SKY-net

Во второй половине января провайдер ISPrime подвергся распределённой DoS-атаке нового вида, получившей название DNS Amplification («DNS-усиление»). Атака, как выяснилось, была заказана владельцами порносайта, которые хотели задавить конкурента, хостившегося на ISPrime.Через день атака повторилась и продлилась в течение трёх суток.

Как заявил Фил Розенталь (Phil Rosenthal), технический директор ISPrime, всего 2’000 компьютеров-«зомби» смогли полностью наводнить своими фальшивыми пакетами сеть ISPrime, используя для этого 750'000 вполне легитимных серверов DNS по всему миру.

Алгоритм атаки DNS Amplification отличается изощренностью. Используя недавно найденную уязвимость во многих серверах DNS, компьютер по команде злоумышленника может отправить на официальный DNS-сервер небольшой пакет размером, скажем, в 17 байт. В ответ DNS-сервер отправляет пакет размером уже около 500 байт. Подменяя адрес источника своего пакета, злоумышленник может направить огромный поток никому не нужных данных на любой выбранный адрес в сети свой жертвы.

Причем новой атаке жертве нечего противопоставить. Защититься от нее можно только вместе с провайдерами. Если владельцы DNS-серверов не устранят уязвимость в своей системе, то их клиенты останутся беззащитными перед лицом таких мощных и разрушительных атак.

Киберпреступники, сдающие в аренду свои ботнеты, уже предлагают услуги по атаке сайтов, причем продают эти услуги по принципу аукциона – кто больше заплатит. За использование алгоритма DNS Amplification ботнетчики требуют оплату, как за дополнительную услугу. Эксперты из компании SecureWorks, расследующие инцидент, считают, что в случае с компанией ISPrime использовалась именно такая сеть компьютеров-«зомби». Оператор конкурирующего сайта заказал атаку у владельцев одного из ботнетов.

Универсального лекарства от атаки DNS Amplification пока не существует. Тем не менее, организация DNS-OARC (Operations Analysis and Research Center) уже выпустила рекомендации по защите серверов на платформе BIND DNS от использования в таких атаках. Компания Microsoft пока не опубликовала указаний, как избежать подобных атак в ее продуктах, однако общие рекомендации по развертыванию защищенных DNS-серверов на базе продуктов Microsoft можно найти, например, на сайте technet.microsoft.com.

www.securitylab.ru

Опубликовано 06.02.2009 20:41 и размещено в рубрике IT новости. Вы можете следить за комментариями, подписавшись на RSS 2.0 ленту этого сообщения. Комментирование закрыто.

публикации сходной тематики

• В Microsoft SCOM 2007 R2 появится поддержка UNIX и Linux
• Microsoft представила бета-версию средств управления Linux-серверами
• Microsoft: защищай и властвуй
• Сегодня подписчики MSDN и TechNet получат Windows 7 RTM
• DevCon’11 – это первая масштабная конференция по разработке, проводимая Microsoft в России