حملاتي با هدف عدم سرويس دهي
دريک حمله با هدف عدم سرويس دهي،يک هکر تلاش مي کند تا کاربران مجاز را از دسترسي به اطلاعات يا سرويس ها باز دارد.با هدف قرار دادن کامپيوتر و اتصال شبکه شما، يا کامپيوترها و شبکه اي از سايت ها که سعي در استفاده از آنها را داريد، يک هکر ممکن است قادر به ممانعت شما از دسترسي به ايميل، وب سايت ها، حساب هاي آنلاين( بانکي) يا ساير سرويس هايي که احتمالاً به آنها متکي هستيد، باشد.
هدف،شکل و تأثير يک حمله Denial-of-Service با اکثر حملاتي که بر عليه شبکه ها و کامپيوترها صورت مي گيرند، تفاوت دارد.اکثر مهاجميني که در جرائم الکترونيکي( Cybercrime) شرکت دارند، به دنبال نفوذ به درون يک سيستم، استخراج اسرارآن و يا فريب دادن آن به منظور ارائه سرويسي است که آنها مجاز به استفاده از آن نيستند. مهاجمين عموماً تلاش مي کنند تا شماره هاي کارتهاي اعتباري و يا اطلاعات اختصاصي را سرقت کرده،کنترل ماشينهاي ديگر را براي نصب نرم افزارها و يا ذخيره داده هاي خودشان بدست آورند، ظاهر صفحات وب را به هم بريزند و يا محتويات مهم موجود بر روي ماشينهاي قرباني را تغيير دهند. غالباً ماشينهاي تسليم شده توسط مهاجمين بعنوان منابعي ارزيابي مي شوند که مي توانند هرمقصودي که در حال حاضر براي آنها اهميت دارد را برآورده سازند.
در حملات DoS، نفوذ به تعداد زيادي از کامپيوترها و بدست آوردن کنترل بدخواهانه آنها،صرفاً اولين گام است. سپس مهاجم به اجراي خود حمله DoS مي پردازد که هدف متفاوتي دارد: ممانعت از سرويس دهي شبکه ها و يا کامپيوترهاي قرباني، به کاربران قانوني آنها. هيچ اطلاعاتي سرقت نمي شود،هيچ چيزي بر روي ماشينهاي قرباني تغييرنمي کند و هيچ دسترسي غيرمجازي روي نمي دهد. قرباني صرفاً ارائه سرويس به مشتريان معمولي خود را متوقف مي نمايد زيرا از قبل به اداره ترافيک حمله،مشغول شده است. در حاليکه هيچ دسترسي غيرمجازي به قرباني حمله DoS صورت نمي گيرد، تعداد زيادي از ميزبانهاي ديگرتوسط مهاجم به زانو درآورده و کنترل مي گردند تا از آنها بعنوان سلاح تهاجمي حمله فوق استفاده مي شود. دراکثر موارد، اينکار براساس تعريف قانوني آن يک « دسترسي غيرمجاز» است.
در حاليکه ممکن است تأثير انکار سرويس بر روي قرباني تا حدودي بي خطر به نظر برسد( خصوصاً وقتي اين موضوع را در نظر بگيريد که اين وضعيت تنها تا زماني ادامه دارد که حمله فعال است)، اما اين وضعيت مي تواند براي بسياري از کاربران شبکه، ويران کننده باشد. استفاده از سرويسهاي اينترنتي به يکي از بخشهاي مهم از زندگي روزمره ما تبديل شده است. اينترنت به طور روزافزوني براي هدايت امور تجاري و حتي در مواردي براي تأمين سرويسهاي حياتي، مورد استفاده قرار مي گيرد. در زير به تعدادي از اثرات مخرب حملات DoS اشاره مي کنيم:
- سايتهائي که از طريق سفارشات Online خدماتي را به کاربران خود ارائه مي کنند، تنها زماني درآمد کسب خواهند نمود که کاربران بتوانند به اين خدمات و سرويسها دسترسي داشته باشند. براي مثال،اگرمشتريان يک سايت بزرگ فروش کتاب نتوانند صفحات وب اين سايت را مرور کرده و محصولات مورد نظر خود را بصورت Online سفارش دهند، سايت مورد نظر نمي تواند کتابي را به مشتريان خود بفروشد. يک حمله DoS بر عليه چنين سايتي، مي تواند به معناي خسارت هنگفتي به درآمدهاي آن تا زمان پايان حمله باشد. حملات طولاني و يا مکرر نيز مي توانند آسيبهاي بلندمدتي را به اعتبار يک سايت وارد نمايند،زيرا مشترياني که نمي توانند به سرويسهاي مورد نظر خود دسترسي پيدا کنند، جذب سايتهاي رقيب خواهند شد. سايتهائي که اعتبار خود را از دست داده اند، به احتمال قوي در آينده براي جذب مشتريان و يا سرمايه گذاران جديد، با مشکل مواجه خواهند شد.
- موتورهاي جستجو و سايتهاي خبري بزرگ براي نمايش عمومي آگهي هاي تبليغاتي،مبالغي را از تبليغ کنندگان دريافت مي کنند.درآمد آنها به تعداد کاربراني بستگي دارد که از صفحه وب سايت بازديد مي کنند.يک حمله DoS بر عليه چنين سايتي مي تواند به معناي افت مستقيم درآمد آنها ازسوي تبليغ کنندگان باشد و همچنين مي تواند تأثير بلند مدت گرايش مشتريان به سايتهائي با دسترسي آسانتر را نيز به همراه داشته باشد.فقدان محبوبيت به معناي افت مستقيم تعداد قراردادها با تبليغ کنندگان است.
- بعضي از سايتها،سرويسهاي حياتي رايگاني را در اختيارکاربران اينترنت قرار مي دهند. براي مثال، سيستم نام حوزه( DNS) اينترنت، اطلاعات لازم براي ترجمه آدرسهاي قابل قرائت براي انسان( مثلاً www.example.com) به آدرسهاي IP( نظير 291.0.43.661) را تأمين مي کند. تمام مرورگرهاي وب و بسياري از نرم افزارهاي کاربردي ديگر براي آنکه بتوانند اطلاعات درخواستي کاربر را بازيابي کنند، به DNS متکي هستند. اگر سرورهاي DNS تحت يک حمله DoS قرار گرفته و بخاطر سربار بيش از حد قادر به پاسخگوئي نباشند، بسياري از سايتها بخاطر آنکه امکان تجزيه آدرسهاي آنها وجود ندارد، غيرقابل دسترسي خواهند شد،حتي اگر Online بوده و توانائي اداره ترافيک مورد نياز را داشته باشند. اين مسئله، DNS را به يکي از زيرساختارهاي حياتي تبديل مي کند و ساير بخشهاي زيرساختار اينترنت که از اهميت مشابهي برخوردارند نيز آسيب پذير هستند.
- بسياري از بنگاه هاي تجاري، براي فعاليتهاي روزمره خود به اينترنت وابسته شده اند. يک حمله DoS مي تواند باعث قطع يک مذاکره بسيار مهم از طريق ويديو کنفرانس و يا لغو سفارش يک مشتري بزرگ شود. چنين حمله اي ممکن است مانع از آن شود که يک شرکت بتواند يک سند مهم براي يک مهلت در حال اتمام را ارسال کرده و يا پيشنهاد خود را براي يک قرارداد بسيار بزرگ مطرح نمايد.
- اينترنت بطور روزافزوني براي تسهيل مديريت سرويسهاي عمومي نظير برق، آب، فاضلاب و تحويل اطلاعات حياتي در زمينه فعاليتهاي مهمي نظير گزارشات ترافيکي و يا هواشناسي جهت پهلوگيري کشتيها، مورد استفاده قرار مي گيرد. يک حمله DoS که چنين سرويسهاي حياتي را قطع مي کند، حتي بر افرادي که فعاليتهاي آنها به کامپيوتر و يا اينترنت وابسته نيست نيز مستقيماً تأثير خواهد گذاشت. چنين حمله اي حتي مي تواند زندگي انسانها را به خطر بيندازد.
- تعداد کثيري از مردم بطور روزانه براي سرگرمي و يا برقراري ارتباط با خانواده و يا دوستان خود،ازاينترنت استفاده مي کنند. عليرغم آنکه يک حمله DoS که باعث قطع چنين فعاليتهائي مي شود احتمالاً آسيب جدي به آنها وارد نمي کند،اما يقيناً يک تجربه ناخوشايند است که آنها تمايلي به روبرو شدن با آن ندارند. اگر چنين مزاحمتهائي به دفعات روي دهند، احتمالاً مردم ديگر از اينترنت براي چنين مقاصدي استفاده نخواهند کرد و به دنبال فن آوريهاي قابل اعتمادتري خواهند بود.
برخي از حملات DoS اوليه با هدف اثبات يک مدعا و يا يک شوخي ساده توسط هکرها صورت مي گرفتند. هدف نهائي آنها اين بود که ثابت کنند که کاري نظير از کار انداختن يک سايت بزرگ و محبوب، کاملاً امکانپذير است. دستيابي به چنين موفقيت بزرگي، باعث به شهرت رسيدن يک هکر در ميان انجمنهاي زيرزميني مي گرديد.
در بسياري از موارد، مهاجمين براي حاکميت ازطريق انکار سرويس،به مبارزه با يکديگر مي پردازند. کانالهاي گپ زني( Chat) اينترنتي، يکي از منابع مهم جستجوها براي مهاجمين بوده و هستند. معمولاً از آنها براي هماهنگ سازي چندين ماشين حمله و همچنين تبادل کد و اطلاعات غيرقانوني با ساير مهاجمين استفاده مي شود. کاربري که کانال را ايجاد کرده و دسترسي به آن را کنترل مي کند، غالباً Operator, Moderator و يا Owner ناميده مي شود. يکي از شيوه هاي آسان براي تصرف يک کانال( و در عين حال،تمام ماشينهاي حمله اي که از طريق اين کانال کنترل مي شوند) و تسلط بر تمام ارتباطات آن، انجام يک حمله DoS برعليهModerator فعلي آن است. زمانيکه ماشين يک Moderator به وضعيت Offline مي رود، يک کاربر ديگر مي تواند کنترل کانال را در اختيار بگيرد. علاوه بر اين« برتري جوئي»، مهاجمين ممکن است از حملات DoS به منظور انتقام گيري استفاده نمايند. هکري که ماشين وي بخاطر چنين حمله اي Offline شده است، احتمالاً به يک اقدام تلافي جويانه برعليه مسبب آن دست خواهد زد. افرادي که به خود جرأت مي دهند در محافل عمومي از هکرها انتقاد نمايند نيز در معرض انتقامهاي DoS قرار دارند.
يکي از انگيزه هاي متداول ديگر براي حملات DoS، دلايل سياسي است. افراد يا گروه هائي که مخالف ديدگاه ها و يا فعاليتهاي يک سازمان( يک سايت رسانه اي Online، يک شرکت و يا يک دولت) هستند، گهگاه اقدام به اجراي يک حمله DoS بر عليه کامپيوترها و يا شبکه هاي آن سازمان مي نمايند.اگر يک شرکت « هدف» حمله قرار گرفته باشد، مي توان به انگيزه يک شرکت رقيب براي تصرف قسمتي ازسهم بازار قرباني مشکوک بود. تا کنون اجراي هيچ حمله اي با اين انگيزه، به اثبات نرسيده است. با اينحال، نواقص بسيار زيادي در اطلاعات مربوط به مرتکبين حملات DoS و انگيزه هاي آنها وجود دارد. اکثريت قابل توجهي از اين حملات اصولاً گزارش نمي شوند و شرکتها به تنها اقدام به بررسي آنها مي کنند. از ميان مواردي که تحت بررسيهاي مشروح و دقيق قرار مي گيرند نيز،تنها تعداد بسيار محدودي حاوي شواهد کافي براي شناسائي انگيزه واقعي خود هستند.به همين دليل است که امکان توسل برخي از شرکتهاي تجاري به چنين ابزارهائي براي رقابت در فضاي خارج از بازار تجاري، وجود دارد.
اخيراً تعدادي از اين حملات، بعنوان بخشي از يک تلاش براي اخاذي صورت گرفته اند. مهاجمين با تهديد يک تجارت Online از طريق حملات انکار سرويس، براي بازگرداندن امنيت به آن تقاضاي « باج» کرده اند. سايتهائي که از پرداخت اين مبالغ خودداري مي کنند، با حملاتي در مقياسهاي کوچک « متقاعد» مي شوند.
گونه ديگري از مرتکبين حملات DoS، هکرهاي باتجربه اي هستند که از ابزارهاي مختلفي براي مخفي کردن ماهيت خود استفاده کرده و تغييرات زيرکانه اي را در الگوي ترافيک خود بوجود مي آورند تا از خطوط دفاعي عبور کنند. عليرغم آنکه اين حملات در مقايسه با نمونه هاي ساده تر شيوع کمتري دارند، بسيار ناگوار بوده و اداره آنها فوق العاده دشوار است. هکرهاي حرفه اي گاهي اوقات براساس تمايلات شخصي خود عمل مي کنند( مثلاً براي برتري جوئي نسبت به ساير همتايان و يا انتقام گرفتن از آنها)، اما در مواردي نيز توسط حرکتهاي زيرزميني و يا سازمانهاي تبهکاري به خدمت گرفته مي شوند.
خطرناک ترين مهاجم احتمالي، يک مدعي ايالتي/ ملي است که منابع و مهارت قابل توجهي براي نوشتن ابزارهاي مورد نياز خود در اختيار دارد، از تکنيکهاي کنترل و فرمانهاي پيشرفته اي استفاده مي کند و از منابع اطلاعاتي بهره مي برد که دستيابي به آنها بسيار دشوار است. چنين مهاجمي قادر است تأثيرات بسيار ماهرانه اي را ايجاد نمايد که با استفاده از ابزارها و يا شيوه هاي رايج، حتي به سختي مي توان متوجه آنها شد. بعلاوه، خود ابزارهاي نظارتي نيز مي توانند آسيب پذيريهائي داشته باشند که باعث مخفي ماندن حضور يک حمله شود. امروزه نمي توان هيچيک از حملات DDoS را با اطمينان به اين عاملان ايالتي/ کشوري نسبت داد، اما آنها بطور ذاتي در زمينه پنهان نمودن ردپاهاي خود عملکرد بهتري دارند. اگر تاکنون چنين حمله اي اتفاق نيفتاده باشد، دليلي وجود ندارد که در آينده نيز با چنين مشکلي مواجه نشويم.
