Журнал «Вокруг Света» №07 за 2007 год

В таком чате может идти обычная переписка страдающих бездельем подростков, но в определенный момент некто пишет условную фразу, которая содержит адрес сайта-жертвы. Сеть зомби-машин начинает работать. Из «личинок» вылупляются «оводы» и начинают «топить» жертву. Запросы идут из многих точек Сети, идут с высокой частотой, и сайт, который они атакуют, начинает задыхаться, перестает отвечать на легитимные запросы и наконец смолкает. Атакующие компьютеры могут не только сами посылать запросы на сайт-жертву, но инициировать поток запросов от публичных сайтов. Этот изощренный вид атаки получил название DRDoS (Distributed Reflecting Denial of Service Attack).

Атака на интернет

DoS-атакам подвергаются не только отдельные сайты, но и вся инфраструктура Интернета в целом. Так произошло 21 октября 2002 года (атака длилась один час) и 6 февраля 2007 (атака длилась восемь часов). Тогда были атакованы корневые DNS-серверы (англ. Domain Name System — «система доменных имен»).

DNS-серверы предназначены для установления цифрового IP-адреса сайта по его названию. Когда пользователь запрашивает нужный сайт, например www.vokrugsveta.ru , его браузер связывается с ближайшим DNS-сервером и пытается выяснить у него, какой IP-адрес следует поставить в соответствие введенному имени. Если ближайший DNS-сервер не знает адреса, он направляет запрос на корневой DNS, который тоже ответа не знает, но знает какой DNS отвечает за зону RU. Постепенно разбирая введенное имя, DNS-сервера выясняют, какой же IP-адрес следует поставить в соответствие имени. И в конце концов выясняется, что это 88.222.4.40.

Самое узкое место в этой цепочке — корневые DNS. Их всего 13, и через них проходит подавляющее число запросов, поскольку именно они содержат ссылки на домены верхнего уровня, например COM, ORG или RU.

Если удастся вывести из строя корневые DNS, можно парализовать целые сегменты Сети — миллионы компьютеров. В 2002 году, когда были атакованы все 13 серверов, это отчасти удалось. Тогда сбои заметили многие пользователи Интернета. В 2007 году были атакованы 3 корневых DN- сервера, и никто из пользователей этого не заметил. Отразить атаку удалось путем многократного копирования DNS на разных физических серверах. DoS-атаку отбили, выстояли, но это — не окончательная победа. Утверждать, что это никогда не повторится, было бы наивно.

Как смягчить удар

Эффективной защиты от DoS-атак сегодня не существует. Любой ресурс в любой момент может быть атакован злоумышленниками. Но существуют рекомендации, которые помогают смягчить удар. Один из методов защиты: наращивание мощности серверов и пропускной способности каналов. Другой: дублирование информации на разных компьютерах. Это именно те методы, которые используются для защиты корневых DNS. Кроме того, применяются различные методы фильтрации запросов, причем фильтры и межсетевые экраны должны отражать атаку на самой ранней стадии — чем раньше мы сможем перехватывать «мусорные» запросы, тем лучше защищен наш ресурс. Но атаки все равно проходят, хотя, как утверждает разработчик антивирусных программ Symantec, за последний год число DoSатак заметно снизилось. Но произошло это не потому, что найдено эффективное противоядие, а потому, что злоумышленники пришли к выводу, что огромные botnets гораздо выгоднее использовать для рассылки спама, чем для атак. Кстати, провести DoS-атаку на сайт — не слишком дорогое удовольствие. Ресурс Хакер.ru приводит такие расценки: «Комплект из 5 000 зараженных троянами машин оценивают в 200 — 500 долларов», «Ваше желание заDDoSить сайт сбудется примерно за 80—250 баксов за сутки, в зависимости от популярности ресурса». New Scientist приводит несколько большие цифры: атака с использованием большой зомби-сети стоит от 500 до 1 500 долларов.

Что же делать?

Нужно быть предельно аккуратным. Это правило специалисты по информационной безопасности, кажется, уже устали повторять всем и каждому, но приходится делать это снова и снова. Главная сила любого организатора DoS-атаки — это подконтрольная ему сеть компьютеров-зомби. Троянские программы можно выловить и вычистить, но это бесполезно, если пользователь тут же подхватит новые. А антивирусные программы всегда на шаг отстают. Не надо открывать вложение, даже если оно пришло со знакомого адреса. Троянская программа может прочесть адресную книгу вашего лучшего друга и послать вам вирус или троян от его имени. Лучше лишний раз уточнить, что это за вложение, а не торопиться раскрыть документ или картинку с соблазнительным названием. Будьте бдительны, и волна не пройдет!

Владимир Губайловский