segurança Ataques DOS (Denial of Service)

[☢|EXPL01T3R|☣ 50]

DOS - Denial Of Service

---

1. Dos e DDoS:

O objetivo dos ataques de Negação de Serviço, ou DoS (Denial of Service), é interromper atividades legítimas como navegar em um web browser, ouvir uma rádio ou assistir a um canal de TV online ou transferir dinheiro para uma conta bancária.

Uma forma de provocar os ataques é aproveitando-se de falhas e/ou vulnerabilidades presentes na máquina vítima, ou enviar um grande número de mensagens que esgote algum dos recursos da vítima, como CPU, memória, banda, etc.

Para isto, é necessário ou uma única máquina poderosa, com bom processamento e bastante banda disponível, capaz de gerar o número de mensagens suficiente para causar a interrupção do serviço, ou ter o controle de um grupo de máquinas, que podem ter recursos mais humildes, que se concentrem em enviar mensagens para a vítima. Este último, por distribuir os ataques em várias máquinas, é denominado ataque de Negação de Serviço Distribuído, ou DDoS (Distributed Denial of Service).

Embora os ataques de DoS sejam em geral perigosos para os serviços de internet, a forma distribuída é ainda mais perigosa, justamente por se tratar de um ataque feito por várias máquinas, que podem estar espalhados geograficamente e não terem nenhuma relação entre si – exceto o fato de estarem parcial ou totalmente sob controle do atacante. O agravante é a existência de várias ferramentas DDoS facilmente encontradas em sites e fóruns

hacker

, que permitem facilmente o domínio sobre várias máquinas para usá-las em ataque. Além disso, mensagens DDoS podem ser complexas por conseguirem facilmente se passar por mensagens de tráfego legítimo. Enquanto é extremamente pouco natural que uma mesma máquina envie várias mensagens a um servidor em períodos muito curtos de tempo, é igualmente muito natural que várias máquinas enviem mensagens de requisição de serviço regularmente.

---

 

2. Motivação

É da natureza humana a existência de discórdia entre grupos que interagem. A internet hoje não só permite esta interação como jamais se permitiu na história da humanidade, como também oferece serviços que fornecem às pessoas rendimentos, educação, entretenimento, informação e até serviços dos quais vidas dependem. A interrupção em um servidor Web ou em um roteador pode ser definitivo na interferência de um ou vários destes serviços. Com a popularização da rede mundial de computadores, ela tornou-se não só um local de encontro de pessoas do mundo todo, mas também um palco de conflitos. Neste contexto se encaixa o DoS.

Todavia, os ataques não são um fim em si. Os primeiros ataques de DoS eram feitos por hackers apenas para provar que a segurança de um website nunca era o bastante para que nunca pudesse ser quebrada, e, a partir disso, travar brigas entre si pela supremacia dos atacantes, via DoS. Também ocorrem ataques políticos e ataques de extorsão, cobrando os websites por “proteção”, prática que remonta às da Máfia.

Mas hoje não são só os hackers padrão os principais atacantes. Dadas as facilidades de obter ferramentas na internet, muitos usuários comuns tornam-se atacantes, e mesmo os próprios países, usando das máquinas de estado, amplos recursos e inteligência, podem desenvolver ferramentas próprias, inclusive para atacar outros países em guerras.

---

3. Histórico e evolução do DoS

Programas para ataques remotos de DoS surgiram em meados dos anos 90, causando problemas. Para usar estes programas, era necessária uma conta em um grande computador ou rede, para obter efeito máximo. Havia nas universidades muitas “contas de aluguel”, que eram trocadas com os atacantes por software, cartões de crédito, dinheiro, etc.

Em 1996, falhas no TCP/IP foram descobertas, e no ano seguinte, ataques em larga escala em redes IRC começaram a ocorrer. Aproveitava-se de falhas nos sistemas Windows dos usuários para travar seus sistemas.

Ainda em 1997 surgiu uma técnica chamada

Smurf

. Lançando alguns poucos pacotes na rede, destinados a uma vítima, o atacante podia multiplicá-los por um fator de centenas, ou até milhares, dependendo do tamanho da rede, que eram en*****s da vítima original para um endereço broadcast da rede. Este exército de pacotes eventualmente alcançava diversas outras vítimas, e a vítima original era a teórica culpada pelo ataque. A defesa contra este tipo de ataque era simples, no entanto. Bastava desligar as capacidades de recepção de mensagens broadcast nos roteadores. Algumas redes possibilitaram isso, enquanto outras não, permanecendo assim a ameaça de potenciais ataques Smurf.

A seguir, os atacantes resolveram explorar outra linha de ação: Simplesmente enviar centenas de pacotes ao alvo. Se a vítima usava uma conexão discada de velocidade baixa (variando de 14,4Kbps a 56Kbps) e o atacante usava uma conexão roubada de uma Universidade, de em torno de 1Mbps, ele obliteraria facilmente a conexão discada da vítima, que seria prejudicada a ponto de tornar-se inútil e com velocidade de resposta praticamente nula.

Em 1998, as velocidades de conexão já se tornavam menos heterogêneas e ataques Smurf eram fáceis de serem combatidos. Aí surgiu o DDos, com atacantes passando a tentar obter controle de máquinas alheias para conseguir alagar a conexão da vítima com tráfego suficiente. Protótipos de ferramentas DDoS começaram a surgir em meados de 98. Ataques explorando vulnerabilidades de sistema sempre continuaram, e passou-se a combinar várias falhas DoS em uma única ferramenta, usando shell scripts em Unix. Isso aumentava a velocidade e violência do ataque, que foi denominado

rape

(estupro).

Em 1999, a computação distribuída foi combinada com

worms

para causar novos ataques DDoS. Em meados deste ano, vários novos programas de DoS foram usados. As vítimas principais foram novamente redes e clientes IRC. Com a iminência do ano 2000, vários ataques que causassem falhas esperadas com o chamado “Bug do Milênio” foram previstos pelos especialistas, causando pânico na população. Estes ataques jamais ocorreram, no entanto.

Em fevereiro de 2000, eBay, Yahoo, Amazon e CNN, todos sites robustos, adaptados a tráfegos pesados e milhares de acessos simultâneos, sofreram ataques DDoS, resultando em milhões de dólares em perdas de publicidade e vendas. Nem o FBI americano escapou, e no mesmo mês sofreu um ataque durante 3 horas.

Em janeiro de 2001, requests DNS falsos en*****s a vários servidores DNS ao redor do mundo gerou o tráfego para um ataque DDoS refletido de um site de registros de domínios: o atacante enviou vários requests sob identidade da vítima. Os servidores DNS responderam aos pedidos enviando a informação à vítima. O tráfego gerado foi de mais de 50Mbps, com o site enviando mais de 200 requests DNS por servidor por minuto. Este ataque durou uma semana, e não foi detido rapidamente pois a única forma de fazê-lo seria desligar o serviço para todos os clientes (inclusive) legítimos do site. Como o ataque foi feito através de diferentes servidores DNS, não se podia escolher um que estivesse apenas criando tráfego falso para ser filtrado.

