BlackNurse新型DoS攻击 15M流量就可以打瘫思科防火墙 思科做出了回应

近日，丹麦电信运营商tdc的安全运营中心tdc soc公布了名为blacknurse的新型dos攻击，攻击者仅仅利用一台普通笔记本电脑就能攻击大型服务器使之瘫痪。在这一攻击面前， cisco systems、palo alto networks、sonicwall和 zyxel等众多防火墙将会失去其防御性，不过目前，思科已经否认了该新型dos攻击属于安全问题，但并没有就此作出进一步的解释。

tdc soc是丹麦的一家安全运营中心，成立于2015年。丹麦电信运营商tdc的安全运营中心（soc）的专家表示，

“黑护士”攻击通过每秒发送40,000至50,000个类型和代码均为3的icmp报文，致使防火墙的负载过重。这一报文数量并不是很大，生成这些报文需15 mbps至18 mbps的带宽。这意味着仅利用一台笔记本电脑就可发起“黑护士”攻击。

我们看到的大多数icmp攻击都是基于type 8 code 0，也称为ping flood攻击，但这次发现的新型攻击是基于type 3 code 3

type 3 is destination unreachable

code 3 is port unreachable

更多详细信息请参考这里：http://www.nthelp.com/icmp.html

测试您的系统是否脆弱的最好方法是这样的，如果你防火墙wan网侧允许 icmp，可以用hping3做一些测试。当攻击您的防火墙的wan一侧，需要由内至外的打一些流量出来。在我们的测试中我们用 ubuntu 安装 hping3 。在测试时，你可以获得必须能够到达出站 internet 速度至少 15-18 mbit/s。

用hping3执行如下命令

hping3 -1 -c 3 -k 3 -i u20 <target ip> hping3 -1 -c 3 -k 3 --flood <target ip>

基于我们的测试中，我们知道合理的小型的笔记本电脑用这些命令，可以产生约 180 mbit/s dos 攻击。我们也有用一台 nexus 6 移动电话，测试 nethunter/kali，只可以产生 9.5 mbit/s，不太容易执行 blacknurse 攻击。

“我们看到，此类攻击对各类防火墙的典型影响是cpu负载很高。”tdc的安全运营中心在一篇技术报告中称，“在攻击期间，用户无法将流量从局域网发送至互联网，也无法从互联网接收流量。我们观察到，当攻击停止时，防火墙就会恢复正常。”

报告全文请见文末报告下载

基于这个测试，我们制定了snort ids/ips规则检测攻击

在这个规则中很重要的一点是， 'count 250' 和 'seconds 1' ，对于你的防火墙调整到什么程度才是正常的。默认计数和秒因为我们让他们在规则中，应该是适合大多数防火墙。我们建议使用事件过滤器阻止 snort的洪水警报，这可以保护入侵检测系统。

具体规则如下

alert icmp $external_net any -> $home_net any (msg:"tdc-soc – possible blacknurse attack from external source "; itype:3; icode:3; detection_filter:track by_dst, count 250, seconds 1; reference:url,  soc.tdc.dk/blacknurse/blacknurse.pdf; metadata:tdc-soc-cert,18032016; priority:3; sid:88000012; rev:1;)  alert icmp $home_net  any -> $external_net any (msg:"tdc-soc – possible blacknurse attack from internal source"; itype:3; icode:3; detection_filter:track by_dst, count 250, seconds 1; reference:url,  soc.tdc.dk/blacknurse/blacknurse.pdf; metadata:tdc-soc-cert,18032016; priority:3; sid:88000013; rev:1;)

可以实现不同种类的缓解措施，尽量减少攻击的影响。防火墙和其他各种设备上可以配置允许 icmp 的受信任源的列表。在防火墙wan 接口上禁用 icmp type 3 code 3 ，可以很容易地减轻攻击。这是我们知道到目前为止最好的缓解。

很多人可能都听说过分布式拒绝服务攻击，也就是ddos攻击，与其相似，dos攻击也是以大量发送请求占用服务器资源或攻击网络协议以实现缺陷达到致使服务器瘫痪目的的一种攻击手段。

而此次的blacknurse则可以利用资源有限的普通笔记本进行攻击，仅需要15 mbps的攻击流量就能让使用某些防火墙的服务器离线，而这一攻击则是利用了网间控制报文协议 icmp type3封包，当攻击流量达到阙值时，目标防火墙就会大量丢包以至于防火墙背后的设备离线。

在这一攻击面前， cisco systems、palo alto networks、sonicwall和 zyxel等众多防火墙将会失去其防御性，不过目前，思科已经否认了该新型dos攻击属于安全问题，但并没有就此作出进一步的解释。

此类攻击曾成功入侵了采用默认配置的思科自适应安全设备（asa）。tdc的安全运营中心针对这一攻击进行了测试。思科的产品文档建议用户允许类型为3的icmp消息通过。

思科在用户手册中做出了以下警告,“拒绝icmp不可达消息会导致icmp路径mtu发现被禁用，这可能会停止ipsec和pptp流量。”

此类攻击也波及了派拓网络（palo alto networks）、sonicwall和zyxel通信公司的某些防火墙。不过，这些防火墙仅在配置错误或某些防护未开启时才会受到影响。

针对tdc的安全运营中心的报告，palo alto networks发布了一篇博文称，“palo alto networks公司的下一代防火墙默认丢弃icmp报文，因此您的组织并不会受到此类攻击的影响，也无需采取行动。但如果您在安全策略中设置允许icmp报文通过，那就另当别论了。”

该公司称，如果客户需放过icmp报文，可采用拒绝服务防护的最佳实践缓解攻击。这就涉及客户在其防火墙的拒绝服务防护配置文件中开启icmp flood和icmpv6 flood防护。

一般情况下，拒绝服务攻击的实现方式是向攻击目标发送流量，使其负载超过其互联网带宽的承受能力。“黑护士”攻击在这方面不同寻常，因为无法通过提供额外带宽停止此类攻击。

“可在防火墙和其他类型的设备上配置受信任源，放行来自这些受信任源的icmp报文。”tdc的安全运营中心的专家建议，“在wan口上禁用类型和代码均为3的icmp报文可以很容易地缓解攻击。这是目前我们知晓的最佳缓解方案。”

话虽如此，目前有很多设备配置为接受来自互联网的icmp流量。tdc的安全运营中心仅在丹麦就发现了170万这样配置的设备。

点击图片下载

原文发布时间：2017年3月24日

本文由：企业网 发布，版权归属于原作者

原文链接：http://toutiao.secjia.com/blacknurse-new-type-dos-attack

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站