Abstract-The signifikansen av DDoS-problemet och den ökade förekomsten, sofistikering och styrka av attacker har lett till början av många förebyggande mekanismer. Varje föreslagen förebyggande mekanism har vissa unika fördelar och nackdelar jämfört med de andra. I detta dokument presenterar vi en klassificering av tillgängliga mekanismer som föreslås i litteraturen om att förhindra Internettjänster från eventuella DDoS-attacker och diskutera styrkan och svagheterna i varje mekanism. Detta ger bättre förståelse för problemet och gör det möjligt för en säkerhetsadministratör att effektivt utrusta sin arsenal med lämpliga förebyggande mekanismer för att bekämpa DDoS-hot. Index Terms-DoS, DDoS, Network Security, Prevention. En revolution kom in i en värld av data och kommunikation med tillkomsten av Internet. Internet har i dag blivit allt viktigare för dagens samhälle. Det förändrar vårt sätt att kommunicera, vårt arbetssätt och till och med vår vardag [1]. Nästan alla traditionella tjänster som bank, makt, medicin, utbildning och försvar utvidgas nu till Internet. Internets inverkan på samhället framgår av figuren. 1 som visar exponentiell ökning av antalet värdar sammankopplade via Internet [2]. Internetanvändningen ökar exponentiellt i takt med att organisationer, regeringar och medborgare fortsätter att öka sitt beroende av denna teknik. Tyvärr med en ökning av antalet värdar, antalet attacker på Internet har också ökat otroligt snabbt. Enligt [3] rapporterades endast 171 sårbarheter under 1995, vilket ökade till 7236 under 2007. Samma siffra för bara tredje kvartalet 2008 har redan gått upp till 6058. Bortsett från dessa, ett stort antal sårbarheter går orapporterade varje år. Särskilt i dag är Dos-attacken ett av de vanligaste och största hoten mot Internet. I DoS attack, målet för angriparen är att binda upp utvalda viktiga resurser på offret, oftast genom att skicka en stor mängd till synes legitim trafik begär vissa tjänster från offret. Det avslöjar stora kryphål inte bara i specifika tillämpningar, utan också i hela TCP/IP-protokollssviten. Dos attack anses äga rum endast när tillgång till en dator eller nätverk resurs avsiktligt blockeras eller degraderas till följd av skadliga åtgärder som vidtas av en annan användare [4]. En DDoS angripare använder många maskiner för att starta en samordnad DOS attack mot ett eller flera mål [5]. Det lanseras indirekt genom många komprometterade datorsystem genom att skicka en ström av oanvändbar aggregattrafik avsedd att explodera offerresurser. Som en bieffekt skapar de ofta överbelastning av nätet på väg från en källa till målet, vilket stör normal Internetdrift. Antalet DDoS-angrepp har ökat oroväckande under de senaste åren [6]. Många av dagens DDoS attacker utförs av organiserade brottslingar som riktar sig till finansiella institutioner, e-handel, spelsajter etc [7]. En klassificering av ett brett spektrum av DDoS-attacker som förekommer i naturen presenteras i [4, 8] som Internetleverantörer och användare måste vara medvetna om. Vanligtvis kan den startas i två former [9]. Den första formen är att utnyttja programvara sårbarheter av ett mål genom att skicka missbildade paket och krascha systemet. Den andra formen är att använda massiva volymer av legitima ser men förvrängda paket för att täppa till beräknings- eller kommunikationsresurser på målmaskinen så att den inte kan tjäna sina legitima användare. De resurser som förbrukas av attacker inkluderar nätverksbandbredd, diskutrymme, CPU-tid, datastrukturer, nätverksanslutningar, etc. Även om det är möjligt att skydda den första formen av attack genom att lappa kända sårbarheter, den andra formen av attack kan inte så lätt förhindras. Målen kan angripas bara för att de är uppkopplade till det offentliga Internet. De första offentligt rapporterade DDoS attacker dök upp i slutet av 1999 mot ett universitet [10]. Dessa attacker blev snabbt allt populärare när grupper av kex utvecklade och släppte extremt sofistikerade, användarvänliga och automatiserade verktygssatser [11, 12, 13, 14, 15, 16, 17, 18, 19] för att genomföra dem. För närvarande kan även människor med liten kunskap använda dem för att utföra DDoS-attacker. Effekterna av DoS attacker kan variera från mindre olägenheter till användare av en webbplats, till allvarliga ekonomiska förluster för företag som förlitar sig på deras online-tillgänglighet för att göra affärer. Dator- och elektroteknik, vol. Två, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej! 