DDoS útoky - proč?

6.3.2013 11:27 | Přečteno: 2639× | Zamyšlení

Možná jste si všimli, že v poslední pár dnech se objevily DDoS útoky na české servery - nejdříve zpravodajské, následně na Seznam, potom na bankovní. Nedalo mi to a zkusil jsem se zamyslet, proč se tak děje. A něco mne napadlo.

Za prvé, co mají tyto servery společného? Nejsou z jedné oblasti (pokud vím, tak Seznam.cz zatím banku neprovozuje), ani nemají jednoho vlastníka. Tak co to je? Velká návštěvnost. Všechno to jsou servery, které většina české populace navštěvuje často, a všimne si proto, že nefungují. A myslím si, že to je společný cíl útoků - upoutání pozornosti českého publika.

K čemu pozornost?

Získat pozornost chceme především z jednoho důvodu - předat nějakou zprávu publiku. Pozornost rozhodně mají - píší o nich v podstatě všechny masové zpravodajské deníky, a to na titulní stránce. Co je však zprávou? Myslím, že to je, že nikdo není v bezpečí. Napadnout velké servery, o kterých očekáváme, že budou fungovat, je dobrý způsob, jak na to upozornit. Na druhou stranu nejsou to kritické servery, aby lidem internet nefungoval, ba ani proto, aby nefungoval stát (na což, jak se ukázalo při přechodu na nový systém registrace vozidel, žádný útok potřeba není). Pokud by někdo chtěl shodit "český internet", útok by nejspíš směřoval jinam (a možná by byl i obtížnější). Nemyslím si tedy, že jde o to upozornit na to, jak někdo nad námi má kontrolu a může si po vzoru filmových padouchů dělat s námi, co chce.

Zabezpečení serverů

V prvním kurzu o počítačové bezpečnosti na vysoké škole mi bylo řečeno něco, co se do mne zapsalo velmi hluboko:

Zabezpečení serverů není absolutní. Neexistuje nic jako absolutně zabezpečený server. Existují pouze prostředky, jak se útokům bránit. A zabezpečení systémů je o tom vyhodnotit rizika jednotlivých útoků, jaký by měla dopad na činnost subjektu, a kolik prostředků by musel útočník vložit do útoku, aby byl úspěšný. Po vybrání těch největších rizik se proti nim snažíme systém zabezpečit.

Nelze tedy systém zabezpečit tak, aby na něj nějaký útok nebyl úspěšný. Je to o tom, kolik peněz vložíme do obrany, aby útočník musel (ideálně) investovat víc do útoku. Věřím tomu, že lidé zodpovědní za IT infrastrukturu ve všech společnostech, které byly napadeny, tuto poučku znají, a řídí se podle ní. Oni tedy vědí, že DDoS je obtížné se ubránit, a že prevence je obtížná, až takřka nemožná. Kdo tuto poučku neví? Normální uživatelé.

Propagace

Jak se asi bude teď cítit normální uživatel, který čte na internetu, a provozuje nějakou webovou stránku? Ohroženě. Všechny portály mu říkají, že to útok položí i ty největší společnosti, a že může být relativně levný. V ten moment si uvědomí, že by si asi měl svou stránku nějak zabezpečit před konkurencí, před závistivými uživateli atd. A k tomuto by se hodila nějaká služba, ne? Nějaká služba, která by toto všechno vyřešila za něj, a která by působila dostatečně profesionálně, aby ji uvěřil. A právě takovou službu by tyto útoky propagovali.

Myslím si, že o takovou službu by nejspíš neměli zájem velké společnosti, protože ty by mohli vědět, že taková služba je technicky neproveditelná, a že jen využívá našeho strachu a možná i hlouposti. Tedy společnosti jako Seznam, velké banky, zpravodajské servery, si ji určitě nepořídí. Ale uživatelé, kteří do toho příliš nevidí, by mohli.

Takže kdo s tím přijde první?        

Komentáře

[Luboš Doležel (Doli)]

Pokud je pravda, že útok jde z Ruska, proč na firewallu rovnou nezablokují ruské IP? Z Ruska to pak sice fungovat nebude, ale jinde alespoň ano.