A posição já destacada da Microsoft no mercado fazia da empresa um alvo freqüente de ataques DDoS. Mas ela estava sempre em salvaguarda, sobretudo quando um novo produto ou atualização importante era lançado. Mesmo assim, alguns ataques obtiveram sucesso, e em um deles um roteador que gerenciava todas as propriedades dos servidores DNS da Microsoft teve sua velocidade de ação reduzida, não respondendo normalmente ao tráfego requerido. 98% dos serviços da Microsoft foram total ou parcialmente negados com este ataque.

No ano seguinte, talvez inspirado no ataque à Microsoft, um atacante tentou derrubar todos os 13 servidores raiz de DNS. Com um simples ataque DDoS, chegou-se a conseguir negar o serviço de 9 dos 13 servidores. Graças à robustez dos servidores e da curta duração do ataque, não houve um grande impacto à internet como um todo. Fosse um ataque mais duradouro, as conseqüências poderiam ter sido devastadoras.

Em 2003, houve uma grande mudança nas motivações aos ataques. Primeiro, as redes de spam, paralelo aos ataques de negação contra sites antispam; Segundo, crimes financeiros envolvendo DDoS, quando às vezes milhares de dólares eram pedidos como extorsão para parar ataques de negação; Motivações políticas, quando na Guerra no Iraque, a sucursal no Qatar da rede de televisão Al-Jazeera, praticamente único órgão de mídia com acesso pleno aos acontecimentos no Oriente Médio, sofreu ataques quando mostrava imagens de soldados americanos capturados.

Agora amparados também em motivações monetárias, os ataques prosseguem. Os worms também avançam, infectando redes e servidores.

---

4.Como os ataques são feitos

Ataques DDoS precisam ser planejados pelo atacante. Primeiro, conseguindo domínio sobre as máquinas que efetuarão a negação. Busca-se computadores vulneráveis que são invadidos e têm os códigos de ataque instalados neles. A seguir, o atacante estabelece laços de controle entre as máquinas sob seu comando, geralmente através de ferramentas IRC. Quando a rede de ataque (rede agente) está pronta, pode ser usada como bem se entender contra variados alvos.

As máquinas para a rede podem ser ora conseguidas através de bots de IRC (programas cliente que dão aos usuários de IRC permissões nos canais), permanentemente escaneando máquinas vulneráveis e remetendo suas informações ao atacante; ora por worms, que se propagam de um computador vulnerável a outro, procurando também outras máquinas vulneráveis, estabelecendo domínio sobre a máquina infectada e realizando o

payload

(um código que é executado para conseguir funções de ataque).

 

5. Controlando DDoS

Estabelecida a rede agente, o atacante pode controlá-la, especificar os comandos de ataque e recolher estatísticas do comportamento da rede.

Ferramentas DDoS constroem uma hierarquia operador (

handler

) / agentes, nas quais o atacante controla a rede agente através de comandos diretos impostos ao operador, que os repassa aos agentes, às vezes usando um conjunto de comandos e semântica diferentes. Os operadores guardam em arquivos as identidades dos agentes, e este era o grande ponto fraco deste modelo de comandos diretos, esquematizado abaixo:

 

Como os agentes por vezes acabavam por guardar também as identidades dos operadores, uma investigação podia revelá-los, e com eles todos os demais agentes, desmantelando assim a rede DDoS.

Com grande parte das batalhas de negação de serviço tendo já como campo o IRC, e bots sendo já programados para encontrar agentes para ataques, os atacantes passaram a desenvolver bots de IRC também para desempenhar funções de DDoS. As vantagens eram inúmeras: o servidor já estava disponível e era mantido por outros; seria difícil encontrar o canal de chat no qual atua o operador do atacante e seus agentes. Mesmo que seja estranho que um canal repentinamente ganhe dezenas de milhares de usuários, seria difícil encontrá-lo dentre tantos outros canais do servidor – e, mesmo quando encontrado, é necessário contatar os administradores do servidor para alertar a farsa, o que pode também levar tempo. É comum transformar computadores em servidores forjados de IRC, em geral usando outra porta que não a padrão (6667/TCP) do protocolo, ou usar bots como proxies TCP para conectar-se a servidores reais na porta padrão. Este controle da rede de agentes, feito de forma indireta, está esquematizado abaixo:

 

 

6. Classificação dos Ataques

 

7. Ataque por Inundação

É dos tipos de ataque de DoS mais comuns. Ocorre inundação de tráfego TCP SYN, explorando a abertura de conexões do protocolo de TCP, utilizado em serviços que necessitam de entrega com confiável de dados, e que se inicia com a negociação de determinados parâmetros entre o cliente e o servidor.

O cliente envia um pacote SYN para o servidor, pedindo abertura de conexão. O pacote leva um parâmetro chamado número de seqüência inicial, que permite que o receptor reconheça dados perdidos, repetidos ou fora de ordem. Após o recebimento do pacote SYN, o servidor processa o pedido de conexão e aloca memória para armazenar informações do cliente. A seguir, um pacote TCP SYN/ACK é en***** como resposta ao cliente, notificando que o seu pedido de conexão foi aceito. O cliente envia então um pacote ACK, para completar a abertura da conexão. Esse procedimento é conhecido como aperto de mão de três vias (

three-way handshake

).

A partir deste tipo de ataque, os recursos da vítima podem ser explorados de diversas formas.

---

 

8. Ataque Reflexivo

Variação de um ataque de inundação, que visa exaurir recursos da vítima. Todavia, neste há a presença de um agente intermediário entre o atacante e a vítima. Utiliza-se este intermediário para espelhar o tráfego de ataque em direção à vítima, o que dificulta ainda mais a identificação dos atacantes, pois o tráfego que chega à vítima é originado no intermediário, e não no próprio atacante. Para este ataque, é necessário que o atacante envie uma requisição (REQ) ao agente intermediário, forjando o endereço da vítima (

IP Spoofing

,

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

) ao invés de usar seu próprio endereço. Ao receber o REQ, o agente não consegue verificar a autenticidade da origem da requisição (que de fato não é autêntica) e envia uma resposta (RESP) diretamente para a vítima.

Entretanto, como o objetivo do ataque é usar os recursos do refletor e não inundá-lo, é preciso que o agente consiga processar as requisições em tempo, que deve ser menor ou igual ao intervalo entre pacotes de ataque, ou seja, tempo de resposta menor ou igual ao tempo de ataque . Caso contrário, o processamento do agente não será suficiente, e o tráfego excedente será descartado, e não atingirá a vítima. Este tipo de ataque não é restrito a determinado protocolo. Qualquer protocolo que envie pacotes de resposta ao atender a requisições pode ser usado, como o próprio TCP, quando o atacante enviaria diversos pacotes SYN para o agente, que os responderia pacotes ACK direcionados para a vítima. Poder-se-ia ainda usar UDP (

User Datagram Protocol

) associado ao DNS, quando o atacante enviaria diversas requisições ao DNS do agente, que enviaria respostas para a vítima.

