This video explains how an amplifie

This video explains how an amplified reflected DDoS-attack works. A Stresser controls a botnet which sends spoofed UDP-packets to reflectors who in turn sends the responses to the victim.

One of the most common types of DDoS attacks is the UDP-based amplified reflection attack. I will now explain how this attack works and what makes it so hard to protect against it.

The most targeted systems is web servers. Any system attached to internet can be victim of a DDoS attack and this attack works just as well on all types of systems. But for this video, lets assume that the victim is the web server.

This system is connected to internet via a local internet connection with a bandwidth of lets say 200 Megabits per second. There is a firewall filtering and inspecting all traffic between the web server and internet. It has a capacity of 500Mbps. The internal network has a capacity of 1 Gbps, that is roughly 1000 Mbps. Finally the web server itself can handle 100Mbps.

This system is sized for 100Mbps which means that the weaker link of the chain, which is the web server, has a capacity of 100Mbps. If there would ever be a demand for more traffic, the web server could be upgraded to handle more traffic and the bottleneck would instead be the internet connection of 200Mbps. This upgrade race could continue forever upgrading the weakest point of the traffic flow to keep up with the demands of bandwidth and performance.

When it comes to UDP-based attacks however, the traffic flow normally stops and terminates in the firewall.

This means that the capacity of the parts behind the firewall is irrelevant and in this case the weakest link is the 200Mbps internet link.

If the link, or the firewall is exhausted, it will start dropping packets. The result of this is retransmissions and eventually outage of service. The webpage will become slow or unresponsive.

So, if the weakest link is 200Mbps, all it takes to do a Denial of Service attack is to generate more than 200Mbps of traffic.

If Evil Bob who have the intention to attack the web server has more than 200Mbps of bandwidth at home he could in theory create this attack all by himself. However, doing that will most probably draw attention to him from his ISP when generating that massive amount of traffic.

Instead of generating this traffic directly to the victim web server he generates traffic to reflectors. The reflectors are servers on internet that has no intentions to be part of any DoS-attack.

To be able to do a reflective DoS-attack the attacker uses UDP which is stateless. He sends traffic to the reflector using the victim web server as source address for the traffic, which makes the reflectors believe that the traffic came from the web server, and the reflectors will send replies to the web server.

If the attacker used TCP packets which are stateful, the packet from the attacker would be a SYN-packet and the response from the reflector to the victim would be a SYN-ACK-packet which has no payload and is rather small.

By using any kind of stateless UDP-packets where the query, the first packet, is small and the response, in this case sent from the reflector to the victim, is bigger, the attack would be amplified. If the amplification factor was 1 to 10, the attacker could generate 20Mbps of UDP queries to the reflectors and the responses fro the reflector to the victim would be 10 times bigger, 200Mbps. This is called an amplified attack.

There are different types of UDP-based protocols used in amplification attacks today. The most common types uses DNS or NTP-servers. In both cases, proper configured DNS and NTP-servers does not answer to this types of queries. But there are many not properly configured DNS and NTP-servers on internet which can be used as reflectors for these attacks.

To further strengthen these attacks, the attacker does not send the UDP-packets himself to the reflectors. Instead he uses botnets for this. A botnet is a number of malware infected computers spread over the world that the botnet controller can use for various purposes. Your or mine virus infected computer can be part of this botnet. If the infected computer does not do anything active it is called a zombie. It is often a background process running in the computer invisible for you and me, just waiting for commands from the command and control server managing the botnet.

