Dyn, firma, której serwery DNS zaatakowano, przyznała, że część ataku … nastąpiła za pomocą różnych urządzeń połączonych z siecią. Ekosystem kamer, czujników, kontrolerów nazywany ogólnie „Internetem rzeczy” został użyty przez przestępców jako botnet − sieć maszyn-zombie. Do tej pory taką rolę pełniły głównie komputery. Cytat opisuje atak typu
A. flooding
B. mail bombing
C. DOS
D. DDOS
Pytanie z egzaminu CKE, czerwiec 2021 (arkusz E.13-SG-21.06).
Opis dotyczy ataku DDoS, czyli Distributed Denial of Service, po polsku rozproszonej odmowy usługi. Kluczowe jest tu słowo „rozproszony”: ruch nie pochodzi z jednego komputera, tylko z bardzo wielu przejętych urządzeń, np. kamer IP, rejestratorów DVR, routerów domowych czy czujników IoT. W przypadku ataku na Dyn faktycznie wykorzystano botnet zbudowany z urządzeń Internetu rzeczy, kojarzony m.in. z malware Mirai. Takie urządzenia często miały domyślne hasła, stare firmware i były wystawione do Internetu bez sensownej ochrony. Efekt był taki, że serwery DNS zostały zalane ogromną liczbą zapytań, przez co legalni użytkownicy nie mogli korzystać z usług zależnych od DNS. W praktyce DDoS jest groźniejszy niż zwykły DoS, bo trudno go odfiltrować po jednym adresie IP. Dobre praktyki branżowe to m.in. filtrowanie ruchu u operatora, Anycast DNS, rate limiting, monitoring NetFlow/sFlow, współpraca z CERT, stosowanie usług anty-DDoS oraz zasada BCP 38, czyli blokowanie fałszowanych adresów źródłowych. Moim zdaniem to jeden z najlepszych przykładów, że bezpieczeństwo IoT nie jest dodatkiem, tylko normalną częścią bezpieczeństwa sieci.
W tym pytaniu łatwo pomylić kilka pojęć, bo wszystkie jakoś wiążą się z przeciążaniem usług albo wysyłaniem dużej ilości danych. Mail bombing oznacza masowe zasypywanie skrzynki pocztowej wiadomościami e-mail. Może doprowadzić do przepełnienia skrzynki albo utrudnić pracę serwera pocztowego, ale cytat mówi o serwerach DNS i urządzeniach IoT użytych jako botnet, więc to nie jest ten przypadek. DoS, czyli Denial of Service, jest pojęciem bliskim, ale zwykle opisuje atak prowadzony z jednego źródła albo przynajmniej bez podkreślenia rozproszenia. Tutaj najważniejsza informacja brzmi: wiele różnych urządzeń połączonych z siecią zostało wykorzystanych jako maszyny-zombie. To właśnie wskazuje na DDoS, czyli wersję rozproszoną. Flooding też może być elementem ataku, bo polega na zalewaniu usługi pakietami lub żądaniami, np. SYN flood, UDP flood albo DNS query flood. Samo słowo flooding opisuje raczej technikę generowania nadmiarowego ruchu, a nie pełną klasę ataku z botnetem. Typowy błąd myślowy polega na tym, że widząc „zalewanie serwera”, wybiera się flooding albo DoS, pomijając informację o tysiącach przejętych urządzeń. Z mojego doświadczenia warto szukać w treści słów-kluczy: botnet, wiele źródeł, urządzenia zombie, IoT, rozproszony ruch. One prawie zawsze prowadzą do odpowiedzi DDoS. W realnych sieciach obrona wymaga nie tylko zapory, ale też monitoringu, filtrowania u operatora, Anycast, limitowania zapytań i dobrze utrzymanej infrastruktury DNS.