Det første DDoS-angreb var for 20 år siden. Det er, hvad vi har lært siden.

Ms. Tech; computer: Wikimedia commons

Den 22. juli 1999 er en ildevarslende dato i computerhistorien. Den dag blev en computer ved University of Minnesota pludselig udsat for angreb fra et netværk af 114 andre computere, der var inficeret med et ondsindet script kaldet Trin00.

Denne kode fik de inficerede computere til at sende overflødige datapakker til universitetet, hvilket overvældede dets computer og forhindrede den i at håndtere legitime anmodninger. På den måde slog angrebet universitetets computer ud i to dage.

Dette var verdens første distribuerede denial of service (DDoS) angreb. Men det tog ikke lang tid, før taktikken bredte sig. I de efterfølgende måneder blev adskillige andre websteder ofre, herunder Yahoo, Amazon og CNN. Hver var oversvømmet med datapakker, der forhindrede den i at acceptere lovlig trafik. Og i hvert tilfælde kom de ondsindede datapakker fra et netværk af inficerede computere.

Siden da er DDoS-angreb blevet almindelige. Ondsindede aktører foretager også en lukrativ handel med at afpresse beskyttelsespenge fra websteder, de truer med at angribe. De sælger endda deres tjenester på det mørke web. Et 24-timers DDoS-angreb mod et enkelt mål kan koste så lidt som $400.

Men omkostningerne for ofret kan være enorme i form af tabt indtægt eller beskadiget omdømme. Det har igen skabt et marked for cyberforsvar, der beskytter mod den slags angreb. I 2018 var dette marked svimlende €2 milliarder værd. Alt dette rejser det vigtige spørgsmål om, hvorvidt der kan gøres mere for at forsvare sig mod DDoS-angreb.

I dag, 20 år efter det første angreb, udforsker Eric Osterweil fra George Mason University i Virginia og hans kolleger karakteren af ​​DDoS-angreb, hvordan de har udviklet sig, og om der er grundlæggende problemer med netværksarkitektur, som skal løses for at gøre det mere sikkert. Svarene, siger de, er langt fra ligetil: Landskabet af billige, kompromitterende bots er kun blevet mere frugtbart for ondsindede og mere skadeligt for internetudbydere.

Først lidt baggrund. DDoS-angreb udfolder sig normalt i etaper. I den første fase inficerer en ondsindet ubuden gæst en computer med software designet til at sprede sig over et netværk. Denne første computer er kendt som masteren, fordi den kan styre alle efterfølgende computere, der bliver inficeret. De andre inficerede computere udfører selve angrebet og er kendt som dæmoner.

Almindelige ofre i denne første fase er universitets- eller college-computernetværk, fordi de er forbundet med en lang række andre enheder.

Et DDoS-angreb begynder, når mastercomputeren sender en kommando til dæmonerne, der inkluderer målets adresse. Dæmonerne begynder derefter at sende et stort antal datapakker til denne adresse. Målet er at overvælde målet med trafik i hele angrebets varighed. De største angreb i dag sender ondsindede datapakker med en hastighed på terabit i sekundet.

Angriberne går ofte meget langt for at skjule deres placering og identitet. For eksempel bruger dæmonerne ofte en teknik kaldet IP-adresse-spoofing til at skjule deres adresse på internettet. Mastercomputere kan også være svære at spore, fordi de kun behøver at sende en enkelt kommando for at udløse et angreb. Og en angriber kan vælge kun at bruge dæmoner i lande, der er svære at få adgang til, selvom de selv kan være placeret andre steder.

Det er svært at forsvare sig mod denne slags angreb, fordi det kræver samordnede handlinger fra en række operatører. Den første forsvarslinje er at forhindre oprettelsen af ​​dæmonnetværket i første omgang. Dette kræver, at systemadministratorer regelmæssigt opdaterer og patcher den software, de bruger, og tilskynder til god hygiejne blandt brugere af deres netværk – for eksempel regelmæssigt at ændre adgangskoder, bruge personlige firewalls og så videre.

Internetudbydere kan også yde et vist forsvar. Deres rolle er at videresende datapakker fra en del af et netværk til en anden, afhængigt af adressen i hver datapakkes header. Dette gøres ofte med ringe eller ingen hensyntagen til, hvor datapakken kom fra.

Men det kan ændre sig. Headeren indeholder ikke kun måladressen, men også kildeadressen. Så i teorien er det muligt for en internetudbyder at undersøge kildeadressen og blokere pakker, der indeholder åbenlyst forfalskede kilder.

Dette er dog beregningsmæssigt dyrt og tidskrævende. Og da internetudbyderne ikke nødvendigvis er målene i et DDoS-angreb, har de begrænset incitament til at anvende dyre afhjælpningsprocedurer.

Endelig kan målet selv tage skridt til at afbøde virkningerne af et angreb. Et oplagt skridt er at filtrere de dårlige datapakker fra, når de ankommer. Det virker, hvis de er lette at få øje på, og hvis de beregningsmæssige ressourcer er på plads til at klare mængden af ​​ondsindet trafik.

Men disse ressourcer er dyre og skal løbende opdateres med de seneste trusler. De sidder ubrugte det meste af tiden og springer først i gang, når et angreb opstår. Og selv da kan de måske ikke klare de største angreb. Så denne form for afbødning er sjælden.

En anden mulighed er at outsource problemet til en cloud-baseret tjeneste, der er bedre rustet til at håndtere sådanne trusler. Dette centraliserer problemerne med DDoS-reduktion i skurecentre, og mange klarer det godt. Men selv disse kan have problemer med at håndtere de største angreb.

Alt dette rejser spørgsmålet om, hvorvidt der kan gøres mere. Hvordan kan vores netværksinfrastruktur forbedres til at håndtere de principper, der muliggør DDoS-problemet? spørg Osterweil og co. Og de siger, at 20-årsdagen for det første angreb burde være en god mulighed for at studere problemet nærmere. Vi mener, at det, der er brug for, er undersøgelser af, hvilke fundamentale faktorer der muliggør og forværrer DDoS, siger de.

En vigtig observation om DDoS-angreb er, at angrebet og forsvaret er asymmetriske. Et DDoS-angreb lanceres typisk fra mange dæmoner over hele verden, og alligevel foregår forsvaret stort set på et enkelt sted - den node, der er under angreb.

Et vigtigt spørgsmål er, om netværk kan eller bør modificeres til at omfatte en slags distribueret forsvar mod disse angreb. En vej frem kan for eksempel være at gøre det nemmere for internetudbydere at bortfiltrere forfalskede datapakker.

En anden idé er at gøre datapakker sporbare, når de rejser på tværs af internettet. Hver internetudbyder kunne markere en prøve af datapakker - måske en ud af 20.000 - efterhånden som de bliver rutet, så deres rejse senere kan rekonstrueres. Det ville gøre det muligt for offeret og de retshåndhævende myndigheder at spore kilden til et angreb, selv efter at det er afsluttet.

Disse og andre ideer har potentialet til at gøre internettet til et mere sikkert sted. Men de kræver enighed og vilje til at handle. Osterweil og co mener, at tiden er moden til handling: Dette er en opfordring til handling: Forskersamfundet er vores bedste håb og bedst kvalificeret til at tage denne opfordring op.

Ref: arxiv.org/abs/1904.02739 : 20 år med DDoS: En opfordring til handling

skjule