Een ICMP-overstromingsaanval is een soort denial-of-service (DoS)-aanval die het Internet Control Message Protocol (ICMP) gebruikt om een doelsysteem te overspoelen met verzoeken. Het kan worden gebruikt om zowel servers als individuele werkstations te targeten.
Om u te beschermen tegen een ICMP-overstromingsaanval, is het belangrijk om te begrijpen wat het is en hoe het werkt.
Wat is een ICMP-overstromingsaanval?
Een ICMP-flood-aanval, ook wel ping-flood-aanval of smurf-aanval genoemd, is een DDoS-aanval (Distributed Denial of Service) op de netwerklaag waarbij de aanvaller probeert een gericht apparaat te overmeesteren door een overmatige hoeveelheid ICMP-echoverzoek (Internet Control Message Protocol) te verzenden pakketten. Deze pakketten worden snel achter elkaar verzonden om het doelapparaat te overweldigen, waardoor wordt voorkomen dat het legitiem verkeer verwerkt. Dit type aanval wordt vaak gebruikt in combinatie met
andere vormen van DDoS-aanvallen als onderdeel van een multi-vector aanval.Het doel kan een server of een netwerk als geheel zijn. Het enorme aantal van deze verzoeken kan ervoor zorgen dat het doelwit overweldigd raakt, wat resulteert in een onvermogen om legitiem verkeer te verwerken, verstoring van services of zelfs een volledige systeemstoring.
De meeste ICMP-overstromingsaanvallen gebruiken een techniek die "spoofing" wordt genoemd, waarbij de aanvaller pakketten naar het doel stuurt met een vervalst bronadres dat afkomstig lijkt te zijn van een vertrouwde bron. Dit maakt het voor het doelwit moeilijker om onderscheid te maken tussen legitiem en kwaadaardig verkeer.
Door middel van spoofing stuurt de aanvaller een groot aantal ICMP-echoverzoeken naar het doelwit. Als elk verzoek binnenkomt, heeft het doel geen andere keuze dan te antwoorden met een ICMP-echoantwoord. Dit kan het doelapparaat snel overweldigen en ervoor zorgen dat het niet meer reageert of zelfs crasht.
Ten slotte kan de aanvaller ICMP-omleidingspakketten naar het doelwit sturen in een poging om de routeringstabellen verder te verstoren en communicatie met andere netwerkknooppunten onmogelijk te maken.
Hoe een ICMP-overstromingsaanval te detecteren
Er zijn bepaalde tekenen die erop wijzen dat er mogelijk een ICMP-overstromingsaanval gaande is.
1. Plotselinge toename van netwerkverkeer
De meest voorkomende indicatie van een ICMP-overstromingsaanval is een plotselinge toename van het netwerkverkeer. Dit gaat vaak gepaard met een hoge pakketsnelheid van een enkel bron-IP-adres. Dit kan eenvoudig worden gecontroleerd in tools voor netwerkbewaking.
2. Ongebruikelijk veel uitgaand verkeer
Een andere indicatie van een ICMP-overstromingsaanval is ongewoon veel uitgaand verkeer van het doelapparaat. Dit komt doordat de echo-responspakketten worden teruggestuurd naar de machine van de aanvaller, die vaak groter zijn dan de oorspronkelijke ICMP-verzoeken. Als u veel meer verkeer opmerkt dan normaal op uw doelapparaat, kan dit een teken zijn van een voortdurende aanval.
3. Hoge pakketsnelheden vanaf een IP-adres met één bron
De machine van de aanvaller verzendt vaak een ongewoon hoog aantal pakketten vanaf een enkel bron-IP-adres. Deze kunnen worden gedetecteerd door het inkomende verkeer naar het doelapparaat te monitoren en te zoeken naar pakketten met een bron-IP-adres met een ongebruikelijk groot aantal pakketten.
4. Voortdurende pieken in netwerklatentie
Netwerklatentie kan ook een teken zijn van een ICMP-overstromingsaanval. Naarmate de machine van de aanvaller steeds meer verzoeken naar het doelapparaat stuurt, neemt de tijd die nieuwe pakketten nodig hebben om hun bestemming te bereiken toe. Dit resulteert in een voortdurende toename van netwerklatentie, wat uiteindelijk kan leiden tot systeemstoringen als het niet correct wordt aangepakt.
