Nowe oprogramowanie rozpoznaje i blokuje ataki DDoS

Distributed Denial of Service (DDoS) to jeden z najpowszechniej spotykanych hackerskich ataków sieciowych, służących do niszczenia pojedynczych stron internetowych, portali, witryn lub wyłączenia całych usług np. obsługi kont w internetowym banku. Atak DDoS jest przeprowadzany jednocześnie z wielu komputerów i serwerów. Służą do tego botnety - sieci komputerów i serwerów przejęte przez hackerów przy pomocy złośliwego kodu i tzw. koni trojańskich, które w zaplanowanym momencie umożliwiają kontrolę i włączenie komputera do botnetu.

W ataku DDoS komputery botnetu zasypują serwery ofiary żądaniem udostępnienia usług lub stron www, jakie one oferują. Ponieważ dla każdego takiego żądania serwer musi wydzielić zasoby (pamięć, czas pracy procesora, pasmo sieci), zalanie żądaniami wywołuje w końcu wyczerpanie zasobów i niedostępność usługi lub strony.

Atak DDoS został użyty w 200. roku do uderzenia w banki i instytucje publiczne Estonii, a w 2010 roku - do próby zawieszenia pracy największych operatorów kart płatniczych i kredytowych - MasterCard i Visa.

Poradzenie sobie z atakiem DDoS jest trudne, ponieważ zaatakowana sieć nie może rozróżnić skoordynowanej akcji botnetu od żądań zwykłych użytkowników, których np. w przypadku banku internetowego może być bardzo wielu.

Zespół naukowców i programistów pod kierownictwem Jaydipa Sena z Tata Consultancy Services w Kalkucie w Indiach opracował algorytm, obliczający ile danych otrzymuje serwer i z jakiego komputera(według jego numeru IP). Dane te porównywane są z danymi jakie przesyłał ów komputer każdego innego dnia. Nagły wzrost aktywności takiego komputera, który dotąd nie komunikował się często z atakowanym serwerem pozwala sądzić, iż należy on do botnetu. W ten sposób można wykryć atak DDoS w jego początkowej fazie, zanim zdoła on wyrządzić nieodwracalne szkody.

Oprogramowanie wykorzystujące algorytm grupy Sena, po stwierdzeniu, jakie komputery prawdopodobnie dokonują ataku, blokuje cały ruch przychodzący z tych komputerów do atakowanego serwera. Obecnie, po koniecznym uproszczeniu algorytmu, tak aby tworzenie "wzorców ruchu" zgłaszających się z żądaniami komputerów i porównywanie ich aktywności w poszczególnych dniach nie pożerało zbyt wiele zasobów w atakowanej sieci, oprogramowanie zespołu Sena osiągnęło 9. proc. wskazań trafnych, odróżniając właściwe żądanie usługi od ataku.

Zarówno specjaliści ds. bezpieczeństwa z firm komercyjnych, jak i naukowcy uważają ten wynik za przełomowy w dziedzinie obrony przed atakami DDoS. Są jednak zgodni, że konieczne są wspólne działania badaczy, ekspertów bezpieczeństwa i policji wielu krajów w celu likwidacji samych botnetów. Największy z nich - hiszpańsko-meksykańska Mariposa - dysponował 13 mln komputerów w 190 krajach. Zlikwidowano go 23 grudnia 2009 po wspólnej akcji naukowców z Georgia Tech Information Security Center, ekspertów z firm Defence Intelligence i Panda Security oraz hiszpańskiej Straży Obywatelskiej, policji meksykańskiej i FBI.