Técnicas de CDN para la mitigación de ataques distribuídos

2013-02-15
Técnicas para contención
de ataques distribuídos

Derechos reservados © 2012-2013 Sandino Araico Sánchez
<sandino@1101.mx>

Se permite ilimitadamente el uso, copia, redistribución con o sin
modificaciones siempre y cuando se mantenga el aviso de
derecho de autor y se anoten al final de la presentación todas las
modificaciones que se llevan a cabo conservando la historia de
las modificaciones que hagan las demás personas e indicando la
fecha de cada modificación y el nombre de la persona que la
llevó a cabo.

Friday, February 15, 2013 1

Distributed
Denial
DDoS =
of
Service

Ataque de negación de servicio
distribuído


Ataque de una botnet


Ataque de Anonymous


Ancho de banda de bajada

fuente: ddos.arbornetworks.com


Ancho de banda de subida


Uso de memoria

fuente: tumblr.com


Efecto del ataque

fuente: Netcraft


Hipótesis

Dilución del ataque en la nube

Uso de caché estático

Uso de límites de conexiones

Uso de límites de peticiones

Bloqueador de direcciones IP


Uso de la nube


Caché estático


Imposición de límites


Bloqueo de atacantes


Integración


Modelo experimental
Xen / KVM, 1 CPU, 1 GiB RAM, 25 GB HD

CentOS 6 64 bits

nginx

nagios

bash

iptables

bind


Instalador de nodos en
“La Nube”

for i in `cat hosts | sed “s/#.*$/ ` ; do
/”
ssh $i < scripts/install-key
./scripts/install-node $i
done

./sync-nginx-all


Propagador de
conﬁguración hacia
“La Nube”

#sync-nginx-all
RSYNC_PARAMS='-vacH --progress '

for i in `cat ./hosts | sed 's/#.*$/ ; do
/'`
! echo "===> rsync to: $i"
! rsync $RSYNC_PARAMS ./etc/nginx/*conf root@$i:/etc/nginx/
! rsync $RSYNC_PARAMS --delete ./etc/nginx/vhosts/ root@$i:/etc/nginx/vhosts/
! ssh root@$i service nginx reload
done


Adaptación de una
zona para ”La Nube”

;$TTL 86400! 1 day
;
$TTL 3600! ; 1 hour
$ORIGIN enli.org.mx.

;@!! A! 75.126.210.124! ; hosting
;www!CNAME! @! ! ;
@! ! A! 50.30.46.179 ; raicilla
www! ! ! CNAME! a.cdn.1-1-0-1.net.
origen!! CNAME! b.w.h.srvr.mx.


CDN por DNS Round Robin

;$TTL 3600! ; 1 hour
$TTL 300! 5 min
;
$ORIGIN cdn.1-1-0-1.net.
;A
;a! ! A! 67.202.53.77 ; Nodo A
;a! ! A! 23.22.63.20 ; Nodo B
a! ! A! 50.97.145.147 ; Nodo H
a! ! A! 50.97.65.34 ; Nodo I
a! ! A! 50.19.77.249 ; Nodo J
a! ! A! 23.22.168.71 ; Nodo K


Configuración del caché estático

user nginx;
worker_processes 1;
worker_rlimit_nofile 250000;
events {
worker_connections 65536;
}
! proxy_cache_path /data/nginx/cache levels=1:2 keys_zone=STATIC:16m
inactive=24h max_size=15g;
! proxy_temp_path ! /data/nginx/tmp ;! !
! open_file_cache max=10000 inactive=200s;
! open_file_cache_valid 300s;
! open_file_cache_min_uses 5;
! open_file_cache_errors on;