حملات Vulnerability با ارسال تعداد محدودي پيام که داراي چيدمان خاصي هستند، به نرم افزار کاربردي هدف که از يک آسيب پذيري رنج مي برد،انجام مي شود. اين آسيب پذيري معمولاً يک باگ نرم افزاري در پياده سازي و يا يک باگ در پيکربندي پيش فرض يک سرويس معين است. پيامهاي بدخواهانه فرستاده شده از سوي مهاجم،يک ورودي غيرمنتظره را بوجود مي آورند که برنامه نويس آن را پيش بيني نکرده است. اين پيامها باعث مي گردند که نرم افزار کاربردي هدف، وارد يک حلقه بي انتها شود. اين موضوع باعث کاهش سرعت،مشکل در عملکرد، از کار افتادن و يا حتي Reboot شدن يک سيستم گرديده و يا حجم انبوهي از حافظه آن را مصرف کرده و باعث عدم سرويس دهي به کاربران قانوني شود. به اين فرآيند، بهره برداري از يک آسيب پذيري گفته مي شود. در بعضي از موارد، چنين آسيب پذيري هايي را مي توان از سيستم عامل، يک قطعه رايج از Middleware، يک پروتکل شبکه و يا برنامه هاي کاربردي استخراج نمود. در حاليکه شناسائي تمام آسيب پذيري ها تقريباً غيرممکن است، شناسائي و کشف بهره برداريهاي جديد نيز کار بسيار دشواري است. اين بدان معني است که شناسائي و اصلاح هريک از اين آسيب پذيريها،يک موفقيت بسيار مهم بوده و يک قدم مطمئن براي مدافعين است.
حملات Flooding، با ارسال تعداد انبوهي از پيامها انجام مي شود که پردازش آنها، مقداري از منابع کليدي هدف را مصرف خواهد کرد. براي نمونه، ممکن است پيامهاي پيچيده به فرآيندهاي پردازشي طولاني نياز داشته باشند که سيکلهاي CPU را به خود اختصاص مي دهند، پيامهاي بزرگ باعث اشغال پهناي باند مي شوند و پيامهائي که ارتباطاتي را با کلاينتهاي جديد آغاز مي کنند، حافظه را اشغال مي کنند.به محض آنکه منابع کليدي توسط حمله تصرف مي شوند، کاربران قانوني ديگر قادر به دريافت سرويس نخواهند بود. ويژگي تعيين کننده حملات Flooding در اين است که قدرت آنها در حجم نهفته است، نه در محتوايشان. دو مفهوم بسيار مهم در اين زمينه وجود دارد:
1- مهاجمين مي توانند تنوعي از بسته ها را ارسال کنند. مي توان ترافيک حمله را بصورت کاملاً دلخواهي شبيه به ترافيک قانوني ايجاد کرد که باعث ممانعت از دفاع در برابر حمله خواهد شد.
2- جريان حمله بايد آنقدر بزرگ باشد که منابع هدف را مصرف نمايد.مهاجم معمولاً بايد براي ارسال ترافيک حمله از چند ماشين استفاده نمايد. به همين دليل،حملات Flooding از حملات DDoS متداول به شمار مي روند.
ساده ترين قالب يک حمله DDoS، صرفاً بصورت ارسال کميت بسيار بزرگي از پيامها که به بسته هاي متعددي تقسيم شده است، به يک سرويس بر روي ماشين قرباني انجام مي پذيرد. تا زمانيکه « چيزي» در ميان ماشينها مهاجم و قرباني باعث قطع انتقال اين بسته هاي درخواست نشود، قرباني منابع قابل توجهي را به تلاش براي دريافت و اداره صحيح آنها اختصاص خواهد داد. اگر تعداد اين بسته ها کافي باشد، تمام منابع قرباني صرف تلاش براي اداره بسته هائي خواهد شد که هيچ ارزشي ندارند.
يکي ديگر از گزينه هاي DDoS، حمله به اينترفيس شبکه قرباني است. اگر کارت شبکه در ماشين قرباني مثلاً قادر به اداره 100 مگابيت برثانيه از ترافيک باشد، تنها کاري که يک مهاجم بايد انجام دهد اين است که صرفاً 100 مگابيت بر ثانيه( يا بيشتر) از هر نوع بسته هاي IP قابل تحويل را ايجاد کرده و آنها را براي قرباني ارسال نمايد. باز هم با فرض آنکه هيچ ماهيت ديگري در مسيراين بسته ها باعث کاهش ( drop) اين بسته ها نگردد، آنها به سادگي خواهند توانست تمام منابع شبکه قرباني را تخليه کرده و در عين حال، تراکم قابل ملاحظه اي را در مسير شبکه به قرباني، ايجاد کنند. اگر تعداد محدودي از بسته هاي قانوني در ميان اين جريان بزرگ بسته ها تهاجمي وجود داشته باشند، بعيد است که بتوانند به سرويس برسند.
مهاجم همچنين مي تواند شبکه محلي مورد حمله قراردهد که قرباني را به اينترنت متصل مي کند.اگر مهاجم بداند که قرباني به يک سگمنت شبکه 1 گيگابيت بر ثانيه اي متصل است،مي تواند بسته هاي کافي را براي قرباني و يا ساير گره هاي موجود بر روي آن سگمنت ارسال نموده و آن را غوطه ور سازد. اکثر شبکه ها زمانيکه ترافيک ارائه شده به آنها به ظرفيت اسميشان مي رسد،غيرقابل استفاده مي شوند و همين مسئله باعث مي شود تا هيچ ترافيک قانوني به قرباني نرسد. در اين شکل از حملات DDoS، تمام گره هاي ديگر موجود بر روي آن سگمنت شبکه نيز همانند قرباني با مشکل مواجه خواهند شد. اين مثال مي تواند يکي ازخصوصيات عجيب DDoS را نشان دهد: آسيبهاي بوجود آمده نه تنها قرباني، بلکه تمام کاربران قانوني آن( که نمي توانند به سرويس دستيابي پيدا کنند) و هرکس ديگري که در اين منابع مشترک است را تحت تأثير قرار خواهند داد.
براي نمونه، ممکن است مهاجم شبکه اي را هدف حمله خود قرار دهد که از همان ISP شما استفاده مي کند. چنانچه حجم حمله به اندازه کافي بالا باشد، ممکن است سرويس هاي شما نيز رد شوند.
حملات بالا، همگي براساس حجم بزرگي از ترافيک صورت مي گيرند.مهاجم گاهي اوقات مي تواند يک حمله Flooding مؤثر را با حجم بسيار کوچکتري از ترافيک ترتيب دهد. اگرقرباني در حال اجراي سرويسي باشد که زمان مورد نياز آن جهت پردازش يک درخواست راه دور بيشتر از زمان مورد نياز براي ايجاد آن در خواست باشد، يا اينکه آن سرويس به منابع کميابي بر روي سرور وابسته باشد، مهاجم مي تواند از اين عدم تقارن استفاده نمايد. حتي Burstهاي کوتاه و يا معدود از ترافيک بدخواهانه نيز خواهند توانست منابع حياتي را بصورت مؤثري درگير نمايند. يکي از مثالهاي متداول دراين زمينه، حمله TCP SYN Flood است. مهاجم، قرباني را در معرض سيلي از بسته هاي TCP SYN قرار مي دهد که معمولاً براي آغاز ارتباطات جديد مورد استفاده قرار مي گيرند. قرباني، مقداري حافظه را در يک بافر با اندازه محدود براي هريک از درخواستهاي ارتباط جديد رزرو مي کند، در حاليکه مهاجم مي تواند بدون صرف هرگونه حافظه اي اين درخواستها را ارسال نمايد.اين عدم تقارن به مهاجم کمک مي کند تا با وجود آنکه تعداد بسيار اندکي از بسته هاي TCP SYN را ارسال مي کند،هرارتباط جديدي را درطول اجراي حمله، غيرممکن سازد. همانطور که از اين توضيحات مشخص مي شود،فاصله ميان حملات Vulnerability و Flooding بسيار باريک است و بسياري از حملات مي توانند در حد فاصل ميان هر دو دسته بندي فوق قرار گيرند.
مهاجم چگونه مي تواند کنترل ماشينهائي را در اختيار بگيرد که به ديگران تعلق دارند؟ مأموران غالباً سيستمهائي با امنيت ضعيف هستند: آنها فاقد آخرين وصله ها( Patches) و يا ارتقاءهاي نرم افزاري هستند، از آنها توسط يک فايروال و يا ساير ابزارهاي امنيتي محافظت نمي شود و يا کاربران آنها از کلمات عبوري استفاده مي کنند که به آساني حدس زده مي شوند. مهاجم براي نفوذ، از اين حفره هاي شناخته شده استفاده مي کند. نرم افزارهاي قديمي که وصله هاي جديد بر روي آنها نصب نشده اند، داراي آسيب پذيريهائي شناخته شده اي هستند که ابزارهاي بهره برداري از آنها قبلاً نوشته شده اند. اين ابزارها به نوع خاصي از آسيب پذيري ها تعلق دارند که به محض استخراج، دسترسي نامحدودي به سيستم قرباني را در اختيار مهاجم قرار مي دهند، درست مانند آنکه وي يک Account سرپرستي دارد. Accountهائي که از کلمات عبوري استفاده مي کنند که به سادگي قابل حدس زدن هستند( نظير ترکيبي از نام کاربران و يا عبارات لغتنامه)، راه آسان ديگري را براي ورود به سيستم فراهم مي کنند. ابزارهاي متعددي براي حدس زدن کلمات عبور وجود دارند که اگر هريک از Accountهاي موجود بر روي يک ماشين از کلمه عبور ضعيفي استفاده نمايد، به سرعت آن را آشکار خواهند کرد. براي مثال، Phatbot تلاش مي کند تا با بکارگيري يک مجموعه بزرگ از کلمات عبور که بطور بسيار متداولي انتخاب مي شوند، با ميزبانهاي ويندوز ارتباط برقرار کرده و log-in نمايد. حتي اگر اينگونه برنامه ها Accountهائي را بيابند که فاقد امتيازات سرپرستي هستند، همچنان مي توان از اين دسترسي براي اجراي يک حمله DDoS استفاده نمود و يا با استخراج آسيب پذيريها، امتيازات آن را به سطح سرپرستي ارتقاء داد.
پس از آنکه مهاجم کنترل ميزبان را بدست آورد، مأمور حمله DDoS خود را بر روي آن نصب کرده،سپس اطمينان حاصل مي کند که تمام ردپاهاي اين نفوذ بخوبي مخفي شده اند و اينکه کد حتي پس از بوت شدن مجدد سيستم نيزاجرا خواهد شد.
حملات DDoS غالباً صدها و يا هزاران مأمور را به خدمت مي گيرند. اگر مهاجم مجبور باشد بصورت دستي به هريک از اين سيستمها نفوذ کند،با کاري طاقت فرسا و وقت گير مواجه خواهد بود. در عوض، ابزارهائي وجود دارند که ماشينهاي مأمور مستعد را بطورخودکار کشف نموده، به آنها نفوذ کرده، کد حمله را براساس يک فرمان ساده از سوي مهاجم نصب کرده و نهايتاً موفقيت اين فرآيند را به وي گزارش مي دهند. به آساني مي توان چنين ابزارهائي را ازاينترنت بارگذاري نموده و يا از کانالهاي گپ زني اينترنتي بدست آورد. علاوه بربه خدمت گرفتن مجموعه اي از مأمورين جديد، اين ابزارها با حفظ ردپاي مأموران و تأمين شيوه هاي آساني براي تحويل همزمان فرامين به تمام آنها، کنترل اين شبکه را نيز تسهيل مي کنند. تنها کاري که مهاجم بايد انجام دهد، صدور يک فرمان ساده است که درنتيجه آن،تمام مأموران کار حمله به قرباني را آغاز خواهند کرد.
يک لايه ديگر از مسيرهاي غيرمستقيم، شامل Log-on نمودن متوالي مهاجم بر روي ماشينهاي متعدد، پيش از دسترسي به Handlerها است. اين ماشينهاي ميانجي بين ماشين مهاجم و Handlerها را Stepping Stones مي نامند شکل(2).
هر دو نوع ماشينهاي Handler و Stepping Stone براي ممانعت از تلاشهاي جستجوئي مورد استفاده قرار مي گيرند. اگراولياي امور بتوانند موقعيت يک سيستم مأموررا شناسائي کرده و آن را مورد بازرسي قرار دهند، تمام ارتباطات آن به يکي از Handlerها اشاره خواهد داشت. بازرسي بيشتر Handler ممکن است يکي از ماشينهاي Stepping Stone را مشخص نمايد که به نوبه خود با يک ماشين Stepping Stone ديگر در ارتباط است. اگر Stepping Stone از کشورها و قاره هاي مختلفي انتخاب شده باشند( که غالباً همينطور است)، تعقيب ردپاي مهاجم و فاش کردن هويت وي تبديل به کاري بسيار دشوار خواهد شد.
يکي از شيوه هاي ديگر براي مبهم نمودن حمله، استفاده از IP Spoofing است. هر بسته دراينترنت، مقداري اطلاعات کنترلي را قبل از داده هاي محتوائي خود حمل مي کند که IP Header ناميده مي شود. يکي از فيلدهاي اين IP Header، آدرس فرستنده بسته را مشخص مي کند( فيلد IPSource). اين اطلاعات توسط ماشيني پرمي شوند که بسته ارسال مي کند( کاري نظير نوشتن آدرس فرستنده يا برگشت بر روي پاکت نامه) و ماشين مقصد يا روتري که در مسير ماشين مقصد قرار گرفته است از آن براي ارسال پاسخها به مبدأ فرستنده بسته استفاده مي کنند. مهاجمين معمولاً اين فيلد را جعل مي کنند تا از حملات احتمالي مصون مانده و کشف ماشينهاي مأمور را به تعويق بيندازند. درعين حال،IP Spoofing باعث مي شود تا برخي از شيوه هاي دفاعي DDoS که براي تمايز ميان کلاينتهاي قانوني و مهاجمين بر آدرسهاي مبدأ تکيه دارند،بطور قابل ملاحظه اي پيچيده شوند. يک مهاجم با استفاده از شيوه IP Spoofing به آساني مي تواند هويت يک کلاينت قانوني( و يا تعدادي از آنها را) تقليد نمايد.
