DDoS攻撃は元から断たなきゃダメ 30
ストーリー by GetSet
副作用が心配かも 部門より
副作用が心配かも 部門より
ncube2曰く、"ネットワークセキュリティ製品の中にはDDoS攻撃防御を謳ったものがあるが、NTTのニュースリリースによると、同社の研究所ではDDoS攻撃を検知したら発信元に近いノードで遮断するように、ネットワークを溯ってバケツリレーで指令を飛ばすMoving Firewallなるものを試作したそうだ。間もなく実ネットワークで検証すると言う。
この手のシステムは広く採用して貰わないと効果が期待できないわけで、完成のアカツキにはドドーンとタダで公開してくれるよね ＞ NTT
ところで教えてネットワークの偉い人。DDoS攻撃が複数ノードから行なわれたら、これ自身がワームになりやしないの?"
Moving Firewall自身が DDosアタックに弱いのでは？ (スコア:5, すばらしい洞察)
そのホストからのパケットは中継しないように
ネットワーク上のすべてのFireWall/ルータの設定が変更されるということは、
Moving FireWall間で 設定が送受信されているはずです。
ということは、Moving FireWall自身に
偽の設定をバシバシ送りつける DoS アタックが可能だと思います。
また、 嘘の設定情報を流すことができれば
特定のホストをインターネットから孤立させることはもちろん、
嘘の情報が Moving FireWall 間で次々と交換されて…
大丈夫なのでしょうか？
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:2, 参考になる)
>偽の設定をバシバシ送りつける DoS アタックが可能だと
>思います。
多分ウソの情報が流れないようにIPsecなり
なんなりで暗号化と認証がなされるのだと
思いますけど、それはそれで重そうですね。
Moving Firewallとやらが侵入されて
いいようにウソのFirewall情報を送り
始めるという可能性もありますか．．．
#原理的には楽しそうだが、実際のNWでやるのは勘弁
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:1)
IPsec の処理が重いってよりは、攻撃者が IPsec の鍵交換でデタラメな鍵を送り続けると DoS 攻撃になりえるんじゃないかって方が心配かな。
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:2, 興味深い)
それがインタフェースレベルでどこから来るかはルータでわかるので、
そのインタフェースに接続しているルータへ移動して、さらにその
下流のルータへと移動することを繰り返していけば最終的には
発信源に近いところにたどり着くのではないかと思うのだが
いかがだろうか？
今までの防御は偽装が簡単なIPアドレス等の論理情報で防ぐしか
なかったが、ルータと協働すれば物理層、データリンク層まで
追跡性を確保することができるんじゃないかな？
この手の技術は今後、VoIPに移行していく時に、ワン切りの異常な
量の発呼を抑制するにも使えるでしょうね。
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:1)
ことをDoSアタックと理解してMoving Firewallがそのホスト
を隔離することで解決？？
#どうやってDoSアタックを理解するかはしらないけど。
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:1, 興味深い)
それはそれでスケーラビリティやコストなどの問題がありますが どちらが良いかは適用次第でしょうか。
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:1)
この技術が基幹ルータ群に適用されているとして、
攻撃元を次々と見つけていくことで少なくとも基幹部内のトラフィックは
正常な状態に保てるのではないかと。
その基幹部が十分に広ければ孤立することもないわけです。
偽の設定情報に関しては、
隣のルータからの情報だけを信用するようにしておけば、
設定情報を無条件に中継しないことで対策できると思います。
基幹外部からは設定情報が来ないことを前提にできるので。
基幹の中の１ルータが攻撃元ならだめだけど、
本当に攻撃行為があるのかを自己分析した上で設定情報を再送出するといいかも。
もっとも肝心なのが実行される防御行動の質でしょうね。
この技術の適用されない攻撃元ルータからのパケットをすべて落とすのか
フィルタリングのようなことをするのかでは大きく違うと思います。
あとは処理速度かな？
Re:Moving Firewall自身が DDosアタックに弱いのでは (スコア:0)
というか (スコア:3, 参考になる)
Linuxや*BSDで動く未使用ポートをつつかれると動作してアクションを決められるセキュリティソフト"PortSentry"なんかはそういう状態になるので、動的にフィルタを追加する場合は注意するようREADMEに書いてありました。
Re:というか (スコア:0)
と言うか、この手の「バケツリレー」はRIPで懲りたんじゃないかと小一時間(ry
みんなが使わなきゃ意味ない？ (スコア:3, 興味深い)
たとえば、ある ISP（仮に A とします）が MovingFW を使っていて、それである日 DDoS を受けたとします。
すると MovingFW が攻撃を受けていることを検出します。
このとき、攻撃パケットは ISP B の方から送られてきているようだ、とわかったとします。
すると、ISP A の MovingFW 上の"攻撃されている"という情報が、ISP B の MovingFW 上に"移動"するわけですよね？
