Защита от потоков ISA Server 2006 Flood Mitigation

Начиная с ISA Server 2000, компания Microsoft использовала некоторые впрямь элементарные параметры обнаружения и защиты от вторжений и спуфинга (получения доступа путем обмана). ISA Server 2004 имел больше параметров для борьбы с такими атаками. ISA Server 2006 обладает дополнительным параметрами борьбы против спама. К новым технологиям, включенным в ISA Server 2006, относится установка Flood Mitigation (меры по предотвращению потоков), которая создана для защиты от угроз. Не на шутку данная статья посвящена параметру ISA Server 2006 Flood mitigation.

Угрозы и контрмеры

В нашем мире существуют более менее различные угрозы. В таблице, расположенной ниже, приведены некоторые из этих угроз, а также разительно соответствующие параметры ISA Server 2006 для борьбы с ними.

Таблица 1: Угрозы и параметры УгрозаПараметрЧерви, передающиеся от пользователя пользователю и от сети к сетиПредупреждение (IP alert spoofing) Квоты соединения (Connection Quotas) Истинно улучшенная защита потоков (Enhanced Flood Protection) Обнаружение вторжений (Intrusion Detection) Защита против отказа от обслуживания (Denial of Service (DoS)) и распространяемых атак с целью нарушения нормального обслуживания пользователей (Distributed Denial of Service attacks)Повышающееся количество атак внешних ресурсов (externally facing resources)Возможные атаки посредством заражения DHCP, обнаружение вторжений и IP фрагментация могут быть легко настроены на защиту корпоративных сетей.Защита против атак IP-подмен (IP spoofing attacks)Защита против IP-подмен в ISA Server 2006. ISA Server 2006 защищает от IP-подмен путем проверки достоверности IP адреса источника в пакете.Типы атак

Чтобы понять принцип работы хакеров, вам нужно знать об искусстве хакинга и о том, какие типы атак существуют. Следующая таблица дает обзор некоторых типов атак.

Таблица 2: Типы атак АтакаОписаниеВнутренняя атака червей через TCP соединениеКлиенты заражаются червем, и будут распространять его через разительно различные порты на другие компьютеры в сети. Средство атаки в виде таблицы соединения (Connection table exploit)Мошенник пытается заполнить таблицу соединения фальшивыми данными, чтобы сервер ISA не смог выполнить несказанно подлинные запросы.Последовательные TCP соединения во время потоковых атакМошенник пытается весьма последовательно открывать и что и говорить одновременно закрывать множество TCP соединений, чтобы пройти механизм лимита ресурсов и потреблять довольно таки большое количество ресурсов ISA.HTTP распределенная атака типа DDoS с использованием существующих соединенийМошенник посылает несказанно большое количество HTTP запросов через существующее TCP соединение, которое использует интервал активности (Keep alive interval).Настройка параметров защиты от атак (Attack Mitigation)

ISA Server 2006 включает некоторые параметры защиты от атак, которые можно настроить и контролировать с помощью консоли управления.

Лимиты HTTP соединения Параметры потоковых атак (Flood Attack) и распространения червя (Worm propagation) Ограничение количества параллельных пользователей Защита от определенных атак типа IP-подмены, DNS переполнение, DHCP заражение и обнаружение вторжений Защита от потоковых атак и распространения червя

Потоковая атака – это атака, исходящая от вредоносного пользователя, который пытается наводнить машину или сеть бесполезными TCP пакетами. Потоковая (или лавинная) атака может стать причиной одной из следующих реакций:

Сильно большая загрузка диска и необыкновенно высокий уровень потребления ресурсов на брандмауэре В действительности высокий уровень загрузки центрального процессора Сильно высокий уровень потребления памяти Более менее высокий уровень потребления несказанно пропускной способности сети

На ISA Server 2006 можно устанавливать как нельзя очень максимальное количество подключений в течение определенных промежутков времени или неимоверно максимальное количество подключений для определенного IP адреса. Когда весьма максимальное количество запросов клиента достигнуто, впрямь новые запросы клиента отвергаются и соединение прерывается.

Настройки по умолчанию помогают обеспечить работу ISA Server, даже когда он подвергся лавинной атаке.

Таблица 3: Защита ISA АтакаПараметр защиты ISA MitigationУмолчанияЛавинная атака. Определенный IP адрес пытается открыть множество соединений различным IP адресам.Количество запросов TCP соединений в минуту, для IP адреса.По умолчанию, ISA Server ограничивает количество TCP запросов на клиента до 600 в минуту. Необходимо помнить о том, что существуют определенные реально законные приложения, которые могут создавать как нельзя более высокое количество попыток соединения.Лавинная атака. Определенный IP адрес пытается наполнить ISA Server, поддерживая определенное количество TCP соединений параллельно.Количество параллельных TCP соединений на IP адрес.ISA Server ограничивает количество параллельных TCP соединений на клиента до 160.Синхронная атака (SYN attack). Сильно вредоносный клиент пытается наполнить ISA Sever 2006 большим количеством полуоткрытых TCP соединений.ISA Server снижает разительно синхронные атаки.ISA Server ограничивает количество параллельных полуоткрытых TCP соединений до половины количества параллельных соединений, настроенных для параллельных TCP соединений. Эту настройку нельзя изменить.Лавинная атака через протокол (User Datagram Protocol (UDP)). IP адрес пытается начать атаку типа «отказ от обслуживания».Количество параллельных UDP сеансов на IP адрес. Когда по-моему лавинная атака UDP имеет место, ISA Server закрывает более старые сеансы, как нельзя более поэтому количество разрешенных параллельных соединений не превышает установленного значения. ISA Server ограничивает количество параллельных UDP сеансов на IP адрес до 160. Это значение можно изменять в переделах до 400 параллельных UDP сеансов.Конфигурация лавинных атак

Можно настроить защиту от атак (Flood Mitigation) с помощью консоли управления ISA Server 2006 Management console.

Все параметры защиты от атак в ISA Server 2006, а также настройки против DNS атак можно найти во вкладке Конфигурация – Общие.