Firewall-DoS-Angriffe

Ein erfolgreicher DoS-Angriff überwältigt sein Opfer mit einer derart massiven Flut von falsch simuliertem Datenverkehr, dass es nicht mehr in der Lage ist, legitime Verbindungsanfragen zu verarbeiten. DoS-Angriffe können viele Formen annehmen – SYN-Flood, SYN-ACK-ACK-Flood, UDP-Flood, ICMP-Flood und so weiter –, aber sie alle verfolgen das gleiche Ziel, nämlich die Sitzungstabelle ihres Opfers zu füllen.

Wenn die Sitzungstabelle voll ist, kann dieser Host keine neuen Sitzungen erstellen und beginnt, neue Verbindungsanforderungen abzulehnen. Die Bildschirmoption "Quellbasierte Sitzungslimits" und die Bildschirmoption "Zielbasiertes Sitzungslimit" tragen zur Abwehr solcher Angriffe bei.

Sie können nicht nur die Anzahl gleichzeitiger Sitzungen von derselben Quell-IP-Adresse begrenzen, sondern auch die Anzahl der gleichzeitigen Sitzungen auf dieselbe Ziel-IP-Adresse. Ein Vorteil des Festlegens eines quellenbasierten Sitzungslimits besteht darin, dass es einen Angriff wie den Nimda-Virus (der eigentlich sowohl ein Virus als auch ein Wurm ist) eindämmen kann, der einen Server infiziert und dann beginnt, riesige Mengen an Datenverkehr von diesem Server zu generieren. Da der gesamte von Viren generierte Datenverkehr von derselben IP-Adresse stammt, stellt ein quellenbasiertes Sitzungslimit sicher, dass die Firewall solche übermäßigen Mengen an Datenverkehr eindämmen kann. Siehe Abbildung 1.

Abbildung 1: Einschränken von Sitzungen basierend auf der Quell-IP-Adresse

Ein weiterer Vorteil der quellenbasierten Sitzungsbegrenzung besteht darin, dass sie Versuche, die Sitzungstabelle der Firewall zu füllen, abschwächen kann, wenn alle Verbindungsversuche von derselben Quell-IP-Adresse ausgehen.

Um zu bestimmen, was eine akzeptable Anzahl von Verbindungsanforderungen darstellt, ist ein Zeitraum der Beobachtung und Analyse erforderlich, um eine Baseline für typische Datenverkehrsströme festzulegen. Sie müssen auch die maximale Anzahl gleichzeitiger Sitzungen berücksichtigen, die erforderlich sind, um die Sitzungstabelle der von Ihnen verwendeten Plattform von Juniper Networks zu füllen. Um die maximale Anzahl von Sitzungen anzuzeigen, die Ihre Sitzungstabelle unterstützt, verwenden Sie den CLI-Befehl show security flow session summary, und sehen Sie sich dann die letzte Zeile in der Ausgabe an, in der die Anzahl der aktuellen (zugewiesenen) Sitzungen, die maximale Anzahl von Sitzungen und die Anzahl der fehlgeschlagenen Sitzungszuweisungen aufgeführt sind:

Das standardmäßige Maximum für quellenbasierte Sitzungslimits beträgt 128 gleichzeitige Sitzungen, ein Wert, der möglicherweise an die Anforderungen Ihrer Netzwerkumgebung und der Plattform angepasst werden muss.

In diesem Beispiel wird gezeigt, wie die Anzahl der Sitzungen basierend auf der Quell-IP begrenzt wird.

Sie können nicht nur die Anzahl gleichzeitiger Sitzungen von derselben Quell-IP-Adresse begrenzen, sondern auch die Anzahl der gleichzeitigen Sitzungen auf dieselbe Ziel-IP-Adresse. Ein gerissener Angreifer kann einen DDoS-Angriff (Distributed Denial-of-Service) starten. Bei einem DDoS-Angriff kann der bösartige Datenverkehr von Hunderten von Hosts stammen, die als "Zombie-Agenten" bezeichnet werden und heimlich unter der Kontrolle eines Angreifers stehen. Zusätzlich zu den Bildschirmoptionen SYN, UDP und ICMP zur Erkennung und Verhinderung von Überschwemmungen kann durch das Festlegen eines zielbasierten Sitzungslimits sichergestellt werden, dass Junos OS nur eine akzeptable Anzahl gleichzeitiger Verbindungsanforderungen – unabhängig von der Quelle – zulässt, einen Host zu erreichen. Siehe Abbildung 2.

Abbildung 2: Verteilter DOS-Angriff

Das standardmäßige Maximum für zielbasierte Sitzungslimits beträgt 128 gleichzeitige Sitzungen, ein Wert, der möglicherweise angepasst werden muss, um den Anforderungen Ihrer Netzwerkumgebung und der Plattform gerecht zu werden.

In diesem Beispiel wird gezeigt, wie die zielbasierten Sitzungslimits festgelegt werden.

Wenn ein Authentifizierungsbenutzer eine Telnet- oder FTP-Verbindung initiiert, sendet der Benutzer ein SYN-Segment an den Telnet- oder FTP-Server. Junos OS fängt das SYN-Segment ab, erstellt einen Eintrag in der Sitzungstabelle und leitet ein SYN-ACK-Segment an den Benutzer weiter. Der Benutzer antwortet dann mit einem ACK-Segment. Zu diesem Zeitpunkt ist der erste Drei-Wege-Handshake abgeschlossen. Junos OS sendet eine Anmeldeaufforderung an den Benutzer. Wenn sich der Benutzer in böswilliger Absicht nicht anmeldet, sondern stattdessen weiterhin SYN-ACK-ACK-Sitzungen initiiert, kann sich die Firewall-Sitzungstabelle bis zu dem Punkt füllen, an dem das Gerät beginnt, legitime Verbindungsanforderungen abzulehnen.

Um einen solchen Angriff zu verhindern, können Sie die Option SYN-ACK-ACK-Proxy-Schutzbildschirm aktivieren. Nachdem die Anzahl der Verbindungen von derselben IP-Adresse den SYN-ACK-ACK-Proxy-Schwellenwert erreicht hat, lehnt Junos OS weitere Verbindungsanforderungen von dieser IP-Adresse ab. Standardmäßig beträgt der Schwellenwert 512 Verbindungen von einer einzelnen IP-Adresse. Sie können diesen Schwellenwert ändern (auf eine beliebige Zahl zwischen 1 und 250.000), um ihn besser an die Anforderungen Ihrer Netzwerkumgebung anzupassen.

Dieses Beispiel zeigt, wie Sie Ihr Netzwerk vor einem SYN-ACK-ACK-Proxy-Flood-Angriff schützen können.