Skupina Anonymous využívá během svých útoků především nástroje HOIC, LOIC a SLOWLORIS. Tyto nástroje generují HTTP requesty, v nichž obvykle zároveň náhodně mění HTTP hlavičky (user-agent, if-modified-since, referer, atd.). V současné době nezpůsobuje hlavní problém přehlcení internetového připojení, ale spíše zahlcení samotných serverů. To je mimo jiné způsobené tím, že některé z výše uvedených nástrojů umožňují předem vytipovat stránky, jejichž volání server co nejvíce zatíží (formuláře, skripty s přístupem do databáze apod.) a ty poté definovat jako vhodný cíl útoku.

Aktuálně z bezpečnosti

Pozor na nový trik s instalací fontů v Google Chrome

22.02.2017

Byl zaznamenán nový trik jak donutit uživatele k instalaci malware. V tomto případě je malware distribuován s pomocí webových stránek, na kterých se zobrazují nesmyslné znaky. Uživateli je zároveň zobrazena výzva k instalaci balíčku fontů pro Google Chrome, s tím ...

více »

Microsoft vydal záplaty na kritické zranitelnosti Adobe Flash Playeru

22.02.2017

Microsoft vydal, v rámci pravidelných Windows aktualizací, bezpečnostní záplaty na kritické zranitelnosti Adobe Flash Playeru. Zranitelnost se týká uživatelů používajících prohlížeče Internet Explorer či Edge na Windows 8.1 a novější, a to včetně serverových edic. V nejzazším případě, zranitelnost ...

více »

Chyba v knihovnách v Javě a Pythonu umožňuje obejít firewall

22.02.2017

Nedokonalá implementace knihovny v Javě a Pythonu umožňuje obejít firewall v cílových sítích. Tuto chybu je možné zneužít k dalšímu připojení ze strany serveru. Server lze zmanipulovat tak, že se sám připojí na jiný vybraný server a předá mu příkazy ...

více »

CSIRT.CZ vydává doporučení pro správce internetových stránek, vedoucí ke snížení dopadů DDOS útoků

Skupina Anonymous využívá během svých útoků především nástroje HOIC, LOIC a SLOWLORIS. Tyto nástroje generují HTTP requesty, v nichž obvykle zároveň náhodně mění HTTP hlavičky (user-agent, if-modified-since, referer, atd.). V současné době nezpůsobuje hlavní problém přehlcení internetového připojení, ale spíše zahlcení samotných serverů. To je mimo jiné způsobené tím, že některé z výše uvedených nástrojů umožňují předem vytipovat stránky, jejichž volání server co nejvíce zatíží (formuláře, skripty s přístupem do databáze apod.) a ty poté definovat jako vhodný cíl útoku.

V tuto chvíli doporučujeme následující možnosti, které povedou ke snížení dopadu útoků:

1. Proti útoku SLOWLORIS lze například použít modul pro webový server apache mod-antiloris.Tento modul omezuje počet otevřených konexí ve stavu SERVER_BUSY_READ pro jednu IP adresu; dalším podobným projektem je mod_noloris. Pokud používáte webový server nginx, ten je proti útokům pomocí slowloris odolnější.

2. Proti ostatním útokům lze použít modul TARPIT pro iptables, který zpomaluje odpovědi zasílané zpět útočníkům, čímž zdržuje posílání dalších requestů. Další možností je omezovat příchozí spojení pomocí modulů limit či hashlimit.

3. Proti útokům lze také doporučit použití některého odolnějšího webového serveru, například již zmiňovaný nginx v módu reverzní proxy se zapnutou cache.

4. Doporučujeme také zkontrolovat zda na www stránkách nejsou zbytečně dostupné skripty, které již nejsou potřeba, dále doporučujeme kontrolu stránek na XSS a SQL injection zranitelnosti, například pomocí nástroje Nikto2. Doporučujeme také preventivně změnit hesla k databázím.

Jak již bylo zmíněno, zatím se akcí Anonymous neúčastní takové množství lidí, které by dokázalo účinně zahltit dnešní linky, jimiž jsou servery obvykle připojeny. Do budoucna je však potřeba počítat i s takovouto variantou. Pro tento případ bude nutné filtrování přesunout na upstream. Pokud máte zájem o bližší informace, kontaktujte nás na naší e-mailové adrese abuse@csirt.cz.