Syn Flood DDoS ııı
10 likes13,741 views
Bilgi Güvenliği Akademisi ekibi tarafından hazırlanan dokümantasyondur.
More Related Content
What's hot (20)
Similar to Syn Flood DDoS ııı (17)
![[OWASP-TR Uygulama Güvenliği Günü 2016] Özkan Boztaş - SSL Protokolüne Karşı ...](https://cdn.slidesharecdn.com/ss_thumbnails/5-ozkan-boztas-160330104841-thumbnail.jpg?width=560&fit=bounds)
More from BGA Cyber Security (20)
Syn Flood DDoS ııı
- 1. Syn Flood DDoS ııı
- 2. SYN • TCP’e özel bir özelliktir • TCP oturumlarını başlatmak için kullanılan TCP bayrağı • Sadece oturumun başlangıç aşamasında görülür • SYN paketleri veri taşıyamaz – İstisna durumlar anormallik olarak adlandırılır – Hping –p 8 0-S localhost –d 100 –E data ...
- 3. Syn Flood • Internet dünyasında en sık gerçekleştirilen DDoS saldırı tipi • Oldukça kolaydır • Eğer gerekli önlemler alınmamışsa 2Mb hat ile 100Mb hatta sahip olan sistemler devre dışı bırakılabilir • Saldırı yapması kadar korunması da kolaydır • Genellikle sahte IP adresleri kullanılarak gerçekleştirilir
- 4. Neden Kaynaklanır? • Temel problem – SYN paketini alan tarafta paketi gönderen onaylanmadan kaynak ayrılması • Paketi gönderen IP adresinin gerçek olduğu belirlenmeden sistemden kaynak ayırılmamalı!
- 5. TCP SYN Paketi Ortalama 60 byte Gönderilen her SYN paketi için hedef sistem ACK-SYN paketi üretecektir.
- 6. TCP Handshake • 3’lü el sıkışma olarak da adlandırılır C S SYNC SYNS, ACKC ACKS Listening Store data Wait Connected
- 7. TCP Handshake-II • Handshake esnasında sunucu tarafında hangi bilgiler tutulur? – TCP Control Block (TCB) tarafından aşağıdaki bilgileri tutulabilir • > 280 byte • FlowID, timer info, Sequence number, flow control status, out- of-band data, MSS, .. – Half-open TCB verileri zaman aşımına kadar tutulur • Kaynak yeterli değilse yeni bağlantı kabul edilmeyecektir
- 8. SYN Flood ııı • Normal TCP İşleyişi 1)Kaynak Ayır 2)Cevap gelene dekBekle Oturum Kuruldu
- 9. SYN Flood • Bir SYN paketi ortalama 65 Byte • 8Mb hat sahibi bir kullanıcı saniyede 16.000 SYN paketi üretebilir. 120 saniye bekler
- 10. SynFlood • Hedef sisteme kapasitesinin üzerinde SYN paketi göndererek yeni paket alamamasını sağlamaktır • En sık yapılan DDoS saldırı tipidir • İlk olarak 1994 yılında “Firewalls and Internet Security “ kitabından teorik olarak bahsi geçmiştir • İlk Synflood DDoS saldırısı 1996 yılında gerçekleştirilmiştir
- 11. Nasıl Gerçekleştirilir? • Syn Flood saldırısı basitce açık bir porta hedef sistemin kapasitesinden fazla gönderilecek SYN paketleriyle gerçekleştirilir. • Buradaki “kapasite” tanımı önemlidir. Teknik olarak bu kapasiteye Backlog Queue denilmektedir. • Saldırıyı yapan kendini gizlemek için gerçek IP adresi kullanmaz
- 12. Backlog Queue Kavramı(Kapasite) • İşletim sistemleri aldığı her SYN paketine karşılık üçlü el sıkışmanın tamamlanacağı ana kadar bellekten bir alan kullanırlar, bu alan TCB olarak adlandırılır • Bu alanların toplamı backlog queue olarak adlandırılır. • Başka bir ifadeyle işletim sisteminin half-open olarak ne kadar bağlantı tutabileceğini backlog queue veriyapısı belirler.