Origen del caché estático

upstream local ! ! { server 127.0.0.1:8080; }

upstream mendozaaaa ! server 50.22.23.151:80;
{
server 74.86.82.177:80; } #c.w.h
upstream mozillamexico ! { server 50.22.23.151:80;
server 74.86.82.177:80; } #c.w.h
upstream enli! ! ! { server 50.22.23.151:80;
server 74.86.82.177:80; } #c.w.h


tail -f /var/log/accounting.log

1351169751.490 25/Oct/2012:07:55:51 -0500 | 174.129.84.42 | 301 | 410 | 0.000 | . | - | - | - | mendozaaaa.net | / | -
1351169803.465 25/Oct/2012:07:56:43 -0500 | 123.125.71.31 | 200 | 17787 | 6.436 | . | EXPIRED | 200 | 1.611 | mozilla-mexico.org | / | -
1351169803.990 25/Oct/2012:07:56:43 -0500 | 100.43.83.140 | 302 | 665 | 0.858 | . | MISS | 302 | 0.858 | mozilla-mexico.org | /activity/p/968/ | -
1351169807.008 25/Oct/2012:07:56:47 -0500 | 100.43.83.140 | 200 | 4910 | 0.721 | . | MISS | 200 | 0.721 | mozilla-mexico.org | /members/
lu15g3orge/activity/968/ | -
1351169807.667 25/Oct/2012:07:56:47 -0500 | 180.76.5.169 | 302 | 631 | 1.655 | . | MISS | 302 | 1.439 | mozilla-mexico.org | /activity/p/865/ | -
1351169811.958 25/Oct/2012:07:56:51 -0500 | 180.76.5.143 | 200 | 5074 | 4.069 | . | MISS | 200 | 3.635 | mozilla-mexico.org | /members/jusai/
activity/865/ | -


Conﬁguración de un sitio en el caché

server {!
listen 80; server_name ! nli.org.mx ;
e
access_log /var/log/nginx/accounting.log accounting;
include /etc/nginx/common-attack.conf;
location / { rewrite ^/(.*)$ http:/ /www.$server_name/$1 permanent; }
}
server {
listen 80; server_name ! ww.enli.org.mx ;
w
access_log /var/log/nginx/accounting.log accounting;
error_log /var/log/nginx/error.log;
include /etc/nginx/common-attack.conf;
location / {
! ! include /etc/nginx/proxy-common.conf ;
! ! proxy_pass http:/ /enli; break;
! }


Limitador de conexiones

# HTTP port 80
-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -m recent
--set --name DEFAULT --rsource
-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -m recent
--update --seconds 1 --hitcount 20 --name DEFAULT --rsource -j DROP
-A INPUT -p tcp -m tcp --dport 80 --tcp-ﬂags FIN,SYN,RST,ACK SYN
-m connlimit --connlimit-above 255 --connlimit-mask 24 -j DROP
-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited


Límite de peticiones - proxy-common

! ! proxy_set_header X-Real-IP $remote_addr;
! ! proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
! ! proxy_set_header Host $http_host;
! ! proxy_redirect off;
proxy_cache STATIC;
proxy_cache_valid 1d;
proxy_cache_use_stale error timeout invalid_header updating
http_500 http_502 http_503 http_504;
! ! proxy_buffering on;
! ! proxy_buffer_size 8k;
! ! proxy_buffers 8 8k;
! ! proxy_busy_buffers_size 16k;


Límite de peticiones - proxy-micro

! ! proxy_set_header X-Real-IP $remote_addr;
! ! proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
! ! proxy_set_header Host $http_host;
! ! proxy_redirect off;

proxy_cache STATIC;
proxy_cache_valid 15;
proxy_cache_valid 200 5;
proxy_cache_use_stale error timeout invalid_header updating
http_500 http_502 http_503 http_504;
! ! proxy_buffering on;
! ! proxy_buffer_size 8k;
! ! proxy_buffers 8 8k;
! ! proxy_busy_buffers_size 16k;