حملات انکار سرويس بدون استفاده از تکنيک هاي توزيعي امکانپذير هستند، اما اينکارچالش هايي را براي مهاجم بوجود خواهد آورد. براي مثال، يک حمله DoS مبتني بر Flooding محض را در نظر بگيريد که از يک ماشين واحد با يک لينک 10 مگابيت برثانيه اي بر عليه يک ماشين قرباني که از لينک 100 مگابيت بر ثانيه اي استفاده مي کند،انجام مي شود. در چنين وضعيتي، مهاجم در هنگام تلاش براي به زانو درآوردن لينک قرباني، شبکه خودش را متراکم نموده و از رسيدن سرويس به خودش جلوگيري مي کند. مهاجم براي موفقيت در قطع ارتباطات قرباني، بايستي با يک ماشين مأمور که از منابع شبکه بيشتري نسبت به قرباني برخوردار است، همکاري نمايد. مکانيابي و نفوذ به چنين ماشيني مي تواند بسيار دشوار باشد، خصوصاً اگر سايتي با تدارکات مناسب، هدف حمله باشد.
حالا تصور کنيد که چه اتفاقي مي افتاد اگر همين حمله در يک وضعيت توزيع شده، مثلاً با استفاده از صد ماشين انجام مي شد. در اين وضعيت، هر ماشين مي تواند 1 مگابيت بر ثانيه ترافيک را براي قرباني ارسال نمايد. با اين فرض که تمام ماشينهاي مأمور از لينکهاي 10 مگابيت بر ثانيه اي استفاده مي کنند،هيچيک از آنها ترافيک کافي براي آسيب رساني جدي به شبکه محلي خودش را ايجاد نخواهد کرد . اما اينترنت، تمام اين ترافيک حمله را به قرباني تحويل خواهد داد که باعث انسداد لينک وي مي گردد. به اين ترتيب، سرويس قرباني قطع خواهد شد، در حاليکه مهاجمين کاملاً در وضعيت عملياتي قرار دارند.
استفاده از شيوه توزيع،مزاياي متعددي را براي مهاجم به همراه خواهد داشت:
- يک ماشين سرور معمولي، داراي منابع پردازشي،حافظه و پهناي باند بيشتري در مقايسه با يک ماشين کلاينت معمولي است. بنابراين،مهاجمي که از يک ماشين کلاينت معمولي استفاده مي کند، به سختي مي تواند پيش ازآنکه منابع خود را در زير ترافيک ايجاد شده غرق کند، منابع سرور را اشغال نمايد. مهاجم با استفاده از تکنيکهاي توزيع شده مي تواند منابع «طرف حمله کننده» را چند برابر نمايد و اين ويژگي به وي امکان مي دهد که ماشينهاي قدرتمندتري را در « طرف هدف» به زانو درآورد.
- براي متوقف نمودن يک حمله DDoS از يک مأمور واحد، مدافع تنها بايد آن مأمور را شناسائي کرده و سپس کارهائي را براي جلوگيري از ارسال چنين حجم بزرگي از ترافيک،انجام دهد. در بسياري از موارد، براي توقف حمله از يک ماشين کافي است که سرپرست انساني آن ماشين و يا اپراتور شبکه،واکنش نشان دهد. با اينحال،اگر 1000 مأمور در حمله شرکت داشته باشند، متوقف نمودن هريک از مأمورين به تنهائي، کمک بسيار ناچيزي به وضعيت قرباني خواهد نمود. تنها با متوقف نمودن اکثر و يا تمام آنها مي توان تأثير حمله DoS را کاهش داد. گماشتن هزاران نفر به انجام کارهاي لازم براي متوقف نمودن يک حمله از ماشينهايشان، يک چالش طاقت فرسا خواهد بود.
-اگر مهاجم، مأموراني را انتخاب کند که بطور گسترده اي در سراسر اينترنت پراکنده شده اند، تلاش جهت متوقف کردن حمله،دشوارتر خواهد شد زيرا تنها نقطه اي که تمام ترافيکهاي حمله با يکديگر ادغام مي شوند، در نزديکي قرباني قرار دارد. به اين موقعيت مکاني، نقطه تجمع ( PointAggreagation) گفته مي شود. ممکن است ساير گره هاي شبکه هيچ نشانه حاکي از وقوع يک حمله را تجربه نکنند و احتمالاً در تشخيص ترافيک حمله از ترافيک قانوني، مشکل خواهند داشت. بنابراين،آنها نمي توانند به دفاع در برابر حمله کمک کنند.
- در يک حمله DoS که از يک ماشين منفرد انجام مي شود، اين امکان وجود دارد که قرباني بتواند با کسب منابع بيشتر، خود را نجات دهد. براي مثال، ممکن است سرور وبي که بر اثر يک حمله به زانو درآمده بتواند ساير سرورهاي محلي را براي کمک به اداره فشار کاري اضافي، به خدمت بگيرد. صرفنظر از اينکه يک مأمور ممکن است تا چه اندازه قدرتمند باشد، مدافع مي تواند ظرفيت خود را تا زمانيکه از توانائي مهاجم براي ايجاد بار فراتر رود، افزايش دهد. اين شيوه براي دفاع در برابر حملات DDoS از کارآئي کمتري برخوردار است. اگر مدافع منابع خود را دوبرابر نمايد تا بتواند دو برابر درخواستهاي قبل را اداره کند، تنها کاري که مهاجم بايد انجام دهد اين است که تعداد مأمورين خود را دوبرابر نمايد و اين کار غالباً چندان دشوار نيست. جنبه ديگري نيز وجود دارد که اداره هر دو نوع حمله هاي DoS و DDoS را دشوار مي سازد: شيوه هاي دفاعي که در برابر بسياري از انواع ديگر حملات بخوبي کار مي کنند، لزوماً در برابر حملات انکار سرويس کارآئي نخواهند داشت.سالها به سرپرستان سيستم توصيه مي شد که يک فايروال را نصب کرده و پيکربندي آن را به روز نگهدارند،که درگاه هاي غيرضروري را بر روي تمام ماشينهاي خود ببندند، که از آخرين وصله هاي (Patches) سيستم عامل و ساير نرم افزارهاي مهم استفاده کنند و نهايتاً اينکه سيستمهاي تشخيص نفوذ( Intrusion Detection) را براي کشف حملاتي که براي رخنه در سنگرهاي دفاعي خارجي ترتيب داده شده بودند، اجرا نمايند. متأسفانه اين سنجشهاي امنيتي غالباً در برابر حملات انکار سرويس نمي توانند کمکي ارائه نمايند. حمله مي تواند شامل ترافيکي باشد که فايروال آن را قابل قبول تشخيص دهد، زيرا شباهت زيادي به ترافيک قانوني دارد. از آنجائيکه حمله DoS صرفاً به منظور اشغال منابع انجام مي شود،مي تواند بر روي هريک از درگاه هائي که باز مانده اند) شامل درگاه هائي که بايد براي يک گره باز بمانند تا بتواند به کارخود ادامه دهد( کار کند. مهاجمين مي توانند حملات DoS را بر روي ماشينهائي انجام دهند که هيچ آسيب پذيري ندارند) براساس تعريف استاندارد اين عبارت( بنابراين وصله هاي ارائه شده براي ترميم آسيب پذيريها، در اين زمينه کمک نخواهند کرد. از سوي ديگر، سيستمهاي تشخيص نفوذ نيز در مورد حملات DoS از ارزش محدودي برخوردارند زيرا برخلاف رخنه ها و سرقتهاي اطلاعاتي، حملاتي DoS به ندرت تلاش مي کنند تا خود را پنهان سازند. در نهايت، تمام هدف آنها اين است که در فرآيند کاري معمولي « وقفه» ايجاد کرده، رويدادي که معمولاً با جلب توجه همراه است.
متأسفانه، حملات DDoS به هيچوجه گمانه زني و يا تخيل نيستند. آنها بطور روزمره بر عليه دامنه گسترده اي از سايتها اتفاق مي افتند. علاوه بر چندين وقوع شناخته شده از حملات DDoS که بطور گسترده اي در رسانه هاي خبري گزارش شدند،مطالعات علمي نيز بر روي کثرت اين حملات انجام گرفته که واقعيت اين مشکل را به اثبات مي رسانند.
حملات DDoS در اين دسته بندي نمي گنجند. تعدادي از مطالعات اخير نشان مي دهند که حملات DDoS در شبکه هاي امروزي فوق العاده رايج هستند. با در نظر گرفتن اين موضوع که حملات DDoS معمولاً مؤثر هستند و مرتکبين آنها به ندرت گرفتار مي شوند، دلايل کافي براي اين نتيجه گيري که اين نوع حملات در آينده حتي رواج بيشتري پيدا خواهند کرد، وجود دارد. اندازه گيري کثرت هريک از شکلهاي حمله در اينترنت، بسيار دشوار است. قربانيان هميشه متوجه نمي شوند که مورد حمله قرار گرفته اند. حتي اگر به اين مسئله پي ببرند، غالباً در گزارش وقوع حمله به مقامات مربوطه قصور مي کنند برخي از سازمانها براي دستيابي به ديدگاهي در زمينه شيوع انواع مختلف حملات مجازي( Cyberattacks) و ميزان خساراتي که به بار مي آورند، از تکنيکهاي نمونه گيري استفاده مي کنند. بعنوان مثال، مي توان به گزارش ساليانه FBI در مورد جرائم مجازي اشاره کرد که براساس اطلاعات ارائه شده از سوي نزديک به 500 سازمان مختلف تهيه مي شود. در گزارش سال 2004، تقريباً يک پنجم از پاسخ دهندگان که بخاطر يک حمله متحمل خسارات مالي شده بودند، يک حمله DoS را تجربه کرده بودند. مجموع هزينه هاي گزارش شده از سوي اين شرکتها به بيش از 26 ميليون دلار مي رسيد. انکار سرويس بعنوان صدرنشين زيانهاي مالي در جرايم مجازي به حساب مي آيد. اينگونه مطالعات معمولاً مورد انتقاد قرار مي گيرند زيرا شيوه انجام آنها بصورت اجتناب ناپذيري در معرض محدوديتهاي خاصي قرار دارد، اما داده هاي نسبتاً بهتري نيز وجود دارند. شيوه مورد استفاده در اين بررسيها، تمايزي بين حملات DoS عادي و حملات توزيع شده( DDoS) قائل نمي شوند زيرا فن آوري مورد نياز براي اين تمايز، هنوز نابالغ است. در عين حال، محققين از تنوعي از تکنيکها استفاده مي کنند تا داده هاي مربوط به فراواني حملات DDoS و ساير خصوصيات آنها را مورد ارزيابي قرار دهند.
براي مثال، فرنام جهانيان از دانشگاه ميشيگان توانسته است فعاليتهاي شبکه را در MichNet ISP مشاهده نمايد. اين تأمين کننده شبکه،خدمات ISP را به مؤسسات دولتي و غيرانتفاعي در ايالت ميشيگان ارائه مي کند که شامل اکثر انستيتوهاي آموزشي در اين ايالت نيز مي شوند. در طول يک دوره زماني، تيم جهانيان داده هائي را جمع آوري کرده اند که نشان مي دهند حملات DDoS نسبتاً رايج هستند و بطور روزافزوني پيشرفته تر مي شوند. نتايج کامل تحقيقات جهانيان هنوز منتشر نشده است، اما قسمتهائي از اين نتايج قابل دسترس هستند.
تعدادي از محققين، وسايل فني گوناگوني را براي نتيجه گيري از اطلاعات مربوط به شيوع و مشخصات حملات DDoS در اينترنت، مورد ارزيابي قرار داده اند.
اگر حملات DDoS تا اين حد متداول هستند، چرا خبرهاي بيشتري در مورد آنها نمي شنويم؟ شواهد گردآوري شده توسط CAIDA و تيم جهانيان نشان مي دهند که اکثر حملات DDoS بر عليه اهداف نسبتاً کوچک مثلاً ماشينهاي خانگي( و در دوره هاي زماني کوتاه صورت انجام مي شوند. برخي از تحليلگران بر اين عقيده اند که بسياري از اين وقايع، بيانگر حملات هکرها به يکديگر هستند؛ هرچند که شواهد بسيار اندکي براي يک نتيجه گيري قوي در اين زمينه وجود دارد. مدت زمان کوتاه حملات DDoS باعث مي شود که آنها چيزي جز يک انسداد معمولي ديگر در شبکه به نظر نرسند. هنگاميکه يک کاربر بر روي يک لينک کليک کرده و براي يک يا دو دقيقه پاسخي دريافت نمي نمايد،احتمالاً به اين نتيجه خواهد رسيد که سرور بيش از حد مشغول است و يا اينکه موضوع به مشکلات متداول تراکم شبکه مربوط مي شود. در عين حال،بعيد به نظر مي رسد که اين کار متوجه مي شود که وي و يا به احتمال قوي تر، سرور مورد استفاده اش( هدف يک حمله DDoS قرار گرفته اند. بنابراين، در بسياري از موارد از حملات DDoS بدون توجه کافي چشم پوشي مي شود.
اگربسياري از حملات DDoS حتي توجه کسي را به خود جلب نمي کنند، چقدر بايد در مورد توجه به آنها جدي باشيم؟ اولاً، تعداد قابل توجه و فزاينده اي از حملات گسترده، جدي، پايدار و قدرتمند DDoS وجود دارند که صراحتاً با هدف انکار سرويس بر عليه سايتهاي مهم انجام مي پذيرند. ثانياً به خاطر داشته باشيد که حملات کوتاه و کوچک معمولاً به دليل تمايل مهاجم کوتاه و کوچک هستند، نه بخاطر ميزان توانائيهاي او. يک شبکه مأمور DDoS مي تواند حمله خود را ساعتها و حتي بصورت نامحدود ادامه دهد. همچنين، مهاجمين مي توانند ارتش عظيمي از مأموران را به خدمت بگيرند.اين تکنيکها کاملاً شناخته شده هستند و کارآئي آنها به اثبات رسيده است. تمام چيزي که باقي مي ماند، يک انگيزه کافي براي آنها است تا بطور گسترده اي جهت مقاصد ويرانگر مورد استفاده قرار گيرند.
