ВВЕДЕНИЕ 4
1 ИССЛЕДОВАНИЕ ВЛИЯНИЯ СУЩЕСТВУЮЩИХ DDOS-АТАК 6
1.1 Ключевые определения 6
1.2 Причины использования DDoS-атак 7
1.3 Формирование DDoS-атаки 8
1.4 Типы DDoS-атак 10
1.5 Обзор и оценка сегодняшних DDoS-атак 18
1.6 Современные средства противодействия при DDos-атаках 20
1.7 Выводы по первой главе 21
2 МЕТОДЫ ОБЕСПЕЧЕНИЯ ЗАЩИТЫ ОТ СЕТЕВЫХ АТАК 23
2.1 Архитектура DDoS-атаки 23
2.2 Классификация способов выявления атак 24
2.2.1 Cisco Guard 29
2.2.2 DDoSoff 30
2.2.3 Сторонний сервер 32
2.2.4 Выявление, основанное на аномалиях 32
2.2.5 Выявление, основанное на правилах и сигнатурах 33
2.2.6 Подход с применением способов машинного обучения 34
2.2.7 Средства защиты, которые размещаются на атакуемой стороне 35
2.3 Выводы по второй главе 36
3 РАЗРАБОТКА ПРОГРАММНОГО КОМПЛЕКСА ФИЛЬТРАЦИИ
ТРАФИКА 38
3.1 Постановка задачи 38
3.2 Блок-схема алгоритма 39
3.3 Разработка программного средства 40
3.4 Выводы по третьей главе 43
4 ТЕСТИРОВАНИЕ РАЗРАБОТАННОГО ПРОГРАММНОГО КОМПЛЕКСА 45
4.1 Построение нагрузочной сети 45
4.2 Стресс-тест на незащищенный IP-адрес 46
4.3 Стресс-тест на защищенный IP-адрес 49
4.4 Сравнение разработанного программного модуля с имеющимися
средствами противодействия 50
4.5 Проведение нагрузочных тестов - копий реальных DDoS-атак 52
4.6 Выводы по четвертой главе 54
ЗАКЛЮЧЕНИЕ 55
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 57
ПРИЛОЖЕНИЕ А 61
Ещё несколько десятилетий тому назад компьютерные сети в большей степени представлялись в однопользовательском виде, обмен данными осуществлялся по достаточно ограниченным каналам.
Создание новейшего метода построения сети на основе коммутации пакетов дало возможность существенно увеличить масштабируемость и устойчивость системы. На сегодняшний день вся деятельность, которая связана с обменом данными, не обходится без применения компьютерных сетей. Охват и трафик глобальной сети Интернет постоянно растет. Это дает возможность разрабатывать многопользовательские распределенные приложения для работы по всему миру. Подобные системы обширно применяются в сферах кредитования, страхования, здравоохранения, права, военных приложений, связи и многих других.
Работоспособность данных приложений во многом зависит от защищенности каналов передачи, так как эффективное применение информационных ресурсов дает возможность в существенной мере увеличить качество обслуживания покупателей, эффективность деятельности предприятия, работы государственных органов. Таким образом, для предприятий и отдельных пользователей свойственна значительная степень связанности через открытые сети и зависимость функционирования от их бесперебойной работы.
Совместно с этим внедрение сетей приумножило число потенциальных злоумышленников, которые имеют доступ к открытым системам. DDoS- атаки - это один из опасных видов преступной деятельности в сети Интернет [1].
Предотвращение сетевых атак - один из непростых вопросов в сфере защиты информационных систем. Большая часть сегодняшних систем имеет распределенную структуру, в основе их архитектуры применяются сетевые
технологии. Гарантия работоспособности подобных систем зависит от возможности противодействовать атакам злоумышленников,
ориентированные на отказ работы как самой сети, так и информационной системы, функционирующей в ее рамках. Статистика показывает, что число сетевых атак не перестает уменьшаться, способы, которые используют злоумышленники, регулярно развиваются и улучшаются, от единичных атак они переходят к коллективным разработкам. В то же время существующие средства распознавания вторжений и атак не безупречны и недостаточно результативны с точки зрения безопасности решений. По этой причине работа в данном направлении необходима и актуальна.
Целью данного исследования является разработка актуальной технологии для преждевременного выявления сетевых атак средней и малой мощности, нацеленных на отказ в обслуживании, дальнейшего выявления вредоносного трафика на стороне атакуемого ресурса и его блокировки собственными силами.
Для достижения цели исследования определены и решены следующие задачи:
1. Анализ существующих DDoS-атак.
2. Исследование методов противодействия DDoS-атакам, в том числе недостатков результативных средств противодействия атакам малой мощности.
3. Разработка алгоритма и программного комплекса по выявлению DDoS-атак и вредоносных запросов.
Объектом исследования являются компьютерные сети и распределенные атаки, нацеленные на отказ в обслуживании, осуществляемые в этих сетях.
Предметом исследования выступают модели и способы выявления распределенных атак, направленных на отказ в обслуживании, и выделение вредоносного трафика этих атак.
В данной работе представлена технология распознавания начала DDoS - атаки и дальнейшего обнаружения вредоносных обращений. В качестве основных итогов магистерской работы можно отметить следующие:
1. Выполнен анализ существующих DDoS-атак, нацеленных на вывод из строя системы. Отмечена категория атак средней и малой мощности, нацеленных в основном на средний и малый бизнес. Проведен разбор популярных программных и аппаратных способов фильтрации атак подобного вида. Обнаружена нехватка средств, которые позволяют точно решать определенные задачи по выявлению и блокированию вредоносного трафика для данной группы атак.
2. Изучение модели атаки дало возможность разработать модуль выявления и фильтрации распределенных атак средней и малой мощности. Данная технология универсальна, в ней предусматриваются, как региональные характерные черты, так и прочие условия. Программная разработка может использоваться для блокирования DDoS-атак разных видов и разной интенсивности.
3. В ходе исследования технологии разработан алгоритм установления начала атаки и распределения общего потока данных на допустимый и вредоносный.
4. Для анализа работоспособности модуля сформирована оценка эффективности. Данная оценка складывается из следующих показателей: среднее время между началом и обнаружением атаки, не выявленные вредоносные запросы, ошибочные срабатывания. Она является универсальной и дает возможность не только оценить эффективность работы созданного комплекса, но и других программ по блокированию DDoS-атак.
5. Созданный комплекс соответствует условиям универсальности и открытости. Его характерной особенностью является модульность. При небольшом изменении отдельных блоков модуля комплекс может использоваться для предоставления защищенности разных сетевых ресурсов и их защиты от DDoS-атак всевозможных видов.
6. Для тестирования разработанного модуля был создан сторонний сервер. Нагрузочная сеть формировалась с помощью специальных приложений. В рамках исследования проведен стресс-тест системы. Нагрузочная сеть поддерживает формирование сценариев и выполнение атак на основе информации о настоящих атаках. Проводимые стресс-тесты соответствуют основным условиям испытания. Их результат показал, что разработанное программное средство эффективно выполняет свои функции.
Результаты исследовательской работы соответствуют целям и задачам, установленным во введении.
