злоумышленники в этом сценарии могут тактически переключаться между несколькими целями, чтобы создать диверсию для уклонения от защитных контрмер DDoS, но при этом в конечном итоге сосредоточить основной удар атаки на одной жертве. В этом сценарии злоумышленники, имеющие постоянный доступ к нескольким очень мощным сетевым ресурсам, могут поддерживать длительную кампанию, генерирующую огромные уровни неусиленного трафика DDoS.

Для APDoS-атак характерны:

  • расширенная разведка (перед атакой OSINT и обширное сканирование с ловушкой, созданное для избежания обнаружения в течение длительного времени)
  • тактическое исполнение (атака как первичной, так и вторичной жертвой, но основное внимание уделяется первичной)
  • явная мотивация (рассчитанная конечная игра / цель)
  • большая вычислительная мощность (доступ к значительной мощности компьютера и пропускной способности сети)
  • одновременные многопоточные атаки на уровне OSI (сложные инструменты, работающие на уровнях с 3 по 7)
  • настойчивость в течение продолжительных периодов времени (объединение всего вышеперечисленного в согласованную, хорошо управляемую атаку по ряду целей).[31]

Отказ в обслуживании как услуга

Некоторые поставщики предоставляют так называемые услуги «загрузчика» или «стрессера», которые имеют простой веб-интерфейс и принимают оплату через Интернет. Рекламируемые и продвигаемые как инструменты стресс-тестирования, они могут использоваться для выполнения несанкционированных атак типа «отказ в обслуживании» и позволяют технически неискушенным злоумышленникам получить доступ к сложным инструментам атак.[32] Обычно питается от ботнет, трафик, создаваемый клиентским сервером, может варьироваться от 5 до 50 Гбит / с, что в большинстве случаев может лишить обычного домашнего пользователя доступа в Интернет.[нужна цитата ]

Симптомы

В Группа готовности к компьютерным чрезвычайным ситуациям США (US-CERT) выявил следующие симптомы атаки типа «отказ в обслуживании»:[33]

  • необычно медленный производительность сети (открытие файлов или доступ к веб-сайтам),
  • недоступность определенного веб-сайта, или
  • невозможность доступа к любому веб-сайту.

Техники атаки

Для запуска DoS-атак используется широкий спектр инструментов и техник.

Простейшая DoS-атака основана в первую очередь на грубой силе, наводняющей цель подавляющим потоком пакетов, перенасыщая ее пропускную способность соединения или истощая системные ресурсы цели. Потоки трафика, перегружающие полосу пропускания, зависят от способности злоумышленника генерировать подавляющий поток пакетов. Распространенным способом достижения этого сегодня является распределенный отказ в обслуживании с использованием ботнет.

Инструменты атаки

В таких случаях, как MyDoom и Slowloris инструменты встроены в вредоносное ПО и запускать свои атаки без ведома владельца системы. Stacheldraht является классическим примером инструмента DDoS. Он использует многоуровневую структуру, в которой злоумышленник использует клиентская программа для подключения к обработчикам, которые являются скомпрометированными системами, которые выдают команды зомби-агенты что, в свою очередь, облегчает DDoS-атаку. Агенты скомпрометированы через обработчики злоумышленником с помощью автоматических процедур для использования уязвимостей в программах, которые принимают удаленные соединения, запущенные на целевых удаленных узлах. Каждый обработчик может контролировать до тысячи агентов.[34]

В других случаях машина может стать частью DDoS-атаки с согласия владельца, например, в Операция Расплата организовано группой Анонимный. В Низкоорбитальная ионная пушка обычно использовался таким образом. Вместе с Высокоорбитальная ионная пушка Сегодня доступно большое количество инструментов DDoS, включая платные и бесплатные версии с различными функциями. Для них существует подпольный рынок на форумах, посвященных хакерам, и в каналах IRC.

Атаки на уровне приложений

Атаки на уровне приложений вызывают DoS-атаки. подвиги и может привести к тому, что запущенное на сервере программное обеспечение заполнит дисковое пространство или всю доступную память, или Время процессора. Атаки могут использовать определенные типы пакетов или запросы на соединение для насыщения ограниченных ресурсов, например, занимая максимальное количество открытых соединений или заполняя дисковое пространство жертвы журналами. Злоумышленник с доступом на уровне оболочки к компьютеру жертвы может замедлить его работу до тех пор, пока он не станет непригодным для использования, или выйдет из строя, используя вилка бомба. Другой вид DoS-атаки на уровне приложений - это XDoS (или XML DoS), которым можно управлять с помощью современной сети брандмауэры приложений (WAF).

Другой целью DDoS-атак может быть увеличение затрат для оператора приложения, когда последний использует ресурсы на основе облачные вычисления. В этом случае обычно используемые приложением ресурсы привязаны к необходимому уровню качества обслуживания (QoS) (например, ответы должны быть менее 200 мс), и это правило обычно связано с автоматизированным программным обеспечением (например, Amazon CloudWatch[35]), чтобы получить больше виртуальных ресурсов от поставщика, чтобы соответствовать определенным уровням QoS для увеличенных запросов. Главный стимул таких атак может заключаться в том, чтобы побудить владельца приложения повысить уровни эластичности, чтобы справиться с возросшим трафиком приложений, чтобы вызвать финансовые потери или вынудить их стать менее конкурентоспособными.

А банановая атака это еще один конкретный тип DoS. Он включает перенаправление исходящих сообщений от клиента обратно клиенту, предотвращение доступа извне, а также засыпание клиента отправленными пакетами. А ЗЕМЕЛЬНЫЕ УЧАСТКИ атака этого типа.

Атаки с ухудшением качества обслуживания

Пульсирующие зомби - это скомпрометированные компьютеры, которые запускают периодические и кратковременные наводнения на веб-сайтах-жертвах с целью просто замедлить его, а не разрушить. Этот тип атаки, называемый ухудшение качества обслуживания, может быть труднее обнаружить и может нарушать и препятствовать подключению к веб-сайтам в течение длительных периодов времени, потенциально вызывая больше общих сбоев, чем атака отказа в обслуживании.[36][37] Выявление атак, связанных с ухудшением качества обслуживания, еще больше усложняется тем, что нужно определить, действительно ли сервер подвергается атаке или испытывает более высокие, чем обычно, нагрузки легитимного трафика.[38]

Распределенная DoS-атака

Вредоносное ПО может нести механизмы DDoS-атак; одним из наиболее известных примеров этого был MyDoom. Его механизм DoS сработал в определенную дату и время. Этот тип DDoS-атаки предполагал жесткое кодирование целевого IP-адреса до выпуска вредоносной программы, и для запуска атаки не требовалось никакого дополнительного взаимодействия.

Система также может быть взломана троян, позволяя злоумышленнику загрузить зомби-агент, или троян может содержать один. Злоумышленники также могут проникать в системы, используя автоматизированные инструменты, которые используют уязвимости в программах, которые прослушивают соединения с удаленных узлов. Этот сценарий в первую очередь касается систем, действующих как серверы в сети. Stacheldraht является классическим примером инструмента DDoS. Он использует многоуровневую структуру, в которой злоумышленник использует клиентская программа для подключения к обработчикам, которые представляют собой скомпрометированные системы, которые выдают команды зомби-агенты, что, в свою очередь, облегчает DDoS-атаку. Агенты скомпрометированы злоумышленником через обработчики, используя автоматические процедуры для использования уязвимостей в программах, которые принимают удаленные соединения, запущенные на целевых удаленных узлах. Каждый обработчик может контролировать до тысячи агентов.[34] В некоторых случаях машина может стать частью DDoS-атаки с согласия владельца, например, в Операция Расплата, организованный группой Анонимный. Эти атаки могут использовать различные типы интернет-пакетов, такие как TCP, UDP, ICMP и т. Д.