2, april, 2010 1793-8163 269 I detta dokument presenteras en översikt över DDoS-problem, tillgängliga DDoS-angreppsverktyg, försvarsutmaningar och -principer och en klassificering av tillgängliga mekanismer som föreslås i litteraturen om att förhindra internettjänster från eventuella DDoS-attacker och diskutera styrkor och svagheter i varje mekanism. En sommar av oavslutade frågor riktar uppmärksamheten på de grundläggande problemen i de befintliga mekanismerna. Resten av tidningen är organiserad enligt följande. Avsnitt II innehåller en översikt över DDoS-problemet. Avsnitt III beskriver olika tillgängliga DDoS attackverktyg i detaljerna. I avsnitt IV diskuteras försvarsutmaningar och principer. Klassificering av tillgängliga DDoS-förebyggande mekanismer beskrivs i avsnitt V. Slutligen avslutar avsnitt VI dokumentet och presenterar ytterligare forskningsområden. En Distribuerad Förnekelse av Service attack brukar karakteriseras som en händelse där en legitim användare eller organisation berövas vissa tjänster, som webb, e-post eller nätverksanslutning, som de normalt skulle förvänta sig att ha. DDoS är i grund och botten ett resursöverbelastningsproblem. Resursen kan vara bandbredd, minne, CPU cykler, fil deskriptorer, buffertar etc. Angriparna bombard skräm resursen antingen genom översvämning av paket eller ett enda logiskt paket som kan aktivera en serie av processer för att uttömma den begränsade resursen [20]. I figuren. 2 Förenklad Distributed Dos attack scenario illustreras. Figuren visar att angripare använder tre zombies för att generera hög volym av skadlig trafik för att översvämma offret över Internet vilket gör legitima användare oförmögna att få tillgång till tjänsten. Extremt sofistikerade, användarvänliga, automatiserade och kraftfulla DDoS-verktyg är tillgängliga för att attackera alla offer, så expertis krävs inte nödvändigtvis som lockar naiva användare att utföra DDoS attacker. Även om angreppsstrategier skiljer sig åt i tiden, visar studier att angripare främst riktar följande resurser för att orsaka skador på offret [8, 21]. Nätverkens bandbreddsresurser: Detta är relaterat till kapaciteten hos de nätverkslänkar som ansluter servrar till det bredare Internet eller anslutning mellan kunderna och deras Internetleverantörer (ISP). För det mesta är bandbredden i kundens interna nätverk mindre än dess anslutning till det externa nätverket. Således den trafik som kommer från Internet till klienten kan konsumera hela bandbredden av klientens nätverk. Som ett resultat av detta kommer en legitim begäran inte att kunna få service från det riktade nätverket. I en DoS attack, är den stora majoriteten av trafiken riktad mot målnätverket skadlig; genereras antingen direkt eller indirekt av en angripare. Dessa attacker förhindrade 13, En av de viktigaste anledningarna till att göra DDoS attacker bred spridning och lätt på Internet är tillgången till attacker verktyg och styrkan i dessa verktyg för att generera attackerande trafik. Det finns en mängd olika DDoS attack verktyg på Internet som tillåter angripare att utföra attacker på målsystemet. Några av de vanligaste verktygen diskuteras nedan: 1) Trinoo [8, 11] kan användas för att starta en samordnad UDP översvämningsattack mot målsystemet. Trinoo distribuerar master/slav arkitektur och angripare styr ett antal Trinoo master maskiner. Kommunikation mellan angripare och mästare och mellan mästare och slav utförs genom TCP respektive UDP protokoll, respektive. Både mästare och slavar är lösenord skyddade för att förhindra att de tas över av en annan angripare. Wintrinoo International Journal of Computer and Electrical Engineering, Vol. Två, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej! 2, april, 2010 1793-8163 270 Tabell I visar en sammanfattning av olika angreppsverktygsegenskaper. Källkod för dessa attackverktyg kan lätt laddas ner från Internet. Även om dessa attackverktyg skiljer sig åt i de kommandon som används, typer av attacker som används, kommunikationstekniker, och närvaron av bakdörrar eller självupphöjande förmåga, alla delar det gemensamma målet att försöka överväldiga ett offer med en riklig mängd trafik som är svårt att upptäcka eller filtrera. Att starta DDoS attacker på offret maskin är bara en fråga om få tangenttryckningar för angriparen. Offret kan förhindra dessa attacker vid sin nätverksgräns genom att konfigurera någon form av traditionella säkerhetsverktyg