Τύποι επιθέσεων πλαστογράφησης IP

Πολλές υπηρεσίες μπορούν να στέλνουν απαντήσεις σε μια διεύθυνση που δεν τις ζήτησε ποτέ. Η ανάκλαση κατευθύνει το βάρος προς έναν αμέτοχο παραλήπτη.

Δεν αλλάζει κάθε επίθεση που περιγράφεται ως «πλαστογράφηση» μια διεύθυνση IP, ούτε χρησιμοποιεί κάθε πλημμύρα κίνησης πλαστές διευθύνσεις. Ο σαφέστερος τρόπος να κατανοήσουμε ένα περιστατικό είναι να θέσουμε δύο ερωτήματα: ποιες πληροφορίες παραποιήθηκαν και πού κατέληξε η κίνηση;

Ανάκλαση: η απάντηση πηγαίνει σε κάποιον άλλον

Φανταστείτε αιτήματα που αποστέλλονται σε πολλές υπηρεσίες και φέρουν όλα τη διεύθυνση ενός αμέτοχου ανθρώπου ως διεύθυνση απάντησης. Οι υπηρεσίες στέλνουν τις απαντήσεις τους σε αυτόν. Οι υπηρεσίες είναι οι ανακλαστήρες· ο άνθρωπος που δέχεται τις ανεπιθύμητες απαντήσεις είναι το θύμα.

Σε ένα δίκτυο, μια πλαστή IP προέλευσης μπορεί να έχει αυτό το αποτέλεσμα όταν μια υπηρεσία απαντά χωρίς πρώτα να επιβεβαιώσει ότι ο αποστολέας μπορεί να λάβει κίνηση στη δηλωμένη διεύθυνση. Αν ένα μικρό αίτημα προκαλεί μεγαλύτερη απάντηση, η ανάκλαση ενισχύει επίσης την κίνηση. Το RFC 5358 εξηγεί πώς μπορούν να αξιοποιηθούν καταχρηστικά με αυτόν τον τρόπο οι ανοικτοί αναδρομικοί διακομιστές DNS. Η ανάκλαση αφορά την κατεύθυνση των απαντήσεων· η ενίσχυση αφορά το μέγεθός τους. Συνδέονται, αλλά δεν είναι εναλλάξιμες έννοιες.

Άμεση υπερφόρτωση: υπερβολική κίνηση φτάνει στον στόχο

Μια άμεση επίθεση υπερφόρτωσης στέλνει κίνηση στον ίδιο τον στόχο για να καταναλώσει πόρους διατήρησης της κατάστασης συνδέσεων, επεξεργαστική ισχύ ή εύρος ζώνης. Ορισμένες τέτοιες επιθέσεις χρησιμοποιούν ψευδείς διευθύνσεις προέλευσης. Άλλες προέρχονται από παραβιασμένες συσκευές που χρησιμοποιούν τις πραγματικές τους διευθύνσεις.

Η «κατανεμημένη άρνηση υπηρεσίας», ή DDoS, περιγράφει μια επίθεση που προέρχεται από πολλές πηγές και διαταράσσει τη διαθεσιμότητα. Δεν σημαίνει ότι αυτές οι πηγές πρέπει να είναι πλαστογραφημένες. Ένα botnet είναι ένα σύνολο παραβιασμένων συσκευών· δεν αποτελεί ξεχωριστό είδος πλαστογράφησης IP. Ο αποκλεισμός ψευδών πηγών βοηθά, αλλά δεν σταματά όλη την κίνηση DDoS.

Προσποίηση μιας έμπιστης προέλευσης

Μια υπηρεσία μπορεί να παραχωρεί προνόμια επειδή η κίνηση φαίνεται να προέρχεται από μια γνώριμη διεύθυνση. Μια πλαστή προέλευση μπορεί να συμβάλει στην εκμετάλλευση αυτής της εμπιστοσύνης, αλλά δεν δημιουργεί αυτόματα μια χρησιμοποιήσιμη συνεδρία. Ο επιτιθέμενος εξακολουθεί να αντιμετωπίζει τους ελέγχους σύνδεσης του πρωτοκόλλου και όποια αυθεντικοποίηση εφαρμόζεται στο επίπεδο της εφαρμογής.

Οι περιγραφές μερικές φορές διακρίνουν τις «τυφλές» επιθέσεις από εκείνες όπου ο αποστολέας μπορεί να παρατηρήσει την ανταλλαγή. Η χρήσιμη διάκριση είναι η ορατότητα: ένας επιτιθέμενος εκτός διαδρομής συνήθως δεν μπορεί να δει τις απαντήσεις, ενώ ένας επιτιθέμενος πάνω στη διαδρομή μπορεί να παρατηρεί την κίνηση που περνά από τη θέση του. Η παρουσία στο ίδιο τοπικό δίκτυο είναι μία πιθανή περίπτωση, όχι ο ορισμός όλων των επιθέσεων πάνω στη διαδρομή. Η σωστά αυθεντικοποιημένη κρυπτογράφηση παραμένει σημαντική ακόμη κι όταν κάποιος μπορεί να παρατηρεί πακέτα.

Η πλαστογράφηση ARP και DNS αλλάζει διαφορετικές πληροφορίες

Το ARP συνδέει μια διεύθυνση IPv4 με μια διεύθυνση του επιπέδου ζεύξης σε ένα τοπικό δίκτυο. Ψευδείς πληροφορίες ARP μπορούν να εκτρέψουν την τοπική παράδοση. Το DNS αντιστοιχίζει ονόματα σε εγγραφές, μεταξύ αυτών και σε διευθύνσεις· ψευδείς απαντήσεις DNS μπορούν να παραπλανήσουν την αναζήτηση ενός ονόματος. Κανένα από τα δύο δεν είναι απλώς η αλλαγή του πεδίου προέλευσης ενός πακέτου IP.

Αυτοί οι μηχανισμοί μπορούν να συνυπάρχουν σε ένα περιστατικό, αλλά απαιτούν διαφορετικά μέτρα ελέγχου. Οι προστασίες του τοπικού δικτύου αντιμετωπίζουν ψευδείς αντιστοιχίσεις ARP. Το DNSSEC επικυρώνει υπογεγραμμένα δεδομένα DNS όταν η αλυσίδα εμπιστοσύνης είναι έγκυρη, όπως περιγράφεται στο RFC 4033. Το φιλτράρισμα προέλευσης ελέγχει από πού δηλώνει ότι προέρχεται η κίνηση IP. Ένα μέτρο δεν εκτελεί και τις τρεις εργασίες.

Ξεκινήστε από την κίνηση που βλέπετε πραγματικά

Απαντήσεις από πολλές υπηρεσίες χωρίς προηγούμενο αίτημα υποδηλώνουν μοτίβο ανάκλασης. Ένας πολυάσχολος διακομιστής που δέχεται άμεσα αιτήματα μπορεί να αντιμετωπίζει διαφορετικό πρόβλημα. Μια απρόσμενη αναζήτηση ονόματος ή αντιστοίχιση τοπικής διεύθυνσης χρειάζεται τη δική της διερεύνηση. Μια διεύθυνση σε αρχείο καταγραφής είναι στοιχείο προς εξέταση, όχι απόδειξη της ταυτότητας ενός ανθρώπου.

Για τη βασική εξήγηση, διαβάστε τι αλλάζει η πλαστογράφηση IP και τι δεν αλλάζει. Για να μετατρέψετε αυτές τις διακρίσεις σε άμυνα, συνεχίστε με την επικύρωση προέλευσης, την αυθεντικοποίηση και την προστασία υπηρεσιών.