Друзья!

Почему был взломан Amazon.com, Yahoo.com, eBay.com и другие?

Все они основаны на "классических" атаках типа "отказ в обслуживании" (Denial of Service), точнее на их подмножестве, известном как Flood- или Storm-атаки (указанные термины можно перевести как "шторм", "наводнение" или "лавина"). Смысл данных атак заключается в посылке большого количества пакетов на заданный узел сети (цель атаки), что может привести к выведению этого узла из строя, поскольку он "захлебнется" в лавине посылаемых пакетов и не сможет обрабатывать запросы авторизованных пользователей. По такому принципу работают атаки SYN-Flood, Smurf, UDP Flood, Targa3 и т.д. Однако в том случае, если пропускная способность канала до цели атаки превышает пропускную способность атакующего или целевой узел некорректно сконфигурирован, то к "успеху" такая атака не приведет. В случае же распределенной атаки ситуация коренным образом меняется. Атака происходит уже не из одной точки Internet, а сразу из нескольких, что приводит к резкому возрастанию трафика и выведению атакуемого узла из строя.

Реализуется распределенная атака в два этапа. Первый этап заключается в поиске в Internet узлов, которые можно было бы задействовать для реализации распределенной атаки. Чем больше будет найдено таких узлов, тем эффективнее будет атака. "Изюминка" в том, что в Internet таких узлов миллионы. Проводимые регулярно исследования показывают, что многие компании не следят за безопасностью своих узлов, имеющих выход в Internet. Эти-то узлы и становятся излюбленным местом злоумышленников, выбирающих их в качестве "базового лагеря" для дальнейшей атаки. Эти узлы могут относиться не только к сетям университетов и государственных структур, как это было в случае с февральскими атаками, но и Internet-провайдерам, финансовым и страховым компаниям и т.д. После нахождения уязвимых узлов, злоумышленник осуществляет установку на них компонентов, реализующих атаку. Такая установка становится возможной благодаря "слабым" местам, которые и использует злоумышленник для своих "черных дел".

Второй этап заключается в посылке большого числа пакетов на атакуемый узел. Особенность этого этапа в том, что посылка пакетов осуществляется не с узла, за которым "сидит" злоумышленник, а с скомпрометированной им системы, на которой установлены специальные агенты, реализующие распределенную атаку. Существует два типа таких агентов: "мастера" и "демоны" (или "клиенты" и "сервера"). Иногда компьютеры с установленными агентами называют компьютеры-"зомби". Злоумышленник управляет небольшим числом "мастеров", которые в свою очередь командуют "демонами". Казалось бы, что проблема не стоит и выеденного яйца. Вместо обычной одноуровневой структуры обычной атаки (злоумышленник -> атакуемый) используется трехуровневая структура (злоумышленник -> мастер -> демон -> атакуемый). Что мешает пройти по этой цепочке и определить все участвующие в атаке узлы? Но в том-то и состоит особенность распределенных атак, что так просто этого не сделать.

Обнаружение и блокирование одного или нескольких "мастеров" или "демонов" не приводит к окончанию действия атаки, поскольку каждый "демон" действует независимо от других и, получив соответствующие команды от "мастера", уже не нуждается в дальнейшем поддержании связи с ним. Т.е. "демон" работает автономно, что существенно затрудняет обнаружение и блокирование всех демонов, участвующих в распределенной атаке. Кроме того, при атаку возможна подмена адреса отправителя враждебных пакетов, что также отрицательно сказывается на эффективности контрмер. Злоумышленник использует десятки и сотни незащищенных узлов для координации нападения. Эти узлы могут принадлежать различным провайдерам и находиться в различных странах и даже на различных материках, что существенно затрудняет обнаружение злоумышленника, координирующего атаку. Каждый узел, участвующей в скоординированной атаке, не позволяет получить информацию о том, кто и откуда инициировал нападение. Кроме того, на этих узлах нет полного списка, участвующих в атаке, узлов. Поэтому выявление одного узла не приводит к превращению всей атаки.