denial of service (DoS) na serwer poczty

Atak typu denial of service (DoS) na serwer poczty to celowe przeciążenie infrastruktury, prowadzące do jej niedostępności.

Na czym polega denial of service na serwer poczty

Denial of service (DoS) na serwer poczty to celowe doprowadzenie do sytuacji, w której serwer nie może sprawnie przyjmować, przetwarzać albo przekazywać wiadomości. Napastnik wykorzystuje ograniczone zasoby infrastruktury, takie jak przepustowość łącza, moc obliczeniowa procesora, pamięć operacyjna, liczba jednoczesnych połączeń oraz pojemność kolejek pocztowych. Skutkiem może być całkowita niedostępność usług SMTP, IMAP lub POP3 albo ich działanie z opóźnieniem uniemożliwiającym normalną pracę.

Atak DoS może być prowadzony bezpośrednio przeciwko jednemu serwerowi, natomiast rozproszony denial of service, określany jako DDoS, wykorzystuje wiele źródeł ruchu jednocześnie. W przypadku serwera poczty problemem nie musi być wyłącznie duża liczba bajtów przesyłanych przez sieć. Równie skuteczny może okazać się ruch składający się z wielu połączeń, żądań wymagających kosztownego przetwarzania lub prób dostarczania dużej liczby wiadomości do nieistniejących odbiorców.

Mechanizmy przeciążenia usług SMTP, IMAP i POP3

Serwer SMTP obsługuje przyjmowanie oraz przekazywanie poczty, dlatego atakujący może próbować wyczerpać limit jednoczesnych sesji albo wymusić utrzymywanie wielu połączeń przez długi czas. Wykorzystywane bywają także serie niepełnych sesji, w których klient rozpoczyna komunikację, ale nie przesyła kolejnych wymaganych danych. Jeżeli serwer przeznacza zasoby na każdą sesję i zbyt późno ją zamyka, rośnie liczba zajętych procesów, wątków lub deskryptorów plików.

Usługi IMAP i POP3 mogą zostać przeciążone przez masowe logowania, wielokrotne pobieranie dużych skrzynek albo zapytania wymagające przeszukiwania wielu wiadomości. Dodatkowe obciążenie powstaje, gdy serwer wykonuje operacje na indeksach, skanuje załączniki pod kątem złośliwego oprogramowania lub przekazuje wiadomości do filtrów antyspamowych. Wysyłanie tysięcy komunikatów do nieistniejących adresatów może zapełnić kolejkę pocztową i zwiększyć liczbę odpowiedzi generowanych przez system.

Objawy i rozróżnienie od awarii technicznej

Typowym objawem DoS jest nagły wzrost liczby połączeń lub żądań przy jednoczesnym pogorszeniu czasu odpowiedzi. Użytkownicy mogą otrzymywać komunikaty o przekroczeniu limitu czasu, błędy połączenia z serwerem poczty albo odrzucenia wynikające z wyczerpania limitów. Wiadomości oczekujące w kolejce mogą być przetwarzane z dużym opóźnieniem, a system monitoringu może wskazywać wysokie użycie procesora, pamięci, przestrzeni dyskowej lub łącza.

Samo przeciążenie nie przesądza jednak o ataku. Podobne symptomy powodują awaria dysku, błędna konfiguracja limitów, uszkodzenie bazy skrzynek, niesprawny filtr antyspamowy, pętla przekazywania wiadomości albo nagły legalny wzrost korespondencji. Rozpoznanie wymaga porównania logów aplikacyjnych i systemowych, statystyk ruchu, liczby sesji, kodów odpowiedzi SMTP oraz stanu kolejek. Istotne jest ustalenie, czy źródła żądań są rozproszone, czy występuje powtarzalny wzorzec adresów, komend, odbiorców lub rozmiarów wiadomości.

Ograniczanie skutków i bezpieczna diagnostyka

Ochrona przed DoS opiera się na ograniczaniu zasobów przypadających na pojedyncze źródło oraz na szybkim odrzucaniu ruchu niespełniającego podstawowych warunków protokołu. Stosuje się limity liczby równoczesnych połączeń, limity tempa komend i wiadomości, krótkie wartości czasu bezczynności oraz kontrolę wielkości kolejki. Reguły zapory sieciowej lub urządzeń filtrujących mogą blokować nietypowy ruch jeszcze przed dotarciem do serwera poczty, a operator łącza może filtrować większy atak DDoS po stronie sieci.

Podczas diagnostyki należy zachować kopię logów, odnotować czas rozpoczęcia problemu i porównać stan serwera z okresem normalnego działania. Nie powinno się usuwać kolejki pocztowej ani zmieniać wielu parametrów jednocześnie, ponieważ utrudnia to ustalenie przyczyny i może doprowadzić do utraty oczekujących wiadomości. W środowisku lokalnym warto sprawdzić również temperatury podzespołów, stan dysków, pamięć operacyjną, zasilanie oraz obciążenie systemu, ponieważ awaria sprzętowa może naśladować skutki ataku. Po przywróceniu dostępności potrzebna jest obserwacja, czy wzorzec ruchu i liczba błędów powracają.