cwe - 406:控制的网络消息量不足(网络放大)
 描述
产品没有足够的监测或控制传输网络流量体积,这样一个演员可以导致产品传播应该允许更多的流量比的演员。
扩展描述
在缺乏政策限制不对称的资源消耗,应用程序或系统不能区分合法传输和交通旨在作为放大攻击目标系统。系统可以配置为限制的流量发送代表一个客户,根据客户的起源或访问级别。这通常是定义在一个资源分配策略。没有一种机制来跟踪传输,系统或应用程序可以很容易地滥用传输不对称流量大于请求应该允许或客户。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 操作 |
|
| 架构和设计 |
如果应用程序使用UDP,那么它可能会受到欺骗攻击,使用UDP固有的弱点来执行交通放大,尽管这个问题可以存在于其他协议或上下文。 |
| 实现 |
|
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
可用性
|
技术的影响:DoS:放大;DoS:崩溃,退出或重新启动;DoS:资源消耗(CPU);DoS:资源消耗(内存);DoS:资源消耗(其他)
系统资源可以快速消耗导致糟糕的应用程序性能或系统崩溃。这可能影响网络性能和可以用来攻击其他系统和应用程序依赖于网络性能。 |
|
示范例子
示例1
这段代码监听一个端口上的DNS请求并将结果发送给请求的地址。
袜子= socket.socket(插座。AF_INET socket.SOCK_DGRAM) 袜子。绑定((UDP_IP UDP_PORT)) 而真正的:
data = sock.recvfrom (1024) 如果没有数据:
打破
(requestIP nameToResolve) = parseUDPpacket(数据) 记录= resolveName (nameToResolve) sendResponse (requestIP记录)
这段代码将DNS记录发送给请求的IP地址。UDP允许容易改变源IP地址(“欺骗”),从而允许攻击者重定向响应一个目标,这可能是被网络流量。
观察到的例子
| 参考 |
描述 |
|
|
经典的“蓝精灵”攻击,使用欺骗ICMP数据包广播地址。 |
|
|
DNS查询与导致更多的流量要返回的源地址欺骗比被攻击者发送地址。 |
|
|
大数据报发送回应畸形数据包。 |
|
|
游戏服务器发送大量。 |
|
|
综合:国家结核控制规划特性生成大响应(高放大系数)与伪造了UDP来源地址。 |
潜在的缓解措施
阶段:体系结构和设计
应用程序必须使网络资源可用于客户端符合客户的访问级别。 |
阶段:政策
定义一个明确的网络资源分配和消费政策。 |
实施阶段:
在任何时候,应用程序必须跟踪网络资源并适当地计使用。 |
笔记
理论
网络放大,进行欺骗时,通常是一个多通道来自攻击者的攻击(作为用户)放大器,放大器和受害者。
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| 千鸟 |
|
|
网络放大 |
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