حملات DDoS که در گذشته لينکهاي شبکه هاي بزرگ را از کار انداخته اند، نظير حمله اي که برعليه Uecomm استراليائي صورت گرفت، حجم ترافيکي در حدود 600000 بسته در ثانيه( pps) را شامل مي شدند. در حملات انجام شده بر روي سرورهاي DNS root( سال 2002) هريک از سرورها در هر ثانيه بين 100000 تا 200000 بسته را دريافت مي کرد. در بعضي موارد نظير حمله الجزيره در سال 2003، مهاجمين حجم ترافيک حمله را با توجه به افزايش ظرفيت شبکه توسط مدافعين به منظور اداره ترافيک، افزايش دادند. اين موضوع نشان مي دهد که مهاجمين قادر هستند در صورت لزوم قدرت حمله را به آساني افزايش دهند. بنابراين،بزرگي حمله بيشتر به احساس مهاجم در مورد کاري که مي خواهد انجام دهد مربوط مي شود تا حداکثر حجم ترافيکي که وي قادر به توليد آن است. در واقع، بسياري از حملات مخصوصاً از مجموعه اي با اندازه متوسط از شبکه هاي حمله مجزا استفاده مي کنند، تا تمام آنها را بطور همزمان در معرض ريسک کشف شدن قرار ندهند. تازه ترين مهاجمان، آموخته اند که استفاده از تمام منابعشان بطور همزمان، کار بيهوده اي است و در عوض، يک حمله را به آرامي گسترش مي دهند تا مدت نگهداري حمله در برابر فرسايش مأموران را به حداکثر ممکن برسانند.
شيوه Backscatter مورد استفاده توسط CAIDA، قادر به اندازه گيري حجم حملات نيز مي باشد. با در نظر گرفتن محدوديتهاي خاص اين شيوه که ممکن است باعث کاهش نتايج بدست آمده گردند، نيمي از حملاتي که توسط اين شيوه مورد نظارت قرار گرفتند داراي حجمي معادل 350 بسته در ثانيه و يا بيشتر از آن بوده اند. بر حسب نوع بسته ها، قابليتها و خطوط دفاعي هدف، اين حجم غالباً براي انکار سرويس کافي خواهد بود. بزرگترين حجمي که توسط CAIDA مورد سنجش قرار گرفته، شامل صدها هزار بسته در هر ثانيه بوده است. براي مثال، در حملات FloodTCP SYN بر عليه SCO که در نوامبر سال 2003 صورت گرفت، CAIDA برآورد نمود که سرور SCO در هر ثانيه بيش از 50000 بسته را در يک نقطه دريافت کرده و در يک دوره 32 ساعته، با بيش از 700 ميليون بسته حمله درگير بوده است. آنها برآورد مي کنند که 50000 بسته در هر ثانيه به معناي نزديک به 20 مگابيت بر ثانيه از ترافيک اينترنت در هر جهت است که تقريباً نيمي از ظرفيت يک خط DS45 3 مگابيت بر ثانيه را اشغال خواهد کرد.
تهيه آمارها در مورد تعداد ماشينهائي که درگير يک حمله هستند، کار دشوارتري است. شواهد گردآوري شده توسط دانشگاه مينسوتا که يکي از اولين حملات DDoS در سال 1999 بر عليه آن انجام شد نشان مي دهند که شبکه هاي حمله DDoS مي توانند از بيش از 2200 سيستم تشکيل شده باشند که صرفاً با استفاده از شيوه هاي نيمه خودکار«استخدام» مأموران جديد، به خدمت گرفته شده اند. اين حداقل تعداد شناخته شده است زيرا در اين حمله از جعل IP Spoofing(IP) استفاده نشده بود. در حملاتي که قالبهائي از جعل IP در آنها مورد استفاده قرار مي گيرند، شمارش محض تعداد آدرسها IP مشاهده شده در طول يک حمله DDoS خاص، بطور قابل ملاحظه اي در تعداد گره هاي درگير، غلو خواهد کرد.
شيوه ديگر اين است که تعداد ماشينها را از حجم مشاهده شده، برآورد نمائيم. بزرگترين حمله اي که توسط CAIDA مورد ارزيابي قرار گرفت، حجمي معادل 679000 بسته در هر ثانيه داشته است. تعداد بسته هائي که يک ماشين مي تواند در هر ثانيه ايجاد کند به عوامل متعددي نظير سرعت پردازنده و يا ارتباط شبکه آن بستگي دارد.
براي ماشينهائي که از لينکهاي 10 مگابيت بر ثانيه اي به اينترنت استفاده مي کنند، ايجاد 20000 بسته در هر ثانيه به معناي رسيدن به حداکثر ظرفيتشان خواهد بود. بنابراين، اگر فرض کنيم که بزرگترين حمله مشاهده شده توسط CAIDA از طريق يک گروه از چنين ماشينهائي انجام گرفته است، اين گروه بايد شامل 30 تا 40 ماشين مأمور باشد. در حمله ServerDNS که در بالا به آن اشاره کرديم، حداقل به 90 عدد از چنين ماشينهائي نياز خواهد بود. بسياري از ماشينها، از ارتباطات اينترنتي با سرعت فوق العاده پائينتر استفاده مي کنيد و در صورتيکه از اين ماشينها بعنوان مأمور استفاده شود، براي رسيدن به نرخهاي فوق بايستي تعداد بسيار بيشتري از آنها به خدمت گرفته شوند. براي مثال، اگر تمام مأموران براي ارتباط با اينترنت از لينکهاي 56 کيلوبيت بر ثانيه اي استفاده کنند، بزرگترين حمله مشاهده شده توسط CAIDA شامل حداقل 5800 مأمور بوده است. احتمالاً تعداد واقعي مأموران مورد استفاده در اين حمله، رقمي بين اين دو تخمين خواهد بود. حملات Reflected که در آنها ميزبانان حمله، بسته هاي جعلي حمله اي را ارسال مي کنند که باعث تعداد بسيار زيادي از سرورهاي قانوني در سراسر جهان را وادار به پاسخدهي خواهند کرد، حمله را به نسبت فوق العاده اي تشديد مي کنند. يکي از چنين حملات که بر عليه futuresite.register.com انجام گرفت شامل تعداد بسيار کمي از ميزبانان حمله بود، اما باز هم توانائي ايجاد يک سيل 60 تا 90 ميليون بيتي را در محل قرباني داشت.
ممکن است به اين فکر افتاده باشيد که مأموران DDoS از کجا مي آيند. اکثر متخصصين بر اين باورند که تعداد اندکي از مهاجمين براي اجراي حملات DDoS از ماشينهاي خودشان استفاده مي کنند، زيرا انجام چنين کاري باعث افزايش ريسک به دام افتادن آنها خواهد شد. در عوض، آنها ماشينهاي ديگري را از راه دور به خدمت گرفته و از آنها براي اجراي حمله استفاده مي کنند.اگرتسليم کردن يک ماشين دور، فرآيند دشواري بود که به هوش و توجه انساني نياز داشت، همين عامل باعث محدود شدن شدت تهديدهاي DDoS مي گرديد. با اينحال، تجربه نشان داده است که تکنيکهاي خودکار در زمينه به زانو درآوردن ماشينهاي دور تا حدود زيادي کارآمد هستند و به همين دليل مي توان از آنها در حملات DDoS بهره گيري نمود.
فقط براي آنکه متوجه شويد تسليم نمودن تعداد زيادي از ميزبانها تا چه اندازه آسان است، به موارد زير توجه کنيد:
- مايکروسافت اعلام کرد که ابزار پاکسازي( Cleanup MSBlast آنها از آگوست 2003 تا آوريل 2004 براي پاکسازي موفقيت آميز 5/9 ميليون ميزبان، بارگذاري شده و مورد استفاده قرار گرفته است. اين آمار به معناي نزديک به 1 ميليون کامپيوتر تسليم شده در هر ماه است.
- مايکروسافت در ماه مه سال 2004 اعلام کرد که 2 ميليون ميزبان آلوده به Sasser را پاکسازي نموده است.
- يک گزارش خبري حاکي از آن است که Symantec يک شبکه bot را با 400000 ميزبان شناسائي نموده است.
- يک سرپرست شبکه در هلند، بين 1 تا 2 ميليون آدرس IP منحصر بفرد مربوط به سرايت Phatbot را شناسائي کرد.
احتمالاً متداولترين شيوه براي به خدمت گرفتن مأموران، اجراي يک برنامه خودکار است که دامنه بزرگي از آدرسهاي IP را اسکن مي نمايد تا ماشينهائي را پيدا کند که مستعد شيوه هاي شناخته شده « مصالحه» هستند. اين برنامه ها که « ابزارهاي شيوع خودکار» و يا در مواردي Auto-Rooters براساس نام حساب سرپرستي سيستمهاي يونيکس که root ناميده مي شود، مقصود هکرها از اين نامگذاري « به زانو درآوردن و يا کسب امتيازاتي در سطوح بالاتر » است، عموماً در يافتن تعداد زيادي از ماشينهاي آسيب پذير کاملاً موفق هستند، خصوصاً اگر به روز رساني شده باشند تا بتوانند آخرين آسيب پذيريهاي کشف شده که به احتمال قوي هنوز وصله اي براي آنها ارائه نشده است را تشخيص دهند.
کرم اينترنتي و يا همان Worm، نهايت خودکارسازي يک فرآيند است: برنامه اي که به جستجوي ماشينهاي آسيب پذير پرداخته و آنها را با يک کپي از کد خود آلوده مي کند.کرمها با سرعت فوق العاده بالائي تکثير مي شوند. برخي از کرمها، از ارتش ماشينهاي آلوده شده خود اختصاصاً براي اجراي حملات DDoS استفاده مي کنند. کرمها حتي مي توانند کدي را براي اجراي حمله DDoS حمل کنند. براي مثال، Code Red طراحي شده بود تا يک حمله DDoS را از تمام گره هائي که به زانو درآورده است، بر روي يک آدرس IP مشخص اجرا نمايد. براساس تعدادي از برآوردها، Code Red موفق شد بيش از 250000 ماشين را آلوده نمايد. Code Red II بيش از 500000 ماشين را آلوده کرد. براساس گزارشات مايکروسافت، برآورد تعداد ماشينهائي که توسط کرمهاي W32/Blaster و W32/Sobig.F آلوده شدند، از ده ها هزار تا چند صد هزار دستگاه مي رسد. تازه برخي از تحليلگران معتقدند که اين آمار بسيار خوشبينانه است. بنابراين، کاملاً منطقي است که به حملات DDoS عظيمي فکر کنيم که از صدها هزار و يا حتي ميليونها نقطه در اينترنت سرچشمه گرفته اند.
حتي اگر ماشين شما در پشت يک NAT، يک فايروال و يا هر ساختار محافظتي ديگري (که مانع ورود مستقيم ترافيکهاي مختلف به آن مي شوند) قرار گرفته باشد، همچنان در برابر حملات DDoS پيشرفته تر، آسيب پذير هستيد. يک مهاجم خبره مي تواند ترافيکي را تکرار کرده و يا جعل نمايد که قاعدتاً مي تواند وارد سيستم شما شود. وي همچنين مي تواند با ايجاد سربار کاري بيش از حد بر روي سيستم NAT، فايروال،روتر و يا لينک شبکه، شما را بطور غيرمستقيم هدف يک حمله انکار سرويس قرار دهد. بعلاوه همانطور که قبلاً نيز توضيح داديم، سرپرستي دقيق سيستمها و شبکه، ضرورتاً شما را از يک حمله مصون نخواهد نمود. در حاليکه برخي از اصلاحات باعث جلوگيري از حملات Vulnerability خواهند شد، اما شما همچنان در معرض حملات بزرگ Flooding قرار داريد.
تدارکات سنگين، در قالب سرورهاي سترگ و ظرفيتهاي عظيم در شبکه مي تواند از شما در برابر بسياري از حملات DDoS محافظت نمايد، اما نمي تواند ايمني شما را تضمين کند. اگر مهاجم ماشينهاي کافي را براي اجراي حمله بر عليه شما به خدمت بگيرد، مي تواند هر مقدار ظرفيت« واقعي» که شما قادر به تأمين آن هستيد را اشغال نمايد. تصور کنيد براي تحمل حمله هاي DDoS انجام شده از طريق چند ميليون شبکه Phatbot که قبلاً به آنها اشاره کرديم، به چه ميزان تدارکاتي نياز خواهيد داشت.
با تمام اين موارد، کارهائي وجود دارند که شما مي توانيد براي کاهش ميزان آسيب پذيري خود در برابر حملات DDoS انجام دهيد و جذابيت کمتري بعنوان يک هدف داشته باشيد. تدارکات سنگين مي تواند به اين امرکمک کند، زيرا حملات اتفاقي که توسط هکرهائي با تعداد مأمورهاي محدود انجام مي شوند را بي اثر خواهد نمود. بستن آسيب پذيريها نيز کمک ديگري است، زيرا از حملات Vulnerability جلوگيري خواهد کرد. اگر محدود نگهداشتن نماي شبکه شما بعنوان يکي از خط مشيهاي سازمانتان به حساب مي آيد، مهاجمين ناچار خواهند بود تا پيش از آنکه بتوانند حمله اي را بر عليه شما ترتيب دهند،اطلاعات مبهمي را بدست آورند. گامهاي عملي براي تقويت شبکه تان و همچنين اقدامات واکنشي مؤثري در برابر حملات وجود دارند که مي توانند تأثير DoS را تخفيف دهند.
بطور کلي،شواهد حاکي از آن هستند که عملاً تمام حملات DDoS که تاکنون انجام شده اند، آنقدرها بد نيستند که تصور بدترين سناريوها نشان مي دهد مي توانند باشند. حتي اداره برخي از حملات گسترده بر روي سايتهاي اينترنتي مهم نيز چندان دشوار نبوده است، زيرا مدافعين از طبيعت حمله آگاه بوده و براي واکنش، به زمان اندکي نياز داشته اند. اگر شما به دسترس پذيري دائمي منابع خود بر روي اينترنت وابسته هستيد، مي توان گفت که يقيناً در خطر حملات DDoS قرار داريد. اما با کمي آگاهي، دورانديشي و آمادگي مي توانيد از فاجعه آميزبودن اين حملات بر روي سايت خود جلوگيري نمائيد.
حتي در صورتيکه بر اثر دورنماي تبديل شدن به يکي از قربانيان حملات DDoS به وحشت نيفتاده ايد،جنبه هاي ديگري از حملات DDoS مي توانند براي شما مشکل ساز باشند.مهاجم براي انجام يک حمله DDoS معمولاً تعداد زيادي از ماشينها را تسليم نموده و به خدمت مي گيرد. اگر ماشين شما در ميان آنها باشد، شما در بهترين حالت هيچ علاقه اي نداريد که منابع خود را با يک مجرم به اشتراک بگذاريد. بدتراينکه، ممکن است خودتان را براي بخشي از خساراتي که او به بار آورده است،مسئول بدانيد. همچنين ممکن است داده هاي حياتي شما توسط هکري که ماشين شما را تصرف کرده است، دزديده شده و يا آسيب ببينند.
