TACERT台灣學術網路危機處理中心

[技術]BlackNurse的阻斷式攻擊可以使用一台筆記型電腦就打下大型伺服器

發佈日期：2016-11-14

參考位址：● http://virusguides.com/blacknurse-dos-attacks-can-bring-large-servers-using-single-laptop/

消息內容：

BlackNurse的阻斷式攻擊可以使用一台筆記型電腦就打下大型伺服器

新聞來源：virusguides(CERT譯)

BlackNurse是網路攻擊領域中革命性的技術，駭客只需要一台筆記型電腦，使用最少數據來執行DoS攻擊。BlackNurse目標針對Cisco，SonicWall，Palo Alto與Zyxel防火牆，此方法只需要最小資源來讓大型伺服器下線。

丹麥電信商TDC安全作業中心對BlackNurse進行了研究，並撰寫了一份技術與嚴重性報告。研究人員強調該方法使用低的網路寬頻ICMP協定，並解釋BlackNurse能夠將知名的防火牆作DoS攻擊，不尋常的是攻擊者只需要簡單的設備與少量的數據來啟動攻擊。

TDC專家分享了他們對於該方法的觀察，BlackNurse攻擊引起了他們的注意，因為在他們的反DDoS系統中顯示網路流量與每秒的封包非常的低，造成客戶的服務品質下降，甚至是大型網路與企業防火牆均遭受此攻擊。我們預期專業的防火牆設備能夠處理這樣的攻擊。

BlackNurse使用ICMP類型3代碼3的「port unreachable」訊息來攻擊伺服器。這樣的訊息目的在於使防火牆的CPU超載。我們的研究團隊說明，根據我們的測試，一台筆記型電腦約可以產生每秒180Mbit的攻擊流量。所以產生以下結論，筆記型電腦擁有足夠的資源來造成目標伺服器CPU過載。

研究人員解釋BlackNurse如何使用15-18Mbps的低寬頻連接來進行DoS攻擊。這是為了達到每秒40-50k的封包量，不管你是否有多大的頻寬，會將不同的防火牆呈現高CPU負載。當攻擊持續進行，使用者從區域網路中將會無法傳送或獲得來自網際網路中的流量。在攻擊停止時，防火牆會回復。
TDC團隊確定了下列裝置可能遭受BlackNurse攻擊。

●Cisco ASA 5506, 5515, 5525 (default settings)
● Cisco ASA 5550 (legacy) and 5515-X (latest generation)
● Cisco Router 897 (can be mitigated)
● Some unverified Palo Alto
● SonicWall (misconfiguration can be changed and mitigated)
● Zyxel NWA3560-N (wireless attack from LAN side)
● Zyxel Zywall USG50

安全專家指出這些類型的設備容易遭受BlackNurse攻擊，我們看到 Cisco ASA防火牆有最大的問題，儘管你拒絕防火牆上所有ICMP的流量，還是會遭受約4Mbit的DoS攻擊流量。

TDC列出SNORT IDS規則來幫助使用者檢測是否遭受BlackNurse攻擊，另外一個使用者可以用的來源由OVH安全工程師發布在Github上。技術人員提供了PoC程式碼允許使用者檢查他們的設備是否容易遭受BlackNurse攻擊。

獨立軟體開發商NETRESEC也對BlackNurse技術做了些許貢獻，發布了一篇部落格文章說明ICMPunreachable message類型3的風險，與TDC的分析不同的是，建議Cisco ASA 5500阻斷所有來自WAN介面上的ICMP流量。

Palo Alto強調TDC的結果，幫助使用者抵擋BlackNurse攻擊，並發布了一些建議的清單。可以在SANS Internet Storm Center找到關於BlackNurse的攻擊事項，幫助使用者抵擋威脅。

回最新消息列表頁