Implementazione e validazione di un protocollo di rete per la reazione alle intrusioni in reti di calcolatori

          Capitolo 1 –  Sicurezza informatica nelle reti di calcolatori ed attacchi denial of service 
Maximum Transmission Unit, causando il crash del sistema vittima dell’attacco; non a caso, è 
risaputo che in ambito IP il ricorso alla frammentazione dei pacchetti è fortemente sconsigliato 
per motivi di inefficienza del codice. Per quanto riguarda gli errori di progetto sfruttati dai DoS, 
possiamo citare l’attacco denominato Land
6
, che invia al server segmenti TCP di tipo SYN, nel 
cui header IP si ha l’indirizzo sorgente uguale all’indirizzo destinazione, mentre nell’header 
TCP vi è un porto sorgente uguale al porto destinazione; questa situazione, non essendo prevista 
in fase di progetto, è per questo non correttamente gestita nelle prime versioni di alcuni sistemi. 
Altri assalti invece sfruttano errori di programmazione presenti in alcune versioni di noti web-
server. Alcuni attacchi di questo tipo (Land, Teardrop, Apache beck exploit) saranno 
brevemente descritti nel seguito. 
 
Un’ulteriore importante classificazione degli attacchi di tipo denial of service può essere fatta in 
base al numero di sorgenti coinvolte nell’attacco, ovvero in base alla quantità di host assalitori. 
In tal caso bisogna distinguere i Dos ad unica sorgente dai Dos distribuiti.  
Nel primo caso abbiamo a che fare con i tradizionali DoS, in cui vi è un unico host 
precedentemente compromesso, con molta banda di connessione disponibile in uscita ed un 
processore sufficientemente veloce, a partire dal quale viene sferrato l’attacco. Un tipico 
esempio è costituito da attacchi eseguiti sfruttando host appartenenti a reti universitarie, 
caratterizzate da una buona connettività e dalla presenza di numerosi sistemi Unix-like 
multiutente gestiti in modo irrispettoso delle più elementari misure di sicurezza. Nel seguito 
della trattazione, se non diversamente specificato, con l’acronimo DoS si intenderà fare 
riferimento ad attacchi a singola sorgente. 
Nel secondo caso, gli attacchi in esame sono meglio noti come Distributed DoS – DDOS, i quali 
sono generati da una moltitudine di sorgenti di aggressione, a volte costituita da un numero 
molto elevato di macchine (si va da una decina ad oltre 100.000 host compromessi) che 
agiscono in contemporanea ed aggrediscono uno o più bersagli in maniera coordinata. Questi 
attacchi sono ben più temibili dei normali DoS, in quanto un simile approccio consente di 
ottenere effetti di entità di gran lunga maggiore rispetto ai precedenti, quindi causa più danni, 
oltre ad avere una maggiore rapidità e continuità di attuazione. Inoltre i DDoS sono attacchi in 
cui, come vedremo nel seguito della trattazione, gli host partecipanti sono organizzati in 
maniera “gerarchica”, ossia ci sono macchine che ne controllano altre con più livelli di 
gerarchia, per cui diventa praticamente impossibile prendere delle contromisure che permettano 
di risalire all’host (nonché al soggetto) che ha dato origine all’attacco.  
Nel seguito del capitolo saranno descritti i principali attacchi DoS e DDoS noti in letteratura. 
                                                     
6
 cfr. [Hwd97] 
 14