Метка: CCNP

  • DDoS-атака через Network Time Protocol

    DDoS-атака через Network Time Protocol

    Каспер и его охотники за приведениями не так давно обратили внимание на то, что в последние несколько недель в Сети участились случаи DDoS-атак с использованием Network Time Protocol. На графике показан объем такого трафика в декабре 2013 года.

    DDoS атака с умножением через NTP


    Network Time Protocol (NTP) — сетевой протокол для синхронизации внутренних часов компьютера, использует для своей работы UDP и представляет собой один из старейших протоколов интернета. Работает на порту 123.
    Атака через «отражение» предусматривает, что атакующий посылает относительно небольшой запрос к промежуточному узлу, который отвечает относительно большим ответом в адрес указанного хоста. Раньше атаки подобного типа осуществлялись через DNS-серверы, которые установлены у каждого интернет-провайдера. Обычно DNS-серверы настроены так, чтобы обрабатывать только запросы своих собственных пользователей, но существует большое количество компаний, которые неправильно их сконфигурировали, так что серверы принимают запросы от любого пользователя интернета. Атакующие направляют к открытым DNS-серверам поток DNS-запросов с IP-адресом жертвы, а сервер отвечает на указанный адрес. Чтобы максимально усилить трафик, нападающие составляют запросы, которые требуют максимально объемного ответа: например, запрос списка всех DNS-записей в определенной зоне.
    Атака через серверы NTP происходит схожим образом, но с использованием команды monlist. Она высылает в ответ список 600 хостов, которые последними подключались к серверу. Это даже эффективнее, чем DNS-серверы: маленький запрос может перенаправить на жертву мегабайты трафика.
    Для защиты своего NTP-сервера от подобной атаки нужно установить NTP версии 4.2.7, в которой полностью удалена поддержка команды monlist.
  • DDoS-атаки и бизнес на постсоветском пространстве

    DDoS-атаки и бизнес на постсоветском пространстве

    Каспер и его охотники за призраками в доспехах не так давно опубликовали отчёт со статистикой DDoS-атак во второй половине 2011 года. 
    Подводя итоги прошлого года, главными событиями называются DDoS-атаки на фондовые биржи, использование DDoS в политических протестах Anonymous и для решения конфликтов в малом бизнесе. Во второй половине года было зафиксировано две большие волны DDoS-атак на сайты туристических фирм. Первая была приурочена к летним отпускам, а вторая прошла в период новогодних праздников. Среди туристических компаний, ставших жертвами DDoS-атак, не было ни одного крупного туроператора. Все атаки были направлены на сайты турагентств, между которыми существует острая конкуренция. Можно предположить, что эта конкуренция стала настолько острой, что некоторые бизнесмены не гнушаются использовать в том числе не совсем кошерные методы.
    Обнаружен также резкий рост во втором полугодии атак на сайты, предлагающие заказ такси и заправку картриджей. Видимо, в этих областях тоже усиливается конкуренция.
    Впрочем, главными жертвами DDoS-атак по-прежнему остаются интернет-магазины и торговые площадки.
    Статистика DDoS атак за текущий год
    Во второй половине 2011 года появились новые инструменты для DoS/DDoS-атак, в например, сервисы компании Google.
    Этим сервисам в качестве параметра можно передать ссылку на любой файл атакуемого сайта, и серверы Google будут осуществлять запрос к файлу. Если автоматизировать такие запросы с помощью скрипта, то использование пропускной способности каналов Google эквивалентно обычной DDoS-атаке. Кроме того, запустивший атаку в этом случае сохраняет анонимность.
    Ещё один новый инструмент — DoS-атака на сервер, используя особенность протокола SSL. Инструмент под названием THC-SSL-DOS позволяет одному атакующему вывести из строя сервер средней конфигурации, если тот поддерживает повторное подтверждение SSL renegotiation.
    Несколько интересных фактов из отчёта Каспера и его охотников:
    • Самая протяжённая DDoS-атака, зафиксированная во втором полугодии, продолжалась 80 дней 19 часов 13 минут 05 секунд и была нацелена на туристический сайт.
    • Больше всего DDoS-атак в течение второго полугодия (384) было нацелено на сайт одного из киберкриминальных порталов, торгующий поддельными документами. Неизвестно, что за сайт, но специалисты отмечают, что к DDoS-атакам чаще всего прибегают представители кардерского бизнеса: боты атакуют форумы соответствующей тематики, а также сайты, занимающиеся продажей персональных данных держателей карт.
    • Средняя мощность отраженных Kaspersky DDoS Prevention атак во втором полугодии 2011 выросла на 57% и составила 110 Мбит/с, средняя продолжительность — 9 часов 29 минут.
  • Известные инструменты для DDoS-атак

    Известные инструменты для DDoS-атак

    Специалисты из компании Arbor Networks составили самый полный каталог программ, которые используются для DDoS-атак, и даже сделали видеосправочник.