Эти наборы системных нарушителей известны как ботнеты / корневые серверы. Инструменты DDoS, такие как Stacheldraht по-прежнему использовать классические методы DoS-атак, основанные на Подмена IP и усиление как смурф-атаки и фрагментарные атаки (они также известны как атаки с использованием полосы пропускания). SYN флуд (также известные как атаки ресурсного голодания) также могут быть использованы. Новые инструменты могут использовать DNS-серверы для DoS-атак. В отличие от механизма DDoS MyDoom, ботнеты можно настроить против любого IP-адреса. Сценарий детишек использовать их, чтобы запретить законным пользователям доступность хорошо известных веб-сайтов.[39] Более изощренные злоумышленники используют инструменты DDoS для вымогательство - даже против своих бизнес-соперников.[40]

Простые атаки, такие как SYN-флуд, могут возникать с широким диапазоном исходных IP-адресов, создавая видимость хорошо распределенного DoS. Эти атаки флуда не требуют завершения TCP. трехстороннее рукопожатие и попытаться исчерпать целевую очередь SYN или полосу пропускания сервера. Поскольку исходные IP-адреса могут быть банально подделаны, атака может исходить из ограниченного набора источников или даже может исходить от одного хоста. Улучшения стека, такие как синхронизация файлов cookie может быть эффективным средством предотвращения переполнения очереди SYN, однако полное исчерпание полосы пропускания может потребовать вмешательства.[требуется дальнейшее объяснение ]

Если злоумышленник проводит атаку с одного хоста, это будет классифицировано как DoS-атака. Фактически, любая атака на доступность будет классифицироваться как атака отказа в обслуживании. С другой стороны, если злоумышленник использует несколько систем для одновременного запуска атак на удаленный хост, это будет классифицировано как DDoS-атака.

Сообщается, что есть новые атаки со стороны Интернет вещей (IoT) устройства, которые участвовали в атаках типа "отказ в обслуживании".[41]В одном из известных случаев атака достигла пика со скоростью около 20 000 запросов в секунду, поступающих примерно с 900 камер видеонаблюдения.[42]

Великобритании GCHQ имеет инструменты, созданные для DDoS-атак, с названиями PREDATORS FACE и ROLLING THUNDER.[43]

DDoS вымогательство

В 2015 году популярность DDoS-ботнетов, таких как DD4BC, возросла и нацелена на финансовые учреждения.[44] Кибервымогатели обычно начинают с низкоуровневой атаки и предупреждения о том, что будет проведена более крупная атака, если выкуп не будет уплачен. Биткойн.[45] Эксперты по безопасности рекомендуют целевым веб-сайтам не платить выкуп. Злоумышленники, как правило, прибегают к расширенной схеме вымогательства, когда узнают, что цель готова заплатить.[46]

HTTP-медленная DoS-атака POST

Атака HTTP slow POST, впервые обнаруженная в 2009 году, отправляет полную, законную Заголовок HTTP POST, который включает поле Content-Length, чтобы указать размер тела сообщения. Однако злоумышленник затем переходит к отправке фактического тела сообщения с очень низкой скоростью (например, 1 байт / 110 секунд). Поскольку все сообщение является правильным и полным, целевой сервер будет пытаться подчиниться полю Content-Length в заголовке и ждать передачи всего тела сообщения, что может занять очень много времени. Злоумышленник устанавливает сотни или даже тысячи таких подключений до тех пор, пока все ресурсы для входящих подключений на сервере (жертве) не будут израсходованы, что делает невозможными дальнейшие (в том числе законные) подключения до тех пор, пока все данные не будут отправлены. Примечательно, что в отличие от многих других DDoS- или DDoS-атак, которые пытаются подчинить себе сервер путем перегрузки его сети или ЦП, атака HTTP с медленным POST-запросом нацелена на логичный ресурсов жертвы, что означает, что у жертвы будет достаточно пропускной способности сети и вычислительной мощности для работы.[47] Далее в сочетании с тем, что Apache по умолчанию принимает запросы размером до 2 ГБ, эта атака может быть особенно мощной. HTTP-атаки с медленным POST-протоколом трудно отличить от легитимных соединений, поэтому они могут обойти некоторые системы защиты. OWASP, Открытый исходный код проект безопасности веб-приложений, выпустил инструмент для проверки защищенности серверов от атак этого типа.[48]

Challenge Collapsar (CC) атака

Атака Challenge Collapsar (CC) - это атака, при которой стандартные HTTP-запросы часто отправляются на целевой веб-сервер, при этом Унифицированные идентификаторы ресурсов (URI) требуют сложных длительных алгоритмов или операций с базой данных, чтобы исчерпать ресурсы целевого веб-сервера.[49][50][51]

В 2004 году китайский хакер по прозвищу KiKi изобрел хакерский инструмент для отправки такого рода запросов на атаку межсетевого экрана NSFOCUS под названием «Collapsar», и поэтому этот хакерский инструмент был известен как «Challenge Collapsar» или сокращенно CC. Следовательно, этот вид атаки получил название «CC-атака».[52]

Флуд по протоколу управляющих сообщений Интернета (ICMP)

А смурф атака полагается на неправильно настроенные сетевые устройства, которые позволяют отправлять пакеты на все компьютерные узлы в определенной сети через широковещательный адрес сети, а не конкретной машины. Злоумышленник отправит большое количество IP пакеты с фальшивым адресом отправителя, чтобы выглядеть как адрес жертвы. Большинство устройств в сети по умолчанию ответят на это, отправив ответ на исходный IP-адрес. Если количество машин в сети, которые получают и отвечают на эти пакеты, очень велико, компьютер жертвы будет переполнен трафиком. Это перегружает компьютер жертвы и даже может сделать его непригодным для использования во время такой атаки.[53]

Пинг флуд основан на отправке жертве подавляющего числа пинг пакеты, обычно используя команду "ping" из Unix-подобный хосты (флаг -t на Windows system гораздо менее способны подавить цель, также флаг -l (размер) не позволяет отправлять пакеты размером больше 65500 в Windows). Его очень просто запустить, главное требование - доступ к большему количеству пропускная способность чем жертва.

Пинг смерти основан на отправке жертве неверно сформированного ping-пакета, который приведет к сбою системы в уязвимой системе.

В Черная медсестра Атака является примером атаки, использующей необходимые ICMP-пакеты о недоступности порта назначения.

Ядерная бомба

Nuke - это старомодная атака отказа в обслуживании против компьютерная сеть состоящий из фрагментированных или недействительных по иным причинам ICMP пакеты, отправленные к цели, достигаются с помощью модифицированного пинг утилита для многократной отправки этих поврежденных данных, замедляя тем самым зараженный компьютер до полной остановки.[54]

Конкретным примером ядерной атаки, получившей известность, является WinNuke, который использовал уязвимость в NetBIOS обработчик в Windows 95. Строка внеполосных данных была отправлена ​​на TCP порт 139 машины жертвы, в результате чего он блокируется и отображает Синий экран смерти.[54]

Одноранговые атаки

Основная статья: Direct Connect (протокол) § Direct Connect, используемый для DDoS-атак

Злоумышленники нашли способ использовать ряд ошибок в пиринговый серверы для инициирования DDoS-атак. Наиболее агрессивные эксплойты этих одноранговых DDoS-атак DC ++. В одноранговой сети ботнет отсутствует, и злоумышленнику не нужно общаться с клиентами, которых он разрушает. Вместо этого злоумышленник действует как «хозяин марионеток», инструктируя крупных клиентов. одноранговый обмен файлами концентраторы, чтобы отключиться от их одноранговой сети и вместо этого подключиться к веб-сайту жертвы.[55][56][57]

Постоянные атаки типа "отказ в обслуживании"

Постоянный отказ в обслуживании (PDoS), также известный как флешинг,[58] это атака, которая повреждает систему настолько сильно, что требует замены или переустановки оборудования.[59] В отличие от распределенной атаки типа «отказ в обслуживании», атака PDoS использует недостатки безопасности, которые позволяют удаленно администрировать интерфейсы управления оборудованием жертвы, например маршрутизаторами, принтерами и т. Д. сетевое оборудование. Злоумышленник использует эти уязвимости для замены прошивка с измененным, поврежденным или дефектным образом микропрограммы - процесс, который, если выполняется законно, известен как мигает. Поэтому это "кирпичи "устройство, делая его непригодным для использования по назначению до тех пор, пока его нельзя будет отремонтировать или заменить.