som åtkomstlista [23], brandvägg [24, 25] eller intrångsdetekteringssystem [26, 27] i slutet. Men den reguljära godartade trafiken till offrets nätverk är inte skyddad och dessutom kan offret inte ha tillgång till andra nätverk (t.ex. Internet).............................................................................................................. Med den nuvarande tekniken är många utmaningar involverade i att utforma och genomföra en effektiv DDoS försvarsmekanism. Några av dem är följande [28] Attackförebyggande metoder försöker stoppa alla välkända signatur baserade och sända baserade DDoS attacker från att lanseras i första hand eller kant routrar, håller alla maskiner över Internet uppdaterade med patchar och fixa säkerhetshål. Attackförebyggande system är inte tillräckligt för att stoppa DDoS attacker eftersom det finns alltid sårbara för nya och blandade attacker typer för vilka signaturer och patchar är DDoS attacker kan förhindras genom att ändra plats eller IP-adress för den aktiva servern proaktivt inom en pool av homogena servrar eller med en förspecificerad uppsättning IP-adressintervall [31]. Offrets IP-adress ogiltigförklaras genom att ändra den med en ny. När ändringen av IP-adresserna är klar kommer alla internetroutrar att informeras och kantroutrar kommer att släppa de attackerande paketen. Även om denna åtgärd lämnar datorn sårbar eftersom angriparen kan starta attacken på den nya IP-adressen, är detta alternativ praktiskt för DDoS attacker som är baserade på IP-adresser. Å andra sidan kan angripare göra denna teknik värdelös genom att lägga till en domännamn tjänst spårning funktion till DDoS attack verktyg. Ingressfiltrering, föreslås av Ferguson et al. [33], är en restriktiv mekanism för att släppa trafik med IP-adresser som inte matchar ett domänprefix som är kopplat till ingress routern. Egress filtrering är ett utgående filter, som säkerställer att endast tilldelade eller tilldelade IP-adressutrymme lämnar nätverket. Ett viktigt krav för in- eller utmatningsfiltrering är kunskap om de förväntade IP-adresserna i en viss hamn. För vissa nätverk med komplicerade topologier är det inte lätt att få denna kunskap. En teknik som kallas omvänd vägfiltrering [34] kan bidra till att bygga upp denna kunskap. Denna teknik fungerar enligt följande. Generellt vet en router alltid vilka nätverk som kan nås via något av dess gränssnitt. Genom att leta upp källadresser för inkommande trafik, är det möjligt att kontrollera om returvägen till den adressen skulle flöda ut samma gränssnitt som paketet anlände till. Om de gör det, är dessa paket tillåtna. Annars släpps de. Tyvärr kan denna teknik inte fungera effektivt i verkliga nätverk där asymmetriska Internetrutter inte är ovanliga. Ännu viktigare är att både in- och utmatningsfiltrering kan tillämpas inte bara på IP-adresser, utan även på protokolltyp, portnummer eller andra viktiga kriterier. Både in- och utträngningsfiltrering ger vissa möjligheter att strypa anfallskraften från DoS-attacker. Det är dock svårt att använda ingress/egresfiltrering över hela världen. Om angriparen noggrant väljer ett nätverk utan ingress/egres filtrering för att starta en spoofed dos attack, kan attacken gå oupptäckt. Dessutom, om en attack spoofs IP-adresser inifrån undernätet, attacken kan gå oupptäckt också. Numera DDoS attacker behöver inte använda källadress spoofing för att vara effektiv. Genom att utnyttja ett stort antal kompromissade värdar, behöver angripare inte använda spoofing för att dra nytta av protokoll sårbarheter eller för att dölja sina platser. Till exempel, varje legitim HTTP-webbsida begäran från 10 000 kompromissade värdar kan kringgå alla ingress/egres filtrering, men i kombination kan de utgöra en kraftfull attack. Därför är in- och utträngningsfiltrering ineffektiv för att stoppa DDoS-attacker. 