[chachar87]

Co jsem cetl tak pouze ridici povely jsou z Ruska. Jinak uz DDOSuji cesti zombici

[kozzi]

Tak to neni zcela pravda, jen se schovavaji za uzivatele z ceska

[pavlix]

Parse error.

[vencour]

Navíc syn-flood by měl pořešit každej slušnej firewall ... teda umět, jestli to maj zapnutý, kdo ví

[houska]

v pondeli slo na novinky cca 300 tisic pokusu o konexi za sekundu ... takze asi tak

[vencour]

Noo těšim se, až v laborce takhle poškádlim Juniper

[vencour]

Prozatim jedna "odpověď" z fóra Juniperu a doporučuje se tam stroj co zvládne ustát 3,750,000 pps se syn flagem ... no, zaslechl jsem, že se Brokády holedbaj, že jsou srovnatelný s Cisco&Juniperem ... ale až tak?

[Roman DAVID]

Me ted jde do malinkate site cca 16 000 SYN pps na HTTP.

tcpdump vytvoril 400MB soubor za cca 2minuty.

[miro]

Pokud útočníci použili IP spoofing, tak tam žádné ruské IP adresy nemusí vůbec být. Tudíž nemáte co blokovat.

[xkucf03]

Aspoň, že nám sem neshazují z letadel mandelinky.

[vencour]

Když už tu jsou méně i více relevantní komentáře, tak ...

Pokud je pravda, že útok jde z Ruska, proč na firewallu rovnou nezablokují ruské IP? Z Ruska to pak sice fungovat nebude, ale jinde alespoň ano.

Jde o to, že i to "zablokování" na firewallu znamená, že se tim bude muset "něco" zabývat v rámci toho firewallu a zpravidla dřív sám o sobě lehne (přestane být síťově funkční), než útok odezní.

[Petr "Glubo" Sýkora]

"To nebudou útoky. To jen začalo pracovat národní centrum kybernetické bezpečnosti! #nckb Zcela v duchu jejich ujištění!"

[Luk]

Pokud bych chtěl všechno vnímat jen optikou konspiračních teorií, tak mohu říct, že si to objednala česká vláda, aby mohla snadno a rychle protlačit zákon o kybernetické bezpečnosti, a to v co nejostřejší podobě (zostřené oproti původnímu návrhu).

[Luboš Doležel (Doli)]

Hmm, kdyby v tom zákoně byl zákaz Windows a Javy, tak by to bezpečnosti prospělo víc

[Luk]

Na Javu mi nesahej, tak je dobrá. Akorát mi vadí, co s ní Oracle provádí. Se zákazem Windows souhlasím. Ale v první řadě bych zavedl zákaz používat administrátorský účet uživatelům, kteří nemají náležitou kvalifikaci (tj. nejméně vysokoškolské vzdělání v obou + 1 rok praxe, nebo středoškolské + 3 roky praxe, nebo 5 let praxe)

[Luk]

obou -> oboru

[Jakub Lucký]

Budeš mi spravovat notebook? Bojím se, že nesplňuju podmínky (a to jsem Linux-primary od 2006)

[Luboš Doležel (Doli)]

Tak šup, šup, poslat připomínky k návrhu zákona

[Bill Gates]

Vážně to chcete?

[Luboš Doležel (Doli)]

Je to samosebou ironie...

[Jendа]

Parlament o tom hlasoval, jak to dopadlo, nevím.

[Jendа]

Moar infos. V 622/0 to je, v pozměňovacích návrzích to nevidím a na konci to už není.

[Luk]

To není ono, to jsou nějaké energie. Ještě to ani neschválila vláda, je to teprve v plánu na červenec.

[Luk]

Jo aha, vyjadřoval jsem se k něčemu jinému, beru zpět

[Bill Gates]

ja vim, ale ono u male svepomocne fotovoltaiky to bylo par ziskuchtivych lobbistu z instalacnich firem, kteri pres vladnouci dementy v eu protlacili toto. A myslite ze by se neco zmenilo v pripade kdyby prislo par lobbistu z microsoftu a protlacili (priplatili) pres vladnouci dementy v eu nutnost provadet svepomocne instalace vybranych zarizeni vyuzivajicich pocitacovy mikroprocesor pouze osobou opravnenou pod pokutou 100K. To je dost nebezpecne o tomhle i zertovat. Myslite ze s tim neco pak udelate? A co s tim pak udelate az to prijde? No co .. nic.. presunete se do ilegality, nic jineho vam nezbyde.

