Newsgroup: it.comp.reti.locali
Titolo: Domanda su firewall e DoS

Ciao a tutti.
Volevo chiedervi se questa osservazione č corretta o sbagliata. Commentate e
spiegatemi :-)
Sě puň dire che un firewall software se bersagliato da molti "attacchi" ha
cosě tanto da lavorare che ruba "potenza" al sistema e si puň trasformare da
uno stumento di difesa in un problema?
Grazie.

 si può trasformare da uno stumento di difesa in un problema?
La risposta veloce è "no". La risposta lunga (che richiede una analisi
tecnica del perchè) è "dipende di che firewall parli".
Il motivo è nel fatto che un firewall (inteso come packet filter) può
solamente applicare delle regole (lascia passare / rimandalo al
mittente). Il carico di operazioni di questo genere è assolutamente
contenuto (ed è per questo motivo che esistono in giro macchine che
altro non sono che appliance x86 con dentro linux che fanno da firewall
per reti gigabit), anche se esistono soluzioni più o meno prestanti.
In quesi termini, il firewall non entra mai nel merito di cosa ci sia
dentro (altra cosa dall'ids inline, per intenderci).
In caso di DoS distribuito attuato da qualcuno ai danni di una macchina,
il comportamento del PF può essere di tre tipi:
- considerarlo traffico normale e quindi lasciare che il dos abbia
effetto
- sopra una certa soglia inizia a rifiutare per salvaguardare la
macchina che protegge
- si prende in carico lui la "botta", lasciando che le applicazioni
"dietro" entrino in gioco solo per connessioni ormai "pulite"
Nel caso 1, avere if firewall non inficia in alcun modo l'efficacia del
DoS (salvo rallentarlo se molte delle porte verso cui viene diretto
risultano chiuse, il che però non accade quasi mai...).
Nel caso due, ti salva dagli effetti del DDoS, salvo il fatto che chi
cerca di contattarti durante la durata del dos stesso si troverà la
connessione rifiutata (hai la macchina salva, ma l'attaco va a segno)
Il terzo caso è il più interessante.
Qui entrano giochini come i SYNcookies o il peculiare comportamento che
hanno i pix al riguardo (il fatto di tenere "appesa" la connessione
entrante in half open e *solo allora* iniziare una sessione verso la
macchina interna).
Tu pari riferirti al caso in cui il PF sia direttamente sull amacchina
che protegge. In questo caso il secondo argomento non si applica (e
anzi non sarebbe di alcuna utilità).
Nel caso dei syncookies (che non sono una feature del Pf, però, quanto
dello stack), è una tecnica che ha l'effetto di caricare il sistema in
maniera estremamente minore della normale allocazione del buffer (che è
poi quello su cui il DDoS fa affidamento). Per cui, male che vada,
attutisce il colpo, facendo si che il rate dei pacchetti in ingresso
debba essere decisamente più elevato che "senza" per far sì che la
macchina vada giù.
quindi, se vuoi puù info (ammesso che io sia in grado di dartele)
specifica di che firewall parli, perchè è usato un po' genericamente,
come termine...
-- 
the Skull says:
+----------------------------------------------------------------------+
Actually without signature.
Any idea?!?

 come termine...
Eccomi!
Per facilità di comprensione e di applicazione nei casi che potrei vivere,
tralasciamo l'ipotesi del pc o server che ha la sola funzione di firewall.
Tra l'altro veramente interessante il fatto che tu mi abbia detto che basta
un piccolo x86.
Parliamo invece di un normale pc sul quale si lavora e che
contemporaneamente fa girare un firewall. Facciamo l'esempio di un
normalissimo computer connesso 24/24 con un IP statico con adsl. Facciamo
pure finta che quel IP sia "famoso" e sia bersaglio di attacchi dos. Tutto
questo non è il mio caso :-)  (ho il modem 56k :-))) però è la
configurazione ideale sulla quale esiste il mio dubbio. Mi hai chiesto di
fare un nome di firewall. In effetti ne uso uno : Kerio Personal Firewall 4.
A proposito, che ne pensi?
Ritornando ai nostri esempi.... Per farti capire la mia "preparazione" e
quindi aiutarti a rispondermi in modo non troppo difficele per me, il mio
concetto di attacco dos è : "da un indirizzo remoto (o più indirizzi)
vengono chieste banali informazioni al mio pc (tipo il ping ecc.). La mole
di domande è tale che il mio computer non ce la fa a dare il giro". Questo è
per me l'attacco dos, spero non sia troppo sbagliato :-)
Detto questo continuo a non capire come faccia il mio firewall a non andare
in tilt se è costretto a rifiutare (a non passare al sistema operativo)
valanghe di messaggi. Non usa tanta cpu? Quindi alla fine il sistema
operativo non "soffre" ugualmente, magari fino al punto del crash? Se le
quello che ho detto è giusto, alla fine allora il firewall software sul pc
che si utilizza risulta inutile contro un attacco dos?
Grazie mille per la collaborazione!
mauri

 contro un attacco dos?
Si, capisco i tuoi dubbi, ma sono dovuti al fatto che vedi il DoS in una
maniera che è priva dei dettagli necessari a farti capire dove sta il
"trucco".
DoS di suo sta semplicemente per Denial of Service. Il che significa che
basta collegarsi a un servizio buggato, fargli una richiesta che mandi
in pappa (facendolo crashare) il programma che fornisce il servizio e
hai ottenuto un DoS. Non richiede molta forza bruta...
Altra cosa è il DDoS (in cui la prima D sta per Distributed). Qui le
cose funzionano in maniera sottilmente diversa.
Il fatto è che ogni volta che riceve un "inizio di connessione", una
macchina alloca una quantità di spazio in memoria destinato a fare da
buffer di comunicazione.
Ora, il trucco è che se riesci a far arrivare a segno abbastanza
richieste contemporanee, la macchina esaurisce la memoria a
disposizione (o i file descriptor, o lo spazio nella connection table,
dipende, ma non ha importanza: finisce qualcosa...) e smette pertanto
di essere funzionale (e funzionante... di solito è da rebootare...).
Se le richieste vengono scartate "prima", danno una quantità di carico
assolutamente risibile.
E' quindi praticamente impossibile portare una macchina al DoS
semplicemente anzando a cozzare sul firewall: la banda si esaurisce
abbondantemente prima, con risultato di portare sì la macchina
virtualmente fuori rete, ma senza causargli "danni effettivi"...
Dimmi se non è chiaro...


 Dimmi se non è chiaro...
Davvero complimenti, sei stato chiarissimo ed esaudiente, grazie davvero.
Sapresti indicarmi un sito in italiano che parla in maniera complessiva ma
abbastanza semplice del DoS ?
grazie ancora

 complessiva ma abbastanza semplice del DoS ?
Italiano in particolare onestamente non mi viene in mente nulla di
particolare, ma qualsiasi sito tratti abbastanza approfonditamente di
sicurezza č un buon punto da cui partire...
Ciao..