---

 

9. Ataque à Infra-Estrutura da rede

Sobretudo usado contra os grandes sites da Internet como Yahoo, Amazon e Microsoft, que em geral possuem grandes recursos de processamento e de memória. Contra eles, DDoS de pequena escala não conseguem exaurir os suficientemente rápido para que a vítima tenha o serviço negado a usuários legítimos. Pode-se ainda concentrar esforços em algum elemento vital para o fornecimento do serviço, mas que não dependa da vítima, como por exemplo consumir toda a banda passante da vítima com o tráfego de ataque, o que causaria perda de requisições na infra-estrutura de rede. O ponto onde ocorrem as perdas seria algum roteador entre o atacante e a vítima, e onde o tráfego direcionado à vítima (entrada) é maior do que o de saída. Como precisarão disputar o mesmo recurso com o tráfego en***** pelo atacante, o tráfego legítimo eventualmente pode ser descartado. É um tipo de ataque de difícil combate, já que os pacotes não precisam ter nenhum padrão semelhante que possibilite filtrá-los.

Contra os mesmos tipos de alvos, usa-se inundação aos seus servidores DNS. Este ataque não atinge a vítima diretamente, mas estes servidores são responsáveis por traduzir nomes dos sites - que é o que os usuários usam para acessá-los - em endereços IP. Um ataque ao serviço de resolução de nomes acaba por negar serviços. Como vimos no capítulo 1, um destes ataques ocorreu contra a Microsoft.

---

 

10. Ataque de Vulnerabilidade

Obejtiva deixar a vítima inoperante. Uma das maneiras conseguir o intento é explorar alguma vulnerabilidade na implementação da pilha de protocolos ou da própria aplicação da vítima. Ocorreu, por exemplo, na implementação do protocolo TCP em sistemas operacionais Microsoft Windows. O atacante precisava construir um pacote TCP particular e enviá-lo para a vítima. Ao receber o pacote, o sistema operacional da vítima abortava, causando congelamento total do processamento.

---

 

11. IP Spoofing

Spoof significa forjar, ou seja, falsificar. É exatamente esta a tática no IP Spoofing: fornecer um falso endereço IP. Todo pacote de comunicação IP contém em seu cabeçalho o endereço do remetente e o do destinatário.

Programas maliciosos podem forjar cabeçalhos falsos, fazendo assim crer que o pacote veio de outro endereço. Isto pode ser usado por atacantes para quebrar medidas de segurança, como autenticações baseadas em endereço IP.

Este tipo de ataque é mais comum quando existe relação de confiança entre máquinas. Por exemplo, não é incomum que computadores dentro de uma mesma rede local confiem uns nos outros, aceitando conexões vindas dos outros sem exigência de login e senha. O mesmo pode ocorrer com a aceitação de pacotes, e isto se torna uma ferramenta muito útil para ataques de negação de serviço.

IP Spoofing pode ser feito por:

· Geração aleatória de endereços IP, quando um endereço dentro da faixa IPv4 (0.0.0.0 – 255.255.255.255) é forjado. Embora possam surgir endereços reservados, como os da faixa 192.168 ou inválidos, como os da faixa 0, a maior parte dos endereços simulará um IP válido e roteável. A forma mais comum de combater este tipo de spoofing é com filtragens de ingresso e egresso, técnica através da qual compara-se o endereço-fonte do pacote com o intervalo de endereços IP designado às redes da fonte e do destino, dependendo da localização do roteador de filtragem, descartando pacotes cujas fontes parecem ter IP forjado.

· Forja de subrede: Se uma máquina está em uma subrede de faixa pré-determinada e conhecida, é fácil forjar um endereço que esteja dentro desta faixa e fazê-lo passar-se por um integrante da subrede. A filtragem de ingresso e egresso neste caso deve ser feito apenas na faixa de IPs compreendida pela subrede. Todavia, mesmo assim ainda é difícil filtrar o IP forjado e identificar a máquina responsável pelo congestionamento de tráfego.

· Forjar o IP da vítima: Coloca-se o IP da vítima nos pacotes de pedidos de serviços para provocar uma inundação de pacotes não requisitados sendo a ela en*****s.

Forjar IPs é uma tática que gera sucessos em DDoS, embora não seja imprescindível. Oculta os endereços reais dos agentes em ataques DoS de agente único, permite ataques reflexivos (nestes, é realmente essencial forjar o IP como sendo o da vítima), nos quais a vítima recebe pacotes não requisitados de fato por ela, mas sim pelo IP que se fazia passar pelo seu; Por fim, IP Spoofing é uma arma para trespassar defesas contra DDoS. Algumas destas defesas criam listas de clientes legítimos, aos quais será dada preferência. Forja-se o IP dos pacotes de ataque como sendo de um destes clientes, que receberá tratamento preferencial – ou seja, um pacote falso não só será aceito, como terá preferência sobre outros.

Mas no cenário atual da negação de serviço, não é raro ter redes de agentes com dezenas de milhares de máquinas. É razoável que elas tenham pouca ou nenhuma relação entre si, estando geograficamente espalhadas. Com IPs diversos, passam-se por clientes legítimos dos serviços com pouca dificuldade.

---

 

12. Ferramentas de Ataque

Embora haja atacantes que cheguem ao ponto de escrever seus próprios códigos para ataques de negação de serviço, há uma série de programas facilmente encontrados na Internet:

· Trinoo: Arquitetura operador / agentes. Atacante se comunica com o operador via TCP; O operador se comunica com os agentes via UDP. Permite senhas para operadores e agentes, e gera pacotes UDP para portas aleatórias para múltiplos recipientes.

· Tribe Flood Network (TFN): Usa uma arquitetura diferente da do Trinoo. O atacante não precisa se logar ao operador. Os agentes podem atacar via UDP ou TCP.

· Stacheldraht (Arame farpado): Combina características do Trinoo e do TFN, com comunicação encriptada via TCP entre atacante e operador.

· Shaft: Combina características dos três anteriores. Permite mudança de portas de comunicação entre operador e agentes durante a conexão e tem recursos de coleta de estatísticas.

· Tribe Flood Network 2000 (TFN2K): Versão melhorada do TFN, adiciona características para dificultar detecção do tráfego e controle remoto da rede de agentes.

· Mstream: Gera inundações com tráfego TCP; Operadores podem ser controlados remotamente por mais de um atacante, e a forma de comunicação entre operadores e agentes é manipulável em tempo de compilação;

· Trinity: Primeira ferramenta DDoS controlada via IRC. Cada agente, após infectado pelo Trinity, conecta-se a um canal e espera comandos.

· Agobot & Phatbot: Congestionamentos de tráfego SYN, UDP e ICMP

---

 

13. Dificuldades de defesa contra DDoS

Uma série de características do DDoS o tornam um desafio difícil de combater. Os ataques de alagamento feitos em DDoS alvejam um recurso específico da vítima e tentam esgotá-lo, criando um sem número de pacotes a ele destinado. Como estes ataques não precisam de um tipo de pacote específico, cria-se uma variedade deles, que se misturam ao tráfego legítimo, que terá poucas chances de conseguir resposta, não só por em geral ser menor em número, mas por a vítima detectar que está sofrendo congestionamento e passar a baixar ainda mais a velocidade de resposta do recurso, para poder atender a todos os requerimentos – falsos ou verdadeiros.