PDoS - это чисто аппаратная атака, которая может быть намного быстрее и требует меньше ресурсов, чем использование ботнета или корневого / виртуального сервера в DDoS-атаке. Из-за этих функций, а также потенциальной и высокой вероятности использования средств защиты на встроенных сетевых устройствах (NEED), этот метод привлек внимание многочисленных хакерских сообществ. BrickerBot вредоносная программа, нацеленная на устройства Интернета вещей, использовала атаки PDoS для отключения своих целей.[60]

PhlashDance - это инструмент, созданный Ричем Смитом (сотрудником лаборатории системной безопасности Hewlett-Packard), который используется для обнаружения и демонстрации уязвимостей PDoS на конференции EUSecWest Applied Security 2008 в Лондоне.[61]

Отраженная / спуфинговая атака

Распределенная атака типа «отказ в обслуживании» может включать отправку поддельных запросов определенного типа на очень большое количество компьютеров, которые будут отвечать на запросы. С помощью Подмена адреса Интернет-протокола, исходный адрес устанавливается на адрес целевой жертвы, что означает, что все ответы будут идти (и наводнять) цель. (Эту отраженную форму атаки иногда называют «DRDOS».[62])

Эхо-запрос ICMP атаки (Смурф атака ) можно рассматривать как одну из форм отраженной атаки, поскольку узлы лавинной рассылки отправляют эхо-запросы на широковещательные адреса неправильно настроенных сетей, тем самым побуждая узлы отправлять пакеты эхо-ответа жертве. Некоторые ранние программы DDoS использовали распределенную форму этой атаки.

Усиление

Атаки с усилением используются для увеличения пропускной способности, отправляемой жертве. Обычно это делается через общедоступные DNS серверы, которые используются для создания перегрузки в целевой системе с помощью трафика ответов DNS. Многие службы могут использоваться в качестве отражателей, некоторые из них сложнее заблокировать, чем другие.[63] US-CERT обнаружил, что разные услуги могут приводить к разным коэффициентам усиления, как указано в таблице ниже:[64]

Атаки на основе UDP
ПротоколКоэффициент усиления полосы пропускания
Memcached50000 (исправлено в версии 1.5.6)[65]
NTP556.9 (исправлено в версии 4.2.7p26)[66]
CharGen358.8
DNSдо 179 [67]
QOTD140.3
Сетевой протокол Quake63.9 (исправлено в версии 71)
BitTorrent4.0 - 54.3 [68] (исправлено в libuTP с 2015 года)
CoAP10 - 50
РУКИ33.5
SSDP30.8
Кад16.3
SNMPv26.3
Steam Протокол5.5
NetBIOS3.8

Атаки с усилением DNS включают новый механизм, который усиливает эффект усиления, используя гораздо больший список DNS-серверов, чем это было ранее. Обычно в этом процессе злоумышленник отправляет запрос на поиск DNS-имени на общедоступный DNS-сервер, подменяя исходный IP-адрес целевой жертвы. Злоумышленник пытается запросить как можно больше информации, тем самым усиливая ответ DNS, отправляемый целевой жертве. Поскольку размер запроса значительно меньше, чем размер ответа, злоумышленник легко может увеличить объем трафика, направленного на цель.[69][70] SNMP и NTP также может использоваться в качестве отражателя при усилении атаки.

Пример усиленной DDoS-атаки через Сетевой протокол времени (NTP) осуществляется с помощью команды под названием monlist, которая отправляет сведения о последних 600 хостах, запросивших время от сервера NTP, обратно запрашивающей стороне.Небольшой запрос к этому серверу времени может быть отправлен с использованием поддельного исходного IP-адреса какой-либо жертвы, что приводит к ответу, в 556,9 раз превышающему размер запроса, отправленного жертве. Это усиливается при использовании ботнетов, которые все отправляют запросы с одним и тем же поддельным IP-источником, что приводит к отправке большого количества данных обратно жертве.

Защититься от атак такого типа очень сложно, поскольку данные ответа поступают с легальных серверов. Эти запросы атаки также отправляются через UDP, для чего не требуется подключение к серверу. Это означает, что исходный IP-адрес не проверяется, когда сервер получает запрос. Чтобы привлечь внимание к этим уязвимостям, были начаты кампании, посвященные поиску векторов усиления, которые привели к тому, что люди исправили свои резолверы или полностью отключили резолверы.

Ботнет Mirai

Эта атака основана на использовании червя для заражения сотен тысяч устройств Интернета вещей в Интернете. Червь распространяется по сетям и системам, получая контроль над плохо защищенными устройствами Интернета вещей, такими как термостаты, часы с поддержкой Wi-Fi и стиральные машины.[71] Когда устройство попадает в рабство, владелец или пользователь обычно не получают никаких указаний. Само устройство IoT не является прямой целью атаки, оно используется как часть более крупной атаки.[72] Эти недавно порабощенные устройства называются рабами или ботами. Как только хакер получает желаемое количество ботов, он дает им указание попытаться связаться с интернет-провайдером. В октябре 2016 года ботнет Mirai атаковал Dyn, который является интернет-провайдером для таких сайтов, как Twitter, Netflix и т. Д.[71] Как только это произошло, все эти веб-сайты были недоступны в течение нескольких часов. Этот тип атаки не наносит физического ущерба, но, безусловно, будет дорогостоящим для любой крупной интернет-компании, подвергшейся атаке.

R-U-Dead-Все же? (РУДИ)

РУДИ Атака нацелена на веб-приложения за счет остановки доступных сеансов на веб-сервере. Так же, как Slowloris, RUDY останавливает сеансы, используя бесконечные передачи POST и отправляя произвольно большое значение заголовка длины содержимого.

SACK Panic

Манипулирование максимальный размер сегмента и выборочное подтверждение (SACK) он может использоваться удаленным узлом, чтобы вызвать отказ в обслуживании посредством целочисленного переполнения в ядре Linux, вызывая даже Паника ядра.[73] Джонатан Луни обнаружил CVE -2019-11477, CVE-2019-11478, CVE-2019-11479 17 июня 2019 г.[74]

Атака землеройки

Атака землеройки - это атака отказа в обслуживании на Протокол управления передачей где злоумышленник использует человек посередине техники. Он использует короткие синхронизированные пакеты трафика для прерывания TCP-соединений по одному и тому же каналу, используя слабость механизма тайм-аута повторной передачи TCP.[75]

Атака медленного чтения

Атака медленного чтения отправляет допустимые запросы уровня приложения, но считывает ответы очень медленно, таким образом пытаясь исчерпать пул соединений сервера. Это достигается за счет объявления очень небольшого числа для размера окна приема TCP и в то же время медленного опустошения буфера приема TCP клиентов, что приводит к очень низкой скорости потока данных.