Podivejte se na napistejim.cz, vyhledejte si dotazy lidi k novele 406/2000, kolika lidem se to nelibi (mnoho jich neni) a jak nasi politici, kteri prislusnou smernici implementovali do naseho zakona, arogantne odpovidaji. Nebezpecnosti. Nebezpecnost kyberterorismu u svepomocne instalovanych PC je ted zcela jasne DDoS utoky prokazana. Tedy alespon pred tupou masou vsemuuvericich neznalych uzivatelu, kteri vas pak poslou doprdele s tim ze instalaci notebooku hrozi velmi vazne skody na zdravi osob a majetku stejne jako v pripade instalace fotovoltaickeho panelu na strechu vasi chaty. Co kdyz ten notebook, ktery instalujete ovlivni infrastrukturu nemocnice a zemre kvuli tomu nekolik desitek nevinnych lidi. Neexistuje. Zaplatte si instalaci technikem od MS. Linux? Zapomente.

Ja proti vam neutocim, nijak se s vami nehadam, nijak vam neoponuji, jen jsem chtel pripomenout, ze uz nejednou se neco takoveho povedlo, v pripade instalace male ostrovni stresni FVE uz tohle je - nemuze panel instalovat ani zkuseny elektrikar, protoze nema certifikat MPO, v pripade pocitacu vidim uz ted zarodky takove krasne nesvobodne legislativy. Vse ve jmenu ochrany zdravi a majetku.

[Jendа]

Bez roota snad DDoS udělat nejde?

[Jakub Lucký]

Třeba pingem ne

-i interval Wait interval seconds between sending each packet. The default is to wait for one second between each packet normally, or not to wait in flood mode. Only super-user may set interval to val‐ ues less 0.2 seconds.

-f Flood ping. For every ECHO_REQUEST sent a period ``.'' is printed, while for ever ECHO_REPLY received a backspace is printed. This provides a rapid display of how many packets are being dropped. If interval is not given, it sets interval to zero and outputs packets as fast as they come back or one hun‐ dred times per second, whichever is more. Only the super-user may use this option with zero interval.

[anonymator]

Prvá vec, čo ma napadla... Veľký Český firewall...

[rADOn]

Ještě jednu spekulaci přidám: Proč vedl první útok na média? Kdybych dělal nějakou levárnu tak se přece snažím co nejdéle "letět pod radarem". První cíl by byly banky, jsou nejhůř připravené a jakýkoliv bezpečnostní incident instinktivně zatloukají. Média poslední. Pokud je smyslem vzbudit publicitu, tak by to dávalo smysl, a páchatelem pak může být prakticky kdokoliv má komerční zájmy v IT bezpečnosti.

Ale napadá mě znepokojivější myšlenka… co když to JE konec? Co když zmíněná levárna, ať už je to cokoliv, probíhá v už delší dobu? Na většinu internetových subjektů u nás by stačil daleko menší kalibr a dotčení by se tím moc nechlubili. A že by česká média takovou kampaň nezaregistrovala dokud jim doslova nezaklepe na dveře, to by mě taky nepřekvapilo.

[gtz]

Banky ty incidenty zatloukají jen proto, aby klienti neměli strach o peníze. Ale myslím, že jakýkoliv hromadný útok na banky by stejně vyplul na povrch. Dostalo by se to do médií tak jak tak.

[ewew]

Je nejaký dôvod aby nebolo možné problémové IP adresy odstrihnúť na hraničnom routri ?

[houska]

Je nejaký dôvod aby nebolo možné problémové IP adresy odstrihnúť na hraničnom routri ?

podvrzene ip adresy

[ewew]

Samozrejme, že môže byť podvrhnutá ale musí mať nejakú zdrojovú sieť. Predpokladam, že privatné IP adresy sú zahadzované na routroch.