Como já foi mostrado, existe um bom número de ferramentas para DDoS difundidas na internet, facilmente encontradas. Com elas, é fácil fazer o tráfego de ataque passar-se por tráfego legítimo - e pode-se ainda usar

IP spoofing

. Com um alto tráfego em controle do atacante, não só se sobrepuja o recurso da vítima, como também torna-se difícil caracterizar o tráfego como legítimo ou falso. E, mesmo que se consiga isto, ainda se encontra dificuldade nos números, pois são dezenas, centenas ou milhares os agentes a serviço do atacante, distribuídos em máquinas ao longo da internet. A própria forma como a internet foi desenvolvida, para permitir fácil acesso, gera uma série de brechas das quais se pode aproveitar para mais ataques.

Com o número e eficiência de ataques apenas aumentando, muito se investiu em P&D para enfrentá-los. Mesmo assim, o combate ainda é difícil, e as dificuldades são, sobretudo,

IP spoofing

, similaridade entre pacotes legítimos e falsos, prontidão e performance dos sistemas.

---

 

14. Prevenir e remediar

Prevenir sempre é melhor que remediar, quando possível. Existem duas formas de prevenir ataques de negação de serviço: Evitar que atacantes ajam ou aumentar as capacidades do sistema para resistir a cargas de tráfego, para que um ataque falhe ao tentar sobrecarregar o sistema e impedi-lo de oferecer serviços a clientes legítimos.

Medidas para evitar que ataques DDoS sejam sequer possíveis incluem impedir que atacantes consigam reunir número suficiente de agentes para atacar, cobrar por uso das redes (de tal forma que conseguir tráfego suficiente para um ataque seja economicamente inviável).

A solução definitiva seria ter sistemas perfeitos.

Mas, como isto é pura fantasia, resta elevar a segurança dos sistemas existentes, tomando medidas plausíveis:

· Melhor programação elevará o nível da segurança das aplicações e dos sistemas operacionais. Há já métodos conhecidos para evitar bugs de segurança conhecidos, como overflows de buffer. Um programador melhor educado terá capacidade de reduzir a freqüência de alguns destes problemas.

· Melhorias no desenvolvimento e projeto de software e ferramentas de teste podem ajudar programadores a escrever códigos que não tenham falhas óbvias de segurança.

· Melhorias na segurança de sistemas operacionais, tanto da perspectiva de código quanto modelos de segurança melhor desenvolvidos reduzirão as chances de um atacante de achar vulnerabilidades a serem maliciosamente exploradas.

· Ferramentas automatizadas para verificação de programas melhorarão a capacidade de encontrar erros nos códigos, permitindo que desenvolvedores de software façam declarações mais absolutas sobre a segurança de seus códigos. Isso permitiria aos consumidores escolher os produtos mais seguros.

 

Se não for possível prevenir um problema, só resta remediá-lo. E em se tratando de ataques de Negação de Serviço, às vezes é melhor remediar do que propriamente prevenir. Existem muitos ataques ocorrendo na internet, mas as vítimas são relativamente poucas. Se os ataques têm vítimas mais direcionadas e o custo de prevenção contra eles é alto, é melhor investir na reação contra os ataques, que têm menor ou nenhum custo a menos que um ataque efetivamente ocorra.

Mas, reação não significa que não há preparação. Diferente do que acontece quando se está prevenido, para remediar um problema é preciso diagnosticá-lo, ou seja, ele precisa acontecer e ser detectado.

Sendo as medidas contra DoS e DDoS preventivas ou reativas, ou até uma combinação de ambas, há objetivos que se deseja conseguir. A defesa deve ser efetiva, isto é, ela tem que funcionar. Isto vale tanto para medidas que impeçam ataques de ocorrer quanto para reações aos ataques. Deve ser completa no que se refere a ser capaz de lidar com todos os tipos de ataque. Embora este seja um objetivo óbvio, é bastante difícil de se conseguir: novos ataques surgem a todo momento, especialmente para quebrar defesas existentes. As defesas devem também ser capaz de continuar fornecendo serviços a clientes legítimos, que é o principal objetivo das medidas contra DDoS. Para isso, é preciso uma baixa taxa de falsos positivos, ou seja, baixa taxa de tráfego legítimo sendo confundido com tráfego falso. Por fim, deve ser necessário baixo custo operacional e bom retorno, fazendo com que os sistemas operem normalmente durante ataques.

---

 

15. Mecanismos de defesa e aplicações

Independente de qual é o papel de uma vítima de DDoS, seja ela a vítima final ou uma máscara (agente) do atacante, as medidas de defesa não são muito diferentes. Já vimos que as medidas de prevenção podem não ser as melhores, e que em geral DDoS é um caso onde remediar é mais efetivo – claro, em menor tempo possível, e para isso é necessário entender como opera a rede e ter ferramentas que permitam colher e analisar corretamente dados, de tal forma que seja possível detectar o problema.

O processo de detecção é muitas vezes árduo, por ser pouco perceptível. Poucas são as conseqüências de DDoS que farão o sistema cessar completamente o funcionamento. Conexões lentas muitas vezes podem ser confundidas com problemas internos no serviço de internet, e dificilmente pensar-se-ia em um ataque DoS. É preciso implementar medidas de detecção com amplo número de atividades malignas, que possam diagnosticar e caracterizar o problema, algo que, detectada a anomalia, é muito menos difícil tendo alguma amostra do tráfego. Com isso é possível saber não só o tipo de ataque, mas também de onde ele vem. Ainda que não seja sempre possível chegar ao atacante, pode-se chegar aos agentes e operadores.

A seguir deve-se, finalmente, reagir, bloqueando o tráfego falso e identificando os servidores comprometidos no envio deles. Por fim, é preciso sempre documentar os procedimentos, para ter uma base de informações mais rica, que permita refinar cada vez mais as contra-medidas.

---

16. Linhas de pesquisa de defesa

Negação de Serviço é um problema real em Redes de Computadores, e muito tem se estudado e pesquisado para combater as ameaças. A seguir estão enumeradas e brevemente descritas algumas linhas de pesquisa em defesa contra DoS:

---

17. Novo Sistema de Rastreamento de Pacotes IP

Proposto por Laufer

et al.

no Grupo de Teleinformática e Automação da Universidade Federal do Rio de Janeiro (GTA-UFRJ). É um sistema de rastreamento de pacotes IP para determinar a origem de cada pacote recebido pela vítima. Cada roteador pelo qual passou o pacote insere nele uma assinatura que indica esta passagem. Uma técnica de filtro de Bloom (Estrutura de dados para compactação de conjuntos de elementos) é usada para que estas informações sejam minimizadas e permaneça constante para não fragmentar os pacotes. Propôs-se ainda uma generalização de filtros de Bloom para que o atacante não possa forjar as assinaturas.