Сложная распределенная атака отказа в обслуживании с низкой пропускной способностью

Изощренная DDoS-атака с низкой пропускной способностью - это форма DoS, которая использует меньше трафика и увеличивает свою эффективность за счет нацеливания на слабое место в структуре системы жертвы, то есть злоумышленник отправляет в систему трафик, состоящий из сложных запросов.[76] По сути, сложная DDoS-атака дешевле из-за меньшего объема трафика, меньше по размеру, что затрудняет идентификацию, и может нанести вред системам, которые защищены механизмами управления потоком.[76][77]

(S) SYN флуд

Смотрите также: SYN флуд

А SYN флуд происходит, когда хост отправляет поток пакетов TCP / SYN, часто с поддельным адресом отправителя. Каждый из этих пакетов обрабатывается как запрос на соединение, в результате чего сервер создает полуоткрытое соединение, отправив обратно пакет TCP / SYN-ACK (подтверждение) и ожидая ответа от адреса отправителя (ответ на пакет ACK). Однако, поскольку адрес отправителя подделан, ответ никогда не приходит. Эти полуоткрытые соединения насыщают количество доступных соединений, которые может установить сервер, не позволяя ему отвечать на законные запросы до тех пор, пока атака не закончится.[78]

Атаки слезы

Атака слезой предполагает отправку искалеченный IP фрагменты с перекрывающимися, негабаритными полезными нагрузками на целевую машину. Это может привести к сбою различных операционных систем из-за ошибки в их TCP / IP повторная сборка фрагментации код.[79] Windows 3.1x, Windows 95 и Windows NT операционные системы, а также версии Linux до версий 2.0.32 и 2.1.63 уязвимы для этой атаки.

(Хотя в сентябре 2009 г. уязвимость в Виндоус виста называлась "слезоточивой атакой", эта нацеленная SMB2 который является более высоким уровнем, чем TCP-пакеты, используемые teardrop).[80][81]

Одно из полей в IP-заголовке - это поле «смещение фрагмента», указывающее начальную позицию или смещение данных, содержащихся во фрагментированном пакете, относительно данных в исходном пакете. Если сумма смещения и размера одного фрагментированного пакета отличается от суммы следующего фрагментированного пакета, пакеты перекрываются. Когда это происходит, сервер, уязвимый для атак «слезоточивый», не может повторно собрать пакеты, что приводит к отказу в обслуживании.

Отказ в обслуживании телефонии (TDoS)

Голос по IP совершил незаконное происхождение большого количества телефон недорогие голосовые вызовы, которые легко автоматизировать, позволяя искажать происхождение вызовов посредством подмена идентификатора вызывающего абонента.

По данным США Федеральное Бюро Расследований, отказ в обслуживании (TDoS) телефонии появился как часть различных мошеннических схем:

  • Мошенник связывается с банкиром или брокером жертвы, выдавая себя за жертву, чтобы запросить перевод средств. Попытка банкира связаться с жертвой для проверки перевода не удалась, поскольку телефонные линии жертвы были переполнены тысячами поддельных звонков, что делало жертву недоступной.[82]
  • Мошенник обращается к потребителям с поддельным требованием, чтобы получить неоплаченный ссуда до зарплаты за тысячи долларов. Когда потребитель возражает, мошенник в ответ засыпает работодателя жертвы тысячами автоматических звонков. В некоторых случаях отображаемый идентификатор вызывающего абонента подделывается, чтобы выдать себя за полицию или правоохранительные органы.[83]
  • Мошенник связывается с потребителями с поддельным требованием взыскания долга и угрожает отправить полицию; когда жертва отказывается, мошенник наводняет номера местной полиции звонками, на которых подделывается идентификатор вызывающего абонента, чтобы отобразить номер жертвы. Вскоре к месту жительства жертвы прибывает полиция, пытаясь выяснить причину звонков.

Отказ в обслуживании телефонии может существовать даже без Интернет-телефония. в Скандал с глушением телефона на выборах в сенат Нью-Гэмпшира 2002 г., телемаркетологи использовались для наводнения политических оппонентов ложными призывами заглушить телефонные разговоры в день выборов. Широко распространенная публикация числа также может затопить его достаточным количеством звонков, чтобы сделать его непригодным для использования, как это произошло случайно в 1981 году с несколькими + 1-код города -867-5309 подписчиков ежедневно получают сотни ошибочных звонков в ответ на песню 867-5309 / Дженни.

TDoS отличается от других домогательства по телефону (Такие как розыгрыши и непристойные телефонные звонки ) по количеству исходящих звонков; Постоянно занимая линии с повторяющимися автоматическими звонками, жертва не может делать или принимать как обычные, так и экстренные телефонные звонки.

Связанные эксплойты включают СМС флуд нападения и черный факс или передача по факсу.

Атака по истечению срока действия TTL

Для отбрасывания пакета со значением TTL 1 или меньше требуется больше ресурсов маршрутизатора, чем для пересылки пакета с более высоким значением TTL. Когда пакет отбрасывается из-за истечения срока действия TTL, ЦП маршрутизатора должен сгенерировать и отправить Время ICMP превышено отклик. Генерация многих из этих ответов может привести к перегрузке ЦП маршрутизатора.[84]

UPnP атака

Эта атака использует существующую уязвимость в Универсальный Plug and Play (UPnP) для обхода значительного количества существующих методов защиты и наводнения целевой сети и серверов. Атака основана на методе усиления DNS, но механизм атаки - это маршрутизатор UPnP, который пересылает запросы от одного внешнего источника к другому, игнорируя правила поведения UPnP. Использование UPnP-маршрутизатора возвращает данные на неожиданный порт UDP с поддельного IP-адреса, что затрудняет выполнение простых действий по остановке потока трафика. Согласно Imperva По мнению исследователей, наиболее эффективный способ остановить эту атаку - заблокировать маршрутизаторы UPnP для компаний.[85][86]

Техники защиты

Защитные ответы на атаки типа «отказ в обслуживании» обычно включают использование комбинации обнаружения атак, классификации трафика и инструментов реагирования с целью блокировать трафик, который они идентифицируют как незаконный, и разрешать трафик, который они идентифицируют как законный.[87] Список инструментов предотвращения и реагирования представлен ниже:

Аппаратное обеспечение внешнего интерфейса приложения

Аппаратное обеспечение внешнего интерфейса приложений - это интеллектуальное оборудование, размещаемое в сети до того, как трафик достигнет серверов. Его можно использовать в сетях вместе с маршрутизаторами и коммутаторами. Аппаратное обеспечение внешнего интерфейса приложения анализирует пакеты данных по мере их поступления в систему, а затем определяет их как приоритетные, обычные или опасные. Их более 25 управление пропускной способностью продавцы.

Ключевые показатели завершения на уровне приложения

Подходы к DDoS-атакам на облачные приложения могут быть основаны на анализе уровня приложений, который показывает, является ли входящий массовый трафик законным и, таким образом, инициирует решения об эластичности без экономических последствий DDoS-атаки.[88] Эти подходы в основном полагаются на идентифицированный путь значения внутри приложения и отслеживают ход выполнения запросов по этому пути с помощью маркеров, называемых ключевыми индикаторами завершения.[89]

По сути, эти методы представляют собой статистические методы оценки поведения входящих запросов, чтобы определить, происходит ли что-то необычное или ненормальное.

Можно провести аналогию с обычным универмагом, где покупатели в среднем тратят известный процент своего времени на различные виды деятельности, такие как сбор предметов и их изучение, складывание их обратно, наполнение корзины, ожидание оплаты, оплата , и уходя. Эти высокоуровневые действия соответствуют ключевым показателям завершения службы или сайта, и после определения нормального поведения можно определить аномальное поведение. Если толпа покупателей приходила в магазин и проводила все свое время, собирая предметы и кладя их обратно, но никогда не совершала покупок, это можно было бы отметить как необычное поведение.

Универмаг может попытаться приспособиться к периодам высокой активности, в кратчайшие сроки наняв резерв сотрудников. Но если бы он делал это регулярно, если бы толпа начала появляться, но никогда ничего не покупала, это могло бы разрушить магазин дополнительными расходами на персонал. Вскоре магазин определит активность мафии и сократит количество сотрудников, осознавая, что мафия не приносит прибыли и не должна обслуживаться. Хотя это может затруднить обслуживание законных клиентов во время присутствия мафии, это спасает магазин от полного разорения.

В случае эластичных облачных сервисов, где огромная и ненормальная дополнительная рабочая нагрузка может повлечь за собой значительные расходы со стороны поставщика облачных услуг, этот метод можно использовать для уменьшения или даже остановки расширения доступности серверов для защиты от экономических потерь.

