211service.com
Det første DDoS-angrepet var for 20 år siden. Dette er det vi har lært siden.
Ms. Tech; datamaskin: Wikimedia commons
22. juli 1999 er en illevarslende dato i databehandlingens historie. Den dagen ble plutselig en datamaskin ved University of Minnesota angrepet fra et nettverk av 114 andre datamaskiner infisert med et ondsinnet skript kalt Trin00.
Denne koden førte til at de infiserte datamaskinene sendte overflødige datapakker til universitetet, og overveldet datamaskinen og hindret den i å håndtere legitime forespørsler. På denne måten slo angrepet ut universitetets datamaskin i to dager.
Dette var verdens første DDoS-angrep (Distributed Denial of Service). Men det tok ikke lang tid før taktikken spredte seg. I månedene som fulgte ble mange andre nettsteder ofre, inkludert Yahoo, Amazon og CNN. Hver ble oversvømmet med datapakker som hindret den i å akseptere legitim trafikk. Og i hvert tilfelle kom de ondsinnede datapakkene fra et nettverk av infiserte datamaskiner.
Siden den gang har DDoS-angrep blitt vanlig. Ondsinnede aktører gjør også en lukrativ handel med å presse ut beskyttelsespenger fra nettsteder de truer med å angripe. De selger til og med tjenestene sine på det mørke nettet. Et 24-timers DDoS-angrep mot et enkelt mål kan koste så lite som $400.
Men kostnadene for offeret kan være enorme i form av tapt inntekt eller skadet omdømme. Det har igjen skapt et marked for cyberforsvar som beskytter mot denne typen angrep. I 2018 var dette markedet verdt svimlende 2 milliarder euro. Alt dette reiser det viktige spørsmålet om mer kan gjøres for å forsvare seg mot DDoS-angrep.
I dag, 20 år etter det første angrepet, utforsker Eric Osterweil fra George Mason University i Virginia og hans kolleger naturen til DDoS-angrep, hvordan de har utviklet seg, og om det er grunnleggende problemer med nettverksarkitektur som må løses for å gjøre det tryggere. Svarene, sier de, er langt fra enkle: Landskapet med billige, kompromitterende roboter har bare blitt mer fruktbart for ugudelige, og mer skadelig for Internett-tjenesteoperatører.
Først litt bakgrunn. DDoS-angrep utspiller seg vanligvis i etapper. I det første trinnet infiserer en ondsinnet inntrenger en datamaskin med programvare utviklet for å spre seg over et nettverk. Denne første datamaskinen er kjent som masteren, fordi den kan kontrollere alle påfølgende datamaskiner som blir infisert. De andre infiserte datamaskinene utfører selve angrepet og er kjent som demoner.
Vanlige ofre på dette første stadiet er universitets- eller høyskoledatanettverk, fordi de er koblet til en lang rekke andre enheter.
Et DDoS-angrep begynner når hoveddatamaskinen sender en kommando til demonene som inkluderer adressen til målet. Daemonene begynner deretter å sende et stort antall datapakker til denne adressen. Målet er å overvelde målet med trafikk så lenge angrepet varer. De største angrepene i dag sender ondsinnede datapakker med en hastighet på terabit per sekund.
Angriperne går ofte langt for å skjule sin plassering og identitet. For eksempel bruker demonene ofte en teknikk som kalles IP-adresseforfalskning for å skjule adressen deres på internett. Masterdatamaskiner kan også være vanskelige å spore fordi de bare trenger å sende en enkelt kommando for å utløse et angrep. Og en angriper kan velge å bruke demoner kun i land som er vanskelig tilgjengelige, selv om de selv kan være lokalisert andre steder.
Å forsvare seg mot denne typen angrep er vanskelig fordi det krever samordnede handlinger fra en rekke operatører. Den første forsvarslinjen er å forhindre opprettelsen av daemon-nettverket i utgangspunktet. Dette krever at systemadministratorer regelmessig oppdaterer og lapper programvaren de bruker og oppmuntrer til god hygiene blant brukere av nettverket deres – for eksempel regelmessig endring av passord, bruk av personlige brannmurer og så videre.
Internett-leverandører kan også gi et visst forsvar. Deres rolle er å videresende datapakker fra en del av et nettverk til en annen, avhengig av adressen i hver datapakkes overskrift. Dette gjøres ofte med lite eller ingen hensyn til hvor datapakken kom fra.
Men det kan endre seg. Overskriften inneholder ikke bare måladressen, men også kildeadressen. Så i teorien er det mulig for en ISP å undersøke kildeadressen og blokkere pakker som inneholder åpenbart forfalskede kilder.
Dette er imidlertid beregningsmessig dyrt og tidkrevende. Og siden Internett-leverandørene ikke nødvendigvis er målene i et DDoS-angrep, har de begrenset insentiv til å bruke dyre avbøtende prosedyrer.
Til slutt kan målet selv ta skritt for å dempe effekten av et angrep. Et åpenbart trinn er å filtrere ut de dårlige datapakkene når de ankommer. Det fungerer hvis de er lette å oppdage og hvis beregningsressursene er på plass for å takle volumet av ondsinnet trafikk.
Men disse ressursene er dyre og må kontinuerlig oppdateres med de siste truslene. De sitter ubrukte mesteparten av tiden, og kommer først i gang når et angrep oppstår. Og selv da takler de kanskje ikke de største angrepene. Så denne typen avbøtende tiltak er sjelden.
Et annet alternativ er å sette ut problemet til en skybasert tjeneste som er bedre rustet til å håndtere slike trusler. Dette sentraliserer problemene med DDoS-reduksjon i skrubbesentre, og mange takler det bra. Men selv disse kan ha problemer med å håndtere de største angrepene.
Alt dette reiser spørsmålet om mer kan gjøres. Hvordan kan nettverksinfrastrukturen vår forbedres for å håndtere prinsippene som muliggjør DDoS-problemet? spør Osterweil og co. Og de sier at 20-årsdagen for det første angrepet bør gi en god mulighet til å studere problemet nærmere. Vi mener at det som trengs er undersøkelser av hvilke grunnleggende faktorer som muliggjør og forverrer DDoS, sier de.
En viktig observasjon om DDoS-angrep er at angrepet og forsvaret er asymmetriske. Et DDoS-angrep blir vanligvis lansert fra mange demoner over hele verden, og likevel foregår forsvaret stort sett på et enkelt sted – noden som er under angrep.
Et viktig spørsmål er om nettverk kan eller bør modifiseres til å inkludere et slags distribuert forsvar mot disse angrepene. En vei fremover kan for eksempel være å gjøre det enklere for Internett-leverandører å filtrere ut forfalskede datapakker.
En annen idé er å gjøre datapakker sporbare når de reiser over internett. Hver ISP kan merke et utvalg av datapakker – kanskje én av 20 000 – ettersom de rutes slik at reisen deres senere kan rekonstrueres. Det vil tillate offeret og politimyndighetene å spore kilden til et angrep, selv etter at det er avsluttet.
Disse og andre ideer har potensial til å gjøre internett til et tryggere sted. Men de krever enighet og vilje til å handle. Osterweil og co mener tiden er moden for handling: Dette er en oppfordring til handling: forskningsmiljøet er vårt beste håp og best kvalifisert til å ta opp denne oppfordringen.
Ref: arxiv.org/abs/1904.02739 : 20 år med DDoS: En oppfordring til handling