Um campo fixo no pacote é reservado para alojar o filtro de Bloom onde estará armazenada a rota do pacote. Cada roteador, antes de encaminhar o pacote, insere nele seu IP de saída. Desta forma, ao receber o pacote, o receptor tem uma rota de todos os componentes da rota de ataque.

A vantagem desta abordagem é poder reconhecer a origem de cada pacote individualmente. Além disso, nenhum estado é armazenado na infra-estrutura da rede: todos os dados do rastreamento ficam com a própria vítima-receptor. Todavia, o uso dos filtros de Bloom pode gerar falsos positivos – adicionando um roteador que não fez parte da rota de ataque à reconstrução desta ou falsos negativos – a não adição de um roteador que fez parte da rota de ataque.

---

18. Pushback

Proposto por Mahajan

et al.

, a idéia é de que operadores de rede “empurrem” de volta o tráfego de ataque até a fonte, seja desconectando os cabos de rede do roteador e verificando se o tráfego pára, ou observando o tráfego da rede em equipamentos de monitoração.

---

 

19. D-WARD

Proposto por Mirkovic

et al.

, e desenvolvido na UCLA sob supervisão da DARPA. Almeja detectar ataques antes que eles deixem a rede na qual residem os agentes DDoS. É um sistema transparente aos usuários da rede, que coleta estatísticas de tráfego bidirecional do roteador à rede fonte e as compara a modelos de tráfego construídos de acordo com especificações de protocolos de transporte e aplicação, refletindo tráfegos legítimos, suspeitos e de ataque, aplicando limitações às taxas dos considerados suspeitos e ilegítimos. A opção de diminuir e não bloquear a taxa faz com que o sistema se recupere mais eficientemente de falsos positivos.

O D-WARD foi testado internamente e obteve bons resultados, detectando rapidamente os ataques. Suas vantagens são de detectá-los e controlá-los, assumindo que os tráfegos falsos são suficientemente diferentes dos tráfegos legítimos. A opção de limitar as taxas permite poucos efeitos colaterais, e a resposta às ofensivas é rápida.

---

 

20. NetBouncer

Outra proposta supervisionada pela DARPA, de E. O’Brien. É um mecanismo de legitimação de clientes, permitindo tráfego apenas para os legítimos. Para isso, vários testes são efetuados sobre o usuário/cliente. Uma vez autenticado, o cliente é adicionado ao grupo de clientes legítimos, aos quais é dada preferência sobre o grupo de clientes ainda não legítimos. Para evitar que o atacante forje uma autenticação, ela expira em um determinado intervalo de tempo, sendo necessária uma nova legitimação, passando pelo mesmo teste anterior ou um outro.

Embora tenha seus aspectos positivos, fornecendo bom serviço aos clientes legítimos na maioria dos casos, o NetBouncer assume certas características e capacidades dos clientes, como poder responder a pings, algo que nem todos farão, sobretudo aqueles operando sob um firewall.

As vantagens deste método é de não exigir modificações em protocolos, servidores ou clientes, sejam os da própria rede ou de outras. Mas ainda é possível conseguir um exército de agentes e forjar seus IPs, eventualmente conseguindo um que seja de um cliente legítimo.

---

 

21. Secure Overlay Service (SOS)

Com o objetivo de rotear apenas tráfego legítimo aos servidores, descartando os considerados ilegítimos, este método foi proposto por Keromytis

et al.

Os clientes deverão primeiro contatar pontos de acesso que verificarão a legitimidade dos pedidos, antes de permitir a entrada destes clientes na rede.

SOS foi projetado para funcionar em redes operando sob um firewall, como redes empresariais. Os pacotes precisam passar primeiro pelos pontos de acesso, e o firewall se encarrega de descartar os demais pacotes e aceitar as conexões já confiáveis.

Este método fornece proteção à comunicação com clientes legítimos. Todavia, soluções deste tipo podem ser sobrepujadas por ataques em massa sobre o firewall.

 

---

22. Prova de Trabalho

Sugere ao cliente um desafio criptografado e espera por sua solução, à qual estará atrelado o oferecimento ou não do serviço. É o método antibots mais usado atualmente, e presente geralmente em conjunto com mecanismos de autenticação em websites. Sua forma mais comum é apresentar junto à autenticação uma figura onde caracteres são representados e devem ser informados pelo usuário a uma caixa de diálogos. Bots podem forjar autenticidade pura com relativa facilidade, exaurindo o número de conexões do servidor, mas métodos de reconhecimento de padrões para detectar os caracteres em imagens ainda é difícil.

---

23. DefCOM

Outra proposta de Mirkovic

et al.

, parceria da UCLA com a Universidade de Delaware que se baseia em defesas de núcleo de rede, sob perspectiva da vítima e da fonte. Detecta o ataque ocorrente e limita o tráfego, enquanto ainda respondendo a pedidos legítimos. É composto de três tipos de nós (roteadores ou servidores): geradores de alerta que detectam ataque; limitadores de taxa de tráfego e classificadores, separando pacotes legítimos de pacotes suspeitos, marcando-os. Os dois primeiros tipos de nós trabalham nas bordas da rede e o último opera no núcleo desta.

Em suma, DefCOM detecta ataques na rede da vítima, limita tráfego no núcleo desta e bloqueia tráfegos suspeitos/de ataque na rede da fonte. Utiliza o também proposto D-WARD como nó classificador para melhorar resultados.

---

 

24. COSSACK

Uma proposta de Papadopoulos

et al.

e desenvolvida na Universidade do Sul da Califórnia. Objetiva evitar que ataques sequer saiam do escopo da rede-fonte (é portanto mais um método de prevenção). Este método age na rede-fonte, engatilhado por uma notificação da vítima do DDoS, correlacionando e analisando tráfegos na fonte e detectando tráfego suspeito que será descartado.

Se tráfego legítimo for capturado como um falso positivo, será descartado pelo COSSACK. Esta técnica inova por colocar vigias (

watchdogs

) nas redes, evitando que elas se tornem redes fontes de ataque, sem que sejam necessárias modificações em protocolos ou aplicações destas redes.

---

 

25. Pi

Defesa baseada na vítima, proposta por Yaar

et al.

, inserindo identificadores de caminho em cabeçalhos de pacotes IP não utilizados (ou pouco utilizados). A idéia principal é que estes identificadores de caminho (ou impressões digitais) sejam inseridos pelos roteadores ao longo do caminho da rede. O alvo ou vítima poderia então rejeitar pacotes com impressões digitais que já foram identificados em outros pacotes, estes sabidos pacotes integrantes de um ataque.

No esquema básico de marcação do Pi, cara roteador marca alguns bits no campo de identificação do pacote IP. A localização da marca dentro deste campo é definida pelo valor do campo TTL (tempo de vida ou time to live) do pacote. Como o TTL decrementa a cada passagem por um roteador, um caminho contíguo do pacote é construído enquanto ele se aproxima da vítima.

