Auditoria e Segurança da Informação GSI536. Prof. Rodrigo Sanches Miani FACOM/UFU

Tamanho: px

Começar a partir da página:

Download "Auditoria e Segurança da Informação GSI536. Prof. Rodrigo Sanches Miani FACOM/UFU"

Adelina Aleixo Correia
8 Há anos
Visualizações:

1 Auditoria e Segurança da Informação GSI536 Prof. Rodrigo Sanches Miani FACOM/UFU

2 Laboratório DoS- slowhttptest

3 Ataques de negação de serviços(dos Denial of Service) Exploração de recursos de maneira agressiva, impossibilitando usuários legítimos de utilizá-los; Podem ser causados usando técnicas como: SYN Flooding; Smurf; Ataques à camada de aplicação Ex. HTTP.

usuários legítimos de utilizá-los; Podem ser causados usando

4 Protocolo HTTP Protocolo utilizado para transferir documentos de hipertexto e seus recursos de máquinas remotas; HyperText Transfer Protocol Características: Camada de aplicação; Requisição Resposta (Request Response); Cada conexão é nova para o servidor - servidor possui um pool de conexões concorrentes.

Características: Camada de aplicação; Requisição Resposta (Request

5 Protocolo HTTP

6 Protocolo HTTP

Característicade umasessãohttp (Request Response) http://www.

7 Característicade umasessãohttp (Request Response) TP_Basics.html

Característicade umasessãohttp (Request Response) O protocolo HTTP exige que o pedido (request) seja enviado por completo ao servidor Web antes de ser processado; Se o request

8 Característicade umasessãohttp (Request Response) O protocolo HTTP exige que o pedido (request) seja enviado por completo ao servidor Web antes de ser processado; Se o request não for finalizado, ou a taxa de transferência é muito baixa, o servidor mantém seus recursos ocupados esperando o resto dos dados; Muitos recursos ocupados -> Negação de serviço!

request não for finalizado, ou a taxa de transferência é muito baixa, o servidor mantém

9 Slowris Attack Explora a característica do protocolo HTTP sobre manter a conexão aberta até o envio completo do request; Alguns servidores Web, como o Apache, usam um timeout para os requests incompletos (300 segundos, por padrão); Assim que novos dados são enviados, o timeout é reiniciado!

como o Apache, usam um timeout para os requests incompletos (300

10 Slowris Attack Como funciona? Um usuário malicioso pode abrir múltiplas conexões em um servidor Web à partir de um request cada request não será finalizado; Ao manter o request HTTP aberto com dados aleatórios antes do timeout chegar, a conexão HTTP ficará aberta até o envio completo do request; Se o usuário malicioso ocupar todas as conexões HTTP disponíveis em um servidor Web, os usuários legítimos irão vivenciar um esgotamento dos serviços - DoS.

será finalizado; Ao manter o request HTTP aberto com dados aleatórios antes do timeout chegar, a conexão HTTP

11 Slowris Attack - Laboratório Objetivo: Simular um ataque de negação de serviço com base no esgotamento de conexões HTTP através do envio de requests incompletos. Método: A ferramenta utilizada é a slowhttptest ( que permite simular esse tipo de ataque. A simulação usará uma VirtualBox com o sistema operacional Linux Ubuntu instalado.

Método: A ferramenta utilizada é a slowhttptest (http://code.google.

12 Passos do laboratório 1. Instalação das ferramentas (Apache, slowhttptest, Wireshark); 2. Teste de acesso ao Apache; 3. Abrir o Wireshark e verificar o funcionamento de um request normal a um servidor Web; 4. Executar o slowhttptest; 5. Testar o acesso ao servidor Web; 6. Abrir o Wireshark e verificar o funcionamento dos requests gerados pelo slowhttptest; 7. Comparar e analisar.

Abrir o Wireshark e verificar o funcionamento de um request normal a um servidor Web; 4.

13 slowhttptest Uso da ferramenta: slowhttptest -c H -i 10 -r 200 -t GET -u -x 24 -p 3

14 Slowhttptest c = número de conexões H = o cabeçalho será enviado de maneira incompleta i = intervalo usado para enviar os dados aleatórios (lixo) e manter o request aberto r = número de conexões por segundo t = verbo HTTP usado u = URL x = tamanho máximo dos dados enviados (em bytes) p = tempo usado pelo "probe" para verificar se o servidor web realmente está indisponível tempo de espera para a resposta

segundo t = verbo HTTP usado u = URL x = tamanho máximo dos dados enviados (em bytes) p = tempo usado

15 Como se proteger? Limite o tamanho do cabeçalho e da mensagem para um tamanho mínimo; Defina um timeout para as conexões com base no perfil das conexões aceitas pelo servidor Web; Aumente o pool de conexões; Defina uma taxa mínima de envio de dados, conexões que não respeitam tal taxa devem ser descartadas.

um timeout para as conexões com base no perfil das conexões aceitas pelo

16 Como se proteger? - Apache Instalar e configurar os seguintes módulos adicionais: libapache2-mod-evasive libapache2-mod-qos Fazer configurações específicas nos módulos: mod_reqtimeout mod_qos

17 Como se proteger? - Apache Referências

Documentos relacionados

3 SERVIÇOS IP. 3.1 Serviços IP e alguns aspectos de segurança

3 SERVIÇOS IP. 3.1 Serviços IP e alguns aspectos de segurança 3 SERVIÇOS IP 3.1 Serviços IP e alguns aspectos de segurança Os serviços IP's são suscetíveis a uma variedade de possíveis ataques, desde ataques passivos (como espionagem) até ataques ativos (como a impossibilidade