2) Routerbaserad paketfiltrering Ruttbaserad filtrering, som föreslagits av Park och Lee [35], utökar ingressfiltrering och använder ruttinformationen för att filtrera bort spooferade IP-paket. Den bygger på principen att det för varje länk i Internets kärna endast finns en begränsad uppsättning källadresser från vilka trafiken på länken skulle ha kunnat ha sitt ursprung. Om en oväntad källadress visas i ett IP-paket på en länk antas det att källadressen har spooferats, och därför kan paketet filtreras. RPF använder information om BGP routing topologi för att filtrera trafiken med spoofed källadresser. Simuleringsresultat visar att en betydande del av IP-adresserna kan filtreras om RPF implementeras i minst 18 % av larmsystemen på Internet. Det finns dock flera begränsningar i detta system. Den första begränsningen gäller genomförandet av RPF i praktiken. Med tanke på att Internet innehåller mer än 10 000 anslutna system, RPF Men historikbaserad paketfiltrering system är ineffektivt när attackerna kommer från verkliga IP-adresser. Dessutom krävs det en offline-databas för att hålla reda på IP-adresser. Därför är kostnaderna för lagring och informationsutbyte mycket höga. 4) Capability-baserad metod Capability-baserade mekanismer ger destinationen ett sätt att styra den trafik som riktas mot sig själv. I detta tillvägagångssätt skickar källan först förfrågan paket till sin destination. Router märken (förkapacitet) läggs till för att begära paket medan passerar genom routern. Destinationen kan eller får inte ge tillstånd till källan att skicka. Om tillstånd beviljas returnerar destinationen kapaciteten, om inte då tillhandahåller den inte kapaciteten i det returnerade paketet. De datapaket som bär kapaciteten skickas sedan till tabell II Sammanfattning av filtreringstekniker för DDoS-angreppsförebyggande destination via router. Den största fördelen med denna arkitektur är att destinationen nu kan styra trafiken enligt sin egen politik, vilket minskar chanserna för DDoS attack, som paket utan kapacitet behandlas som arv och kan komma att tappas vid routern när överbelastning händer [37]. Dessa system ger dock ett starkt skydd för etablerade nätverksflöden, men är ansvariga för att generera en ny attacktyp som kallas DOC (Denial of Capability), som hindrar nya kapacitetsuppsättningspaket från att nå destinationen, begränsar värdet av dessa system. Dessutom har dessa system hög beräknings komplexitet och utrymmeskrav. 5) Säker överlagringstjänst (SOS) Secure Overlay Service föreslås av Keromytis et al. [38] definierar en arkitektur som kallas säker överlagringstjänst (SOS) för att säkra kommunikationen mellan de bekräftade användarna och offret. All trafik från en källpunkt verifieras av en säker anslutningspunkt (SOAP). Autentiserad trafik kommer att ledas till en särskild overlay node som kallas en fyr på ett anonymt sätt genom konsekvent hashkartläggning. Fyren vidarebefordrar sedan trafiken till en annan speciell överläggning nod kallas en april, 2010april, 1793 274 hemliga servlet för ytterligare autentisering, och den hemliga servlet vidarebefordrar verifierad trafik till offret. Identiteten på den hemliga servlet avslöjas för fyren via ett säkert protokoll, och förblir en hemlighet för angriparen. Slutligen är det bara trafiken som vidarebefordras av den hemliga servett som offret valt som kan passera dess perimetriska routrar. Secure Overlay Service (SOS) tar upp problemet med hur man kan garantera kommunikationen mellan legitima användare och ett offer under DoS-attacker. SOS kan kraftigt minska sannolikheten för en lyckad attack. Kraften hos SOS baseras på antalet SOAP och distributionsnivån för SOAP. Men bred användning av SOAPs är en svår DoS försvar utmaning. Dessutom är kraften i SOS också baserad på anonym routing protokoll inom overlay noder. Tyvärr är införandet av ett nytt routingprotokoll i sig en annan säkerhetsfråga. Om en angripare kan bryta säkerhetsskyddet för någon overlay nod, då kan det starta attacken inifrån overlay nätverket. Dessutom, om angripare kan få massiv attack makt, till exempel via mask spridning, alla SOAPs kan förlamas, och målets tjänster kommer att störas. 6) SAVE: Källadress Giltighet Verkställighet Li et al. [39] har föreslagit ett nytt protokoll som kallas protokollet för validering av källkodsadress (SAVE), som gör det möjligt för routrar att uppdatera informationen om förväntade IP-adresser från källan på varje länk och blockera eventuella IP-paket med en oväntad IP-adress från källan. Syftet med SAVE-protokollet är att ge routrar information om de IP-adresser från källan som bör förväntas vid varje gränssnitt. På samma sätt som de befintliga routingprotokollen sprider Save ständigt meddelanden som innehåller giltig källadressinformation från källplatsen till alla destinationer. Därför kan varje router längs vägen bygga en inkommande tabell som associerar varje länk i routern med en uppsättning giltiga källadressblock. SAVE är ett protokoll som gör det möjligt för routern att filtrera paket med spoofed källadresser med hjälp av inkommande tabeller. Den