    The Best DDoS attack tools
    Простые инструменты
    Fg Power DDOSER
    GB DDoSeR v3
    Silent-DDoSer
    Drop-Dead DDoS
    D.NET DDoSeR
    Positve’s xDDoSeR
    Sniff DDoSer
    Darth DDoSeR v2
    Net-Weave
    Malevolent DDoSeR
    HypoCrite
    Host Booter v5.7
    AlbaDDoS
    Manta d0s v1.0
    Good Bye v3.0
    Good Bye v5.0
    Black Peace Group DDoser
    Shell Booters (атака из заражённого веб-приложения)
    PHPDoS
    TWBOOTER
    Gray Pigeon RAT
    DarkComet RAT aka Fynloski
    MP-DDoser v 1.3
    DarkShell
    Warbot
    Janidos
    Aldi Bot
    Infinity Bot
    N0PE
    Darkness
    Darkness X
    Optima – DarknessX control panel
    Dedal
    Russkill
    DirtJumper
    Dirt Jumper v3, aka “September”
    G-Bot aka Piranha
    Armageddon
    Коммерческие DDoS-сервисы
    WildDDOS
    Death ddos service
    FireDDoS
    DDoS-SeRVIS
    Beer DDoS
    Totoro
    500 Internal DDoS Service
    OXIA DDoS Service
    504 Gateway DDoS Tools
    DDoS4Fun
    NoName
    Wotter DDoS Service
    IceDDoS
  • Как работает софт для DDoS

    Как работает софт для DDoS

    Intro
    DDoS атака (Distributed Denial of Service Attack) — это распределенная атака на отказ в обслуживании. От обычной DoS атаки отличается тем, что в процессе участвует не один компьютер, а множество компьютеров, подчиняющихся командам атакующего.

    DDoS атаки относительно новы. Впервые Интернет-общество серьезно столкнулось с ними 7 февраля 2000 года. Тогда в течении недели на несколько часов были выведены из строя такие известные сайты, как Yahoo, Buy.com, eBay, Amazon, Datek, E*Trade и CNN.
    A network stress testing application. Low Orbit Ion Cannon

    Сейчас 2023 год, но DDoS атаки до сих пор практически невозможно отслеживать заранее и предотвращать, и вряд ли это станет возможным в ближайшем будущем.

    Немного лирики

    DDoS атаке предшествуют взломы сотен (а иногда и тысяч) компьютеров, на которые устанавливается специальный DDoS софт, позволяющий проводить координированные DoS атаки (обычно используются flood атаки) на сайты жертв.

    В деталях это выглядит следующим образом: атакующий ищет слабо защищенный компьютер, вломиться в который не составляет проблемы. Затем на взломанную систему устанавливается софт, который будет скрывать следы взлома (например, скрывать процесс, запущенный атакующим, чтобы в дальнейшем контролировать данную систему). А потом осуществляется то, ради чего, собственно, система и была взломана: запускается процесс, ожидающий команды из Интернета начать атаку на определенную жертву. После этого адрес захваченного компьютера заносится в базу данных. Все эти шаги достаточно автоматизированы и повторяются до тех пор, пока количество «рабов» не достигнет необходимой атакующему отметки. В итоге получается DDoS сеть, т.е. имеются компьютеры с установленным на них DDoS софтом, а атакующий знает их адреса.

    С наступлением часа X атакующий просто запускает программу, которая посылает команды начать атаку на определенную жертву всем захваченным компьютерам по адресам, хранящимся в специальном файле. Когда атакующий решает прекратить DDoS атаку, он опять же просто запускает программу, которая пошлет по тем же адресам команды прекратить безобразие.
  • Центр Обработки Данных будущего: как он выглядит и зачем

    Центр Обработки Данных будущего: как он выглядит и зачем

    А вы уже посмотрели новый фильм с Джеймсом Бондом «007:  Координаты «Скайфолл»? А заметили,что у Дата Центра (на картинке на заднем плане) очень мало проводов? Один блог даже назвал его «ЦОД будущего». Решение Cisco UCS позволяет сделать ваш ЦОД таким уже cегодня: Cisco Cloud Security Appliance.