Kết quả (Việt) 1:

Video này giải thích cách hoạt động của một khuếch đại phản ánh DDoS tấn công. Một Stresser điều khiển một botnet mà sẽ gửi gói tin UDP giả mạo để phản xạ người lần lượt gửi hồi đáp cho nạn nhân.Cuộc tấn công dựa trên UDP phản xạ khuếch đại là một trong những loại phổ biến nhất của cuộc tấn công DDoS. Tôi bây giờ sẽ giải thích cách hoạt động của cuộc tấn công này và những gì làm cho nó khó khăn như vậy để bảo vệ chống lại nó.Các hệ thống nhắm mục tiêu nhất là máy chủ web. Bất kỳ hệ thống nào gắn liền với internet có thể là nạn nhân của một cuộc tấn công DDoS và tấn công này hoạt động chỉ là tốt trên tất cả các loại hệ thống. Nhưng đối với video này, cho phép giả định rằng các nạn nhân là các máy chủ web.Hệ thống này được kết nối với internet thông qua một địa phương kết nối internet với một băng thông cho phép nói 200 Megabits / giây. Đó là một bức tường lửa, bộ lọc và kiểm tra tất cả lưu lượng giữa máy chủ web và internet. Nó có sức chứa 500Mbps. Mạng nội bộ có sức chứa 1 Gbps, đó là khoảng 1000 Mbps. Cuối cùng, các máy chủ web chính nó có thể xử lý 100Mbps.Hệ thống này kích thước cho 100Mbps có nghĩa là các liên kết yếu trong chuỗi, đó là các máy chủ web, có sức chứa 100Mbps. Nếu bao giờ sẽ có một nhu cầu cho lưu lượng truy cập nhiều hơn, các máy chủ web có thể được nâng cấp để xử lý lưu lượng truy cập nhiều hơn và các nút cổ chai thay vào đó sẽ là kết nối internet của 200Mbps. Cuộc đua nâng cấp này có thể tiếp tục mãi mãi nâng cấp các điểm yếu nhất của luồng giao thông để theo kịp với nhu cầu băng thông và hiệu suất.Khi nói đến các cuộc tấn công dựa trên UDP Tuy nhiên, luồng giao thông bình thường dừng và chấm dứt trong các bức tường lửa.Điều này có nghĩa rằng năng lực của các bộ phận phía sau tường lửa không liên quan trong trường hợp này các liên kết yếu nhất là liên kết internet 200Mbps. Nếu liên kết, hoặc tường lửa kiệt sức, nó sẽ bắt đầu thả gói. Kết quả này là truyền lại và cuối cùng mất dịch vụ. Trang web sẽ trở nên chậm hoặc không đáp ứng.Vì vậy, nếu các liên kết yếu nhất là 200Mbps, tất cả phải mất để làm một cuộc tấn công từ chối dịch vụ là tạo ra nhiều hơn 200Mbps lưu lượng truy cập. Nếu ác Bob đã có ý định tấn công các máy chủ web đã nhiều hơn 200Mbps của băng thông rộng tại nhà ông có thể trong lý thuyết tạo cuộc tấn công này tất cả của mình. Tuy nhiên, làm điều đó sẽ nhất có lẽ thu hút sự chú ý đến anh ta từ ISP của mình khi tạo ra rằng số lượng lớn của lưu lượng truy cập.Thay vì tạo ra này lưu lượng truy cập trực tiếp đến các máy chủ web của nạn nhân, ông tạo ra lưu lượng truy cập đến bộ phản xạ. Các phản xạ là các máy chủ trên mạng internet đã không có ý định là một phần của bất kỳ cuộc tấn công DoS.Để có thể làm một phản xạ DoS-tấn công những kẻ tấn công sử dụng UDP là quốc tịch. Ông gửi lưu lượng truy cập đến phản xạ bằng cách sử dụng các nạn nhân máy chủ web như là nguồn địa chỉ cho lưu lượng truy cập, làm cho các phản xạ tin rằng giao thông đến từ các máy chủ web, và các phản xạ sẽ gửi bài trả lời đến các máy chủ web.Nếu kẻ tấn công sử dụng gói TCP được trạng thái, gói từ những kẻ tấn công sẽ là một gói tin SYN và phản ứng từ phản xạ cho nạn nhân sẽ là một SYN-ACK-gói tin mà đã không có tải trọng và là khá nhỏ. Bằng cách sử dụng bất kỳ hình thức nào của quốc tịch-gói UDP nơi các truy vấn, gói đầu tiên, là nhỏ và các phản ứng, trong trường hợp này có thể được gửi từ phản xạ cho nạn nhân, là lớn hơn, các cuộc tấn công nào được khuếch đại. Nếu các yếu tố khuếch đại là 1 đến 10, những kẻ tấn công có thể tạo ra 20Mbps UDP truy vấn đến các phản xạ và các phản ứng fro phản xạ cho nạn nhân sẽ lớn gấp 10 lần, 200Mbps. Điều này được gọi là một cuộc tấn công khuếch đại.Có những loại khác nhau của UDP dựa trên giao thức được sử dụng trong khuếch đại các cuộc tấn công ngày hôm nay. Các loại phổ biến nhất sử dụng DNS hoặc các máy chủ NTP. Trong cả hai trường hợp, phù hợp cấu hình DNS và các máy chủ NTP không trả lời cho đến các loại truy vấn này. Nhưng không có nhiều không đúng cách cấu hình DNS NTP-máy chủ trên internet có thể được sử dụng như gương phản xạ cho các cuộc tấn công.Để tăng cường hơn nữa các cuộc tấn công, những kẻ tấn công không gửi gói UDP mình đến các phản xạ. Thay vào đó, ông sử dụng botnet này. Một botnet là một số máy tính bị nhiễm phần mềm độc hại lây lan trên thế giới điều khiển botnet có thể sử dụng cho mục đích khác nhau. Của bạn hoặc tôi bị nhiễm virus máy tính có thể là một phần của botnet này. Nếu máy tính bị nhiễm không làm bất cứ điều gì đang hoạt động nó được gọi là một zombie. Nó thường là một quá trình nền đang chạy trong máy tính vô hình cho bạn và tôi, chỉ cần chờ đợi cho các lệnh từ hệ phục vụ chỉ huy và kiểm soát quản lý botnet này.