övervinner asymmetrier av Internet routing genom att uppdatera inkommande tabeller på varje router periodiskt. Save behöver dock ändra routingprotokollet, vilket kommer att ta lång tid att genomföra. Om Save inte är allmänt utplacerad kan angriparna alltid spoof IP-adresserna inom nätverk som inte implementerar Save. Dessutom, även om Save var universellt utplacerad, kan angripare fortfarande starta DDoS attacker med hjälp av icke spoofed källadresser. Tabell II sammanfattar filtreringsmetoder för förebyggande av DDoS-attacker. Sammanfattningsvis syftar angreppsförebyggande till att lösa IP-spoofing, en grundläggande svaghet i Internet. Men som angripare få kontroll över ett större antal komprometterade datorer, kan angripare styra dessa "zombier" att attackera med hjälp av giltiga källadresser. Eftersom kommunikationen mellan angripare och "zombier" är krypterad, kan endast "zombier" exponeras istället för angripare. Enligt arbetsgruppen för Internetarkitektur [40] minskar andelen spoofedattacker. Endast fyra av 1127 kundpåverkande DDoS attacker på ett stort nätverk använde spoofed källor 2004. Dessutom är medvetenheten om säkerheten fortfarande inte tillräcklig, så att förvänta sig installation av säkerhetsteknik och patchar i en stor bas av Internet verkar vara ett ambitiöst mål inom en snar framtid. Dessutom finns det ingen väg ut för att genomföra en global tillämpning av en särskild säkerhetsmekanism. Därför är det inte tillräckligt att förlita sig på angreppsförebyggande åtgärder för att stoppa DDoS-attacker. Dos-angrepp orsakar antingen störningar eller försämringar av brottsoffrets gemensamma resurser, vilket leder till att legitima användare hindras från att få tillgång till dessa resurser. Dos-attacken kan riktas mot en specifik komponent i datorn, hela datorsystemet, viss nätverksinfrastruktur eller till och med hela Internetinfrastrukturen. Attacker kan vara antingen genom att utnyttja den naturliga svagheten i ett system, som kallas logiska attacker eller överbelasta offret med hög trafik, som kallas översvämningar attacker. En distribuerad form av DOS attack kallas DDoS attack, som genereras av många komprometterade maskiner för att samordna slå ett offer. DDoS attacker är kontradiktoriska och ständigt utvecklas. När en viss typ av attack framgångsrikt motverkas, är en liten variation utformad som kringgår försvaret och fortfarande utför en effektiv attack. I det här dokumentet tog vi upp en översikt över DDoS-problemet, tillgängliga DDoS-angreppsverktyg, försvarsutmaningar och principer samt en klassificering av tillgängliga DDoS-förebyggande mekanismer. Detta ger bättre förståelse för problemet och gör det möjligt för en säkerhetsadministratör att effektivt utrusta sin arsenal med lämpliga förebyggande mekanismer för att bekämpa DDoS-hot. De nuvarande förebyggande mekanismer som granskas i detta dokument är helt klart långt ifrån tillräckliga för att skydda Internet från DDoS-angrepp. Huvudproblemet är att det fortfarande finns många osäkra maskiner över Internet som kan äventyras för att starta storskaliga samordnade DDoS attack. En lovande riktning är att utveckla en omfattande lösning som omfattar flera försvarsaktiviteter för att fånga olika DDoS-angrepp. Om en nivå av försvar misslyckas, har de andra fortfarande möjlighet att försvara sig mot angrepp. Ett framgångsrikt intrång kräver att alla försvarsnivåer misslyckas. Författarna erkänner tacksamt det ekonomiska stödet från ministeriet för utveckling av mänskliga resurser (MHRD), Indiens regering för partiellt arbete som rapporteras i tidningen. [1] Leiner, B. M., Cerf, V. G., etc. Detta beslut träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning. (2003) International Journal of Computer and Electrical Engineering, vol. Två, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej, nej! 2 april 2010 1793-8163 275 Teknologi (ISSPIT 03), Darmstadt, Tyskland, s. 190-193, dec. 14-17, 2003. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
En Distributed Denial of Service (DDoS) attack brukar betecknas som en händelse där en legitim användare eller organisation berövas vissa tjänster, som webb, e-post eller nätverksanslutning, som de normalt skulle förvänta sig att ha REF.
Distributed Denial of Service Prevention Techniques
{'venue': 'International Journal of Computer and Electrical Engineering (IJCEE), vol. 2, number 2, pp. 268-276, 2010', 'journal': None, 'mag_field_of_study': ['Computer Science']}