Блэкхолинг и синхолинг

С маршрутизация черной дыры, весь трафик на атакованный DNS или IP-адрес отправляется в «черную дыру» (нулевой интерфейс или несуществующий сервер). Чтобы быть более эффективным и не влиять на сетевое соединение, им может управлять провайдер.[90]

А Воронка DNS направляет трафик на действительный IP-адрес, который анализирует трафик и отклоняет плохие пакеты. Синхолинг не эффективен при самых тяжелых приступах.

Профилактика на основе IPS

Системы предотвращения вторжений (IPS) эффективны, если у атак есть связанные с ними сигнатуры. Однако среди атак есть тенденция иметь законный контент, но с плохими намерениями. Системы предотвращения вторжений, которые работают с распознаванием контента, не могут блокировать DoS-атаки на основе поведения.[29]

An ASIC IPS на основе может обнаруживать и блокировать атаки типа «отказ в обслуживании», поскольку они имеют вычислительная мощность и детальность, чтобы анализировать атаки и действовать как автоматический выключатель автоматизированным способом.[29]

А IPS на основе скорости (RBIPS) должен детально анализировать трафик и постоянно отслеживать его структуру и определять наличие аномалий трафика. Он должен пропускать легальный трафик, блокируя трафик DoS-атак.[91]

Защита на основе DDS

Система защиты от DoS-атак (DDS), более сосредоточенная на проблеме, чем IPS, может блокировать DoS-атаки на основе соединения и атаки с легитимным контентом, но с плохим намерением. DDS также может противостоять атакам как по протоколу (например, teardrop и ping of death), так и к атакам на основе скорости (например, ICMP-флуд и SYN-флуд). У DDS есть специально разработанная система, которая может легко выявлять и блокировать атаки типа «отказ в обслуживании» с большей скоростью, чем программное обеспечение, основанное на системе.[92]

Межсетевые экраны

В случае простой атаки брандмауэр можно было бы добавить простое правило, запрещающее весь входящий трафик от злоумышленников на основе протоколов, портов или исходных IP-адресов.

Однако более сложные атаки будет трудно заблокировать с помощью простых правил: например, если есть продолжающаяся атака на порт 80 (веб-служба), невозможно отбросить весь входящий трафик на этом порту, потому что это помешает серверу обслуживает законный трафик.[93] Кроме того, брандмауэры могут находиться слишком глубоко в сетевой иерархии, что отрицательно влияет на маршрутизаторы до того, как трафик попадет на брандмауэр. Кроме того, многие инструменты безопасности по-прежнему не поддерживают IPv6 или могут быть неправильно настроены, поэтому брандмауэры часто могут обходиться во время атак.[94]

Маршрутизаторы

Подобно коммутаторам, маршрутизаторы имеют некоторые ограничения скорости и ACL возможности. Они тоже устанавливаются вручную. Большинство маршрутизаторов могут быть легко поражены DoS-атакой. Cisco IOS имеет дополнительные функции, которые могут уменьшить влияние наводнения.[95]

Переключатели

Большинство переключателей имеют ограничение скорости и ACL возможности. Некоторые переключатели обеспечивают автоматическое и / или общесистемное ограничение скорости, формирование трафика, отложенная привязка (Соединение TCP ), глубокая проверка пакетов и Богонная фильтрация (фильтрация поддельных IP-адресов) для обнаружения и устранения DoS-атак с помощью автоматической фильтрации скорости и переключения при отказе и балансировки WAN Link.[29][нужна цитата ]

Эти схемы будут работать до тех пор, пока с их помощью можно предотвратить DoS-атаки. Например, SYN-лавина может быть предотвращена с помощью отложенного связывания или соединения TCP. Подобным образом DoS на основе контента можно предотвратить с помощью глубокой проверки пакетов. Атаки, исходящие от темные адреса или переход по темным адресам можно предотвратить с помощью фильтрация богонов. Автоматическая фильтрация по скорости может работать, если заданные пороговые значения установлены правильно. Отказоустойчивый Wan-канал будет работать, пока оба канала имеют механизм предотвращения DoS / DDoS-атак.[29][нужна цитата ]

Фильтрация восходящего потока

Весь трафик проходит через «центр очистки» или «центр очистки» с помощью различных методов, таких как прокси, туннели, цифровые кросс-соединения или даже прямые каналы, которые разделяют «плохой» трафик (DDoS, а также другие распространенные интернет-атаки) и отправляет только хороший трафик на сервер. Провайдеру требуется централизованное подключение к Интернету для управления такого рода услугами, если только он не находится в том же помещении, что и «центр очистки» или «центр очистки». DDoS-атаки могут подавить любой тип аппаратного брандмауэра, и прохождение вредоносного трафика через большие и зрелые сети становится все более и более эффективным и экономически устойчивым против DDoS.[96]

Непреднамеренный отказ в обслуживании

Непреднамеренный отказ в обслуживании может произойти, когда в системе оказывается отказано, но не из-за преднамеренной атаки со стороны отдельного лица или группы лиц, а просто из-за внезапного огромного всплеска популярности. Это может произойти, когда чрезвычайно популярный веб-сайт размещает заметную ссылку на второй, менее хорошо подготовленный сайт, например, как часть новости. В результате значительная часть обычных пользователей основного сайта - потенциально сотни тысяч человек - щелкают по этой ссылке в течение нескольких часов, оказывая на целевой веб-сайт такой же эффект, как и DDoS-атака. VIPDoS - это то же самое, но конкретно, когда ссылка была размещена знаменитостью.

Когда Майкл Джексон умер в 2009 году такие сайты, как Google и Twitter, замедлились или даже перестали работать.[97] Серверы многих сайтов считали запросы от вируса или шпионского ПО, пытающегося вызвать атаку типа «отказ в обслуживании», предупреждая пользователей, что их запросы выглядят как «автоматические запросы от Компьютерный вирус или шпионское приложение ".[98]

Новостные сайты и сайты со ссылками - сайты, основная функция которых заключается в предоставлении ссылок на интересный контент в других местах в Интернете, - скорее всего, являются причиной этого явления. Канонический пример - это Эффект слэшдота при получении трафика от Slashdot. Он также известен как " Reddit объятие смерти "и" Digg эффект".

Также известно, что маршрутизаторы создают непреднамеренные DoS-атаки, поскольку оба D-Link и Netgear маршрутизаторы перегружали NTP-серверы, переполняя NTP-серверы, без соблюдения ограничений по типам клиентов или географических ограничений.

Подобные непреднамеренные отказы в обслуживании могут также происходить через другие средства массовой информации, например когда URL-адрес упоминается по телевидению. Если сервер индексируется Google или другой поисковый движок в периоды пиковой активности или не имеет большой доступной полосы пропускания во время индексирования, он также может испытывать эффекты DoS-атаки.[29][нужна цитата ]

По крайней мере, по одному подобному делу возбуждено судебное дело. В 2006 г. Корпорация Universal Tube & Rollform Equipment Corporation подал в суд YouTube: огромное количество потенциальных пользователей YouTube.com случайно набрали URL-адрес компании, выпускающей трубку, utube.com. В результате трубная компания вынуждена была потратить большие суммы денег на увеличение пропускной способности.[99] Похоже, что компания воспользовалась ситуацией, и теперь utube.com содержит рекламу для доходов от рекламы.

В марте 2014 г. после Рейс 370 Malaysia Airlines пропал без вести, DigitalGlobe запустил краудсорсинг сервис, на котором пользователи могут помочь найти пропавший самолет на спутниковых снимках. Ответом были переполнены серверы компании.[100]

Непреднамеренный отказ в обслуживании также может быть результатом заранее запланированного события, созданного самим веб-сайтом, как это было в случае Перепись в Австралии в 2016 году.[101] Это может быть вызвано тем, что сервер предоставляет некоторую услугу в определенное время. Это может быть веб-сайт университета, на котором выставляются оценки, и это может привести к гораздо большему количеству запросов входа в систему в то время, чем любое другое.

