Técnicas de CDN para la mitigación de ataques distribuídos

Se permite ilimitadamente el uso, copia, redistribución con o sin modificaciones siempre y cuando se mantenga el aviso de derecho de autor y se anoten al final de la presentación todas las modificaciones que se llevan a cabo conservando la historia de las modificaciones que hagan las demás personas e indicando la fecha de cada modificación y el nombre de la persona que la llevó a cabo.

2013-02-15Técnicas para contención

de ataques distribuídos

1Friday, February 15, 2013

DDoS =

Distributed

Denial

Service

Ataque de negación de servicio distribuído

Ataque de una botnet

Ataque de Anonymous

Ancho de banda de bajada

fuente: ddos.arbornetworks.com

Ancho de banda de subida

Uso de memoria

fuente: tumblr.com

Efecto del ataque

fuente: Netcraft

Hipótesis

Dilución del ataque en la nube

Uso de caché estático

Uso de límites de conexiones

Uso de límites de peticiones

Bloqueador de direcciones IP

Uso de la nube

Caché estático

Imposición de límites

Bloqueo de atacantes

Integración

Modelo experimentalXen / KVM, 1 CPU, 1 GiB RAM, 25 GB HD

CentOS 6 64 bits

nagios

iptables

Instalador de nodos en “La Nube”

for i in `cat hosts | sed “s/#.*$//” ` ; dossh $i < scripts/install-key./scripts/install-node $i

./sync-nginx-all

Propagador de configuración hacia “La Nube”

#sync-nginx-all RSYNC_PARAMS='-vacH --progress '

for i in `cat ./hosts | sed 's/#.*$//'` ; do! echo "===> rsync to: $i"! rsync $RSYNC_PARAMS ./etc/nginx/*conf root@$i:/etc/nginx/! rsync $RSYNC_PARAMS --delete ./etc/nginx/vhosts/ root@$i:/etc/nginx/vhosts/! ssh root@$i service nginx reloaddone

Adaptación de una zona para ”La Nube”

;$TTL 86400!; 1 day$TTL 3600! ; 1 hour$ORIGIN enli.org.mx.

;@!! A! 75.126.210.124! ; hosting;www!CNAME! @! ! ;@! ! A! 50.30.46.179 ; raicillawww! ! ! CNAME! a.cdn.1-1-0-1.net.origen!! CNAME! b.w.h.srvr.mx.

CDN por DNS Round Robin

;$TTL 3600! ; 1 hour$TTL 300!; 5 min$ORIGIN cdn.1-1-0-1.net.; A;a! ! A! 67.202.53.77 ; Nodo A;a! ! A! 23.22.63.20 ; Nodo Ba! ! A! 50.97.145.147 ; Nodo Ha! ! A! 50.97.65.34 ; Nodo I a! ! A! 50.19.77.249 ; Nodo Ja! ! A! 23.22.168.71 ; Nodo K

Configuración del caché estático

user nginx;worker_processes 1;worker_rlimit_nofile 250000;events { worker_connections 65536;}! proxy_cache_path /data/nginx/cache levels=1:2 keys_zone=STATIC:16m inactive=24h max_size=15g;! proxy_temp_path ! /data/nginx/tmp ;! !! open_file_cache max=10000 inactive=200s; ! open_file_cache_valid 300s; ! open_file_cache_min_uses 5;! open_file_cache_errors on;

Origen del caché estático

upstream local ! ! { server 127.0.0.1:8080; }

upstream mendozaaaa !{ server 50.22.23.151:80; server 74.86.82.177:80; } #c.w.h

upstream mozillamexico ! { server 50.22.23.151:80; server 74.86.82.177:80; } #c.w.h