Este método assume que a vítima saberá identificar o volume de um tráfego de ataque, por exemplo selecionando uma alta porção de tráfego de entrada com uma mesma marcação. Naturalmente, isso pode gerar o descarte de falsos positivos que são, na verdade, tráfego legítimo contendo a mesma marca do ataque.

O método Pi entra em ação após o primeiro pacote ser identificado (pelo alvo). Por isso, está ainda sujeito a ataques por inundação, como a maioria dos métodos de defesa centrados na vítima.

---

 

26. SIFF

Yaar

et al.

propuseram aliviar ataques DDoS por inundação usando um mecanismo que divide o tráfego de rede em dois: Privilegiado e não-privilegiado. Os destinos finais podem trocar permissões observadas em tráfego privilegiado. Os roteadores verificarão essas permissões, que são dispostas de forma dinâmica, de tal forma que mau-comportamento (ou seja, ataque) implicará no cancelamento destas. Diferentemente de outros métodos, este não requer nenhum mecanismo extra, mas necessita de modificações nos clientes, servidores e roteadores. Os destinos finais usarão protocolo de aperto de mão para trocar permissões, e assim o tráfego privilegiado se propagaria pela rede, diferentemente do tráfego não-privilegiado. Há providências a serem tomadas para que tráfego privilegiado não seja forjado para cometer ataques. Se um destino final começar uma inundação, as credenciais de tráfego privilegiado precisam ser retiradas dele.

Os autores deste mecanismo propõem duas abordagens: Que as redes de próxima geração o integrem ou que as redes atuais incorporem estas técnicas no protocolo IPv4. É incerto que qualquer destas hipóteses desemboque em um sucesso.

Em suma, esta técnica faz muitas assunções, inclusive de que o cliente e o servidor possam atualizar seus protocolos TCP/IP para modificar as permissões. A vantagem é não haver necessidade de cooperação dos provedores de serviços de internet. Também se assume que a capacidade de inundação seja limitada e que roteadores sejam capazes de processar e guardar estados e marcar pacotes. Todas essas presunções são muito restritivas, e estão muito distantes do que se vê na internet.

---

 

27. Filtro de Contagem de Saltos (HCF)

Filtro de contagem de saltos ou

Hop-Count Filtering

, uma proposta de Jin

et al.

, um projeto da Universidade de Michigan, objetivando defesa contra DDoS através da observação do TTL (um salto é exatamente uma passagem por um roteador, a qual decrementa o valor TTL), evitando tráfego falsificado. Tenta-se inferir uma contagem de saltos e associa-se cada fonte de pacotes que adentra a rede da vítima /alvo a um IP e número de saltos.

O sistema que infere a contagem de saltos começa com o TTL observado e estima o inicial que foi imposto ao pacote pelo remetente. Há apenas alguns poucos valores que sistemas operacionais usam e eles são bem diferentes, o que facilita inferências corretas. A contagem de saltos é então a diferença entre o TTL inicial e o observado.

A distribuição de contagem de saltos segue distribuição normal, já que há suficiente variedade nos valores TTL. Se um atacante planeja derrotar este esquema, terá de adivinhar o correto valor de TTL a inserir em um pacote forjado, tal que o número de saltos deduzido seja exatamente o esperado. A falsificação torna-se, então, difícil, pois o atacante agora tem de forjar o correto valor TTL associado a um dado endereço forjado de uma fonte, acrescido da apropriada diferença na contagem de saltos entre os endereços do atacante e o forjado.

Em geral, o filtro de contagem de saltos é passivo enquanto analisa tráfego e o compara às tabelas de saltos estimados. Se o número de igualdades passar de um determinado limiar, a filtragem começa. As tabelas de entrada são constantemente atualizadas examinando uma conexão TCP escolhida aleatoriamente dentro da rede protegida. Como a técnica não impede que o atacante efetue um ataque, apenas o impede de forjar tráfego, ataques vindos de fontes legítimas, carregando os corretos valores TTL, usando um exército de bots ou worms, não precisando de endereços forjados, ainda seriam problemáticos. E este tipo de ataque é hoje bem simples. Outra iniciativa centrada na vítima, o filtro de contagem de saltos não tem grande eficiência contra ataques de inundação baseados em exaurir o sistema que verifica os valores TTL.

---

28. Quem são as vítimas?

Vítimas de ataques de negação de serviço incluem não só os alvos finais, mas também máquinas usadas como agentes de ataque. Estes últimos incluem quaisquer máquinas de usuários comuns ao redor do mundo. Os alvos finais de ataques recentes incluem:

· Redes de IRC;

· Sites e servidores de agências americanas de inteligência e segurança como o FBI, CIA, NASA, NSA (Agência de Segurança Nacional americana);

· Sites envolvidos em conflitos políticos (Israel/Palestina, Índia/Paquistão);

· Sites ligados a assuntos terroristas;

· Sites ligados a órgãos de imprensa evidentes nos grandes conflitos armados e políticos (CNN, New York Times, Al Jazeera);

· Grandes portais de internet (Yahoo);

· Sites de *****grafia;

· Sites de apostas e jogos de azar;

· Servidores de websites;

· Sites anti-spam e de medidas de segurança na internet;

· Sites de gigantes do comércio eletrônico como e-Bay e Amazon;

· Microsoft.

Tal qual são variadas as motivações para ataques de negação de serviço as vítimas dos ataques variam de grandes corporações a sites que apóiam causas políticas.

Assim, embora não seja possível generalizar potenciais vítimas de negação de serviço, torna-se também bastante difícil determinar que dado site ou servidor está imune a ataques. Afinal, ainda hoje há ataques sem nenhuma motivação política ou econômica: Apenas para exibir capacidades como hacker.

---

 

29. Providências legais e jurídicas

Embora o Brasil ainda não tenha leis específicas para a Informática em seu Código Penal, que data de 1940, várias leis podem se aplicar a conseqüências de ataques de negação de serviço:

· Extorsão: Art. 158 - Constranger alguém, mediante violência ou grave ameaça, e com o intuito de obter para si ou para outrem indevida vantagem econômica, a fazer, tolerar que se faça ou deixar fazer alguma coisa. A pena é de reclusão de 4 a 10 anos, e multa, e pode ser acrescida de até metade se o crime for cometido por duas ou mais pessoas.

o Aplicável a ataques que exigem algum tipo de pagamento por proteção contra ataques ou não realização destes.

 

· Usurpação: Art. 161 - Suprimir ou deslocar tapume, marco, ou qualquer outro sinal indicativo de linha divisória, para apropriar-se, no todo ou em parte, de coisa imóvel alheia. A pena é de detenção de 1 a 6 meses, e multa.

o No caso, o tapume (terreno) seria a rede de computadores, e este é o caso no qual um atacante possui uma máquina alheia (o imóvel) para utilizá-la como agente da negação de serviço.

 

· Dano: Art. 163 - Destruir, inutilizar ou deteriorar coisa alheia. Pena: detenção, de 1 a 6 meses, ou multa. Se contra patrimônio público, tem-se dano qualificado, e a pena é detenção de 6 meses a 3 anos e multa.