Побочные эффекты приступов

Обратное рассеяние

Смотрите также: Backscatter (электронная почта) и Фоновый шум Интернета

В компьютерной сетевой безопасности обратное рассеяние является побочным эффектом фальшивой атаки типа «отказ в обслуживании». В этом виде атаки злоумышленник подделывает (или подделывает) адрес источника в IP пакеты отправлено жертве. В общем, машина-жертва не может отличить поддельные пакеты от легитимных пакетов, поэтому жертва реагирует на поддельные пакеты, как обычно. Эти ответные пакеты известны как обратное рассеяние.[102]

Если злоумышленник подменяет адреса источника случайным образом, ответные пакеты обратного рассеивания от жертвы будут отправлены обратно в случайные места назначения. Этот эффект может быть использован сетевые телескопы как косвенное свидетельство таких атак.

Термин «анализ обратного рассеяния» относится к наблюдению за пакетами обратного рассеяния, поступающими в статистически значимую часть айпи адрес пространство для определения характеристик DoS-атак и жертв.

Законность

Многочисленные веб-сайты, предлагающие инструменты для проведения DDoS-атак, были захвачены ФБР под Закон о компьютерном мошенничестве и злоупотреблении.[103]
Смотрите также: Компьютерное преступление

Во многих юрисдикциях действуют законы, согласно которым атаки типа «отказ в обслуживании» являются незаконными.

7 января 2013 г. Анонимный опубликовал петицию на whitehouse.gov сайт с просьбой признать DDoS юридической формой протеста, аналогичной Оккупировать протесты, утверждая, что цель обоих одинакова.[111]

