Når sikkerhetstjenester går dårlig

Se for deg dette. En gruppe gymnasister bestemmer seg for å prank skolen ved å ringe kontoret og henge opp igjen og igjen. Skolens kommunikasjoner stopper opp; ingen kan faktisk komme gjennom rektoren. Det er mye som det som skjer i et Distribed Denial of Service-angrep. Malefactors verve en hær av roboter for å hamre målets servere med trafikk, til serveren ikke kan ta det lenger. Incapsula, en DDoS-beskyttelsestjeneste, rapporterer et enormt DDoS-angrep med en interessant vri; de angripende pakkene kom fra to andre DDoS-beskyttelsesselskaper.

Blogginnlegget, av Incapsulas Igal Zeifman, identifiserer ikke selskapene, og sier bare de var "den ene i Canada, den andre i Kina." Begge selskapene innrømmet ansvar og "droppet de ansvarlige partene fra sine tjenester." Men hvordan kunne dette skje i utgangspunktet?

Flom vs. forsterkning

Fjorårets SpamHaus DDoS-angrep brukte en teknikk kalt DNS-forsterkning. Angriperen sender en liten DNS-forespørsel som returnerer et enormt svar, og forfalsker forespørselspakken slik at responsen går til offeret. Det lar et lite antall servere trekke et stort DDoS-angrep.

Imidlertid påpeker Incapsula-posten at det er ekstra lett å herde et nettverk mot denne typen angrep. Alt du trenger å gjøre er å definere en regel som avviser enhver pakke med DNS-informasjon som serveren ikke ba om.

Det aktuelle angrepet brukte ikke noen form for forsterkning. Det oversvømte rett og slett offerserverne med normale DNS-forespørsler, med en hastighet på 1, 5 milliarder per minutt. Disse forespørslene kan ikke skilles fra gyldig trafikk, så serveren må undersøke hver. Denne typen angrep overbelaster serverens CPU og minne, mens et forsterkningsangrep overbelaster båndbredden, ifølge innlegget.

Hvordan skjedde det?

Zeifman påpeker at en DDoS-beskyttelsestjeneste har nøyaktig den infrastrukturen man trenger for å montere et DDoS-angrep. "Dette, kombinert med at mange leverandører er mer opptatt av 'hva som kommer inn' i motsetning til 'hva som skal ut', gjør dem til en god passform for hackere som ønsker å utføre massive ikke-forsterkede DDoS-angrep, " bemerket Zeifman. "Foruten å gi den 'poetiske vrien' for å gjøre beskyttere om til angripere, er slike megaflom også ekstremt farlige."

Det er sant at et angrep på dette nivået krever ressurser som en typisk nettkriminalgruppe sannsynligvis ikke kunne mønstre. Selv det største botnettet ville ikke la dem oppnå 1, 5 milliarder forespørsler per minutt. Løsningen er ifølge Zeifman for selskaper som har ressursene for å beskytte dem bedre. "Eventuelle tjenesteleverandører som tilbyr vilkårlig tilgang til høydrevne servere, hjelper lovbryterne med å vokse ut av disse begrensningene, " sier Zeifman. "I dette tilfellet spilte sikkerhetsleverandørene rett i hackernes hender."

Du kan lese hele innlegget på Incapsulas hjemmeside. Og hei, hvis du tilfeldigvis er en av de veldig få menneskene som administrerer den typen høydrevne servere som kreves for denne typen angrep, bør du kanskje undersøke sikkerheten din nøye - veldig nøye.