Poraďte zákazníkům, jak se mají ubránit napadení hackerů
Národní CSIRT tým České republiky, CSIRT.CZ (CSIRT = Computer Security Incident Response Team) potvrdil, že tyto DDoS útoky využily techniky zvané jako SYN Flood. K sestavení takového útoku hacker vytvoří velké množství TCP spojení, ale neodpovídá na zprávy SYN-ACK zasílané napadeným serverem. Zdrojové IP adresy ve zprávách SYN jsou obvykle podvržené. A protože jsou nové SYN zprávy doručovány rychleji, než mohou být ukončena napůl otevřená spojení z předchozích SYN zpráv, celkový počet takových spojení neustále narůstá. A to až do fáze, kdy nemá server k dispozici další paměť, aby mohl navazovat další spojení. V extrémních případech pak dochází až k přetečení paměťového zásobníku.
Vladimír Špička, regionální Sales Manager ve společnosti Citrix Systems, k nedávným útokům prohlásil: „Hackerské útoky, které v posledních dnech proběhly, představují vážnou hrozbu pro jakoukoliv společnost či instituci. Pokud dojde k napadení, znamená to pro všechny nepřipravené dramatické konsekvence a v nejhorším případě to může vést až k totálnímu kolapsu obchodních operací. Společnosti všech velikostí by měly revidovat svá bezpečnostní opatření a ověřit si, zda jsou dostatečně chráněny proti SYN DoS útokům. Preventivní opatření naštěstí existují a mohou být velmi efektivní. Jedním způsobem, jak zabránit následkům útoku SYN DoS, je používání SYN cookies namísto udržování polootevřených spojení v rámci systémového paměťového zásobníku. Například jakékoliv ze zařízení NetScaler se systémovým softwarem verze 8.1 nebo novějším to dělá zcela automaticky. Zařízení pak posílá cookie každému klientovi, který vyžaduje TCP připojení. Namísto udržování kvanta napůl otevřených spojení je systémová paměť alokována pouze pro spojení, která splnila podmínku zaslání finálního ACK paketu nebo, v případě HTTP provozu, na základě přijetí HTTP požadavku. Takový přístup je účinnou prevencí SYN útoků a umožňuje, aby nebyla běžná TCP komunikace s legitimními uživateli podobnými pokusy narušována. Webové stránky jsou tak dostupné i v případě zahlcením serveru požadavky SYN. Jelikož NetScaler zařízení alokují paměť až poté, co získají finální HTTP požadavek, chrání webovou stránku před útoky pramenícími ze zpožděné komunikace. Ochrana SYN DoS na zařízení NetScaler nevyžaduje složitou konfiguraci a je povolena již v základním nastavení.“