Kết quả (Việt) 2:

Video này giải thích làm thế nào một khuếch đại phản ánh công trình DDoS tấn công. Một Stresser điều khiển một mạng botnet mà gửi giả mạo UDP gói tin để phản xạ những người lần lượt gửi đáp trả cho nạn nhân.

Một trong những loại phổ biến nhất của các cuộc tấn công DDoS là UDP-tấn công dựa trên sự phản xạ khuếch đại. Bây giờ tôi sẽ giải thích cách thức tấn công này làm việc và những gì làm cho nó khó khăn như vậy để bảo vệ chống lại nó.

Các hệ thống nhắm mục tiêu nhất là các máy chủ web. Bất kỳ hệ thống gắn liền với internet có thể là nạn nhân của một cuộc tấn công DDoS và tấn công này hoạt động cũng như trên tất cả các loại hệ thống. Nhưng đối với video này, cho phép giả định rằng nạn nhân là các máy chủ web.

Hệ thống này được kết nối với Internet thông qua một kết nối Internet trong nước với băng thông cho phép nói 200 megabit mỗi giây. Có một bộ lọc tường lửa và kiểm tra tất cả lưu lượng giữa các máy chủ web và internet. Nó có công suất 500Mbps. Các mạng nội bộ có công suất trên 1 Gbps, đó là khoảng 1000 Mbps. Cuối cùng máy chủ web riêng của mình có thể xử lý tốc độ 100Mbps.

Hệ thống này được kích thước cho 100Mbps có nghĩa là liên kết yếu của chuỗi, đó là các máy chủ web, có công suất 100Mbps. Nếu có sẽ không bao giờ là một nhu cầu cho giao thông nhiều hơn, các máy chủ web có thể được nâng cấp để xử lý lưu lượng truy cập và nút cổ chai thay vào đó sẽ kết nối internet của 200Mbps. Cuộc đua nâng cấp này có thể tiếp tục mãi mãi nâng cấp các điểm yếu nhất của dòng chảy giao thông để theo kịp với nhu cầu băng thông và hiệu suất.

Khi nói đến các cuộc tấn công UDP dựa Tuy nhiên, các dòng giao thông thường dừng lại và chấm dứt trong các bức tường lửa.