    Cisco Cloud Security Appliance

    Развитие индустрии ЦОДостроения наиболее остро беспокоит ведущих экспертов отрасли. Всегда важно вовремя оценить риски, основные векторы и наиболее востребованные возможности в сфере облачных вычислений дата-центров. Несмотря на большое количество ЦОДов в России, многие из них созданы уже достаточно давно и не отвечают требованиям рынка по разным параметрам: уровень надежности ЦОДа, качество обслуживания ЦОДа, качество обслуживания клиентов, наличие четких регламентов и процедур сервисных и аварийных работ, ведение документации, планов восстановления в случае аварийных ситуаций и т.п. На самом деле здесь сложно выделить какой-то один недостаток, поскольку часто одна проблема является следствием другой и причиной третьей. В результате они наслаиваются друг на друга и в итоге приводят к остановке предоставления сервисов по какой-то, на первый взгляд, мелкой причине. Уровень надежности. Далеко не все ЦОДы имеют полноценное резервирование, которое позволяет выполнять обслуживание систем без остановки предоставления сервисов. Иногда можно встретить ситуацию, когда зарезервированные системы уже подходят к предельному сроку эксплуатации и не обеспечивают параметров, заложенных на этапе проектирования и строительства. Но уровень надежности определяется не только резервированием систем, но и вышеупомянутыми качеством обслуживания, наличием четких регламентов и их выполнением.
     Качество обслуживания ЦОДов. Наличие слабой и неподготовленной службы эксплуатации даже в хорошо построенном ЦОДе со временем гарантированно приведет к проблемам, которые могут выражаться в простоях дата-центра в целом или частично, остановке предоставления некоторых сервисов, существенным задержкам и другим проблемам, которые могли бы не произойти в случае, если бы эксплуатация ЦОД осуществлялась хорошо подготовленным персоналом. Чаще всего даже при наличии хорошо проработанных регламентов сотрудники службы эксплуатации не считают нужным выполнять все пункты регламента «от и до», а выполняют их, основываясь на собственных соображениях. Так, в одном из ЦОДов пришлось встретиться с ситуацией, когда ДГУ не обслуживались больше года. Когда возникла необходимость запустить их, выяснилось, что аккумуляторы давно сели, топливные фильтры забиты до такой степени, что топливо практически не поступает в двигатель. К счастью, запуск требовался только для проведения сервисных работ.  Наличие четких и проработанных регламентов. Не секрет, что ЦОД – это сложный технический комплекс, который требует от персонала не только высокой квалификации, но и четкого следования правилам. В случае, если такие правила отсутствуют или информации в них недостаточно, порядок проведения работ может быть нарушен, что, в свою очередь, приведет к негативным последствиям. Например, при сервисном обслуживании системы электроснабжения нарушение порядка переключения щитов может, с одной стороны, привести к полному или частичному отключению IT или сетевого оборудования, с другой стороны, к электротравмам обслуживающего персонала. Что же касается ведения документации, то актуальную версию, куда оперативно вносятся все изменения и дополнения, можно найти далеко не у всех участников рынка.
    Даже в случае идеальной эксплуатации ЦОДа при высоком уровне надежности и хорошей квалификации специалистов никогда нельзя гарантировать, что авария не произойдет. Однако далеко не у всех разработан и отработан план аварийного восстановления. Помимо вышеуказанных проблем, с которыми сталкиваются не только владельцы, но и арендаторы ЦОДов, необходимо сказать о проблеме, которая актуальна именно для владельцев: подавляющее большинство ЦОДов управляют пространством ЦОДа фактически «на ощупь», не имея большинства необходимых данных. К таким данным относятся актуальная информация о наличии свободного места в стойках, информация по фактическому энергопотреблению, нагрузке по зонам и т.п. Конечно, такие проблемы может снять хорошая DCIM-система, однако их дороговизна и сложность полноценного внедрения часто становится непреодолимым препятствием к их приобретению.