Brasil vs Mundo: Uma Análise Comparativa de Ataques DDoS por Reflexão

Abstract

Ataques distribuídos de negação de serviço por reflexão (distributed reflection denial of service, DRDoS) estão disseminados na Internet. Esses ataques oferecem diversas vantagens para os atacantes, sendo bastante eficazes em provocar a indisponibilidade de hosts individuais ou mesmo sub-redes inteiras. Para detectar, mitigar e prevenir ataques DRDoS, é importante entender como eles funcionam, e quais são suas características de tráfego. Este artigo apresenta uma análise comparativa de ataques DRDoS contra vítimas no Brasil e no resto do mundo. São analisados 190 dias de tráfego coletado usando um honeypot, contando com mais de 204 k ataques DRDoS. Várias características de tráfego DRDoS são descritas e comparadas, incluindo uma análise aprofundada de ataques de carpet bombing. íE possível concluir que os ataques contra vítimas brasileiras são menos intensos e sofisticados que os ataques contra o restante do mundo, o que pode indicar que o cenário local pode piorar se os atacantes aperfeiçoarem suas táticas e ferramentas.

Um Estudo de Correlação de Ataques DRDoS com Fatores Externos Visando Dados de Honeypots

“…[Rossow 2014] faz um levantamento dos protocolos UDP utilizados em diversos servic ¸os de rede, identificando 14 protocolos que podem ser utilizados para amplificac ¸ão e destacando que outros protocolos são vulneráveis, e não somente o DNS. [Heinrich and Obelheiro 2019] fazem uma análise dos ataques DRDoS no contexto brasileiro, comparando-os com as características dos ataques ao redor do mundo. Os autores descrevem que os ataques efetuados em território brasileiro são menos intensos e sofisticados do que aqueles praticados em outros países, destacando que o cenário nacional pode ter uma piora à medida que os atacantes passem a utilizar os protocolos e técnicas já empregadas ao redor do globo.…”

“…Os autores descrevem que os ataques efetuados em território brasileiro são menos intensos e sofisticados do que aqueles praticados em outros países, destacando que o cenário nacional pode ter uma piora à medida que os atacantes passem a utilizar os protocolos e técnicas já empregadas ao redor do globo. [Heinrich and Obelheiro 2019] e [Heinrich et al 2021] também descrevem a técnica de carpet bombing, que consiste em direcionar o tráfego para múltiplos enderec ¸os IP em uma mesma sub-rede, com o objetivo de saturar os enlaces de acesso e dificultar a detecc ¸ão e mitigac ¸ão do ataque. [Heinrich et al 2021] destaca que os protocolos já amplamente conhecidos para ataques de amplificac ¸ão, como Network Time Protocol (NTP) e Domain Name System (DNS), ainda respondem pela maioria dos ataques, mas que novos protocolos, como Connectionless Lightweight Directory Access Protocol (CLDAP), já apresentam um aumento significativo, o que também é observado por [Kopp et al 2021].…”

“…Para realizar a avaliac ¸ão, os dados coletados pelos honeypots foram processados para identificar os ataques. Devido à semelhanc ¸a entre os conjuntos de dados utilizados, foi adotada a mesma definic ¸ão de ataque proposta em [Heinrich and Obelheiro 2019]:…”

“…Esses protocolos, em sua grande maioria, utilizam o User Datagram Protocol (UDP), o que permite que os atacantes forjem o enderec ¸o de origem das requisic ¸ões (via IP spoofing) de modo que as respostas sejam enviadas para vítimas à sua escolha, e não para a real procedência das requisic ¸ões. Atualmente, um leque variado de protocolos com diferentes fatores de amplificac ¸ão pode ser utilizado para esta finalidade, o que acaba colaborando com este tipo de ataque [Rossow 2014, Heinrich andObelheiro 2019].…”

“…Dados coletados por honeypots permitem observar diversos aspectos de ataques DRDoS [Thomas et al 2017, Heinrich andObelheiro 2019]. O estudo de vítimas e influência de fatores externos em ataques, porém, ainda é incipiente [Heinrich et al 2021, Kopp et al 2021.…”