منبع:نشريه بزرگراه رايانه، شماره 132.
هدف،شکل و تأثير يک حمله Denial-of-Service با اکثر حملاتي که بر عليه شبکه ها و کامپيوترها صورت مي گيرند، تفاوت دارد.اکثر مهاجميني که در جرائم الکترونيکي( Cybercrime) شرکت دارند، به دنبال نفوذ به درون يک سيستم، استخراج اسرارآن و يا فريب دادن آن به منظور ارائه سرويسي است که آنها مجاز به استفاده از آن نيستند. مهاجمين عموماً تلاش مي کنند تا شماره هاي کارتهاي اعتباري و يا اطلاعات اختصاصي را سرقت کرده،کنترل ماشينهاي ديگر را براي نصب نرم افزارها و يا ذخيره داده هاي خودشان بدست آورند، ظاهر صفحات وب را به هم بريزند و يا محتويات مهم موجود بر روي ماشينهاي قرباني را تغيير دهند. غالباً ماشينهاي تسليم شده توسط مهاجمين بعنوان منابعي ارزيابي مي شوند که مي توانند هرمقصودي که در حال حاضر براي آنها اهميت دارد را برآورده سازند.
در حملات DoS، نفوذ به تعداد زيادي از کامپيوترها و بدست آوردن کنترل بدخواهانه آنها،صرفاً اولين گام است. سپس مهاجم به اجراي خود حمله DoS مي پردازد که هدف متفاوتي دارد: ممانعت از سرويس دهي شبکه ها و يا کامپيوترهاي قرباني، به کاربران قانوني آنها. هيچ اطلاعاتي سرقت نمي شود،هيچ چيزي بر روي ماشينهاي قرباني تغييرنمي کند و هيچ دسترسي غيرمجازي روي نمي دهد. قرباني صرفاً ارائه سرويس به مشتريان معمولي خود را متوقف مي نمايد زيرا از قبل به اداره ترافيک حمله،مشغول شده است. در حاليکه هيچ دسترسي غيرمجازي به قرباني حمله DoS صورت نمي گيرد، تعداد زيادي از ميزبانهاي ديگرتوسط مهاجم به زانو درآورده و کنترل مي گردند تا از آنها بعنوان سلاح تهاجمي حمله فوق استفاده مي شود. دراکثر موارد، اينکار براساس تعريف قانوني آن يک « دسترسي غيرمجاز» است.
در حاليکه ممکن است تأثير انکار سرويس بر روي قرباني تا حدودي بي خطر به نظر برسد( خصوصاً وقتي اين موضوع را در نظر بگيريد که اين وضعيت تنها تا زماني ادامه دارد که حمله فعال است)، اما اين وضعيت مي تواند براي بسياري از کاربران شبکه، ويران کننده باشد. استفاده از سرويسهاي اينترنتي به يکي از بخشهاي مهم از زندگي روزمره ما تبديل شده است. اينترنت به طور روزافزوني براي هدايت امور تجاري و حتي در مواردي براي تأمين سرويسهاي حياتي، مورد استفاده قرار مي گيرد. در زير به تعدادي از اثرات مخرب حملات DoS اشاره مي کنيم:
- سايتهائي که از طريق سفارشات Online خدماتي را به کاربران خود ارائه مي کنند، تنها زماني درآمد کسب خواهند نمود که کاربران بتوانند به اين خدمات و سرويسها دسترسي داشته باشند. براي مثال،اگرمشتريان يک سايت بزرگ فروش کتاب نتوانند صفحات وب اين سايت را مرور کرده و محصولات مورد نظر خود را بصورت Online سفارش دهند، سايت مورد نظر نمي تواند کتابي را به مشتريان خود بفروشد. يک حمله DoS بر عليه چنين سايتي، مي تواند به معناي خسارت هنگفتي به درآمدهاي آن تا زمان پايان حمله باشد. حملات طولاني و يا مکرر نيز مي توانند آسيبهاي بلندمدتي را به اعتبار يک سايت وارد نمايند،زيرا مشترياني که نمي توانند به سرويسهاي مورد نظر خود دسترسي پيدا کنند، جذب سايتهاي رقيب خواهند شد. سايتهائي که اعتبار خود را از دست داده اند، به احتمال قوي در آينده براي جذب مشتريان و يا سرمايه گذاران جديد، با مشکل مواجه خواهند شد.
- موتورهاي جستجو و سايتهاي خبري بزرگ براي نمايش عمومي آگهي هاي تبليغاتي،مبالغي را از تبليغ کنندگان دريافت مي کنند.درآمد آنها به تعداد کاربراني بستگي دارد که از صفحه وب سايت بازديد مي کنند.يک حمله DoS بر عليه چنين سايتي مي تواند به معناي افت مستقيم درآمد آنها ازسوي تبليغ کنندگان باشد و همچنين مي تواند تأثير بلند مدت گرايش مشتريان به سايتهائي با دسترسي آسانتر را نيز به همراه داشته باشد.فقدان محبوبيت به معناي افت مستقيم تعداد قراردادها با تبليغ کنندگان است.
- بعضي از سايتها،سرويسهاي حياتي رايگاني را در اختيارکاربران اينترنت قرار مي دهند. براي مثال، سيستم نام حوزه( DNS) اينترنت، اطلاعات لازم براي ترجمه آدرسهاي قابل قرائت براي انسان( مثلاً www.example.com) به آدرسهاي IP( نظير 291.0.43.661) را تأمين مي کند. تمام مرورگرهاي وب و بسياري از نرم افزارهاي کاربردي ديگر براي آنکه بتوانند اطلاعات درخواستي کاربر را بازيابي کنند، به DNS متکي هستند. اگر سرورهاي DNS تحت يک حمله DoS قرار گرفته و بخاطر سربار بيش از حد قادر به پاسخگوئي نباشند، بسياري از سايتها بخاطر آنکه امکان تجزيه آدرسهاي آنها وجود ندارد، غيرقابل دسترسي خواهند شد،حتي اگر Online بوده و توانائي اداره ترافيک مورد نياز را داشته باشند. اين مسئله، DNS را به يکي از زيرساختارهاي حياتي تبديل مي کند و ساير بخشهاي زيرساختار اينترنت که از اهميت مشابهي برخوردارند نيز آسيب پذير هستند.
- بسياري از بنگاه هاي تجاري، براي فعاليتهاي روزمره خود به اينترنت وابسته شده اند. يک حمله DoS مي تواند باعث قطع يک مذاکره بسيار مهم از طريق ويديو کنفرانس و يا لغو سفارش يک مشتري بزرگ شود. چنين حمله اي ممکن است مانع از آن شود که يک شرکت بتواند يک سند مهم براي يک مهلت در حال اتمام را ارسال کرده و يا پيشنهاد خود را براي يک قرارداد بسيار بزرگ مطرح نمايد.
- اينترنت بطور روزافزوني براي تسهيل مديريت سرويسهاي عمومي نظير برق، آب، فاضلاب و تحويل اطلاعات حياتي در زمينه فعاليتهاي مهمي نظير گزارشات ترافيکي و يا هواشناسي جهت پهلوگيري کشتيها، مورد استفاده قرار مي گيرد. يک حمله DoS که چنين سرويسهاي حياتي را قطع مي کند، حتي بر افرادي که فعاليتهاي آنها به کامپيوتر و يا اينترنت وابسته نيست نيز مستقيماً تأثير خواهد گذاشت. چنين حمله اي حتي مي تواند زندگي انسانها را به خطر بيندازد.
- تعداد کثيري از مردم بطور روزانه براي سرگرمي و يا برقراري ارتباط با خانواده و يا دوستان خود،ازاينترنت استفاده مي کنند. عليرغم آنکه يک حمله DoS که باعث قطع چنين فعاليتهائي مي شود احتمالاً آسيب جدي به آنها وارد نمي کند،اما يقيناً يک تجربه ناخوشايند است که آنها تمايلي به روبرو شدن با آن ندارند. اگر چنين مزاحمتهائي به دفعات روي دهند، احتمالاً مردم ديگر از اينترنت براي چنين مقاصدي استفاده نخواهند کرد و به دنبال فن آوريهاي قابل اعتمادتري خواهند بود.
اهداف هکر
برخي از حملات DoS اوليه با هدف اثبات يک مدعا و يا يک شوخي ساده توسط هکرها صورت مي گرفتند. هدف نهائي آنها اين بود که ثابت کنند که کاري نظير از کار انداختن يک سايت بزرگ و محبوب، کاملاً امکانپذير است. دستيابي به چنين موفقيت بزرگي، باعث به شهرت رسيدن يک هکر در ميان انجمنهاي زيرزميني مي گرديد.
در بسياري از موارد، مهاجمين براي حاکميت ازطريق انکار سرويس،به مبارزه با يکديگر مي پردازند. کانالهاي گپ زني( Chat) اينترنتي، يکي از منابع مهم جستجوها براي مهاجمين بوده و هستند. معمولاً از آنها براي هماهنگ سازي چندين ماشين حمله و همچنين تبادل کد و اطلاعات غيرقانوني با ساير مهاجمين استفاده مي شود. کاربري که کانال را ايجاد کرده و دسترسي به آن را کنترل مي کند، غالباً Operator, Moderator و يا Owner ناميده مي شود. يکي از شيوه هاي آسان براي تصرف يک کانال( و در عين حال،تمام ماشينهاي حمله اي که از طريق اين کانال کنترل مي شوند) و تسلط بر تمام ارتباطات آن، انجام يک حمله DoS برعليهModerator فعلي آن است. زمانيکه ماشين يک Moderator به وضعيت Offline مي رود، يک کاربر ديگر مي تواند کنترل کانال را در اختيار بگيرد. علاوه بر اين« برتري جوئي»، مهاجمين ممکن است از حملات DoS به منظور انتقام گيري استفاده نمايند. هکري که ماشين وي بخاطر چنين حمله اي Offline شده است، احتمالاً به يک اقدام تلافي جويانه برعليه مسبب آن دست خواهد زد. افرادي که به خود جرأت مي دهند در محافل عمومي از هکرها انتقاد نمايند نيز در معرض انتقامهاي DoS قرار دارند.
يکي از انگيزه هاي متداول ديگر براي حملات DoS، دلايل سياسي است. افراد يا گروه هائي که مخالف ديدگاه ها و يا فعاليتهاي يک سازمان( يک سايت رسانه اي Online، يک شرکت و يا يک دولت) هستند، گهگاه اقدام به اجراي يک حمله DoS بر عليه کامپيوترها و يا شبکه هاي آن سازمان مي نمايند.اگر يک شرکت « هدف» حمله قرار گرفته باشد، مي توان به انگيزه يک شرکت رقيب براي تصرف قسمتي ازسهم بازار قرباني مشکوک بود. تا کنون اجراي هيچ حمله اي با اين انگيزه، به اثبات نرسيده است. با اينحال، نواقص بسيار زيادي در اطلاعات مربوط به مرتکبين حملات DoS و انگيزه هاي آنها وجود دارد. اکثريت قابل توجهي از اين حملات اصولاً گزارش نمي شوند و شرکتها به تنها اقدام به بررسي آنها مي کنند. از ميان مواردي که تحت بررسيهاي مشروح و دقيق قرار مي گيرند نيز،تنها تعداد بسيار محدودي حاوي شواهد کافي براي شناسائي انگيزه واقعي خود هستند.به همين دليل است که امکان توسل برخي از شرکتهاي تجاري به چنين ابزارهائي براي رقابت در فضاي خارج از بازار تجاري، وجود دارد.
اخيراً تعدادي از اين حملات، بعنوان بخشي از يک تلاش براي اخاذي صورت گرفته اند. مهاجمين با تهديد يک تجارت Online از طريق حملات انکار سرويس، براي بازگرداندن امنيت به آن تقاضاي « باج» کرده اند. سايتهائي که از پرداخت اين مبالغ خودداري مي کنند، با حملاتي در مقياسهاي کوچک « متقاعد» مي شوند.
روانکاوي فرد مهاجم
گونه ديگري از مرتکبين حملات DoS، هکرهاي باتجربه اي هستند که از ابزارهاي مختلفي براي مخفي کردن ماهيت خود استفاده کرده و تغييرات زيرکانه اي را در الگوي ترافيک خود بوجود مي آورند تا از خطوط دفاعي عبور کنند. عليرغم آنکه اين حملات در مقايسه با نمونه هاي ساده تر شيوع کمتري دارند، بسيار ناگوار بوده و اداره آنها فوق العاده دشوار است. هکرهاي حرفه اي گاهي اوقات براساس تمايلات شخصي خود عمل مي کنند( مثلاً براي برتري جوئي نسبت به ساير همتايان و يا انتقام گرفتن از آنها)، اما در مواردي نيز توسط حرکتهاي زيرزميني و يا سازمانهاي تبهکاري به خدمت گرفته مي شوند.
خطرناک ترين مهاجم احتمالي، يک مدعي ايالتي/ ملي است که منابع و مهارت قابل توجهي براي نوشتن ابزارهاي مورد نياز خود در اختيار دارد، از تکنيکهاي کنترل و فرمانهاي پيشرفته اي استفاده مي کند و از منابع اطلاعاتي بهره مي برد که دستيابي به آنها بسيار دشوار است. چنين مهاجمي قادر است تأثيرات بسيار ماهرانه اي را ايجاد نمايد که با استفاده از ابزارها و يا شيوه هاي رايج، حتي به سختي مي توان متوجه آنها شد. بعلاوه، خود ابزارهاي نظارتي نيز مي توانند آسيب پذيريهائي داشته باشند که باعث مخفي ماندن حضور يک حمله شود. امروزه نمي توان هيچيک از حملات DDoS را با اطمينان به اين عاملان ايالتي/ کشوري نسبت داد، اما آنها بطور ذاتي در زمينه پنهان نمودن ردپاهاي خود عملکرد بهتري دارند. اگر تاکنون چنين حمله اي اتفاق نيفتاده باشد، دليلي وجود ندارد که در آينده نيز با چنين مشکلي مواجه نشويم.
