4. Математическая модель оценки воздействия угроз
4.1. Показатели оценивания эффективности системы массового обслуживания
Основная цель атак отказа в обслуживании - вывести объект из рабочего состояния. Такие нападения отличаются простотой и огромной эффективностью. Против них нет стопроцентной защиты [75].
Эти атаки не направлены на получение доступа к ресурсам или к важной информации. Атака отказа в обслуживании делает ресурс недоступным для использования путем нарушения его нормальной работы. Данную атаку можно провести всего двумя способами:
С использованием уязвимости в программном обеспечении жертвы
При помощи отсылки большого количества определенным образом составленных сетевых пакетов.
Приведением оборудования сети в неработоспособное состояние (выключение питания, повреждение оборудования и т. д.)
Первый способ состоит в том, чтобы, используя уязвимости типа переполнения буфера, отослать код, выполняющий отказ в обслуживании на сервере. Поскольку атака будет проводиться "изнутри", то через очень короткое время объект зависнет или будет отключен от сети. Этот способ не требует больших вычислительных ресурсов нападающего, однако такая атака предполагает использование уязвимостей, что само по себе усложняет задачу. Из-за сложности данного способа, более популярен второй способ, который и рассматривается в данной работе. Это пример применения простой грубой силы, которая зачастую даже не требует от нападающего каких-либо сложных технических знаний о работе протоколов и сервисов. Идея состоит в том, чтобы переслать как можно больше запросов серверу. Причем злоумышленник может посылать как, специальным образом сформированные, не корректные запросы, так и обычные запросы. Различие только в том, что обычных корректных запросов потребуется гораздо большее количество, но все равно число этих запросов конечно. Собственно, разрабатываемая нами математическая модель, в частности, позволит рассчитать количество запросов до наступления отказа в обслуживании [72].
Рассмотрим, какие же процессы происходят в оборудовании при воздействии на него угрозы отказа в обслуживании. При получении сервером пакета данных происходит его обработка. Если приходит пакет, но сервер занят приемом или обработкой другого пакета, то вновь приходящий запрос ставится в очередь, занимая при этом часть ресурсов системы. При проведении атаки отказа в обслуживании серверу отсылается большое количество пакетов определенного размера. При этом ответ сервера не ожидается. В результате, из-за того, что сервер оказывается перегруженным информацией, он либо отключается от сети, либо зависает. В любом случае, нормальные пользователи некоторое время (иногда довольно продолжительное) не могут пользоваться услугами пострадавшего сервера.
Однако если атака на сервер происходит из одной точки, он вполне может закрыться от нее межсетевым экраном. Кроме того, для проведения качественной атаки отказа в обслуживании необходима довольно высокая пропускная способность канала. Поэтому атака на отказ в обслуживании в большинстве случаев проводится сразу с нескольких машин. Идея атаки, заключается в использовании разных источников (демонов) для атаки, и "хозяинов" для управления (рис. 4.1). Атака подобного типа носит название «распределенный отказ в обслуживании» [73].
Рис. 4.1. Распределенная атака "отказ в обслуживании"
Злоумышленник использует "хозяинов" для управления источниками. Очевидно, что ему необходимо подключится к "хозяинам" для того, чтобы их настроить и приготовить атаку. "Хозяева" лишь пересылают команды источникам по протоколу UDP. Без "хозяев", злоумышленнику пришлось бы устанавливать соединение с каждым из источников. Таким образом, происхождение атаки можно было бы легко обнаружить, а реализация ее занимала бы больше времени.
Каждый источник обменивается с "хозяином" специфическими сообщениями. В зависимости от используемых утилит, общение может быть с использованием механизма авторизации и/или шифрования. Для установки источников и "хозяев", злоумышленник использует известные уязвимости (переполнение буфера таких сервисов, как RPC, FTP, и т.п.). Сама же атака являет собой либо SYN-наводнение, либо Smurf и приводит к отказу в обслуживании целевой сети или системы [74].