5. Toename van CPU-gebruik op het doelsysteem
Het CPU-gebruik van het doelsysteem kan ook een indicatie zijn van een ICMP-overstromingsaanval. Naarmate er meer en meer verzoeken naar het doelapparaat worden verzonden, moet de CPU harder werken om ze allemaal te verwerken. Dit resulteert in een plotselinge piek in het CPU-gebruik, waardoor het systeem niet meer reageert of zelfs crasht als het niet wordt aangevinkt.
6. Lage doorvoer voor legitiem verkeer
Ten slotte kan een ICMP-overstromingsaanval ook resulteren in een lage doorvoer voor legitiem verkeer. Dit komt door het enorme aantal verzoeken dat door de machine van de aanvaller wordt verzonden, waardoor het doelapparaat wordt overweldigd en het andere inkomend verkeer niet kan verwerken.
Waarom is ICMP Flood Attack gevaarlijk?
Een ICMP-overstromingsaanval kan aanzienlijke schade aanrichten aan een doelsysteem. Het kan leiden tot netwerkcongestie, pakketverlies en latentieproblemen waardoor normaal verkeer zijn bestemming niet kan bereiken.
Bovendien kan een aanvaller via misbruik toegang krijgen tot het interne netwerk van het doelwit beveiligingsproblemen in hun systeem.
Daarnaast kan de aanvaller mogelijk andere kwaadaardige activiteiten uitvoeren, zoals het verzenden van grote hoeveelheden ongevraagde gegevens of het starten van gedistribueerde denial-of-service (DDoS)-aanvallen tegen andere systemen.
Hoe ICMP-overstromingsaanvallen te voorkomen
Er zijn verschillende maatregelen die genomen kunnen worden om een ICMP overstromingsaanval te voorkomen.
- Snelheidsbeperking: Snelheidsbeperking is een van de meest effectieve methoden om ICMP-overstromingsaanvallen te voorkomen. Bij deze techniek wordt het maximale aantal verzoeken of pakketten ingesteld dat binnen een bepaalde tijd naar een doelapparaat kan worden verzonden. Alle pakketten die deze limiet overschrijden, worden geblokkeerd door de firewall, waardoor ze hun bestemming niet kunnen bereiken.
- Firewall- en inbraakdetectie- en preventiesystemen: firewalls en Inbraakdetectie- en -preventiesystemen (IDS/IPS) kan ook worden gebruikt om ICMP-overstromingsaanvallen te detecteren en te voorkomen. Deze systemen zijn ontworpen om netwerkverkeer te monitoren en verdachte activiteiten te blokkeren, zoals ongebruikelijk hoge pakketsnelheden of verzoeken die afkomstig zijn van IP-adressen met één bron.
- Netwerksegmentatie: Een andere manier om bescherming te bieden tegen ICMP-overstromingsaanvallen is om segmenteer het netwerk. Dit omvat het verdelen van het interne netwerk in kleinere subnetten en het creëren van firewalls ertussen, die kan helpen voorkomen dat een aanvaller toegang krijgt tot het hele systeem als een van de subnetten dat wel is gecompromitteerd.
- Verificatie bronadres: Bronadresverificatie is een andere manier om bescherming te bieden tegen ICMP-overstromingsaanvallen. Deze techniek omvat het verifiëren dat pakketten die van buiten het netwerk komen, daadwerkelijk afkomstig zijn van het bronadres waarvan ze beweren afkomstig te zijn. Alle pakketten die deze verificatie niet doorstaan, worden geblokkeerd door de firewall, waardoor ze hun bestemming niet kunnen bereiken.
Bescherm uw systeem tegen ICMP-overstromingsaanvallen
Een ICMP-overstromingsaanval kan aanzienlijke schade aanrichten aan een doelsysteem en wordt vaak gebruikt als onderdeel van een grotere kwaadaardige aanval.
Gelukkig zijn er verschillende maatregelen die u kunt nemen om dit type aanval te voorkomen, zoals snelheidsbeperking, het gebruik van firewalls en systemen voor inbraakdetectie en -preventie, netwerksegmentatie en bronadres verificatie. Het implementeren van deze maatregelen kan helpen de veiligheid van uw systeem te waarborgen en het te beschermen tegen potentiële aanvallers.