روش حمله
حملات Vulnerability با ارسال تعداد محدودي پيام که داراي چيدمان خاصي هستند، به نرم افزار کاربردي هدف که از يک آسيب پذيري رنج مي برد،انجام مي شود. اين آسيب پذيري معمولاً يک باگ نرم افزاري در پياده سازي و يا يک باگ در پيکربندي پيش فرض يک سرويس معين است. پيامهاي بدخواهانه فرستاده شده از سوي مهاجم،يک ورودي غيرمنتظره را بوجود مي آورند که برنامه نويس آن را پيش بيني نکرده است. اين پيامها باعث مي گردند که نرم افزار کاربردي هدف، وارد يک حلقه بي انتها شود. اين موضوع باعث کاهش سرعت،مشکل در عملکرد، از کار افتادن و يا حتي Reboot شدن يک سيستم گرديده و يا حجم انبوهي از حافظه آن را مصرف کرده و باعث عدم سرويس دهي به کاربران قانوني شود. به اين فرآيند، بهره برداري از يک آسيب پذيري گفته مي شود. در بعضي از موارد، چنين آسيب پذيري هايي را مي توان از سيستم عامل، يک قطعه رايج از Middleware، يک پروتکل شبکه و يا برنامه هاي کاربردي استخراج نمود. در حاليکه شناسائي تمام آسيب پذيري ها تقريباً غيرممکن است، شناسائي و کشف بهره برداريهاي جديد نيز کار بسيار دشواري است. اين بدان معني است که شناسائي و اصلاح هريک از اين آسيب پذيريها،يک موفقيت بسيار مهم بوده و يک قدم مطمئن براي مدافعين است.
حملات Flooding، با ارسال تعداد انبوهي از پيامها انجام مي شود که پردازش آنها، مقداري از منابع کليدي هدف را مصرف خواهد کرد. براي نمونه، ممکن است پيامهاي پيچيده به فرآيندهاي پردازشي طولاني نياز داشته باشند که سيکلهاي CPU را به خود اختصاص مي دهند، پيامهاي بزرگ باعث اشغال پهناي باند مي شوند و پيامهائي که ارتباطاتي را با کلاينتهاي جديد آغاز مي کنند، حافظه را اشغال مي کنند.به محض آنکه منابع کليدي توسط حمله تصرف مي شوند، کاربران قانوني ديگر قادر به دريافت سرويس نخواهند بود. ويژگي تعيين کننده حملات Flooding در اين است که قدرت آنها در حجم نهفته است، نه در محتوايشان. دو مفهوم بسيار مهم در اين زمينه وجود دارد:
1- مهاجمين مي توانند تنوعي از بسته ها را ارسال کنند. مي توان ترافيک حمله را بصورت کاملاً دلخواهي شبيه به ترافيک قانوني ايجاد کرد که باعث ممانعت از دفاع در برابر حمله خواهد شد.
2- جريان حمله بايد آنقدر بزرگ باشد که منابع هدف را مصرف نمايد.مهاجم معمولاً بايد براي ارسال ترافيک حمله از چند ماشين استفاده نمايد. به همين دليل،حملات Flooding از حملات DDoS متداول به شمار مي روند.
ساده ترين قالب يک حمله DDoS، صرفاً بصورت ارسال کميت بسيار بزرگي از پيامها که به بسته هاي متعددي تقسيم شده است، به يک سرويس بر روي ماشين قرباني انجام مي پذيرد. تا زمانيکه « چيزي» در ميان ماشينها مهاجم و قرباني باعث قطع انتقال اين بسته هاي درخواست نشود، قرباني منابع قابل توجهي را به تلاش براي دريافت و اداره صحيح آنها اختصاص خواهد داد. اگر تعداد اين بسته ها کافي باشد، تمام منابع قرباني صرف تلاش براي اداره بسته هائي خواهد شد که هيچ ارزشي ندارند.
يکي ديگر از گزينه هاي DDoS، حمله به اينترفيس شبکه قرباني است. اگر کارت شبکه در ماشين قرباني مثلاً قادر به اداره 100 مگابيت برثانيه از ترافيک باشد، تنها کاري که يک مهاجم بايد انجام دهد اين است که صرفاً 100 مگابيت بر ثانيه( يا بيشتر) از هر نوع بسته هاي IP قابل تحويل را ايجاد کرده و آنها را براي قرباني ارسال نمايد. باز هم با فرض آنکه هيچ ماهيت ديگري در مسيراين بسته ها باعث کاهش ( drop) اين بسته ها نگردد، آنها به سادگي خواهند توانست تمام منابع شبکه قرباني را تخليه کرده و در عين حال، تراکم قابل ملاحظه اي را در مسير شبکه به قرباني، ايجاد کنند. اگر تعداد محدودي از بسته هاي قانوني در ميان اين جريان بزرگ بسته ها تهاجمي وجود داشته باشند، بعيد است که بتوانند به سرويس برسند.
مهاجم همچنين مي تواند شبکه محلي مورد حمله قراردهد که قرباني را به اينترنت متصل مي کند.اگر مهاجم بداند که قرباني به يک سگمنت شبکه 1 گيگابيت بر ثانيه اي متصل است،مي تواند بسته هاي کافي را براي قرباني و يا ساير گره هاي موجود بر روي آن سگمنت ارسال نموده و آن را غوطه ور سازد. اکثر شبکه ها زمانيکه ترافيک ارائه شده به آنها به ظرفيت اسميشان مي رسد،غيرقابل استفاده مي شوند و همين مسئله باعث مي شود تا هيچ ترافيک قانوني به قرباني نرسد. در اين شکل از حملات DDoS، تمام گره هاي ديگر موجود بر روي آن سگمنت شبکه نيز همانند قرباني با مشکل مواجه خواهند شد. اين مثال مي تواند يکي ازخصوصيات عجيب DDoS را نشان دهد: آسيبهاي بوجود آمده نه تنها قرباني، بلکه تمام کاربران قانوني آن( که نمي توانند به سرويس دستيابي پيدا کنند) و هرکس ديگري که در اين منابع مشترک است را تحت تأثير قرار خواهند داد.
براي نمونه، ممکن است مهاجم شبکه اي را هدف حمله خود قرار دهد که از همان ISP شما استفاده مي کند. چنانچه حجم حمله به اندازه کافي بالا باشد، ممکن است سرويس هاي شما نيز رد شوند.
حملات بالا، همگي براساس حجم بزرگي از ترافيک صورت مي گيرند.مهاجم گاهي اوقات مي تواند يک حمله Flooding مؤثر را با حجم بسيار کوچکتري از ترافيک ترتيب دهد. اگرقرباني در حال اجراي سرويسي باشد که زمان مورد نياز آن جهت پردازش يک درخواست راه دور بيشتر از زمان مورد نياز براي ايجاد آن در خواست باشد، يا اينکه آن سرويس به منابع کميابي بر روي سرور وابسته باشد، مهاجم مي تواند از اين عدم تقارن استفاده نمايد. حتي Burstهاي کوتاه و يا معدود از ترافيک بدخواهانه نيز خواهند توانست منابع حياتي را بصورت مؤثري درگير نمايند. يکي از مثالهاي متداول دراين زمينه، حمله TCP SYN Flood است. مهاجم، قرباني را در معرض سيلي از بسته هاي TCP SYN قرار مي دهد که معمولاً براي آغاز ارتباطات جديد مورد استفاده قرار مي گيرند. قرباني، مقداري حافظه را در يک بافر با اندازه محدود براي هريک از درخواستهاي ارتباط جديد رزرو مي کند، در حاليکه مهاجم مي تواند بدون صرف هرگونه حافظه اي اين درخواستها را ارسال نمايد.اين عدم تقارن به مهاجم کمک مي کند تا با وجود آنکه تعداد بسيار اندکي از بسته هاي TCP SYN را ارسال مي کند،هرارتباط جديدي را درطول اجراي حمله، غيرممکن سازد. همانطور که از اين توضيحات مشخص مي شود،فاصله ميان حملات Vulnerability و Flooding بسيار باريک است و بسياري از حملات مي توانند در حد فاصل ميان هر دو دسته بندي فوق قرار گيرند.
ساختار تشکيلاتي ارتش مهاجم
مهاجم چگونه مي تواند کنترل ماشينهائي را در اختيار بگيرد که به ديگران تعلق دارند؟ مأموران غالباً سيستمهائي با امنيت ضعيف هستند: آنها فاقد آخرين وصله ها( Patches) و يا ارتقاءهاي نرم افزاري هستند، از آنها توسط يک فايروال و يا ساير ابزارهاي امنيتي محافظت نمي شود و يا کاربران آنها از کلمات عبوري استفاده مي کنند که به آساني حدس زده مي شوند. مهاجم براي نفوذ، از اين حفره هاي شناخته شده استفاده مي کند. نرم افزارهاي قديمي که وصله هاي جديد بر روي آنها نصب نشده اند، داراي آسيب پذيريهائي شناخته شده اي هستند که ابزارهاي بهره برداري از آنها قبلاً نوشته شده اند. اين ابزارها به نوع خاصي از آسيب پذيري ها تعلق دارند که به محض استخراج، دسترسي نامحدودي به سيستم قرباني را در اختيار مهاجم قرار مي دهند، درست مانند آنکه وي يک Account سرپرستي دارد. Accountهائي که از کلمات عبوري استفاده مي کنند که به سادگي قابل حدس زدن هستند( نظير ترکيبي از نام کاربران و يا عبارات لغتنامه)، راه آسان ديگري را براي ورود به سيستم فراهم مي کنند. ابزارهاي متعددي براي حدس زدن کلمات عبور وجود دارند که اگر هريک از Accountهاي موجود بر روي يک ماشين از کلمه عبور ضعيفي استفاده نمايد، به سرعت آن را آشکار خواهند کرد. براي مثال، Phatbot تلاش مي کند تا با بکارگيري يک مجموعه بزرگ از کلمات عبور که بطور بسيار متداولي انتخاب مي شوند، با ميزبانهاي ويندوز ارتباط برقرار کرده و log-in نمايد. حتي اگر اينگونه برنامه ها Accountهائي را بيابند که فاقد امتيازات سرپرستي هستند، همچنان مي توان از اين دسترسي براي اجراي يک حمله DDoS استفاده نمود و يا با استخراج آسيب پذيريها، امتيازات آن را به سطح سرپرستي ارتقاء داد.
پس از آنکه مهاجم کنترل ميزبان را بدست آورد، مأمور حمله DDoS خود را بر روي آن نصب کرده،سپس اطمينان حاصل مي کند که تمام ردپاهاي اين نفوذ بخوبي مخفي شده اند و اينکه کد حتي پس از بوت شدن مجدد سيستم نيزاجرا خواهد شد.
حملات DDoS غالباً صدها و يا هزاران مأمور را به خدمت مي گيرند. اگر مهاجم مجبور باشد بصورت دستي به هريک از اين سيستمها نفوذ کند،با کاري طاقت فرسا و وقت گير مواجه خواهد بود. در عوض، ابزارهائي وجود دارند که ماشينهاي مأمور مستعد را بطورخودکار کشف نموده، به آنها نفوذ کرده، کد حمله را براساس يک فرمان ساده از سوي مهاجم نصب کرده و نهايتاً موفقيت اين فرآيند را به وي گزارش مي دهند. به آساني مي توان چنين ابزارهائي را ازاينترنت بارگذاري نموده و يا از کانالهاي گپ زني اينترنتي بدست آورد. علاوه بربه خدمت گرفتن مجموعه اي از مأمورين جديد، اين ابزارها با حفظ ردپاي مأموران و تأمين شيوه هاي آساني براي تحويل همزمان فرامين به تمام آنها، کنترل اين شبکه را نيز تسهيل مي کنند. تنها کاري که مهاجم بايد انجام دهد، صدور يک فرمان ساده است که درنتيجه آن،تمام مأموران کار حمله به قرباني را آغاز خواهند کرد.
هويت مهاجم
يک لايه ديگر از مسيرهاي غيرمستقيم، شامل Log-on نمودن متوالي مهاجم بر روي ماشينهاي متعدد، پيش از دسترسي به Handlerها است. اين ماشينهاي ميانجي بين ماشين مهاجم و Handlerها را Stepping Stones مي نامند شکل(2).
هر دو نوع ماشينهاي Handler و Stepping Stone براي ممانعت از تلاشهاي جستجوئي مورد استفاده قرار مي گيرند. اگراولياي امور بتوانند موقعيت يک سيستم مأموررا شناسائي کرده و آن را مورد بازرسي قرار دهند، تمام ارتباطات آن به يکي از Handlerها اشاره خواهد داشت. بازرسي بيشتر Handler ممکن است يکي از ماشينهاي Stepping Stone را مشخص نمايد که به نوبه خود با يک ماشين Stepping Stone ديگر در ارتباط است. اگر Stepping Stone از کشورها و قاره هاي مختلفي انتخاب شده باشند( که غالباً همينطور است)، تعقيب ردپاي مهاجم و فاش کردن هويت وي تبديل به کاري بسيار دشوار خواهد شد.
يکي از شيوه هاي ديگر براي مبهم نمودن حمله، استفاده از IP Spoofing است. هر بسته دراينترنت، مقداري اطلاعات کنترلي را قبل از داده هاي محتوائي خود حمل مي کند که IP Header ناميده مي شود. يکي از فيلدهاي اين IP Header، آدرس فرستنده بسته را مشخص مي کند( فيلد IPSource). اين اطلاعات توسط ماشيني پرمي شوند که بسته ارسال مي کند( کاري نظير نوشتن آدرس فرستنده يا برگشت بر روي پاکت نامه) و ماشين مقصد يا روتري که در مسير ماشين مقصد قرار گرفته است از آن براي ارسال پاسخها به مبدأ فرستنده بسته استفاده مي کنند. مهاجمين معمولاً اين فيلد را جعل مي کنند تا از حملات احتمالي مصون مانده و کشف ماشينهاي مأمور را به تعويق بيندازند. درعين حال،IP Spoofing باعث مي شود تا برخي از شيوه هاي دفاعي DDoS که براي تمايز ميان کلاينتهاي قانوني و مهاجمين بر آدرسهاي مبدأ تکيه دارند،بطور قابل ملاحظه اي پيچيده شوند. يک مهاجم با استفاده از شيوه IP Spoofing به آساني مي تواند هويت يک کلاينت قانوني( و يا تعدادي از آنها را) تقليد نمايد.
فريب دادن خدمات متداول شبکه
حملات انکار سرويس بدون استفاده از تکنيک هاي توزيعي امکانپذير هستند، اما اينکارچالش هايي را براي مهاجم بوجود خواهد آورد. براي مثال، يک حمله DoS مبتني بر Flooding محض را در نظر بگيريد که از يک ماشين واحد با يک لينک 10 مگابيت برثانيه اي بر عليه يک ماشين قرباني که از لينک 100 مگابيت بر ثانيه اي استفاده مي کند،انجام مي شود. در چنين وضعيتي، مهاجم در هنگام تلاش براي به زانو درآوردن لينک قرباني، شبکه خودش را متراکم نموده و از رسيدن سرويس به خودش جلوگيري مي کند. مهاجم براي موفقيت در قطع ارتباطات قرباني، بايستي با يک ماشين مأمور که از منابع شبکه بيشتري نسبت به قرباني برخوردار است، همکاري نمايد. مکانيابي و نفوذ به چنين ماشيني مي تواند بسيار دشوار باشد، خصوصاً اگر سايتي با تدارکات مناسب، هدف حمله باشد.