Смотрите также

Рекомендации

  1. ^ «Понимание атак типа« отказ в обслуживании »». US-CERT. 6 февраля 2013 г.. Получено 26 мая 2016.
  2. ^ Принц, Мэтью (25 апреля 2016 г.). «Пустые DDoS-угрозы: знакомьтесь с коллективом Armada». CloudFlare. Получено 18 мая 2016.
  3. ^ «Президент Brand.com Майк Заммуто раскрывает попытку шантажа». 5 марта 2014. Архивировано с оригинал 11 марта 2014 г.
  4. ^ "Майк Заммуто из Brand.com обсуждает вымогательство с Meetup.com". 5 марта 2014. Архивировано с оригинал 13 мая 2014 г.
  5. ^ "Философия анонима". Radicalphilosophy.com. 2010-12-17. Получено 2013-09-10.
  6. ^ «Распределенные атаки типа« отказ в обслуживании »- The Internet Protocol Journal - Volume 7, Number 4». Cisco. Архивировано из оригинал на 2019-08-26. Получено 2019-08-26.
  7. ^ Смит, Стив. «5 известных ботнетов, которые держали Интернет в заложниках». еженедельно. Получено 20 ноября, 2014.
  8. ^ Гудин, Дэн (5 марта 2018 г.). «Американский провайдер услуг пережил самый крупный зарегистрированный DDoS в истории». Ars Technica. Получено 6 марта 2018.
  9. ^ Рейнджер, Стив. "GitHub поразил крупнейшей DDoS-атакой, когда-либо существовавшей | ZDNet". ZDNet. Получено 2018-10-14.
  10. ^ "Amazon" предотвращает крупнейшую в истории кибератаку DDoS'". Новости BBC. 18 июн.2020 г.. Получено 11 ноя, 2020.
  11. ^ Пинхо, Марио (29 мая 2020 г.). "Отчет об угрозах AWS Shield теперь доступен". Блог по безопасности AWS. Получено 11 ноя, 2020.
  12. ^ Марвин, Роб (13.06.2019). «Китайская DDoS-атака попала в Telegram во время протестов в Гонконге». Получено 2019-09-07.
  13. ^ Кавана, Микаэла (07.09.2019). "'Вредоносная атака "отключает Википедию в Германии". Deutsche Welle. Получено 2019-09-07.
  14. ^ а б Тагави Заргар, Саман (ноябрь 2013 г.). «Обзор механизмов защиты от распределенных атак типа« отказ в обслуживании »(DDoS) с наводнением» (PDF). IEEE COMMUNICATIONS ОПРОСЫ И РУКОВОДСТВА. стр. 2046–2069. Получено 2014-03-07.
  15. ^ Халифе, Солтаниан, Мохаммад Реза (10.11.2015). Теоретические и экспериментальные методы защиты от DDoS-атак. Амири, Ирадж Садех, 1977-. Уолтем, Массачусетс. ISBN  978-0128053997. OCLC  930795667.
  16. ^ "Ваш сайт укусил зомби?". Cloudbric. 3 августа 2015 г.. Получено 15 сентября 2015.
  17. ^ а б «Седьмой уровень DDoS-атак». Институт Инфосек.
  18. ^ Рагхаван, С.В. (2011). Расследование обнаружения и предотвращения атак типа "отказ в обслуживании" (DoS). Springer. ISBN  9788132202776.
  19. ^ Гудин, Дэн (28 сентября 2016 г.). "Рекордные DDoS-атаки, по сообщениям, доставлены> 145 тыс. Взломанных камер". Ars Technica. В архиве из оригинала 2 октября 2016 г.
  20. ^ Ханделвал, Свати (26 сентября 2016 г.). «Крупнейшая в мире DDoS-атака со скоростью 1 Тбит / с, запущенная со 152 000 взломанных смарт-устройств». Хакерские новости. В архиве из оригинала от 30 сентября 2016 г.
  21. ^ Кумар, Бхаттачарья, Дхруба; Калита, Джугал Кумар (2016-04-27). DDoS-атаки: эволюция, обнаружение, предотвращение, реакция и толерантность. Бока-Ратон, Флорида. ISBN  9781498729659. OCLC  948286117.
  22. ^ "Imperva, Глобальный ландшафт угроз DDoS, отчет за 2019 год" (PDF). Imperva.com. Imperva. Получено 4 мая 2020.
  23. ^ Ли, Ньютон (2013). Противодействие терроризму и кибербезопасность: полная осведомленность об информации. Springer. ISBN  9781461472056.
  24. ^ «Gartner утверждает, что 25% распределенных атак типа« отказ в обслуживании »в 2013 году будут связаны с приложениями». Gartner. 21 февраля 2013 г.. Получено 28 января 2014.
  25. ^ а б Гиновский, Джон (27 января 2014 г.). «Что нужно знать об усилении DDoS-атак». Банковский журнал ABA. Архивировано из оригинал на 2014-02-09.
  26. ^ «Состояние Интернета в 4 квартале 2014 года - Отчет о безопасности: цифры - Блог Akamai». blogs.akamai.com.
  27. ^ Али, Джунаде (23 ноября 2017 г.). "Новый ландшафт DDoS". Блог Cloudflare.
  28. ^ Хиггинс, Келли Джексон (17 октября 2013 г.). "DDoS-атака использовала" безголовый "браузер в 150-часовой осаде". Темное чтение. Информационная неделя. Архивировано из оригинал 22 января 2014 г.. Получено 28 января 2014.
  29. ^ а б c d е ж Киюна и Коньерс (2015). Справочник по кибервойне. ISBN  978-1329063945.
  30. ^ Иласку, Ионут (21 августа 2014 г.). «38-дневная осадка DDoS-атак составляет более 50 петабит в плохом трафике». Новости Softpedia. Получено 29 июля 2018.
  31. ^ Голд, Стив (21 августа 2014 г.). "Компания по производству видеоигр подверглась 38-дневной DDoS-атаке". SC Magazine UK. Архивировано из оригинал на 2017-02-01. Получено 4 февраля 2016.
  32. ^ Кребс, Брайан (15 августа 2015 г.). «Финансовое стресс-тестирование дополнительных услуг». Кребс о безопасности. Получено 2016-09-09.
  33. ^ Макдауэлл, Минди (4 ноября 2009 г.). «Совет по кибербезопасности ST04-015 - Описание атак типа« отказ в обслуживании »». Группа готовности к компьютерным чрезвычайным ситуациям США. В архиве из оригинала от 04.11.2013. Получено 11 декабря, 2013.
  34. ^ а б Диттрих, Дэвид (31 декабря 1999 г.). "Инструмент распределенной атаки типа" отказ в обслуживании "" stacheldraht ". Вашингтонский университет. Получено 2013-12-11.
  35. ^ «Amazon CloudWatch». Amazon Web Services, Inc.
  36. ^ Энциклопедия информационных технологий. Атлантические издатели и дистрибьюторы. 2007. с. 397. ISBN  978-81-269-0752-6.
  37. ^ Швабах, Аарон (2006). Интернет и Закон. ABC-CLIO. п. 325. ISBN  978-1-85109-731-9.
  38. ^ Лу, Сичэн; Вэй Чжао (2005). Сети и мобильные вычисления. Birkhäuser. п. 424. ISBN  978-3-540-28102-3.
  39. ^ Бойл, Филипп (2000). "Институт SANS - Часто задаваемые вопросы по обнаружению вторжений: Распределенные средства защиты от отказа в обслуживании: нет данных". Институт SANS. Архивировано из оригинал на 2008-05-15. Получено 2008-05-02.
  40. ^ Лейден, Джон (2004-09-23). «Американская компания по выпуску кредитных карт борется с DDoS-атакой». Реестр. Получено 2011-12-02.
  41. ^ Свати Ханделвал (23 октября 2015 г.). «Взлом камер видеонаблюдения для запуска DDoS-атак». Хакерские новости.
  42. ^ Зейфман, Игал; Гейер, Офер; Уайлдер, Ор (21 октября 2015 г.). "Ботнет DDoS CCTV на нашем заднем дворе". incapsula.com.
  43. ^ Гленн Гринвальд (15.07.2014). «Взлом онлайн-опросов и других способов, которыми британские шпионы пытаются контролировать Интернет». Перехват_. Получено 2015-12-25.
  44. ^ «Кто стоит за DDoS-атаками и как защитить свой сайт?». Cloudbric. 10 сентября 2015 г.. Получено 15 сентября 2015.
  45. ^ Солон, Оливия (9 сентября 2015 г.). «Кибервымогатели, нацеленные на финансовый сектор, требуют выкупа биткойнами». Bloomberg. Получено 15 сентября 2015.
  46. ^ Гринберг, Адам (14 сентября 2015 г.). «Akamai предупреждает об усилении активности со стороны вымогателей DDoS». Журнал SC. Получено 15 сентября 2015.
  47. ^ "План OWASP - Strawman - Layer_7_DDOS.pdf" (PDF). Открыть проект безопасности веб-приложений. 18 марта 2014 г.. Получено 18 марта 2014.
  48. ^ "OWASP HTTP Post Tool". Архивировано из оригинал 21 декабря 2010 г.
  49. ^ "Что такое CC-атака?". HUAWEI CLOUD - Развивайте интеллект. В архиве из оригинала на 2019-03-05. Получено 2019-03-05.
  50. ^ 刘鹏;郭 洋. "Метод, устройство и система защиты от атак CC (Challenge Collapsar)". Патенты Google. В архиве из оригинала на 2019-03-05. Получено 2018-03-05.
  51. ^ 曾宪 力;史 伟;关 志 来;彭国柱. «Метод и устройство защиты от атак CC (Challenge Collapsar)». Патенты Google. В архиве из оригинала на 2019-03-05. Получено 2018-03-05.
  52. ^ "最 臭名昭著 的 黑客 工具 CC 的 前世 今生". NetEase (на китайском языке).驱动 中国 网 (北京). 2014-07-24. Архивировано из оригинал на 2019-03-05. Получено 2019-03-05.
  53. ^ «Типы DDoS-атак». Ресурсы распределенных атак типа "отказ в обслуживании" (DDoS), Лаборатории широко распространенных технологий в Университете Индианы. Лаборатория расширенного сетевого управления (ANML). 3 декабря 2009 г. Архивировано с оригинал на 2010-09-14. Получено 11 декабря, 2013.
  54. ^ а б "Что такое Nuke? | Radware - DDoSPedia". security.radware.com. Получено 2019-09-16.
  55. ^ Пол Соп (май 2007 г.). "Распределенное оповещение Prolexic об атаке отказа в обслуживании". Prolexic Technologies Inc. Prolexic Technologies Inc. Архивировано с оригинал на 2007-08-03. Получено 2007-08-22.
  56. ^ Роберт Лемос (май 2007 г.). «Одноранговые сети адаптированы для DOS-атак». Безопасность. Получено 2007-08-22.
  57. ^ Фредрик Улльнер (май 2007 г.). «Отказ от распределенных атак». DC ++: Просто эти парни, понимаете?. Получено 2007-08-22.