Reglas personalizadas por sitio

! location = /programa.html {
! ! include /etc/nginx/proxy-micro.conf ;
! }
location ~ .php {
! ! include /etc/nginx/proxy-micro.conf ;
! }
! location ~* .(jpg|jpeg|gif|png|ico|css|js|ico)$ {
! ! include /etc/nginx/proxy-common.conf ;
! ! proxy_ignore_headers "Expires" "Cache-Control" "Set-Cookie" ;
! }
}


Bloqueador de patrones conocidos
common-attack.conf

#Apache .htaccess
location ~ /.ht {
! deny all;
}
## Only allow these request methods ##
## Do not accept DELETE, SEARCH and other methods ##
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
return 444;
}
#Directory trasversal ../../../../../
! if ($query_string ~ ../../../../../ ) {
! ! return 404;
! }
location ~ url(data:image/png;base64, {
! return 404;
}



# Bloqueo de cadenas muy largas
location ~ "(.{105})" {
! return 414 "Request-URI Too Long";!
}
if ($query_string ~ "(.{105})" ) {
! return 414 "Request-URI Too Long";
}
# Un abuso conocido
location = /wp-login.php {
! return 464 "Acknowledged Brute Force attack";
}



if ($query_string ~ Anonymous ) {
! return 454 "Acknowledged DDoS attack";
}
#if ($query_string ~ Esperanos ) {
#! return 454 "Acknowledged DDoS attack";
#}
if ($query_string ~ "Nunca%20bajaremos%20los%20brazos!
%20Anonymous%20apoyando" ) {
}
if ($query_string ~ "Somos%20El%20pueblo" ) {
}


Resultados del uso individual de
las técnicas propuestas

Replicación en la nube: Complejidad y costo

Caché estático: Evadible y abusable

Límite de conexiones: Puede afectar la
respuesta hacia los visitantes auténticos

Límite de peticiones: El uso de CPU se
dispara con ab, siege y fhttp

Bloqueador: Rissgo de falsos positivos


Resultados del uso combinado
de las técnicas propuestas

300 peticiones por segundo antes de fallar

Uso de CPU entre 10% y 15% en nodos de
caché

Uso de caché entre 6 y 10 GiB

El tamaño de los logs aumenta muy rápido

800 Mbps de bajada antes del null route del
centro de datos



Picos de subida entre 25 y 80 Mbps

El blocker reduce efectivamente el uso de
CPU y de ancho de banda de subida

El uso de CPU de los nodos de DNS es menor
al 1%

Patrones de ataque no previstos han logrado
evadir el caché



Provisionamiento de nuevos nodos de caché
en menos de 15 min.

Efectos secundarios benéﬁcos como uso
menor de recursos de la base de datos

Cambio del origen a una red distinta entre 5
y 10 min.

Tolerancia a interrupciones del origen


Agradecimiento
A las personas que han aportado sus ideas
nahual <nahual@security-dojo.com>

gozner <mago@gozner.com>

puilli <dan@microbit.com>

A las personas que han
participado en el desarrollo
pajarito <gnu.yair@gmail.com>


Conclusiones
Conforme aumenta la intensidad del
ataque distribuído mejora la
capacidad de aislarlo y contenerlo

Siempre existen nuevas técnicas
para evadir las técnicas de
contención de ataques

El software libre y “la nube” han
puesto la contención de ataques
distribuídos al alcance de la
población


Referencias

http://en.wikipedia.org/wiki/Ddos#Distributed_attack
http://netﬁlter.org/documentation/HOWTO/packet-ﬁltering-HOWTO.html
http://www.tldp.org/HOWTO/DNS-HOWTO-5.html
http://wiki.nginx.org/HttpCoreModule
http://wiki.nginx.org/HttpProxyModule

Sandino Araico Sánchez
<sandino@1101.mx> #mendozaaaa
@KBrown

Técnicas de CDN para la mitigación de ataques distribuídos

Recomendados

Recomendados

Más contenido relacionado

Destacado

Destacado (20)

Último

Último (20)

Técnicas de CDN para la mitigación de ataques distribuídos