Концептуальная модель принимающего узла компьютерной сети под воздействием сетевых

ICMP-флуд

ICMP (Internet Control Message Protocol — протокол межсетевых управляющих сообщений) — это протокол интернет-уровня, используемый сетевыми устройствами для диагностики проблем сетевой связи [54]. ICMP используется, главным образом, для определения того, достигают ли передаваемые по сети данные своевременно своего конечного назначения. Обычно протокол ICMP используется на таких сетевых устройствах, как маршрутизаторы.
ICMP протокол срабатывает только в тех случаях, когда необходимо передать сообщение об ошибках при передаче данных или же сетевое оборудование является недоступным, при этом данный протокол не отправляет пакет повторно, а лишь отправляет сообщение о неисправности и потере отсылаемого раннее пакета [55]. С помощью ICMP может быть реализовано два вида эхо-сообщений: эхо-запрос и эхо-ответ. Компьютер или маршрутизатор посылают эхо-запрос, содержащий IP-адрес узла, достижимость которого нужно проверить. Если до узла дошел эко-запрос, то он составляет и посылает эхо-ответ узлу-отправителю [110]. Так как эхо- запрос и эхо-ответ передаются по сети внутри IP-пакетов, то их успешная доставка означает нормальное функционирование всей транспортной системы компьютерной сети [56].
Механизм ICMP-флуда представляет собой переполнение буфера сетевого устройства эхо-запросами (рисунок 1.5). Так как эхо-запрос требует обработки и формирования ответного эхо-ответа, при получении большого количества эхо-запросов система не способна их обработать и происходит сбой сетевого устройства и доступ легитимных пользователей прекращается [57].

Рисунок 1.5. Принцип действия ICMP-флуда. По [58], с изменениями

2. Сетевые атаки типа «отказ в обслуживании» на уровнях L7 модели OSI

Сетевые распределенные атаки на прикладном уровне модели OSI нацелены на использования уязвимостей приложений или Веб-серверы. Кроме этого, они являются наиболее трудными для обнаружения, поскольку не приводят к большому всплеску входящего трафика (обычно до 1 тысячи пакетов в секунду). По этой причине становится невозможно отследить подобные атаки стандартными анализаторами. Принцип таких атак заключается в составлении сложных запросов, требующих от сервера больших затрат мощностей или увеличения исходящего трафика до критических значений. Поэтому зачастую атаки на L7 уровень носят лавинообразный характер.