その情報を受け取った ISP B の MovingFW が、そこからさらに攻撃元を突き止めつつ、ISP A の方には攻撃パケットを流さないようにする、と。
そうすることで、ISP A の方ではとりあえず攻撃は回避できましためでたしめでたし、ということですよね？
同様に ISP B からも攻撃パケットが送られてくる方に近づいて行きながら遮断する。という仕組みがうまい具合に成り立つならば、結構使えるんじゃないかと思いました。
でも、このとき、ISP B のサーバに MovingFW がインストールされていなかったら、ISP A の MovingFW からは移動できないわけですよね？
それだと意味がないわけで、今後開発される OS には標準機能として MovingFW がある、ってくらいにならないと役に立たないのかな。
とか思ってみたりしました。
Re:みんなが使わなきゃ意味ない？ (スコア:2, すばらしい洞察)
使う相手が増えれば増えるほど効果は増しますが、小数であってもそれなりの効果はある。
ISP一社だけで採用したとしても、バックボーンに無駄なパケットを流さずに済めば、それなりに意味はあります。
他ISPも導入してくれればバックボーンだけじゃなくてIXでの帯域浪費も防げるというメリットはありますが。
みかかならでは (スコア:1, 興味深い)
という図式でなければ意味が無いですよね。
MovinFWを実装したISP ＜ 実装していないISP
だと、ただの自閉症モードです。
いいだしっぺに、「自分は大勢側である」という自信があることが、この技術の大前提だと思います。
Re:みかかならでは (スコア:1, 興味深い)
仮に自閉症モードだとしても、MovingFWを実装したISPなら、
そのISPの顧客は外部からのDoSなりを受けなくなるわけだから、
それはそれで意味があるのでは？
ネット全体から見りゃそりゃ完全ではないでしょうが。
Re:みんなが使わなきゃ意味ない？ (スコア:2, すばらしい洞察)
これを採用して、設定するポリシーって難しそうですね。どのようにきめ細かく設定するのかがまだわかりませんが（てか実験を通じてだんだん洗練されていくんでしょうが）、host全体の通信が止まるようなことでは、ISPとしては使えない。納得できる線をみつけるのが面倒だったら、採用したくない。
新技術って、難しければ難しいほど、その技術を持った人が潤う傾向があるけれど、どの辺が落としどころでしょうか？Port番号ぐらいで簡単にわかるような単純な攻撃を「攻撃側が」しなくなる、ぐらいの効果はあるんでしょうが。
Copyright (c) 2001-2014 Parsley, All rights reserved.
Re:みんなが使わなきゃ意味ない？ (スコア:2, すばらしい洞察)
今後開発される IOS と JUNOS にはいってれば, それで十分かも :-)
サーバとかに入れるのであれば必要に応じて管理者がいれればいいわけなので, ルータの OS にはいれば影響力は大きいと思いますが…。
# プロトコル標準化への動きはあるのかな?
アナフィラキシーショック (スコア:2, 興味深い)
アナフィラキシーショック攻撃とか
新技が生まれたりして。
Re:アナフィラキシーショック (スコア:0, フレームのもと)
ほんとに 穴 フィラキシーですね。
ひょっとして... (スコア:1)
3dMark'03 の公開直後みたいに (スコア:1)
3DMark'03の時はほとんどのサーバが過負荷になり、やむを得ずファイルを消しちゃったところもあるような。
# rm -rf ./.
小話としては面白いですが (スコア:1)
Re:小話としては面白いですが (スコア:0)
最近ようやく分かってきたのだが、このシグネチャは
「私のコメントにレスする人はバカですよ」
って意味なんですね．．．
#バカなのでAC
ウイルスじゃないってば (スコア:1)
「ＮＴＴは１８日、コンピューターウイルスによるネットワークへの攻撃に対して、攻撃元近くまで攻め上がって防御するシステムを開発したと発表した。」http://newsflash.nifty.com/news/te/te__yomiuri_20030218i211.htm
ウイルスというかなんというか非常に語弊があるように思われ。やっぱしこの程度の認識なのか。
Re:ウイルスじゃないってば (スコア:0)
んだから。 (スコア:1)
－－－－－－－－－－－－－－－－－－－－－－－－
*1：DDoS攻撃 (Distributed Denial of Service)
ウィルスなどを使って乗っ取った多数のコンピュータを踏み台として、標的とするコンピュータに大量のパケットを送りつけて、サービスを停止させてしまう攻撃。
－－－－－－－－－－－－－－－－－－－－－－－－
たぶん、ここのことを言っているのだと思うけど。
・コンピューターウイルスによるネットワークへの攻撃
・DDoS攻撃
このふたつは100%イコールじゃあ結べないでしょう？
たぶんわかりやすく書いてあるつもりなんだろうけど結局は誤解の元。
ちゃんとDDoS攻撃対策って書いてあるところもあるんだし。
他にも
「ネットワークの入り口でウイルスを防ぐ従来のシステムと異なり」
とか書いてあるし･･････だから認識が低いなぁ、と思ったわけ。
攻性防壁の卵？ (スコア:0)
ゆくゆくは攻撃者を特定して、反撃しちゃったりしないのかな？
ワクワク
#神経焼かれないように気をつけなくっちゃ♪
Re:攻性防壁の卵？ (スコア:0)
Re:攻性防壁の卵？ (スコア:0)
そんな酷いことはないと信じたい (スコア:0)
DDOSを関知した時点で、このFireWallは
その端末からのパケットを捨てるだろうし、
そこに近い同じFirewallに停止連絡を送るわけだが、
そのFirewallは事前に認証されたものだろうし、
受けた時点で、そのFirwallもパケットを捨て出すわけだから
それでも、送られてくるようなら相手のFirewallが
のっとられたと判断して遮断するのかねぇ。