[Bystroushaak]

To se nakonec stalo, ne? Minimálně v případě seznamu.

[Luboš Doležel (Doli)]

Nepomůže u podvržených adres SYN cookie?

[miro]

Asi do jisté míry ano, ale AFAIK je ta cookie jakýsi hash. A pokud bylo ve špičce 300.000 SYNů za vteřinu, tak to bude představovat nutnost spočítat 300.000 hashů za vteřinu. Zde je jedno povídání o SYN floodingu, kde se to zmiňuje.

[rADOn]

Nutnost rvat do routeru desitky nebo klidne stovky tisic adres muze byt sama o sobe DOS.

[ewew]

Neexistuje na tento prípad autonómny systém, ktorý by združoval problemové ip adresy do rozsahov ?

[Jendа]

Představ si, že má útočník třeba v každém céčku jednoho zombíka (botnet čítající řádově desítky milionů strojů není nic tak nepředstavitelného).

[rADOn]

Web raspberry pi je taky pod útokem. To je ale náhodička…

[danaketh]

Nebo taky může bejt vysvětlení velmi jednoduché. Někdo se prostě nudí.

[Grunt]

Podle TV Nova zaútočil Skynet a bude následovat odpálení mezikontinentálních balistických řízených střel. Takže kulovnice, trubky a plechovky s potravinami připravit a šup-šup do krytů civilní obrany. Však to znáte…

[gtz]

mezikontinentálních balistických řízených střel

ty už jsou od nás dávno stáhnuté

šup-šup do krytů civilní obrany.

No jsem zvědav kolik jich je ještě funkčních

[Grunt]

Tak oprava speciálně pro Grunta:

Podle TV Nova zaútočil Skynet a bude následovat odpálení jaderných hlavic našimi fotbalisty ze stadiónu AC Sparta Sparata a SK Slávia (tzv. kopem s otočkou). Takže kulovnice, trubky a plechovky s potravinami připravit a šup-šup do kanálů, v případě že nejsou po letošním tání doposud zaplavené vodou a ucpané. Však to znáte…

[Grunt]

Doprčic, zatracená copypasta. Tak třeba příště.

[kozzi]

Boze, jeden jede na dovolenou, tak si napise skript pro sledovani jeho oblibenejch spravodajskech portalu, dalsi skript na sledovani jeho jedntotlivejch bankovnicj uctu,

a take skript na sledovani polohy sve mlade dle jednotlivych operatoru. A jen proto ze jsem si spletl minuty s milisekundama. Se z toho musi delat afera ohledne DDoS uteku :(

[kozzi]

Jinak uz jsme snad vsechny sve skripty opravil, takze by snad uz nemel byt problem

[Luboš Doležel (Doli)]

To si děláš srandu, ale před 10 lety (nebo víc) kvůli kamarádovi musel T-Mobile vypnout online SMS bránu a vyprázdnit frontu. Zacyklil se mu skript a poslalo mu to mailem přes 4000 SMS. Operátorka mu na Infolince řekla, že bude muset ty zprávy všechny po jedný smazat, ale pak se mu sami ozvali, jestli to takhle hodlá provozovat běžně

[Luk]

Ono stačí, kolik SMS dokáží poslat programy jako Monit, když se daří...

[PepaSFI]

Některý systémy ani nepotřebujou DDoS útok, stačí když se chce aby to jen něco dělalo. Třeba registr vozidel. Dnes hlásali že se budou dělat nějaký kejkle s registrem řidičů ale prý se nemusíme ničeho bát.

[Jendа]

Jenom aby to zase nedopadlo jako v létě…

[chachar87]

Kyberútok jako průmyslová havárie? NBÚ získá víc pravomocí

Tak utocnik uz se nam pomalu odkopava...

[xkucf03]

+1 Jediný, komu takovéhle útoky pomáhají jsou 1) firmy nabízející „bezpečnostní řešení“ a 2) vláda, která chce omezovat svoje občany (případně ne přímo vláda, ale různé „bezpečnostní“ úřady a instituce). Tenhle útok nedělal nikdo jen tak, z nudy… Navíc tu sedí i načasování s jinými událostmi.

[Heron]

+1