DDOS útoky jsou jednou z hlavních hrozeb v zabezpečení sítě. Mohou vést k vážným poruchám sítě, což způsobuje odmítnutí služby a vede ke ztrátě dat. Jedním z nejběžnějších typů DDoS útoků je SYN Flood.
SYN Flood - je to typ útoku, při kterém útočníci posílají velké množství SYN požadavků TCP na server. To vede k přetečení tabulky stavů připojení serveru, což způsobuje, že legitimní uživatelské požadavky nelze zpracovat.
Pokud vaše síť běží na hardwaru MikroTik, můžete použít řadu ochranných opatření proti SYN Flood útokům. Za prvé, je možné omezit rychlost příchozích dotazů zaměřených na cílovou adresu. K tomu lze použít konfiguraci založenou na filtrování provozu pomocí pravidel faervolu.
add action=drop chain=input dst-address=your_server_address protocol=tcp tcp-flags=syn limit=1,1:packet
Toto pravidlo filtrování provozu zahodí pakety s nastavenou vlajkou SYN, pokud počet těchto paketů překročí 1 za sekundu. To umožňuje zabránit přetížení serveru a zajistit jeho stabilní provoz.
MikroTik navíc umožňuje povolit SYN Cookies-mechanismus, který umožňuje zpracovávat požadavky od klienta i při přetečení stavové tabulky. Při používání SYN Cookies Mikrotik generuje jedinečné identifikátory pro každou relaci TCP, které jsou uloženy na serveru až do okamžiku připojení. Tímto způsobem lze efektivně zvládnout zvýšené zatížení serveru při SYN Flood útoku.
Definice a princip DDoS útoku
Hlavním principem DDoS útoku je, že útočník zachytí a ovládá velké množství zařízení, které nazývá "zombie". Útočník poté odešle vysokofrekvenční dotazy nebo datové pakety pomocí těchto zombie na cílový server nebo síť.
Takový útok představuje obrovskou zátěž pro cílový systém, kvůli kterému není schopen normálně zpracovat skutečné požadavky. Server nebo síť jsou přetíženy a stávají se nedostupnými pro legitimní uživatele nebo servisní programy.
DDOS útoky mohou být různé povahy. Například útok SYN Flood je založen na hromadném odesílání požadavků na připojení (SYN), aniž by tento proces skončil, což vede k ucpání front serveru na instalaci nových připojení.
Ochrana proti DDoS útokům vyžaduje použití speciálních programů a hardwaru, které mohou detekovat a filtrovat škodlivý provoz. MikroTik nabízí řadu mechanismů pro ochranu před takovými útoky, včetně filtrování paketů, řízení provozu a dalších technik.
Hlavní typy DDoS útoků a jejich hrozba pro MikroTik
Existuje několik hlavních typů DDoS útoků, které představují hrozbu pro MikroTik:
- Útoky na úrovni sítě (Network Layer DDoS Attacks) tyto útoky jsou zaměřeny na přetížení šířky pásma sítě MikroTik. Příkladem takových útoků jsou útoky typu SYN flood, UDP flood nebo ICMP flood. V důsledku těchto útoků dochází k vyčerpání zdrojů sítě, což může vést k odmítnutí služby.
- Útoky na úrovni aplikací (Application Layer DDoS Attacks) tyto útoky se zaměřují na zranitelnosti a omezení softwaru běžícího na Mikrotiku. Mohou to být například útoky využívající zranitelnosti ve webových aplikacích, DNS útoky nebo HTTP flood. Takové útoky mohou vést k nedostupnosti služeb spuštěných na MikroTik.
- Útoky na úrovni protokolu (Protocol-Based DDoS Attacks) jsou zaměřeny na zranitelnosti v protokolech používaných Mikrotikem. Příkladem takových útoků jsou útoky na protokoly TCP, UDP nebo ICMP. To může vést k přetížení zdrojů protokolů nebo nedostupnosti služeb běžících na MikroTik.
Všechny tyto typy útoků mohou představovat vážnou bezpečnostní hrozbu MikroTik a vyžadují vhodná ochranná opatření, aby se zabránilo nebo minimalizovalo vystavení útoku.
SYN Flood: vlastnosti a princip fungování
Principem útoku SYN Flood je, že útočník posílá velké množství syn paketů do cílového systému, falšuje odesílatele a vytváří falešné požadavky na připojení. Přijímací systém zaznamenává tyto požadavky v interní tabulce stavů (state table) a čeká na dokončení podání ruky pro navázání spojení.
Útočník však neposílá následné balíčky, neukončí proces podání ruky a systém zůstává v pohotovosti. Výsledkem je, že energie a zdroje určené ke zpracování požadavků jsou vyčerpány, což vede k odmítnutí služby legitimním uživatelům.
Útok SYN Flood je založen na použití nedostatků v protokolu TCP a síťovém zásobníku operačního systému, které naznačují, že odesílatel balíčku bude legitimní, a proto bude plně dokončen handshake. Útočníci mohou použít botnety nebo distribuované výpočetní sítě (botnets) k přiblížení útoku a zvýšení jeho účinnosti.
Vliv SYN Flood na MikroTik a možné důsledky
Při útoku SYN Flood útočník odešle velké množství SYN balíčků do cílového routeru a zadá je do stavu čekání na připojení. Útočník pak pokračuje v instalaci připojení odmítnutím odesílání paketů ACK. V důsledku toho se může vyplnit tabulka připojení routeru, což vede k jeho přetížení a selhání údržby.
Důsledky SYN Flood na MikroTik mohou být různé:
- Odmítnutí služby (DoS): SYN Flood útok může způsobit dočasnou nedostupnost routeru a souvisejících sítí pro legitimní provoz.
- Zpomalení práce: Přetečení tabulky připojení může způsobit zpomalení zpracování dat a zpoždění při přenosu paketů.
- Vysoké zatížení procesoru: Zpracování velkého množství SYN balíčků vyžaduje další zdroje procesoru, což může vést ke zvýšení jeho načítání a snížení výkonu.
- Ztráta konfiguračních dat: Přetížení routeru může způsobit ztrátu konfiguračních dat, včetně nastavení a databáze uživatelů.
- Zranitelnost: Při dlouhodobém SYN Flood útoku, router se může stát zranitelnější vůči jiným druhům útoků, jako je ICMP flood nebo UDP flood.
Aby se zabránilo nebo minimalizovalo účinky SYN Flood útoku na Mikrotik Router, doporučuje se použít ochranná opatření, jako jsou:
- Nastavení maximálního počtu připojení: Omezení maximálního počtu otevřených připojení na routeru umožňuje zabránit přetečení tabulky připojení a snížit možné důsledky SYN Flood.
- Povolení Firewall: Použití filtrování provozu a pravidel brány firewall pomáhá blokovat podezřelý nebo škodlivý provoz, včetně paketů SYN s neplatnými IP adresami.
- Nastavení ochrany: Mikrotika poskytuje různé nástroje a funkce pro ochranu proti SYN Flood útokům, jako jsou SYN flood protection a connection limits.
- Monitorování síťového provozu: Proaktivní sledování provozu umožňuje detekovat abnormální chování a nedostatečný objem SYN paketů, což pomůže rychle reagovat na SYN Flood útoky.
- Použití protiopatření: Další protiopatření, jako je Rate Limiting a Traffic Policing, lze použít k omezení rychlosti příchozího provozu a snížení možných možností DDoS útoků.
Použití těchto opatření zlepší odolnost Mikrotik routeru proti SYN Flood útokům a minimalizuje negativní důsledky pro jeho normální provoz a bezpečnost.