upstream enli! ! ! { server 50.22.23.151:80; server 74.86.82.177:80; } #c.w.h

accounting.log

tail -f /var/log/accounting.log

1351169751.490 25/Oct/2012:07:55:51 -0500 | 174.129.84.42 | 301 | 410 | 0.000 | . | - | - | - | mendozaaaa.net | / | - 1351169803.465 25/Oct/2012:07:56:43 -0500 | 123.125.71.31 | 200 | 17787 | 6.436 | . | EXPIRED | 200 | 1.611 | mozilla-mexico.org | / | - 1351169803.990 25/Oct/2012:07:56:43 -0500 | 100.43.83.140 | 302 | 665 | 0.858 | . | MISS | 302 | 0.858 | mozilla-mexico.org | /activity/p/968/ | - 1351169807.008 25/Oct/2012:07:56:47 -0500 | 100.43.83.140 | 200 | 4910 | 0.721 | . | MISS | 200 | 0.721 | mozilla-mexico.org | /members/lu15g3orge/activity/968/ | - 1351169807.667 25/Oct/2012:07:56:47 -0500 | 180.76.5.169 | 302 | 631 | 1.655 | . | MISS | 302 | 1.439 | mozilla-mexico.org | /activity/p/865/ | - 1351169811.958 25/Oct/2012:07:56:51 -0500 | 180.76.5.143 | 200 | 5074 | 4.069 | . | MISS | 200 | 3.635 | mozilla-mexico.org | /members/jusai/activity/865/ | -

Configuración de un sitio en el caché

server {!listen 80; server_name !enli.org.mx ; access_log /var/log/nginx/accounting.log accounting; include /etc/nginx/common-attack.conf; location / { rewrite ^/(.*)$ http://www.$server_name/$1 permanent; } }

server {listen 80; server_name !www.enli.org.mx ;access_log /var/log/nginx/accounting.log accounting;error_log /var/log/nginx/error.log;include /etc/nginx/common-attack.conf; location / {

! ! include /etc/nginx/proxy-common.conf ;! ! proxy_pass http://enli; break; ! }

Limitador de conexiones

# HTTP port 80-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -m recent \

--set --name DEFAULT --rsource -A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -m recent \

--update --seconds 1 --hitcount 20 --name DEFAULT --rsource -j DROP -A INPUT -p tcp -m tcp --dport 80 --tcp-flags FIN,SYN,RST,ACK SYN

-m connlimit --connlimit-above 255 --connlimit-mask 24 -j DROP -A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited

Límite de peticiones - proxy-common

! ! proxy_set_header X-Real-IP $remote_addr;! ! proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;! ! proxy_set_header Host $http_host;! ! proxy_redirect off; proxy_cache STATIC; proxy_cache_valid 1d; proxy_cache_use_stale error timeout invalid_header updating http_500 http_502 http_503 http_504;! ! proxy_buffering on;! ! proxy_buffer_size 8k;! ! proxy_buffers 8 8k;! ! proxy_busy_buffers_size 16k;

Límite de peticiones - proxy-micro

! ! proxy_set_header X-Real-IP $remote_addr;! ! proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;! ! proxy_set_header Host $http_host;! ! proxy_redirect off;

proxy_cache STATIC; proxy_cache_valid 15; proxy_cache_valid 200 5; proxy_cache_use_stale error timeout invalid_header updating http_500 http_502 http_503 http_504;! ! proxy_buffering on;! ! proxy_buffer_size 8k;! ! proxy_buffers 8 8k;! ! proxy_busy_buffers_size 16k;

Reglas personalizadas por sitio

! location = /programa.html {! ! include /etc/nginx/proxy-micro.conf ;! ! proxy_pass http://enli; break; ! }

location ~ \.php {! ! include /etc/nginx/proxy-micro.conf ;! ! proxy_pass http://enli; break; ! }! location ~* \.(jpg|jpeg|gif|png|ico|css|js|ico)$ {! ! include /etc/nginx/proxy-common.conf ;! ! proxy_ignore_headers "Expires" "Cache-Control" "Set-Cookie" ;! ! proxy_pass http://enli; break; ! }}

Bloqueador de patrones conocidos common-attack.conf

#Apache .htaccesslocation ~ /\.ht {! deny all;}## Only allow these request methods #### Do not accept DELETE, SEARCH and other methods ## if ($request_method !~ ^(GET|HEAD|POST)$ ) { return 444; }#Directory trasversal ../../../../../! if ($query_string ~ \.\.\/\.\.\/\.\.\/\.\.\/\.\.\/ ) {! ! return 404;! }location ~ url\(data:image\/png\;base64, {! return 404;}

Bloqueador de patrones conocidos

# Bloqueo de cadenas muy largaslocation ~ "(.{105})" {! return 414 "Request-URI Too Long";!}if ($query_string ~ "(.{105})" ) {! return 414 "Request-URI Too Long";}# Un abuso conocidolocation = /wp-login.php {! return 464 "Acknowledged Brute Force attack";}