حالا تصور کنيد که چه اتفاقي مي افتاد اگر همين حمله در يک وضعيت توزيع شده، مثلاً با استفاده از صد ماشين انجام مي شد. در اين وضعيت، هر ماشين مي تواند 1 مگابيت بر ثانيه ترافيک را براي قرباني ارسال نمايد. با اين فرض که تمام ماشينهاي مأمور از لينکهاي 10 مگابيت بر ثانيه اي استفاده مي کنند،هيچيک از آنها ترافيک کافي براي آسيب رساني جدي به شبکه محلي خودش را ايجاد نخواهد کرد . اما اينترنت، تمام اين ترافيک حمله را به قرباني تحويل خواهد داد که باعث انسداد لينک وي مي گردد. به اين ترتيب، سرويس قرباني قطع خواهد شد، در حاليکه مهاجمين کاملاً در وضعيت عملياتي قرار دارند.
استفاده از شيوه توزيع،مزاياي متعددي را براي مهاجم به همراه خواهد داشت:
- يک ماشين سرور معمولي، داراي منابع پردازشي،حافظه و پهناي باند بيشتري در مقايسه با يک ماشين کلاينت معمولي است. بنابراين،مهاجمي که از يک ماشين کلاينت معمولي استفاده مي کند، به سختي مي تواند پيش ازآنکه منابع خود را در زير ترافيک ايجاد شده غرق کند، منابع سرور را اشغال نمايد. مهاجم با استفاده از تکنيکهاي توزيع شده مي تواند منابع «طرف حمله کننده» را چند برابر نمايد و اين ويژگي به وي امکان مي دهد که ماشينهاي قدرتمندتري را در « طرف هدف» به زانو درآورد.
- براي متوقف نمودن يک حمله DDoS از يک مأمور واحد، مدافع تنها بايد آن مأمور را شناسائي کرده و سپس کارهائي را براي جلوگيري از ارسال چنين حجم بزرگي از ترافيک،انجام دهد. در بسياري از موارد، براي توقف حمله از يک ماشين کافي است که سرپرست انساني آن ماشين و يا اپراتور شبکه،واکنش نشان دهد. با اينحال،اگر 1000 مأمور در حمله شرکت داشته باشند، متوقف نمودن هريک از مأمورين به تنهائي، کمک بسيار ناچيزي به وضعيت قرباني خواهد نمود. تنها با متوقف نمودن اکثر و يا تمام آنها مي توان تأثير حمله DoS را کاهش داد. گماشتن هزاران نفر به انجام کارهاي لازم براي متوقف نمودن يک حمله از ماشينهايشان، يک چالش طاقت فرسا خواهد بود.
-اگر مهاجم، مأموراني را انتخاب کند که بطور گسترده اي در سراسر اينترنت پراکنده شده اند، تلاش جهت متوقف کردن حمله،دشوارتر خواهد شد زيرا تنها نقطه اي که تمام ترافيکهاي حمله با يکديگر ادغام مي شوند، در نزديکي قرباني قرار دارد. به اين موقعيت مکاني، نقطه تجمع ( PointAggreagation) گفته مي شود. ممکن است ساير گره هاي شبکه هيچ نشانه حاکي از وقوع يک حمله را تجربه نکنند و احتمالاً در تشخيص ترافيک حمله از ترافيک قانوني، مشکل خواهند داشت. بنابراين،آنها نمي توانند به دفاع در برابر حمله کمک کنند.
- در يک حمله DoS که از يک ماشين منفرد انجام مي شود، اين امکان وجود دارد که قرباني بتواند با کسب منابع بيشتر، خود را نجات دهد. براي مثال، ممکن است سرور وبي که بر اثر يک حمله به زانو درآمده بتواند ساير سرورهاي محلي را براي کمک به اداره فشار کاري اضافي، به خدمت بگيرد. صرفنظر از اينکه يک مأمور ممکن است تا چه اندازه قدرتمند باشد، مدافع مي تواند ظرفيت خود را تا زمانيکه از توانائي مهاجم براي ايجاد بار فراتر رود، افزايش دهد. اين شيوه براي دفاع در برابر حملات DDoS از کارآئي کمتري برخوردار است. اگر مدافع منابع خود را دوبرابر نمايد تا بتواند دو برابر درخواستهاي قبل را اداره کند، تنها کاري که مهاجم بايد انجام دهد اين است که تعداد مأمورين خود را دوبرابر نمايد و اين کار غالباً چندان دشوار نيست. جنبه ديگري نيز وجود دارد که اداره هر دو نوع حمله هاي DoS و DDoS را دشوار مي سازد: شيوه هاي دفاعي که در برابر بسياري از انواع ديگر حملات بخوبي کار مي کنند، لزوماً در برابر حملات انکار سرويس کارآئي نخواهند داشت.سالها به سرپرستان سيستم توصيه مي شد که يک فايروال را نصب کرده و پيکربندي آن را به روز نگهدارند،که درگاه هاي غيرضروري را بر روي تمام ماشينهاي خود ببندند، که از آخرين وصله هاي (Patches) سيستم عامل و ساير نرم افزارهاي مهم استفاده کنند و نهايتاً اينکه سيستمهاي تشخيص نفوذ( Intrusion Detection) را براي کشف حملاتي که براي رخنه در سنگرهاي دفاعي خارجي ترتيب داده شده بودند، اجرا نمايند. متأسفانه اين سنجشهاي امنيتي غالباً در برابر حملات انکار سرويس نمي توانند کمکي ارائه نمايند. حمله مي تواند شامل ترافيکي باشد که فايروال آن را قابل قبول تشخيص دهد، زيرا شباهت زيادي به ترافيک قانوني دارد. از آنجائيکه حمله DoS صرفاً به منظور اشغال منابع انجام مي شود،مي تواند بر روي هريک از درگاه هائي که باز مانده اند) شامل درگاه هائي که بايد براي يک گره باز بمانند تا بتواند به کارخود ادامه دهد( کار کند. مهاجمين مي توانند حملات DoS را بر روي ماشينهائي انجام دهند که هيچ آسيب پذيري ندارند) براساس تعريف استاندارد اين عبارت( بنابراين وصله هاي ارائه شده براي ترميم آسيب پذيريها، در اين زمينه کمک نخواهند کرد. از سوي ديگر، سيستمهاي تشخيص نفوذ نيز در مورد حملات DoS از ارزش محدودي برخوردارند زيرا برخلاف رخنه ها و سرقتهاي اطلاعاتي، حملاتي DoS به ندرت تلاش مي کنند تا خود را پنهان سازند. در نهايت، تمام هدف آنها اين است که در فرآيند کاري معمولي « وقفه» ايجاد کرده، رويدادي که معمولاً با جلب توجه همراه است.
DDoS: توهم يا واقعيت؟
متأسفانه، حملات DDoS به هيچوجه گمانه زني و يا تخيل نيستند. آنها بطور روزمره بر عليه دامنه گسترده اي از سايتها اتفاق مي افتند. علاوه بر چندين وقوع شناخته شده از حملات DDoS که بطور گسترده اي در رسانه هاي خبري گزارش شدند،مطالعات علمي نيز بر روي کثرت اين حملات انجام گرفته که واقعيت اين مشکل را به اثبات مي رسانند.
حملات DDoS چقدر رايج هستند؟
حملات DDoS در اين دسته بندي نمي گنجند. تعدادي از مطالعات اخير نشان مي دهند که حملات DDoS در شبکه هاي امروزي فوق العاده رايج هستند. با در نظر گرفتن اين موضوع که حملات DDoS معمولاً مؤثر هستند و مرتکبين آنها به ندرت گرفتار مي شوند، دلايل کافي براي اين نتيجه گيري که اين نوع حملات در آينده حتي رواج بيشتري پيدا خواهند کرد، وجود دارد. اندازه گيري کثرت هريک از شکلهاي حمله در اينترنت، بسيار دشوار است. قربانيان هميشه متوجه نمي شوند که مورد حمله قرار گرفته اند. حتي اگر به اين مسئله پي ببرند، غالباً در گزارش وقوع حمله به مقامات مربوطه قصور مي کنند برخي از سازمانها براي دستيابي به ديدگاهي در زمينه شيوع انواع مختلف حملات مجازي( Cyberattacks) و ميزان خساراتي که به بار مي آورند، از تکنيکهاي نمونه گيري استفاده مي کنند. بعنوان مثال، مي توان به گزارش ساليانه FBI در مورد جرائم مجازي اشاره کرد که براساس اطلاعات ارائه شده از سوي نزديک به 500 سازمان مختلف تهيه مي شود. در گزارش سال 2004، تقريباً يک پنجم از پاسخ دهندگان که بخاطر يک حمله متحمل خسارات مالي شده بودند، يک حمله DoS را تجربه کرده بودند. مجموع هزينه هاي گزارش شده از سوي اين شرکتها به بيش از 26 ميليون دلار مي رسيد. انکار سرويس بعنوان صدرنشين زيانهاي مالي در جرايم مجازي به حساب مي آيد. اينگونه مطالعات معمولاً مورد انتقاد قرار مي گيرند زيرا شيوه انجام آنها بصورت اجتناب ناپذيري در معرض محدوديتهاي خاصي قرار دارد، اما داده هاي نسبتاً بهتري نيز وجود دارند. شيوه مورد استفاده در اين بررسيها، تمايزي بين حملات DoS عادي و حملات توزيع شده( DDoS) قائل نمي شوند زيرا فن آوري مورد نياز براي اين تمايز، هنوز نابالغ است. در عين حال، محققين از تنوعي از تکنيکها استفاده مي کنند تا داده هاي مربوط به فراواني حملات DDoS و ساير خصوصيات آنها را مورد ارزيابي قرار دهند.
براي مثال، فرنام جهانيان از دانشگاه ميشيگان توانسته است فعاليتهاي شبکه را در MichNet ISP مشاهده نمايد. اين تأمين کننده شبکه،خدمات ISP را به مؤسسات دولتي و غيرانتفاعي در ايالت ميشيگان ارائه مي کند که شامل اکثر انستيتوهاي آموزشي در اين ايالت نيز مي شوند. در طول يک دوره زماني، تيم جهانيان داده هائي را جمع آوري کرده اند که نشان مي دهند حملات DDoS نسبتاً رايج هستند و بطور روزافزوني پيشرفته تر مي شوند. نتايج کامل تحقيقات جهانيان هنوز منتشر نشده است، اما قسمتهائي از اين نتايج قابل دسترس هستند.
تعدادي از محققين، وسايل فني گوناگوني را براي نتيجه گيري از اطلاعات مربوط به شيوع و مشخصات حملات DDoS در اينترنت، مورد ارزيابي قرار داده اند.
اگر حملات DDoS تا اين حد متداول هستند، چرا خبرهاي بيشتري در مورد آنها نمي شنويم؟ شواهد گردآوري شده توسط CAIDA و تيم جهانيان نشان مي دهند که اکثر حملات DDoS بر عليه اهداف نسبتاً کوچک مثلاً ماشينهاي خانگي( و در دوره هاي زماني کوتاه صورت انجام مي شوند. برخي از تحليلگران بر اين عقيده اند که بسياري از اين وقايع، بيانگر حملات هکرها به يکديگر هستند؛ هرچند که شواهد بسيار اندکي براي يک نتيجه گيري قوي در اين زمينه وجود دارد. مدت زمان کوتاه حملات DDoS باعث مي شود که آنها چيزي جز يک انسداد معمولي ديگر در شبکه به نظر نرسند. هنگاميکه يک کاربر بر روي يک لينک کليک کرده و براي يک يا دو دقيقه پاسخي دريافت نمي نمايد،احتمالاً به اين نتيجه خواهد رسيد که سرور بيش از حد مشغول است و يا اينکه موضوع به مشکلات متداول تراکم شبکه مربوط مي شود. در عين حال،بعيد به نظر مي رسد که اين کار متوجه مي شود که وي و يا به احتمال قوي تر، سرور مورد استفاده اش( هدف يک حمله DDoS قرار گرفته اند. بنابراين، در بسياري از موارد از حملات DDoS بدون توجه کافي چشم پوشي مي شود.
اگربسياري از حملات DDoS حتي توجه کسي را به خود جلب نمي کنند، چقدر بايد در مورد توجه به آنها جدي باشيم؟ اولاً، تعداد قابل توجه و فزاينده اي از حملات گسترده، جدي، پايدار و قدرتمند DDoS وجود دارند که صراحتاً با هدف انکار سرويس بر عليه سايتهاي مهم انجام مي پذيرند. ثانياً به خاطر داشته باشيد که حملات کوتاه و کوچک معمولاً به دليل تمايل مهاجم کوتاه و کوچک هستند، نه بخاطر ميزان توانائيهاي او. يک شبکه مأمور DDoS مي تواند حمله خود را ساعتها و حتي بصورت نامحدود ادامه دهد. همچنين، مهاجمين مي توانند ارتش عظيمي از مأموران را به خدمت بگيرند.اين تکنيکها کاملاً شناخته شده هستند و کارآئي آنها به اثبات رسيده است. تمام چيزي که باقي مي ماند، يک انگيزه کافي براي آنها است تا بطور گسترده اي جهت مقاصد ويرانگر مورد استفاده قرار گيرند.