· Apropriação indébita: Art. 168 - Apropriar-se de coisa alheia móvel, de que tem a posse ou a detenção. Pena de reclusão de 1 a 4 anos e multa; Art. 169 - Apropriar-se alguém de coisa alheia vinda ao seu poder por erro, caso fortuito ou força da natureza. Pena de detenção de 1 mês a 1 ano e multa.

o Ambos aplicáveis também à posse de agentes.

 

· Estelionato: Art. 171 - Obter, para si ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento, parágrafo 2º - Disposição de coisa alheia como própria (vender, permutar, dar em pagamento, em locação ou em garantia coisa alheia como própria). Pena de reclusão de 1 a 5 anos e multa.

o Posse de máquinas alheias cujo controle é repassado, vendido, etc; Fornecimento a atacantes de senhas que possam controlar redes.

---

 

30. Entraves dos processos legais

Quem cometeu o ataque? Onde o cometeu? Onde as conseqüências foram percebidas? Sob que leis o crime deve ser julgado?

Identificar o atacante é já extremamente complexo. Ataques de negação de serviço são ataques virtuais. Provas físicas em geral sequer vão existir, e vimos que dados virtuais podem ser manipulados e forjados com alguma facilidade, dificultando muito o rastreamento do executor.

Além disso, um ataque pode ser feito com o atacante em um país, agentes espalhados por vários outros países e a vítima em ainda outro país (ou até em mais de um). Sob que leis o crime, tão globalizado, deve ser julgado? Não há um consenso mundial sobre estas práticas de crimes virtuais, mas parece bem razoável que julgamentos possam ser feitos em todos os territórios por onde o crime passou.

E uma nova discussão ainda mais preocupante surge: responsáveis por máquinas que foram usadas como agentes devem ser considerados cúmplices? Pode-se considerar que foram omissos em não tomar (se é que não tomaram) todas as providências que poderiam, para evitar que suas máquinas fossem possuídas por atacantes? Nem todos os usuários de internet são tão cientes de aspectos de segurança quanto administradores de rede e demais profissionais de computação. O usuário comum em geral estará mais preocupado apenas em não contrair um vírus cujo efeito lhe seja diretamente visível, mas atribuirá conexões lentas e outros sintomas de negação a problemas com o serviço de internet ou com problemas internos de sua própria máquina, e não a uma invasão ou ataque.

 

---

 

[TABLE=width: 700]

[TR]

[TD=align: left]

31. Conclusão

[/TD]

[/TR]

[TR]

[TD=align: left]

A Negação de Serviços é uma realidade. Claro, com tantos milhões de máquinas conectadas à internet, a chance de que uma seja um alvo, ou até um agente de um ataque, não é grande – mas existe.

No futuro, DDoS tende a ser mais forte do que é hoje. O número de ferramentas que permitem armar verdadeiros exércitos apenas cresce e estão cada vez mais acessíveis na grande rede. Além disso, ao mesmo tempo que novos ataques são feitos para tentar superar as defesas existentes, novas defesas têm muitos entraves por às vezes precisarem de mudanças em protocolos já existentes, quebrando em parte o que se propõe da simplicidade da arquitetura da internet.

Os ataques tendem também a mudar seus objetivos e alvos. Mais do que tornar serviços totalmente inoperáveis – o que é facilmente detectável, os ataques tentarão degradar o serviço, tentando deixá-lo operando em carga total a todo momento, mas sem tirá-lo do ar. Da mesma forma, novos serviços surgem e serão potenciais alvos de ataques – e dentre estes destaca-se VoIP, cujo uso é cada vez maior e só tende a crescer.

Em suma, o futuro da negação de serviços resume-se no surgimento de novos mecanismos de defesa, seguidos de novos mecanismos de ataque que os superem. Ao usuário, resta refletir sobre sua própria condição: Está em posição de ser ameaçado por ataques de negação de serviço, se não como alvo final, como agente do ataque? Tomou todas as medidas possíveis de prevenção e está preparado para executar medidas de reação? Claro, mesmo elas não findam totalmente a chance de ser uma vítima de um ataque. A única solução definitiva contra negação de serviços e contra qualquer outro malefício da Internet ainda é não estar conectado a nenhuma rede de computadores.

[/TD]

[/TR]

[/TABLE]

Créditos:

EXPL01T3R

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[crazy_uchiha 1]

Ótimo tutorial fez uma boa introdução & explicação sobre o assunto,realmente a Negação de Serviços é uma realidade e na minha opinião não é dificio de ser praticada.xAbraços

[João Gabriel Freire 0]

A implantação de processos e ferramentas nem sempre é suficiente para garantir a segurança das informações. Sempre que a informação necessita ser manuseada por uma pessoa, ela está potencialmente em risco. À medida que as corporações permitem acesso mais abrangente e mais profundo às informações, os riscos de segurança aumentam exponencialmente com o número de usuários habilitados ao acesso.

Há diversos meios para mitigar riscos tecnológicos. Processos falhos podem ser detectados em auditorias ou verificações de rotina. Mas, como garantir que as pessoas estão trabalhando de maneira adequada? Deve-se monitorar as atividades das pessoas o tempo todo? Vale a pena criar controles e mais controles para eliminar possíveis vulnerabilidades?

A resposta mais viável, na maioria das vezes, é não. A melhor, e talvez única, maneira de garantir que as pessoas estejam trabalhando de modo seguro é conscientizá-las dessa necessidade. Riscos simples, como deixar papéis na impressora, fornecer informações por telefone ou deixar papéis com informações importantes em locais acessíveis, podem ser evitados conscientizando as pessoas do risco existente nesses comportamentos.

Não se pode prever todas as possibilidades de vulnerabilidades quando pessoas estão envolvidas. Não há como desenvolver um treinamento específico para cada ocasião em que a ação indevida de uma pessoa possa comprometer a segurança da empresa. Os treinamentos devem procurar enfatizar a postura que um profissional deve ter em relação a possíveis riscos.

Empresas adotam diferentes técnicas para tornar seus funcionários cientes dessa necessidade, como palestras educativas, treinamentos e folhetos. Algumas empresas adotam técnicas ainda mais ousadas, como afixar cartazes ou balões de gás nas mesas daqueles que violaram alguma regra comportamental de segurança,ou seja, a maioria das intrusões acontece porque as pessoas permitem.Tem ate um conceito novo,no qual eu não me recordo,mas que ilustra bem isso que eu disse anteriormente.Esse conceito cujo o nome não me lembro e uma nova abordagem de intrusão.O craker vai envolvendo-se com a vitima de tal maneira que a mesma vai ganhando confiança com relação ao aliciador.Assim criando-se vinculo com a vitima,o aliciador consegue mas informações uma vez que por meio sutil, persuadindo a vitima,consegue dados sigilosos ate mesmo de um usuario domestico.E ai que esta o x do problema.E mas facil atingir um usuario domestico do que,um usuario coorporativo,pq como eu disse a intrusão acontece se a pessoa do outro lado permite.