Điều này có nghĩa rằng khả năng của các bộ phận phía sau tường lửa là không thích hợp và trong trường hợp này liên kết yếu nhất là liên kết internet 200Mbps.

Nếu liên kết, hay các bức tường lửa được sử dụng hết, nó sẽ bắt đầu bỏ các gói tin. Kết quả của việc này là truyền lại và cuối cùng cúp của dịch vụ. Các trang web sẽ trở nên chậm hoặc không phản hồi.

Vì vậy, nếu các liên kết yếu nhất là 200Mbps, tất cả phải mất để làm một từ chối dịch vụ tấn công là để tạo ra hơn 200Mbps giao thông.

Nếu Ác Bob, người có ý định tấn công các máy chủ web có nhiều hơn 200Mbps băng thông ở nhà ông lại có thể đang tạo ra cuộc tấn công này tất cả bởi chính mình. Tuy nhiên, làm điều đó hầu hết có lẽ sẽ thu hút sự chú ý đến anh từ ISP của mình khi tạo ra một lượng khổng lồ của giao thông.

Thay vì tạo ra lưu lượng này trực tiếp đến máy chủ web nạn nhân, ông tạo ra giao thông để phản xạ. Các phản xạ là các máy chủ trên internet mà không có ý định trở thành một phần của bất kỳ DoS tấn công.

Để có thể làm một phản xạ DoS tấn công kẻ tấn công sử dụng UDP đó là quốc tịch. Ông gửi lưu lượng đến các phản xạ bằng cách sử dụng máy chủ web nạn nhân như địa chỉ nguồn cho giao thông, mà làm cho chóa tin rằng lưu lượng đến từ các máy chủ web, và các phản xạ sẽ gửi trả lời cho các máy chủ web.

Nếu kẻ tấn công sử dụng các gói tin TCP là trạng thái, các gói dữ liệu từ những kẻ tấn công sẽ là một SYN-gói và phản hồi từ các phản xạ để các nạn nhân sẽ là một SYN-ACK-gói mà không có tải trọng và là khá nhỏ.

Bằng cách sử dụng bất kỳ loại không quốc tịch UDP gói tin nơi truy vấn, gói đầu tiên, là nhỏ và phản ứng, trong trường hợp này được gửi từ các phản xạ của nạn nhân, là lớn hơn, các cuộc tấn công sẽ được khuếch đại. Nếu hệ số khuếch đại là 1-10, kẻ tấn công có thể tạo ra các truy vấn 20Mbps UDP để các phản xạ và những phản ứng qua lại các phản xạ để các nạn nhân sẽ được lớn hơn 10 lần, 200Mbps. Điều này được gọi là một cuộc tấn công khuếch đại.

Có nhiều loại khác nhau của giao thức UDP dựa trên sử dụng trong các cuộc tấn công khuếch đại ngày nay. Các loại phổ biến nhất sử dụng DNS hoặc NTP-máy chủ. Trong cả hai trường hợp, cấu hình DNS thích hợp và NTP-máy chủ không trả lời với các loại này của câu truy vấn. Nhưng có rất nhiều người không được cấu hình đúng DNS và NTP-máy chủ trên mạng Internet mà có thể được sử dụng như là phản xạ cho các cuộc tấn công.

Để tăng cường hơn nữa các cuộc tấn công, kẻ tấn công không gửi UDP gói tin mình cho sự phản xạ. Thay vào đó, ông sử dụng botnet cho việc này. Một botnet là một số máy tính bị nhiễm phần mềm độc hại lây lan trên toàn thế giới rằng bộ điều khiển botnet có thể sử dụng cho các mục đích khác nhau. Bị nhiễm virus máy tính của tôi hoặc có thể là một phần của mạng botnet này. Nếu máy tính bị nhiễm virus không làm bất cứ điều gì hoạt động đó được gọi là zombie. Nó thường là một quá trình nền chạy trong máy tính vô hình cho bạn và tôi, chỉ cần chờ đợi lệnh từ máy chủ lệnh và kiểm soát quản lý các botnet.