• Однако, по итогам полутора суток даунтайма они поняли, что они имеют дело с DDoS с использованием SYN пакетов, генерируемых со взломанных тачек.
• Реакция масс-медиа на эту историю была сдержанной. Написали только в профильных колонках технологических изданий. Однако это был чуть ли не первый случай, когда об этом вообще кто-то написал за пределами тематической mail-рассылки.
• Реакция профессионального сообщества была немножко интересней. Спустя два года исследователи проводили research и выяснили, что для среднестатистического сервера достаточно 20 пакетов в секунду, чтобы держать очередь полуоткрытых соединений (SYN queue) полностью забитой. После чего сервер не сможет принять TCP-коннект ни от кого больше.
• 20 пакетов в секунду - не очень много даже по меркам того периода. Таким образом, мы не знаем, сколько трафика было сгенерировано в первой исторической DDoS-атаке на PANIX, но, очевидно, много пакетов не потребовалось.
• Экспертное сообщество (Центр реагирования CERT) внимательно рассмотрело причины и симптомы возникновения проблемы и выпустило очень общие экспертные рекомендации: "за всё хорошее, против всего плохого".
«Провайдеры: фильтруйте трафик с поддельных IP-адресов, идущий через ваши сети»
CERT Advisory CA-1996-21 TCP SYN Flooding and IP Spoofing Attacks
• То есть, провайдеры, не пускайте спуфленный входящий и исходящий IP-трафик через свои сети. Если он спуфлен, значит, это атака. Идея - замечательная! А как её реализовать?
• Если забегать вперёд, то никакие из рекомендаций CERT (полно и в частичной мере) не были исполнены. Борьба с DDoS-атаками путём массовых внушений интернет-провайдерам, хостерам и транзитным сетям себя не зарекомендовала.
• Практические подходы к решению вопроса оказались более успешными. Так, например, через 7 дней после атаки на PANIX, был реализован способ борьбы с флудом на открытие TCP соединений. Механизм назвали SYN cookies (фильтрация невалидных входящих SYN пакетов от несуществующих или не принадлежащих абонентам IP-адресов). Уже через месяц появились первые реализации этого механизма для тогдашних популярных серверных ОС.
• Атака на PANIX больших кругов на воде в мировом сообществе не создала. Зато через 4 года это сделал молодой 15-летний хакер с ником MafiaBoy. Он с помощью того же, уже "хорошо" зарекомендовавшего себя метода атаки, положил все крупные
.com (Амазон, Ebay, Yahoo и т.д.) существовавшие на тот момент.• В течение 8 дней он их кошмарил, делая по несколько - от 1 до 2 - атак в день. Пока они отколупывались после очередной атаки и поднимали сервера, он валил их обратно.
• Хакера звали Майкл Кальче. Он особо не шифровался, наследил везде, где только можно, и хвастался своими успехами. За это и сел в тюрьму. Но сел MafiaBoy в тюрьму не просто так, а потому что спустя несколько часов после первой атаки президент США, Клинтон, собрал саммит.
• Он был посвящён кибербезопасности, на нём было постановлено, что с DDoS’ерами надо что-то делать - искать, предъявлять обвинение и сажать в тюрьму. Это и случилось.
• Поэтому данный эпизод можно считать точкой отсчёта преследования силовыми органами тех, кто организует DDoS-атаки. Такие дела...
#Разное