- 13. Syn Flood Durumu
- 14. Syn Flood Ne Kadar Kolaydır? • Tahmin edildiğinden daha çok! • Örnek: – Backlog queue değeri 1000 olan sisteme 1000 adet SYN paketi göndererek servis veremez duruma getirilebilir. – 1000 adet SYN paketi=1000*60byte=60.000 byte=468Kpbs – Bu değer günümüzde çoğu ADSL kullanıcısının sahip olduğu hat kapasitesine yakındır.
- 15. SynFlood Backscatter Tehlikesi • SYN Flood saldırılarında sahte IP kullanılırsa saldırı yapılan sistemden geriye doğru binlerce SYN+ACK paketi dönecektir – Bu da ayrı bir saldırı olarak algılanabilir
- 16. Syn Flood Araçları • Netstress • Juno • Hping • Windows tabanlı araçlar • BotNet yönetim sistemleri
- 17. SynFlood Örneği • Amaç:Hedef sisteme tamamlanmamış binlerce TCP SYN paketi gönderip servis verememesinin sağlanması • Kullanılan araç: Hping
- 18. Syn Flood:Gerçek IP Adresleri Kullanarak
- 19. Syn Flood:Sahte IP Adresleri Kullanarak • Kaynak IP adresi seçilen makine açıksa gelen SYN+ACK paketine RST cevabı dönecektir • Ciddi saldırılarda kaynak ip adresleri canlı olmayan sistemler seçilmeli!
- 20. Random Sahte IP Adresi Kullanarak Syn Flood
- 21. SynFlood DDoS ııı Nasıl Anlaşılır? • Temel mantık – Normalin üzerinden SYN paketi geliyorsa veya normalin üzerinde SYN_RECV durumu gözüküyorsa SYN Flood olma ihtimali vardır
- 22. Netstat ile SynFlood Belirleme
- 23. Netstat İle SynFlood Belirleme-Windows
- 24. Sahte IP Kullanımının Dezavantajları • Synflood saldırısında sahte IP adresleri kullanılırsa – Her gönderilen SYN paketine karşılık hedef sistem sahte IP adreslerine SYN ACK paketi dönecektir. – Bu durumda sahte IP adreslerinin gerçek sahipleri sizden ACK flood saldırısı geliyormuş zannedebilir – Saldırgan belirli bir firmanın IP Adresinden geliyormuş gibi SynFlood Saldırısı gönderebilir
- 25. SynFlood ııını Engelleme • Syn Flood Saldırısı gerçekleştirme çok kolaydır • Syn flood saldırılarını engellemek çok kolaydır • Syn flood saldırıları için tüm dünya iki temel çözümü kullanır – Syn cookie – Syn proxy • Bu iki çözüm haricinde endüstri standartı haline gelmiş başka çözüm bulunmamaktadır – Farklı adlandırmalar kullanılabilir(syn authentication gibi)
- 26. Klasik TCP Bağlantısı • Normal TCP bağlantılarında gelen SYN bayraklı pakete karşılık ACK paketi ve SYN paketi gönderilir. • Gönderilen ikinci(sunucunun gönderdiği) SYN paketinde ISN değeri random olarak atanır ve son gelecek ACK paketindeki sıra numarasının bizim gönderdiğimizden bir fazla olması beklenir. • Son paket gelene kadar da sistemden bu bağlantı için bir kaynak ayrılır(backlog queue) – Eğer SYN paketine dönen ACK cevabı ilk sny paketininin ISN+1 değilse paket kabul edilmez.