بزرگي حملات DDoS
حملات DDoS که در گذشته لينکهاي شبکه هاي بزرگ را از کار انداخته اند، نظير حمله اي که برعليه Uecomm استراليائي صورت گرفت، حجم ترافيکي در حدود 600000 بسته در ثانيه( pps) را شامل مي شدند. در حملات انجام شده بر روي سرورهاي DNS root( سال 2002) هريک از سرورها در هر ثانيه بين 100000 تا 200000 بسته را دريافت مي کرد. در بعضي موارد نظير حمله الجزيره در سال 2003، مهاجمين حجم ترافيک حمله را با توجه به افزايش ظرفيت شبکه توسط مدافعين به منظور اداره ترافيک، افزايش دادند. اين موضوع نشان مي دهد که مهاجمين قادر هستند در صورت لزوم قدرت حمله را به آساني افزايش دهند. بنابراين،بزرگي حمله بيشتر به احساس مهاجم در مورد کاري که مي خواهد انجام دهد مربوط مي شود تا حداکثر حجم ترافيکي که وي قادر به توليد آن است. در واقع، بسياري از حملات مخصوصاً از مجموعه اي با اندازه متوسط از شبکه هاي حمله مجزا استفاده مي کنند، تا تمام آنها را بطور همزمان در معرض ريسک کشف شدن قرار ندهند. تازه ترين مهاجمان، آموخته اند که استفاده از تمام منابعشان بطور همزمان، کار بيهوده اي است و در عوض، يک حمله را به آرامي گسترش مي دهند تا مدت نگهداري حمله در برابر فرسايش مأموران را به حداکثر ممکن برسانند.
شيوه Backscatter مورد استفاده توسط CAIDA، قادر به اندازه گيري حجم حملات نيز مي باشد. با در نظر گرفتن محدوديتهاي خاص اين شيوه که ممکن است باعث کاهش نتايج بدست آمده گردند، نيمي از حملاتي که توسط اين شيوه مورد نظارت قرار گرفتند داراي حجمي معادل 350 بسته در ثانيه و يا بيشتر از آن بوده اند. بر حسب نوع بسته ها، قابليتها و خطوط دفاعي هدف، اين حجم غالباً براي انکار سرويس کافي خواهد بود. بزرگترين حجمي که توسط CAIDA مورد سنجش قرار گرفته، شامل صدها هزار بسته در هر ثانيه بوده است. براي مثال، در حملات FloodTCP SYN بر عليه SCO که در نوامبر سال 2003 صورت گرفت، CAIDA برآورد نمود که سرور SCO در هر ثانيه بيش از 50000 بسته را در يک نقطه دريافت کرده و در يک دوره 32 ساعته، با بيش از 700 ميليون بسته حمله درگير بوده است. آنها برآورد مي کنند که 50000 بسته در هر ثانيه به معناي نزديک به 20 مگابيت بر ثانيه از ترافيک اينترنت در هر جهت است که تقريباً نيمي از ظرفيت يک خط DS45 3 مگابيت بر ثانيه را اشغال خواهد کرد.
تهيه آمارها در مورد تعداد ماشينهائي که درگير يک حمله هستند، کار دشوارتري است. شواهد گردآوري شده توسط دانشگاه مينسوتا که يکي از اولين حملات DDoS در سال 1999 بر عليه آن انجام شد نشان مي دهند که شبکه هاي حمله DDoS مي توانند از بيش از 2200 سيستم تشکيل شده باشند که صرفاً با استفاده از شيوه هاي نيمه خودکار«استخدام» مأموران جديد، به خدمت گرفته شده اند. اين حداقل تعداد شناخته شده است زيرا در اين حمله از جعل IP Spoofing(IP) استفاده نشده بود. در حملاتي که قالبهائي از جعل IP در آنها مورد استفاده قرار مي گيرند، شمارش محض تعداد آدرسها IP مشاهده شده در طول يک حمله DDoS خاص، بطور قابل ملاحظه اي در تعداد گره هاي درگير، غلو خواهد کرد.
شيوه ديگر اين است که تعداد ماشينها را از حجم مشاهده شده، برآورد نمائيم. بزرگترين حمله اي که توسط CAIDA مورد ارزيابي قرار گرفت، حجمي معادل 679000 بسته در هر ثانيه داشته است. تعداد بسته هائي که يک ماشين مي تواند در هر ثانيه ايجاد کند به عوامل متعددي نظير سرعت پردازنده و يا ارتباط شبکه آن بستگي دارد.
براي ماشينهائي که از لينکهاي 10 مگابيت بر ثانيه اي به اينترنت استفاده مي کنند، ايجاد 20000 بسته در هر ثانيه به معناي رسيدن به حداکثر ظرفيتشان خواهد بود. بنابراين، اگر فرض کنيم که بزرگترين حمله مشاهده شده توسط CAIDA از طريق يک گروه از چنين ماشينهائي انجام گرفته است، اين گروه بايد شامل 30 تا 40 ماشين مأمور باشد. در حمله ServerDNS که در بالا به آن اشاره کرديم، حداقل به 90 عدد از چنين ماشينهائي نياز خواهد بود. بسياري از ماشينها، از ارتباطات اينترنتي با سرعت فوق العاده پائينتر استفاده مي کنيد و در صورتيکه از اين ماشينها بعنوان مأمور استفاده شود، براي رسيدن به نرخهاي فوق بايستي تعداد بسيار بيشتري از آنها به خدمت گرفته شوند. براي مثال، اگر تمام مأموران براي ارتباط با اينترنت از لينکهاي 56 کيلوبيت بر ثانيه اي استفاده کنند، بزرگترين حمله مشاهده شده توسط CAIDA شامل حداقل 5800 مأمور بوده است. احتمالاً تعداد واقعي مأموران مورد استفاده در اين حمله، رقمي بين اين دو تخمين خواهد بود. حملات Reflected که در آنها ميزبانان حمله، بسته هاي جعلي حمله اي را ارسال مي کنند که باعث تعداد بسيار زيادي از سرورهاي قانوني در سراسر جهان را وادار به پاسخدهي خواهند کرد، حمله را به نسبت فوق العاده اي تشديد مي کنند. يکي از چنين حملات که بر عليه futuresite.register.com انجام گرفت شامل تعداد بسيار کمي از ميزبانان حمله بود، اما باز هم توانائي ايجاد يک سيل 60 تا 90 ميليون بيتي را در محل قرباني داشت.
ممکن است به اين فکر افتاده باشيد که مأموران DDoS از کجا مي آيند. اکثر متخصصين بر اين باورند که تعداد اندکي از مهاجمين براي اجراي حملات DDoS از ماشينهاي خودشان استفاده مي کنند، زيرا انجام چنين کاري باعث افزايش ريسک به دام افتادن آنها خواهد شد. در عوض، آنها ماشينهاي ديگري را از راه دور به خدمت گرفته و از آنها براي اجراي حمله استفاده مي کنند.اگرتسليم کردن يک ماشين دور، فرآيند دشواري بود که به هوش و توجه انساني نياز داشت، همين عامل باعث محدود شدن شدت تهديدهاي DDoS مي گرديد. با اينحال، تجربه نشان داده است که تکنيکهاي خودکار در زمينه به زانو درآوردن ماشينهاي دور تا حدود زيادي کارآمد هستند و به همين دليل مي توان از آنها در حملات DDoS بهره گيري نمود.
فقط براي آنکه متوجه شويد تسليم نمودن تعداد زيادي از ميزبانها تا چه اندازه آسان است، به موارد زير توجه کنيد:
- مايکروسافت اعلام کرد که ابزار پاکسازي( Cleanup MSBlast آنها از آگوست 2003 تا آوريل 2004 براي پاکسازي موفقيت آميز 5/9 ميليون ميزبان، بارگذاري شده و مورد استفاده قرار گرفته است. اين آمار به معناي نزديک به 1 ميليون کامپيوتر تسليم شده در هر ماه است.
- مايکروسافت در ماه مه سال 2004 اعلام کرد که 2 ميليون ميزبان آلوده به Sasser را پاکسازي نموده است.
- يک گزارش خبري حاکي از آن است که Symantec يک شبکه bot را با 400000 ميزبان شناسائي نموده است.
- يک سرپرست شبکه در هلند، بين 1 تا 2 ميليون آدرس IP منحصر بفرد مربوط به سرايت Phatbot را شناسائي کرد.
احتمالاً متداولترين شيوه براي به خدمت گرفتن مأموران، اجراي يک برنامه خودکار است که دامنه بزرگي از آدرسهاي IP را اسکن مي نمايد تا ماشينهائي را پيدا کند که مستعد شيوه هاي شناخته شده « مصالحه» هستند. اين برنامه ها که « ابزارهاي شيوع خودکار» و يا در مواردي Auto-Rooters براساس نام حساب سرپرستي سيستمهاي يونيکس که root ناميده مي شود، مقصود هکرها از اين نامگذاري « به زانو درآوردن و يا کسب امتيازاتي در سطوح بالاتر » است، عموماً در يافتن تعداد زيادي از ماشينهاي آسيب پذير کاملاً موفق هستند، خصوصاً اگر به روز رساني شده باشند تا بتوانند آخرين آسيب پذيريهاي کشف شده که به احتمال قوي هنوز وصله اي براي آنها ارائه نشده است را تشخيص دهند.
کرم اينترنتي و يا همان Worm، نهايت خودکارسازي يک فرآيند است: برنامه اي که به جستجوي ماشينهاي آسيب پذير پرداخته و آنها را با يک کپي از کد خود آلوده مي کند.کرمها با سرعت فوق العاده بالائي تکثير مي شوند. برخي از کرمها، از ارتش ماشينهاي آلوده شده خود اختصاصاً براي اجراي حملات DDoS استفاده مي کنند. کرمها حتي مي توانند کدي را براي اجراي حمله DDoS حمل کنند. براي مثال، Code Red طراحي شده بود تا يک حمله DDoS را از تمام گره هائي که به زانو درآورده است، بر روي يک آدرس IP مشخص اجرا نمايد. براساس تعدادي از برآوردها، Code Red موفق شد بيش از 250000 ماشين را آلوده نمايد. Code Red II بيش از 500000 ماشين را آلوده کرد. براساس گزارشات مايکروسافت، برآورد تعداد ماشينهائي که توسط کرمهاي W32/Blaster و W32/Sobig.F آلوده شدند، از ده ها هزار تا چند صد هزار دستگاه مي رسد. تازه برخي از تحليلگران معتقدند که اين آمار بسيار خوشبينانه است. بنابراين، کاملاً منطقي است که به حملات DDoS عظيمي فکر کنيم که از صدها هزار و يا حتي ميليونها نقطه در اينترنت سرچشمه گرفته اند.
شما تا چه اندازه در برابر DDoS آسيب پذير هستيد؟
حتي اگر ماشين شما در پشت يک NAT، يک فايروال و يا هر ساختار محافظتي ديگري (که مانع ورود مستقيم ترافيکهاي مختلف به آن مي شوند) قرار گرفته باشد، همچنان در برابر حملات DDoS پيشرفته تر، آسيب پذير هستيد. يک مهاجم خبره مي تواند ترافيکي را تکرار کرده و يا جعل نمايد که قاعدتاً مي تواند وارد سيستم شما شود. وي همچنين مي تواند با ايجاد سربار کاري بيش از حد بر روي سيستم NAT، فايروال،روتر و يا لينک شبکه، شما را بطور غيرمستقيم هدف يک حمله انکار سرويس قرار دهد. بعلاوه همانطور که قبلاً نيز توضيح داديم، سرپرستي دقيق سيستمها و شبکه، ضرورتاً شما را از يک حمله مصون نخواهد نمود. در حاليکه برخي از اصلاحات باعث جلوگيري از حملات Vulnerability خواهند شد، اما شما همچنان در معرض حملات بزرگ Flooding قرار داريد.
تدارکات سنگين، در قالب سرورهاي سترگ و ظرفيتهاي عظيم در شبکه مي تواند از شما در برابر بسياري از حملات DDoS محافظت نمايد، اما نمي تواند ايمني شما را تضمين کند. اگر مهاجم ماشينهاي کافي را براي اجراي حمله بر عليه شما به خدمت بگيرد، مي تواند هر مقدار ظرفيت« واقعي» که شما قادر به تأمين آن هستيد را اشغال نمايد. تصور کنيد براي تحمل حمله هاي DDoS انجام شده از طريق چند ميليون شبکه Phatbot که قبلاً به آنها اشاره کرديم، به چه ميزان تدارکاتي نياز خواهيد داشت.
با تمام اين موارد، کارهائي وجود دارند که شما مي توانيد براي کاهش ميزان آسيب پذيري خود در برابر حملات DDoS انجام دهيد و جذابيت کمتري بعنوان يک هدف داشته باشيد. تدارکات سنگين مي تواند به اين امرکمک کند، زيرا حملات اتفاقي که توسط هکرهائي با تعداد مأمورهاي محدود انجام مي شوند را بي اثر خواهد نمود. بستن آسيب پذيريها نيز کمک ديگري است، زيرا از حملات Vulnerability جلوگيري خواهد کرد. اگر محدود نگهداشتن نماي شبکه شما بعنوان يکي از خط مشيهاي سازمانتان به حساب مي آيد، مهاجمين ناچار خواهند بود تا پيش از آنکه بتوانند حمله اي را بر عليه شما ترتيب دهند،اطلاعات مبهمي را بدست آورند. گامهاي عملي براي تقويت شبکه تان و همچنين اقدامات واکنشي مؤثري در برابر حملات وجود دارند که مي توانند تأثير DoS را تخفيف دهند.
بطور کلي،شواهد حاکي از آن هستند که عملاً تمام حملات DDoS که تاکنون انجام شده اند، آنقدرها بد نيستند که تصور بدترين سناريوها نشان مي دهد مي توانند باشند. حتي اداره برخي از حملات گسترده بر روي سايتهاي اينترنتي مهم نيز چندان دشوار نبوده است، زيرا مدافعين از طبيعت حمله آگاه بوده و براي واکنش، به زمان اندکي نياز داشته اند. اگر شما به دسترس پذيري دائمي منابع خود بر روي اينترنت وابسته هستيد، مي توان گفت که يقيناً در خطر حملات DDoS قرار داريد. اما با کمي آگاهي، دورانديشي و آمادگي مي توانيد از فاجعه آميزبودن اين حملات بر روي سايت خود جلوگيري نمائيد.
حتي در صورتيکه بر اثر دورنماي تبديل شدن به يکي از قربانيان حملات DDoS به وحشت نيفتاده ايد،جنبه هاي ديگري از حملات DDoS مي توانند براي شما مشکل ساز باشند.مهاجم براي انجام يک حمله DDoS معمولاً تعداد زيادي از ماشينها را تسليم نموده و به خدمت مي گيرد. اگر ماشين شما در ميان آنها باشد، شما در بهترين حالت هيچ علاقه اي نداريد که منابع خود را با يک مجرم به اشتراک بگذاريد. بدتراينکه، ممکن است خودتان را براي بخشي از خساراتي که او به بار آورده است،مسئول بدانيد. همچنين ممکن است داده هاي حياتي شما توسط هکري که ماشين شما را تصرف کرده است، دزديده شده و يا آسيب ببينند.
منبع:نشريه بزرگراه رايانه، شماره 132.
/ج
