Atak DDoS x monkeyuser.com

monkey-user-queue-based-dos

 

Wyobraź sobie dzień w którym do startu potrzebujesz filiżanki kawy, a dotarcie do jedynego ekspresu na piętrze poprzedza długa kolejka… Ktoś włączył czyszczenie ekspresu do kawy, które zajmuje prawie godzinę. Wszystkich ekspresów, w całej firmie.

 

Nie daj się nabrać, nie tylko w Prima Aprilis. Przeczytaj do końca i poznaj nasze wskazówki.

 

Zadbaj o to, żeby aplikacje, które tworzysz były bezpieczne. Zorganizuj warsztaty Secure Aware Developer w swojej firmie.

 

 

Celem ataku typu „odmowa usługi” (atak Denial of Service – DoS) jest uniemożliwienie normalnego działania aplikacji internetowej. Atakujący może wykonać atak DoS wysyłając duży ruch sieciowy do serwisu lub wykorzystując wąskie gardła na poziomie aplikacji.

 

DoS na poziomie aplikacji może być na przykład spowodowany wysyłaniem żądań HTTP, które nadużywają funkcji aplikacji – wykonanie ich zajmuje dużo czasu. Występuje pewnego rodzaju wąskie gardło, np. gdy aplikacja używa „ciężkich” zapytań SQL.

 

Rozproszona wersja tego ataku – DDoS ma miejsce, gdy do przeprowadzenia ataku DoS używa się więcej niż jednej maszyny.

 

 

Pewnie słyszałeś o tych atakach DoS:

 

  • Podczas ceremonii otwarcia Olimpiady Zimowej 2018 w PyeongChang rosyjscy hakerzy dokonali ataku, który spowodował m.in. 12 godzin przestoju w drukowaniu biletów i działaniu strony internetowej. Robaka odpowiadającego za atak DoS nazwano Olympic Destroyer.

 

  • Kilkukrotne dokonywano prób ataku DDoS na strony internetowe kampanii Hillary Clinton i Donalda Trumpa za pomocą botnetu Mirai (działającego na niezabezpieczonych urządzeniach IoT).

 

  • Inny przypadek wykorzystania botnetu Mirai przeciwko usłudze DNS firmy Dyn spowodował brak dostępności m.in. serwisów GitHub, Twitter, Reddit, Netflix i Airbnb.

 

 

Kilka ciekawych wektorów DoS na poziomie aplikacji:

 

 

Jak zadbać o bezpieczeństwo:

  • Sprawdź poprawność danych wejściowych aplikacji (liczby, filtry, zapytania SQL, rozmiar obrazu, pliki XML itp.)
  • Monitoruj i testuj wydajność aplikacji (eliminuj wąskie gardła)
  • Znajdź możliwe wektory ataku DoS na poziomie aplikacji podczas profesjonalnych testów penetracyjnych

 

Zainstaluj kamerę i monitoruj kolejkę w pobliżu ekspresu do kawy. W razie potrzeby zwiększ ilość ekspresów – bądź czujny, nieugięty i pij kawę!

 

Subskrybuj nasz newsletter i bądź na bieżąco!

 

Śledź nas na Twitter | Medium | Facebook | LinkedIn | GitHub

 

Materiał powstał we współpracy z monkeyuser.com

Bądź na bieżąco!

  • Artykuły i raporty
  • Narzędzia
  • Nasze prezentacje i relacje z konferencji na całym świecie
Podanie danych jest dobrowolne. Będziemy wysyłać newsletter do czasu cofnięcia zgody (Możesz cofnąć zgodę w każdym czasie). Dane będą przetwarzane przez okres czasu wskazany w Polityce Prywatności dostępnej pod adresem URL.
Administratorem danych jest SecuRing S.J. z siedzibą ul. Kalwaryjska 65/6, 30-504 Kraków. Mam prawo cofnąć zgodę w każdym czasie (można bezpośrednio kliknąć w e-mailu z newslettera lub wysłać informację na adres e-mail info@SecuRing.pl lub pod numerem telefonu: 12 425 25 75). Mam prawo dostępu do danych, sprostowania, usunięcia lub ograniczenia przetwarzania, prawo sprzeciwu, prawo wniesienia skargi do organu nadzorczego i prawo do przeniesienia danych. Podstawą prawną do przetwarzania danych osobowych jest art. 6 ust.1 lit. a) rozporządzenia o ochronie danych osobowych (RODO).
Administrator korzysta z różnych rozwiązań informatycznych, które pozwalają na sprawniejszą komunikację oraz wysyłkę newslettera (te firmy są tzw. odbiorcami danych/procesorami). Dane nie są przekazywane poza Europejski Obszar Gospodarczy. Firmy te mają podpisane stosowne umowy powierzenia przetwarzania danych osobowych.
Dziękujemy za zapisanie się do newslettera.
Wystąpił problem z przesłaniem wiadomości.
Prosimy o kontakt telefoniczny.