- 27. SynCookie Aktifken TCP Bağlantısı • Syncookie aktif edilmiş bir sistemde gelen SYN paketi için sistemden bir kaynak ayrılmaz • SYN paketine dönecek cevaptaki ISN numarası özel olarak hesaplanır (kaynak.ip+kaynak.port+.hedef.ip+hedef.port+x değeri) ve hedefe gönderilir • Hedef son paket olan ACK’i gönderdiğinde ISN hesaplama işlemi tekrarlanır ve eğer ISN numarası uygunsa bağlantı kurulur – Değilse bağlantı iptal edilir
- 29. Sny Cookie-II • Böylece spoof edilmiş binlerce ip adresinden gelen SYN paketleri için sistemde bellek tüketilmemiş olacaktır ki bu da sistemin SYNflood saldırıları esnasında daha dayanıklı olmasını sağlar. • Syncookie mekanizması backlogqueue kullanmadığı için sistem kaynaklarını daha az kullanır • Syncookie aktif iken hazırlanan özel ISN numarası cookie olarak adlandırılır.
- 30. SynCookie Dezavantajları • Syncookie’de özel hazırlanacak ISN’ler için üretilen random değerler sistemde matematiksel işlem gücü gerektirdiği için CPU harcar • Eğer saldırının boyutu yüksekse CPU performans problemlerinden dolayı sistem yine darboğaz yaşar • DDOS Engelleme ürünleri(bazı IPS’ler de ) bu darboğazı aşmak için sistemde Syncookie özelliği farklı CPU tarafından işletilir
- 31. SynCookie Dezavantajları-II • Syncookie özelliği sadece belirli bir sistem için açılamaz. – Ya açıktır ya kapalı – Bu özellik çeşitli IPS sistemlerinde probleme sebep olabilir. • Syncookie uygulamalarından bazıları TCP seçeneklerini tutmadığı için bazı bağlantılarda sorun yaşatabilir.
- 32. SYN Cookie Alt etme • Sunucu tarafında kullanılan syncookie özelliği istemci tarafında da kullanılarak sunucudaki syncookie özelliği işe yaramaz hale getirilebilir. • Böylece istemci kendi tarafında state tutmaz, sunucu tarafında da 3’lü el sıkışma tamamlandığı için bağlantı açık kalır(uzuun süre) • Sockstress, scanrand araçları
- 33. TCP Connection Flood • Hedef sisteme 1000 adet SYN paketi gönder • Gelen SYN+ACK paketlerindeki ISN numarasını al – Bir fazlasını ekleyerek ACK paketi gönder – Hedef sistemde 3’lü el sıkışma tamamlanmış ve Syncookie devreden çıkmıştır • Aynı işlemi tekrarla – Hedef sistemin state tablosu dolunca bırak! • Syncookie atlatma için etkili bir saldırı yöntemidir • Rate limiting uygulayan Firewall/IPS’ler tarafından rahatlıkla yakalanabilir
- 34. SynProxy • SynProxy, adından da anlaşılacağı üzere SYN paketlerine karşı proxylik yapmaya yarayan bir özelliktir. • Güvenlik duvarlarında ve Syncookie’nin kullanımının sıkıntılı olduğu durumlarda rahatlıkla kullanılabilir. • Syncookie gibi arkasında korumaya aldığı sistemlere gelecek tüm SYN paketlerini karşılar ve üçlü el sıkışma tamamlandıktan sonra paketleri koruduğu sistemlere yönlendirir. •
- 35. SynProxy Mantığı • Sadece oturum kurulmuş TCP bağlantılarını sunucuya geçir! 35 SynProxy Web site SYN^30 SYN/ACK ^30 ACKs^5
- 36. SynProxy Dezavantajları • Synproxy’de proxylik yapan makine state bilgisi tuttuğundan yoğun saldırılarda state tablosu şişebilir • Synproxy ya hep açıktır ya da kapalı – Belirli değerin üzerinde SYN paketi gelirse aktif et özelliği yoktur
- 37. Stateless SynProxy • Syncookie ve synproxy özelliklerinin birleştirilmiş hali • Syncookie’nin avantajı olan state tutmama özelliği • Synproxy’nin esnekliği alınarak oluşturulmuştur • En ideal çözüm olarak bilinir.
