Предложена новая методика для борьбы с DoS-атаками - «Интернет»

Традиционные представления об источниках и причинах DoS-атак, а также о методах борьбы с ними могут оказаться абсолютно неверными, полагает группа американских исследователей. Специалисты университета Мичигана, университета Карнеги Меллона и исследовательской лаборатории компании AT&T в ходе исследования выяснили, что большинство DoS-атак проходят без участия большого количества компьютеров, замаскированных фальшивыми IP-адресами.

Эксперты утверждают, что 70 процентов DoS-атак проводятся силами менее чем 50 источников запросов к серверу. При этом 72 процента DoS-атак приходится на совсем небольшое количество источников запросов. Использование скрытых IP-адресов, считающееся самым популярным методом проведения DoS-атаки, в действительности, было зафиксировано всего в нескольких случаях.

Прежде специалисты по информационной безопасности отслеживали источники DoS-атак, используя так называемый backscatter-анализ (по-русски его можно назвать анализом отражения сигнала — методика предусматривает измерение объема IP-пакетов, которыми атакуемый сервер обменивается с атакующими его адресами). Backscatter-анализ предполагает измерение количества IP-пакетов, которые атакуемая машина отправляет на фальшивые IP-адреса, запросы с которых имитирует организатор атаки. Однако backscatter-анализ допускает, что все запросы на атакуемую машину идут исключительно с фальшивых IP-адресов, а следовательно не может дать точного результата в случае, если для DoS-атаки используется ботнет. А в текущий момент использование ботнетов становится наиболее привлекательным для организации атак, отметили исследователи.

Новая методика изучения DoS-атак комбинирует традиционный backscatter-анализ с использованием прямых замеров Netflow (протокол CISCO для сбора информации о трафике) и предупреждениями от коммерческих систем обнаружения DoS-атак. Данные, полученные в результате новых исследований, показывают, что в DoS-атаках принимают участие не сотни машин, а всего несколько источников. Эти источники могут быть выявлены, а их трафик исключен из ежедневного потока IP-пакетов к серверу или сети.