[☢|EXPL01T3R|☣ 50]

A implantação de processos e ferramentas nem sempre é suficiente para garantir a segurança das informações. Sempre que a informação necessita ser manuseada por uma pessoa, ela está potencialmente em risco. À medida que as corporações permitem acesso mais abrangente e mais profundo às informações, os riscos de segurança aumentam exponencialmente com o número de usuários habilitados ao acesso.

Há diversos meios para mitigar riscos tecnológicos. Processos falhos podem ser detectados em auditorias ou verificações de rotina. Mas, como garantir que as pessoas estão trabalhando de maneira adequada? Deve-se monitorar as atividades das pessoas o tempo todo? Vale a pena criar controles e mais controles para eliminar possíveis vulnerabilidades?

A resposta mais viável, na maioria das vezes, é não. A melhor, e talvez única, maneira de garantir que as pessoas estejam trabalhando de modo seguro é conscientizá-las dessa necessidade. Riscos simples, como deixar papéis na impressora, fornecer informações por telefone ou deixar papéis com informações importantes em locais acessíveis, podem ser evitados conscientizando as pessoas do risco existente nesses comportamentos.

Não se pode prever todas as possibilidades de vulnerabilidades quando pessoas estão envolvidas. Não há como desenvolver um treinamento específico para cada ocasião em que a ação indevida de uma pessoa possa comprometer a segurança da empresa. Os treinamentos devem procurar enfatizar a postura que um profissional deve ter em relação a possíveis riscos.

Empresas adotam diferentes técnicas para tornar seus funcionários cientes dessa necessidade, como palestras educativas, treinamentos e folhetos. Algumas empresas adotam técnicas ainda mais ousadas, como afixar cartazes ou balões de gás nas mesas daqueles que violaram alguma regra comportamental de segurança,ou seja, a maioria das intrusões acontece porque as pessoas permitem.Tem ate um conceito novo,no qual eu não me recordo,mas que ilustra bem isso que eu disse anteriormente.Esse conceito cujo o nome não me lembro e uma nova abordagem de intrusão.O craker vai envolvendo-se com a vitima de tal maneira que a mesma vai ganhando confiança com relação ao aliciador.Assim criando-se vinculo com a vitima,o aliciador consegue mas informações uma vez que por meio sutil, persuadindo a vitima,consegue dados sigilosos ate mesmo de um usuario domestico.E ai que esta o x do problema.E mas facil atingir um usuario domestico do que,um usuario coorporativo,pq como eu disse a intrusão acontece se a pessoa do outro lado permite.

 

o tema diz respeito mais a ataques DOS/DDOS então creio que não cabe falar sobre outras falhas.. No caso os recursos citados são alguns dos meios mais comuns e nestes casos não são citados os fatores humandos, não que não sejam importantes mais simplesmente por se tratar de algo mais a nvl de proteção com softwares e/ou outros recursos, sem contar o fato que se tratando de ataques DOS o fato de mais pessoas terem acesso a um sistema não muda muita coisa ja que neste tipo de ataque não é necessário muito conhecimento sobre o alvo então conhecer ou não, não seria algo trivial em um ataques desses..

[João Gabriel Freire 0]

o tema diz respeito mais a ataques DOS/DDOS então creio que não cabe falar sobre outras falhas.. No caso os recursos citados são alguns dos meios mais comuns e nestes casos não são citados os fatores humandos, não que não sejam importantes mais simplesmente por se tratar de algo mais a nvl de proteção com softwares e/ou outros recursos, sem contar o fato que se tratando de ataques DOS o fato de mais pessoas terem acesso a um sistema não muda muita coisa ja que neste tipo de ataque não é necessário muito conhecimento sobre o alvo então conhecer ou não, não seria algo trivial em um ataques desses..

Sim mas mesmo neste caso,vulnerabilidade pode estar na propia rede do usuario,que por sua vez pode bloqueala.Um metodo simples e bloquear o maximo de portas da vitima ou seja,ele ele estiver com o sistema vulneravel um simples dado salvo no bloco de notas pode fazer toda a diferença.Primeiro o cara tem que abrir a porta .com,e por encrivel que pareça,o propio usuario permite isso,seja nao atualizando seu software,seja falta de monitoramento,ou propio desconhecimento de que esta sofrendo uma intrusão.Concordo e algo mas de nivel de software de que, programação ou aquiterura,mas ha meios de se fazer um sistema seguro e eficaz.Para isso tem que estudar todas a vulnerabilidades possives que uma LAN Local possa ter,e certificarse que o mesmo esteja protegido,e nesse sentido que eu quis dizer.Como vc mesmo escreveu no seu artigo,as pessoas inconcientemente são lesadas,porem como eu disse porque assim permitem deixando o sistema vulneravel muitas vezes por porque deixa servidor com .com aberta.Toda intrusão e feita por meios de invulnerabilidade na porta de comunicação ainda mas no dos/ddos

[☢|EXPL01T3R|☣ 50]

Sim mas mesmo neste caso,vulnerabilidade pode estar na propia rede do usuario,que por sua vez pode bloqueala.Um metodo simples e bloquear o maximo de portas da vitima ou seja,ele ele estiver com o sistema vulneravel um simples dado salvo no bloco de notas pode fazer toda a diferença.Primeiro o cara tem que abrir a porta .com,e por encrivel que pareça,o propio usuario permite isso,seja nao atualizando seu software,seja falta de monitoramento,ou propio desconhecimento de que esta sofrendo uma intrusão.Concordo e algo mas de nivel de software de que, programação ou aquiterura,mas ha meios de se fazer um sistema seguro e eficaz.Para isso tem que estudar todas a vulnerabilidades possives que uma LAN Local possa ter,e certificarse que o mesmo esteja protegido,e nesse sentido que eu quis dizer.Como vc mesmo escreveu no seu artigo,as pessoas inconcientemente são lesadas,porem como eu disse porque assim permitem deixando o sistema vulneravel muitas vezes por porque deixa servidor com .com aberta.Toda intrusão e feita por meios de invulnerabilidade na porta de comunicação ainda mas no dos/ddos

novamente volto a dizer.. o assunto é sobre ataques DOS/DDOS intrusão ja é outro assunto que não cabe ser tratado aqui até por isso estar fora do contexto do tópico e poder ser considerado como flood.. Em termos de intrusão eu concordo com você... Como ja dito no tópico ha átaques DOS feitos com base em vulnerabilides mais fora isso não vale mencionar outros tipos de vulnerabilidades visto que o assunto principal é ataque de negação de serviço :smiley:

[cauezila 0]

Escreve um livro logo man,li nem metade mas pelo que li tá de parabens g,g

 

@Acabei de ressucitar um tópico sem percebeer por favor da um closed aki lamento estar desorganizando a area;

[marvis 16]

um bom exemplo de programa pra ddos e o T-50

[☢|EXPL01T3R|☣ 50]

um bom exemplo de programa pra ddos e o T-50

 

tecnicamente é um script e não um programa rsrs.. pelo - ao meu ver porem se vc atacar um servidor preparado só com um PC com t50 sem proxy nem nada.. vai ser o mesmo que usar... sei la... sprut rsrs