- 38. SYN Flood Koruma-1 • Tcp timeout değerlerini düşürme
- 39. Syn Flood Engelleme • Synflood engelleme standartı:Syncookie/SynProxy • Linux sistemlerde Syncookie ile yapılabilir – Syncookie STATE tutmaz, state tablosunu kullanmaz • OpenBSD PF Synproxy – En esnek çözüm: ip, port, paket özelliklerine göre aktif edebilme ya da kapatabilme özelliği – pass in log(all) quick on $ext_if proto tcp to $web_servers port {80 443} flags S/SA synproxy state – (((Loglama sıkıntı çıkarabilir)))
- 40. SynFlood Engelleme-II • TCP timeout değerleriyle oynama – Default değerler yüksektir... – Saldırı anında dinamik olarak bu değerlerin 1/10’a düşürülmesi saldırı etkisini azaltacaktır. • Linux için sysctl ile (manuel) • OpenBSD PF için – set timeout {tcp.first 10, tcp.opening 10 tcp.closing 33, tcp.finwait 10, tcp.closed 20} gibi... Ya da • Packet Filter adaptive timeout özelliği! – State tablosu dolmaya başladıkca timeout değerlerini otomatik azalt!
- 41. SynFlood engelleme-III • Rate limiting(bir ip adresinden 500’den fazla istek geldiyse engellenecekler listesine ekle ve o ip adresine ait oturum tablosunu boşalt) • OpenBSD Packet Filter – ... flags S/SA synproxy state (max-src-conn 500, max-src- conn-rate 100/1, overload <ddos_host> flush global) • Linux iptables modülleri – -m limit, recent vs
- 42. SynFlood engelleme-IV • Beyaz liste, kara liste uygulaması – Daha önce state oluşturmuş, legal trafik geçirmiş ip adresleri • Ülkelerin IP bloklarına göre erişim izni verme – Saldırı anında sadece Türkiye IP’lerine erişim açma (((IP spoofing kullanıldığı için çoğu zaman işe yaramaz))) • DNS round-robin & TTL değerleriyle oynayarak engelleme
- 43. Linux Syncookie dezavantajları • Donanım iyiyse yeterli koruma sağlar – Syncookie CPU’ya yüklendiği için CPU %100’lere vurabilir – Ethernet kartının üreteceği IRQ’lar sistemi zora sokabilir • Sadece kendisine syncookie koruması sağlar • 1/0 . Aç - kapa özelliğindedir, çeşitli uygulamalarda SYNcookie sıkıntı çıkartabilir. Bir port/host için kapama özelliği yoktur
- 44. SynProxy Dezavantajları • SynProxy=State=Ram gereksinimi • State tablosu ciddi saldırılarda çok çabuk dolar – 100Mb~=200.000 SYN=200.000 State • 40 saniyede 8.000.000 state = ~5GB ram ... – Tcp timeout değerlerini olabildiğince düşürmek bir çözüm olabilir • Timeout süresi 5 saniye olursa ? (((Genel Çözüm: Stateless SynProxy çözümü)))
- 45. Rate limiting dezavantajları • Akıllı saldırganın en sevdiği koruma yöntemidir • Neden ?
- 46. Diğer TCP Flood ııı • Sık görülmese de FIN, ACK ve RST Flood saldırıları da DDoS amaçlı kullanılmaktadır
- 47. ACK, FIN, PUSH Flood ııı • SynFlood’a karşı önlem alınan sistemlerde denenir. • Hedef sisteme ACK, FIN, PUSH bayraklı TCP paketleri göndererek güvenlik cihazlarının kapasitesiniz zorlama • Diğer saldırı tiplerine göre engellemesi oldukça kolaydır • Etki düzeyi düşüktür
- 48. ACK,FIN,PUSH ııı Engelleme • Gelen ilk paketin SYN paketi olma zorunluluğu, oturum kurulmamış paketleri düşürme • OpenBSD Packet Filter – scrub all • Linux – İptables kuralları