podatność na ataki DoS (np. flood SMTP)

Podatność na atak DoS to możliwość unieruchomienia usługi zalewem żądań, np. masowych połączeń SMTP.

Na czym polega podatność na ataki DoS

Podatność na atak DoS (Denial of Service) oznacza możliwość ograniczenia albo całkowitego zablokowania dostępności usługi przez dostarczenie jej większej liczby żądań, połączeń lub danych, niż jest w stanie obsłużyć. W przypadku usługi SMTP celem może być serwer pocztowy, urządzenie pełniące funkcję bramy pocztowej albo aplikacja, która przyjmuje połączenia na porcie 25, 465 lub 587. Sam fakt używania SMTP nie oznacza automatycznie występowania podatności. Problem pojawia się wtedy, gdy system nie ma wystarczających mechanizmów ograniczania ruchu, a dostępne zasoby, takie jak procesor, pamięć, tablica połączeń, przepustowość łącza lub miejsce na dysku, mogą zostać wyczerpane.

Flood SMTP może polegać na szybkim otwieraniu wielu połączeń TCP, wysyłaniu dużej liczby komend protokołu albo przekazywaniu wielu wiadomości i załączników. Napastnik nie musi zawsze doprowadzić do błędu programu. Wystarczy, że zajmie zasoby potrzebne do obsługi prawidłowych użytkowników. Skutkiem może być opóźnienie przyjmowania i dostarczania poczty, przekraczanie limitów czasu po stronie klientów, odrzucanie nowych połączeń oraz wzrost liczby procesów lub wątków obsługujących sesje SMTP.

Jak przebiega przeciążenie usługi pocztowej

Sesja SMTP rozpoczyna się od nawiązania połączenia TCP, a następnie wymiany komend i odpowiedzi. Serwer może zużywać zasoby już na etapie zestawiania połączenia, zanim nadawca prześle właściwą wiadomość. Duża liczba równoczesnych połączeń może wypełnić kolejkę nasłuchującego gniazda, tablicę połączeń lub limit sesji ustawiony w oprogramowaniu pocztowym. Jeżeli urządzenie ma ograniczoną liczbę deskryptorów plików, po ich wyczerpaniu mogą ucierpieć również inne usługi działające na tym samym systemie.

Inny wariant polega na utrzymywaniu sesji przez długi czas i przesyłaniu danych bardzo wolno. Taki ruch bywa określany jako slow SMTP attack. Każde połączenie pozostaje aktywne, choć nie wykorzystuje pełnej przepustowości, a serwer musi przechowywać stan sesji i czekać na dalsze dane. Jeśli jednocześnie działa wiele takich sesji, zwykłe limity liczby połączeń mogą zostać osiągnięte bez generowania szczególnie dużego transferu. Dodatkowym obciążeniem może być analiza treści, skanowanie antyspamowe, sprawdzanie reputacji nadawcy oraz zapisywanie komunikatów diagnostycznych.

Przeciążenie może obejmować także kolejkę pocztową. Masowe przesyłanie wiadomości do nieistniejących odbiorców albo do wielu adresów powoduje wykonywanie dodatkowych prób dostarczenia, generowanie komunikatów zwrotnych i zapisywanie danych tymczasowych. Jeżeli kolejka rośnie szybciej, niż system jest w stanie ją opróżniać, zwiększa się zużycie dysku. W skrajnym przypadku brak wolnego miejsca może uniemożliwić zapis logów, plików tymczasowych lub danych potrzebnych do prawidłowego działania innych komponentów.

Objawy, rozpoznanie i ograniczanie ryzyka

Typowe objawy obejmują nagły wzrost liczby połączeń z adresów IP, zwiększenie liczby aktywnych sesji, opóźnienia w odpowiedziach SMTP, wzrost obciążenia procesora, zapełnianie kolejki wiadomości oraz nietypowy ruch wychodzący lub przychodzący. W logach mogą pojawić się powtarzające się wpisy dotyczące przekroczenia limitu sesji, błędów czasu oczekiwania, odrzuconych połączeń i nieudanych prób dostarczenia. Do oceny sytuacji trzeba porównać dane z kilku źródeł: statystyki interfejsu sieciowego, liczbę połączeń TCP, logi usługi pocztowej, zużycie pamięci, obciążenie procesora i ilość wolnego miejsca na dysku.

Ograniczanie skutków powinno obejmować limity liczby połączeń z jednego adresu IP, limity połączeń równoczesnych, limity tempa komend i wiadomości oraz rozsądne wartości czasu oczekiwania. Warto oddzielić ruch przeznaczony do odbierania poczty od ruchu przeznaczonego do uwierzytelnionego wysyłania. Port 25 powinien być dostępny tylko tam, gdzie jest potrzebny do komunikacji między serwerami, natomiast klienci pocztowi zwykle korzystają z portu 587 z mechanizmem uwierzytelniania albo z portu 465 dla SMTP przez TLS. Reguły zapory sieciowej i systemu anty-DDoS mogą ograniczać ruch przed dotarciem do serwera pocztowego, ale wymagają ostrożnej konfiguracji, aby nie odciąć legalnych nadawców.

Nie należy traktować pojedynczego adresu IP jako pełnego dowodu ataku. Ruch może pochodzić z wielu urządzeń, z sieci współdzielonych albo z adresów zmiennych. Skuteczniejsza analiza uwzględnia tempo żądań, czas trwania sesji, nieudane etapy protokołu, powtarzalność danych i wpływ ruchu na działanie usługi. Ochrona powinna być testowana w kontrolowanych warunkach, z zachowaniem limitów bezpieczeństwa i bez generowania rzeczywistego przeciążenia w działającej sieci.

Znaczenie diagnostyki komputera i infrastruktury sieciowej

W środowisku domowym lub małej firmie źródłem problemu nie musi być własny serwer SMTP. Objawy podobne do ataku DoS może powodować zainfekowany komputer, aplikacja pocztowa ustawiona w pętli, błędna konfiguracja urządzenia sieciowego albo nieprawidłowo działający program wysyłający wielokrotnie tę samą wiadomość. Diagnostyka powinna rozpocząć się od ustalenia, które urządzenie generuje ruch, jakie adresy i porty są wykorzystywane oraz czy problem występuje stale, czy tylko w określonych godzinach. Pomocne jest sprawdzenie aktywnych połączeń, logów zapory, harmonogramu zadań, procesów uruchomionych w systemie i rozmiaru plików kolejki pocztowej.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzenia przeciążenia warto najpierw wykluczyć awarię sprzętu, problemy z systemem oraz niepożądane działanie aplikacji na komputerze użytkownika. Uszkodzona karta sieciowa, niestabilny router, przegrzewający się procesor albo brak wolnego miejsca na dysku mogą pogarszać skutki przeciążenia i utrudniać zebranie wiarygodnych danych. Końcowa ocena powinna rozdzielać usterkę lokalnego urządzenia od problemu z usługą dostępną w internecie, ponieważ każda z tych sytuacji wymaga innego sposobu usunięcia przyczyny.