Sovelluskerroksen DoS-hyökkäykset ja niiden torjunta

Abstract

Opinnäytetyön toimeksiantaja oli JYVSECTEC, joka on Jyväskylän ammattikorkeakoulun kyberturvalli-suushanke. Opinnäytetyön tavoitteena oli tutustua sovelluskerroksen palvelunestohyökkäyksiin, niiden vaikutuksiin sekä niiden torjuntaan tai vaikutusten pienentämisen ja tehdä ympäristö, jossa voidaan testata näitä hyökkäyksiä suojaamattomiin ja suojattuihin kohteiseen. Sovelluskerroksen (OSI-mallin taso 7) hyökkäykset ovat yleistymässä, koska nämä hyökkäykset ovat monesti tehokkaampia kuin perinteisemmät hyökkäykset ja vaativat vähemmän resursseja hyökkääjältä.

Ympäristöön luotiin kolme kohdetta, joista yksi oli suojaamaton, ja kaksi muuta eri tavoin suojattuja. Kohteisiin asennettiin Apache-webpalvelin ja Wordpress-websovellus.

Suojaamattoman kohteen Apache-palvelimeen pääsy pystyttiin estämään Slowloris-hyökkäyksellä, jossa kyselyitä lähetetään hitaasti, jolloin yhteyspaikat jäävät varatuksi hyökkääjälle. Kohteessa 2 tätä vastaan suojauduttiin käyttämällä Reqtimeout ja ModSecurity-moduuleita. Kohteessa 3 suojauduttiin käyttämällä nginx-webpalvelinta käänteisenä välityspalvelimena Apachelle.

Suojaamattoman kohteen Wordpressiin hyökättiin Keep-Dead-hyökkäyksellä, jolla saatiin estettyä sen toiminta. Hyökkäystä kokeiltiin myös suoraan webpalvelimeen, mutta se ei vaikuttanut toimintaan. Kohteessa 2 tätä vastaan suojauduttiin rajoittamalla yhdestä IP-osoitteesta tulevia kyselyjä sekä PHP:n välimuistirat-kaisulla. Kohteessa 3 suojauduttiin tätä vastaan lisäämällä nginx-webpalvelimeen välimuisti, mikä vähensi Apachelle ohjautuvien kyselyiden määrää.

The bachelor’s thesis was assigned by JYVSECTEC, a cybersecurity project administered by JAMK University of Applied Sciences. The goal of this thesis was to research the application-level denial of service attacks, effects of these attacks and mitigation techniques and create a test environment with the ability to test these attacks on protected and unprotected targets. Application-level attacks (OSI Layer 7) are increasing in popularity, since these attacks can have a more significant effect on a target than more conventional attacks while requiring less resources from the attacker.

The testing environment had three servers, one of which was unprotected and two were protected using different methods. The target servers had an Apache webserver and Wordpress web application installed.

The unprotected targets were attacked with Slowloris type attack, where requests are sent slowly, which results in connection slots tied to the attacker. Server 2 was protected using Reqtimeout and ModSecurity modules and Server 3 using nginx as frontend webserver for Apache.

Wordpress in the unprotected server was attacked using Keep-Dead attack, which was able to prevent Wordpress from working. This attack was also tried directly to the server, however, it did not work. Server 2 was protected using request limits and APC opcode and object cache. Server 3 was protected by adding caching to nginx frontend, which resulted in less queries to Apache.