  58. ^ Лейден, Джон (21 мая 2008 г.). «Атака флеширования поражает встроенные системы». Реестр. Получено 2009-03-07.
  59. ^ Джексон Хиггинс, Келли (19 мая 2008 г.). "Постоянная атака отказа в обслуживании, саботаж оборудования". Темное чтение. Архивировано из оригинал 8 декабря 2008 г.
  60. ^ ""BrickerBot "Результаты атаки PDoS". Radware. Radware. 4 мая, 2017. Получено 22 января, 2019.
  61. ^ «Конференция по прикладной безопасности EUSecWest: Лондон, Великобритания» EUSecWest. 2008. Архивировано с оригинал на 2009-02-01.
  62. ^ Россоу, Кристиан (февраль 2014 г.). «Ад усилений: пересмотр сетевых протоколов для защиты от DDoS-атак» (PDF). Интернет-общество. Архивировано из оригинал (PDF) 4 марта 2016 г.. Получено 4 февраля 2016.
  63. ^ Паксон, Верн (2001). «Анализ использования отражателей для распределенных атак типа« отказ в обслуживании »». ICIR.org.
  64. ^ «Предупреждение (TA14-017A) Атаки с усилением на основе UDP». US-CERT. 8 июля 2014 г.. Получено 2014-07-08.
  65. ^ «Примечания к выпуску Memcached 1.5.6». 2018-02-27. Получено 3 марта 2018.
  66. ^ «DRDoS / Amplification Attack с использованием команды ntpdc monlist». support.ntp.org. 2010-04-24. Получено 2014-04-13.
  67. ^ ван Рейсвейк-Дей, Роланд (2014). «DNSSEC и его потенциал для DDoS-атак». DNSSEC и его потенциал для DDoS-атак - всестороннее исследование. ACM Press. С. 449–460. Дои:10.1145/2663716.2663731. ISBN  9781450332132.
  68. ^ Адамский, Флориан (2015). «Обмен файлами P2P в аду: использование уязвимостей BitTorrent для запуска распределенных отражающих DoS-атак».
  69. ^ Вон, Рэндал; Эврон, Гади (2006). «Атаки с усилением DNS» (PDF). ISOTF. Архивировано из оригинал (PDF) 14 декабря 2010 г.
  70. ^ «Предупреждение (TA13-088A) об атаках на усиление DNS». US-CERT. 8 июля 2013 г.. Получено 2013-07-17.
  71. ^ а б Колиас, Константинос; Камбуракис, Георгиос; Ставру, Ангелос; Воас, Джеффри (2017). «DDoS в IoT: Mirai и другие ботнеты». Компьютер. 50 (7): 80–84. Дои:10.1109 / MC.2017.201.
  72. ^ Кузманович, Александар; Найтли, Эдвард В. (25 августа 2003 г.). Низкоскоростные TCP-целевые атаки типа "отказ в обслуживании": землеройка против мышей и слонов. ACM. С. 75–86. CiteSeerX  10.1.1.307.4107. Дои:10.1145/863955.863966. ISBN  978-1581137354.
  73. ^ «Паника SACK и другие проблемы с отказом в обслуживании TCP». Ubuntu Вики. 17 июня 2019 г. Архивировано с оригинал 19 июня 2019 г.. Получено 21 июн 2019.
  74. ^ "CVE-2019-11479". CVE. Архивировано из оригинал 21 июня 2019 г.. Получено 21 июн 2019.
  75. ^ Ю Чен; Кай Хван; Ю-Квонг Квок (2005). «Фильтрация атак DDoS-атак в частотной области». 30-летие конференции IEEE по локальным компьютерным сетям (LCN'05) l. стр.8 стр. Дои:10.1109 / LCN.2005.70. ISBN  978-0-7695-2421-4.
  76. ^ а б Ben-Porat, U .; Bremler-Barr, A .; Леви, Х. (1 мая 2013 г.). «Уязвимость сетевых механизмов для сложных DDoS-атак». Транзакции IEEE на компьютерах. 62 (5): 1031–1043. Дои:10.1109 / TC.2012.49. ISSN  0018-9340.
  77. ^ орбиталсателит. «Медленный HTTP-тест». SourceForge.
  78. ^ «Атаки TCP SYN Flooding и общие меры противодействия». Tools.ietf.org. Август 2007 г. RFC  4987. Получено 2011-12-02.
  79. ^ «CERT Advisory CA-1997-28 IP-атаки типа« отказ в обслуживании »». CERT. 1998 г.. Получено 18 июля, 2014.
  80. ^ "Windows 7, Vista подверглись атаке" слезы "'". ZDNet. 8 сентября 2009 г.. Получено 2013-12-11.
  81. ^ «Совет по безопасности Microsoft (975497): уязвимости в SMB делают возможным удаленное выполнение кода». Microsoft.com. 8 сентября 2009 г.. Получено 2011-12-02.
  82. ^ «ФБР - Фальшивые телефонные звонки отвлекают потребителей от подлинной кражи». FBI.gov. 2010-05-11. Получено 2013-09-10.
  83. ^ "Уведомление о мошенничестве Центра жалоб на Интернет-преступления (IC3), 7 января 2013 г.". IC3.gov. 2013-01-07. Получено 2013-09-10.
  84. ^ «Идентификация атак с истечением срока действия TTL и смягчение их последствий». Cisco Systems. Получено 2019-05-24.
  85. ^ «Новый метод DDoS-атаки с использованием UPnP». Темное чтение. Получено 2018-05-29.
  86. ^ «Новый метод DDoS-атаки требует нового подхода к смягчению последствий атак Amplification - Блог | Imperva». Блог | Imperva. 2018-05-14. Получено 2018-05-29.
  87. ^ Лукас, Г .; Оке, Г. (сентябрь 2010 г.) [август 2009 г.]. «Защита от атак отказа в обслуживании: обзор» (PDF). Comput. Дж. 53 (7): 1020–1037. Дои:10.1093 / comjnl / bxp078. Архивировано из оригинал (PDF) на 2012-03-24. Получено 2015-12-02.
  88. ^ Alqahtani, S .; Гэмбл, Р. Ф. (1 января 2015 г.). DDoS-атаки в сервисных облаках. 2015 48-я Гавайская международная конференция по системным наукам (HICSS). С. 5331–5340. Дои:10.1109 / HICSS.2015.627. ISBN  978-1-4799-7367-5.
  89. ^ Кусиурис, Джордж (2014). «КЛЮЧЕВЫЕ ПОКАЗАТЕЛИ ЗАВЕРШЕНИЯ: минимизация эффекта DoS-атак на эластичные облачные приложения на основе контрольных точек марковской цепи на уровне приложений». БЛИЖЕ Конференция. Дои:10.5220/0004963006220628.
  90. ^ Patrikakis, C .; Масикос, М .; Зурараки, О. (декабрь 2004 г.). «Распределенные атаки отказа в обслуживании». Журнал Интернет-протокола. 7 (4): 13–35.
  91. ^ Абанте, Карл (2 марта 2013 г.). «Взаимосвязь межсетевых экранов и защиты от DDoS». Мудрость электронной коммерции. Получено 2013-05-24.[сомнительный – обсуждать]
  92. ^ Попескич, Вальтер. «Как предотвратить или остановить DoS-атаки?».
  93. ^ Фрутан, Пол (24 июня 2004 г.). «Как защититься от DDoS-атак». Computerworld. Получено 15 мая, 2010.
  94. ^ "Проблема уязвимости кибербезопасности стремительно растет". ComputerWeekly.com. Получено 2018-08-13.
  95. ^ Сузен, Мехмет. «Некоторые советы по IoS для интернет-провайдеров» (PDF). Архивировано из оригинал (PDF) на 2008-09-10.
  96. ^ «Защита от DDoS-атак с помощью региональных клининговых центров (январь 2004 г.)» (PDF). SprintLabs.com. Sprint ATL Research. Архивировано из оригинал (PDF) на 21.09.2008. Получено 2011-12-02.
  97. ^ Шилс, Мэгги (26.06.2009). «Сеть замедляется после смерти Джексона». Новости BBC.
  98. ^ «Приносим извинения. Ошибка автоматического запроса». Форумы по продуктам Google ›Форум поиска Google. 20 октября 2009 г.. Получено 2012-02-11.
  99. ^ "YouTube подал в суд на сайт, похожий на звук". Новости BBC. 2006-11-02.
  100. ^ Билл Чаппелл (12 марта 2014 г.). "Сайт перегружен людьми, надеясь помочь найти пропавший самолет". энергетический ядерный реактор. Получено 4 февраля 2016.
  101. ^ Палмер, Дэниел (19 августа 2016 г.). «Эксперты подвергают сомнению утверждения DDoS переписи населения». Разделитель. Получено 31 января 2018.
  102. ^ «Анализ обратного рассеяния (2001)». Анимации (видео). Кооперативная ассоциация анализа данных в Интернете. Получено 11 декабря, 2013.
  103. ^ «ФБР арестовало 15 сайтов, предназначенных для DDoS-атак». Котаку. 6 января 2019.
  104. ^ «Кодекс Соединенных Штатов: раздел 18,1030. Мошенничество и связанные с ним действия в отношении компьютеров | Государственная типография». gpo.gov. 2002-10-25. Получено 2014-01-15.
  105. ^ «Человек из Юты осужден за компьютерный взлом». 2019-07-02. В архиве из оригинала от 10.07.2019.
  106. ^ Смолакс, Макс (04.07.2019). "Get rekt: два года в клике за убийство DDoS-атак, паршивец DerpTrolling". Реестр. Получено 2019-09-27. Остин Томпсон, также известный как DerpTrolling, стал известен в 2013 году, запустив распределенные атаки типа «отказ в обслуживании» (DDoS) на крупные компании, выпускающие видеоигры, и был приговорен федеральным судом к 27 месяцам тюремного заключения. Томпсон, житель Юты, также должен будет заплатить 95000 долларов компании Daybreak Games, которая принадлежала Sony, когда она пострадала от DerpTrolling. В период с декабря 2013 года по январь 2014 года Томпсон также остановил Steam Valve - крупнейшую платформу цифрового распространения компьютерных игр - а также службу Origin Electronic Arts и BattleNet от Blizzard. Срыв длился от нескольких часов до нескольких дней.
  107. ^ «Международные действия против киберпреступной группы DD4BC». ЕВРОПОЛЬ. 12 января 2016 г.
  108. ^ "Закон о неправомерном использовании компьютеров 1990 г.". legal.gov.uk - Национальный архив Великобритании. 10 января 2008 г.
  109. ^ "Новости". Европол. Получено 29 января 2019.
  110. ^ «Власти всего мира преследуют пользователей крупнейшего веб-сайта с DDoS-атаками». Европол. Получено 29 января 2019.
  111. ^ «Анонимная петиция о DDoS-атаке: групповые звонки в Белый дом для признания распределенного отказа в обслуживании как протест». HuffingtonPost.com. 2013-01-12.

дальнейшее чтение

внешняя ссылка