Bloqueador de patrones conocidos

if ($query_string ~ Anonymous ) {! return 454 "Acknowledged DDoS attack";}#if ($query_string ~ Esperanos ) {#! return 454 "Acknowledged DDoS attack";#}if ($query_string ~ "Nunca%20bajaremos%20los%20brazos!%20Anonymous%20apoyando" ) {! return 454 "Acknowledged DDoS attack";}if ($query_string ~ "Somos%20El%20pueblo" ) {! return 454 "Acknowledged DDoS attack";}

Blocker cronjob

Replicación en la nube: Complejidad y costo

Caché estático: Evadible y abusable

Límite de conexiones: Puede afectar la respuesta hacia los visitantes auténticos

Límite de peticiones: El uso de CPU se dispara con ab, siege y fhttp

Bloqueador: Rissgo de falsos positivos

Resultados del uso individual de las técnicas propuestas

300 peticiones por segundo antes de fallar

Uso de CPU entre 10% y 15% en nodos de caché

Uso de caché entre 6 y 10 GiB

El tamaño de los logs aumenta muy rápido

800 Mbps de bajada antes del null route del centro de datos

Resultados del uso combinado de las técnicas propuestas

Picos de subida entre 25 y 80 Mbps

El blocker reduce efectivamente el uso de CPU y de ancho de banda de subida

El uso de CPU de los nodos de DNS es menor al 1%

Patrones de ataque no previstos han logrado evadir el caché

Provisionamiento de nuevos nodos de caché en menos de 15 min.

Efectos secundarios benéficos como uso menor de recursos de la base de datos

Cambio del origen a una red distinta entre 5 y 10 min.

Tolerancia a interrupciones del origen

Agradecimiento

nahual <nahual@security-dojo.com>

gozner <mago@gozner.com>

puilli <dan@microbit.com>

A las personas que han aportado sus ideas

pajarito <gnu.yair@gmail.com>

A las personas que han participado en el desarrollo

ConclusionesConforme aumenta la intensidad del ataque distribuído mejora la capacidad de aislarlo y contenerlo

Siempre existen nuevas técnicas para evadir las técnicas de contención de ataques

El software libre y “la nube” han puesto la contención de ataques distribuídos al alcance de la población

Referencias

http://en.wikipedia.org/wiki/Ddos#Distributed_attack

http://netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.htmlhttp://www.tldp.org/HOWTO/DNS-HOWTO-5.html

http://wiki.nginx.org/HttpCoreModulehttp://wiki.nginx.org/HttpProxyModule

Sandino Araico Sánchez <sandino@1101.mx>@KBrown

#mendozaaaa

Técnicas de CDN para la mitigación de ataques distribuídos

Technology

Transcript of Técnicas de CDN para la mitigación de ataques distribuídos

Sistema de Mitigación de Ataques - ACI Solutions · DEFENSEPRO® AND APPWALL® Ofrece un panel de módulos (modules) en seguridad: Protección Denegación del Servicio (Denial-of-service-DoS),

Ataques informáticos históricos

Servicios Amenazas Ataques

Ataques Capa 3

CURSOONLINE:!! ANÁLISISFORENSE!DIGITAL!EN! … · o Modelos!Open!Source!para!la!mitigación!de!ataques!!!!! Página6! Módulo! V:Análisis! Forense! en! ... • Análisis!Con!Herramientas!Comerciales!

Mitigación de ataques DDoS en la Anella CientíficaFiltrado de tráfico en routers antes de pasarlo a mitigación (UDP, …). Si no hay más remedio -> blackhole (RTBH o manual) Para

Ataques informaticos

Tema 3 ataques

UT2-1 ATAQUES Y CONTRAMEDIDAS PERSONALES · Seguridad y Alta Disponibilidad 3. ATAQUES 3.1. Ataques contra sistemas de contraseñas 15. 3. ATAQUES 3.1. Ataques contra sistemas de

Ataques en Voip

Preguntas- Ataques Biónicos

CONTROL DE ATAQUES INFORMATICOS 10 ATAQUES INFORMATICOS COMO LO CONTROLAMOS.

1. Nombre de Proyecto/Servicio 2. Objetivo 3. Objetivo · 4.5.2 Monitoreo proactivo: que permita la detección de ataques DDoS, mitigación, notificación y generación de reportes.

Ataques más comunes

Articulo Ataques Phising

Sistemas Distribuídos 2014-5

Ataques Aplicaciones Web

Ataques Web

Detección y mitigación de ataques ARP Spoof empleando ...

Ataques Informáticos