Если вы хотите привязать его к стартапу, который полагается на бессерверную инфраструктуру, вы можете каждый месяц наносить финансовый ущерб в размере 40 000 долларов с помощью скромного ботнета из 1000 узлов.

Эта оценка сделана специалистами по информатике Дэниелом Келли, Фрэнком Главином и Эндой Барретт из Национального университета Ирландии в Голуэе. недавняя статья, «Отказ в использовании кошелька — определение надвигающейся угрозы бессерверным вычислениям».

Атаки Denial of Wallet или DoW на самом деле не являются широко признанной угрозой — как отмечают авторы, «публично не регистрировались DoW-атаки». Но сообщалось о них как следствие развертывание некачественного кода и беспокойство о возможности было обдумывал за последние несколько лет.

Итак, три наших академика из NUIG попытались смоделировать, как могут работать такие атаки.

Термин «отказ в использовании кошелька», отсылка к «отказу в обслуживании», восходит как минимум к 2013 г., за год до того, как Amazon запустила предложение безсерверной Lambda. Это стало обычным явлением примерно в 2017 году, когда OWASP. Но беспокойство о непредвиденных расходах в контексте облачных вычислений, часто называемое шоком счета, возникло еще в прошлом. более десяти лет.

В 2008 году DoW было названо экономическим отрицанием устойчивости (EDoS).

Аналогичный метод, разные результаты

DoS-атаки и DoW-атаки имеют разные цели: первая направлена ​​на исчерпание вычислительных ресурсов, а вторая — на истощение финансовых ресурсов.

Атака DoS может иметь тот же финансовый эффект, что и атака DoW, если целевая компания пытается потратить DoS, заплатив за ИТ-ресурсы для обработки сокрушительной нагрузки сетевых запросов. Но то же самое нельзя сказать о DoW-атаке, где защита состоит в том, чтобы останавливать или контролировать расходы.

Плоские линии сердечного монитора

Читайте также:
Как Facebook использует общедоступные видео для обучения, развертывания моделей машинного обучения и привлечения внимания к ним • The Register

Google Cloud (окончание) Run: как бесплатный пробный эксперимент закончился счетом в 72000 долларов в одночасье

ЧИТАТЬ ДАЛЕЕ

Трое ученых признают, что есть много вещей, которые можно сделать для снижения риска DoW-атак, например, написание эффективных бессерверных функций, установка ограничений на время и использование диска, применение дросселирования для вызовов API, обеспечение контроля доступа и использование библиотек, обеспечивающих защиту от приложений. послойные нападения на основе ReDoS или Миллиард-Смех-Атака.

«Однако это не защищает от потенциальных атак, охватывающих длительные сроки и большое количество атакующих узлов, которые неизбежно увеличивают время выполнения функции», — заявляют они. «Установка ограничений, таких как тайм-ауты, использование диска и регулирование API, переводит атаку с DoW (истощение финансов) на DoS (истощение ресурсов).

«Контроль доступа настолько эффективен, насколько сложно получить учетные данные. Хотя функции администратора могут быть безопасными, конечные точки API, доступные владельцам учетных записей приложения, уязвимы для использования поддельными пользователями».

Келли, Главин и Барретт утверждают, что медленная атака с похищением, предназначенная для непрерывного попадания в конечные точки API для вызова функций, является наиболее эффективным способом обхода защиты, адаптированной к атакам типа DoS, например правил ограничения скорости. Они также утверждают, что эффективная атака DoW должна учитывать не только способ работы конкретных бессерверных сервисов, но и то, были ли плохо реализованы атакуемые облачные функции.

«Чтобы полностью осознать потенциальный вред, который может нанести DoW-атака, ее не следует рассматривать просто как медленную DoS-атаку», — говорят они. «Вместо этого он должен полностью использовать любые упущения, которые мог сделать разработчик. Если не существует ограничений, налагаемых на функции, обрабатывающие файлы, время выполнения функции увеличится».

Читайте также:
Лаборатория Касперского предупреждает об опасном трояне на Android

И в реальном мире

Например, они отмечают, что, поскольку функции Microsoft Azure не позволяют разработчикам настраивать выделение памяти для функции, как на других бессерверных платформах, злоумышленник может заставить функцию Azure масштабироваться до более высокого выделения памяти для обработки больших входных данных.

Чтобы продемонстрировать потенциал таких атак, специалисты Boffins создали эмулятор цен на бессерверную платформу. Это программа Python, связанная с кодом мониторинга Prometheus, который находится поверх бессерверного развертывания OpenFaaS для тестирования стоимости вызовов функций в AWS Lambda, Google Cloud Functions, IBM Cloud Functions и Microsoft Azure Functions.

Скромная бот-сеть из 1000 узлов … обойдется владельцу приложения от 400000 до 500000 долларов, если не проверять его в течение года.

Используя машины, на которых запущен скрипт Python, который выдает GET-запросы к функциям, а затем циклически меняет свой IP-адрес, вместе с инструментом DoS Low-Orbit Ion Cannon, юнитрио разработало атаку, основанную на проверке концепции, на основе распространенного сценария бессерверных функций — повторной обработки изображений. , то есть создание миниатюр из загруженного пользователем изображения.

С изображением размером 4032 × 3024 пикселей с Apple iPhone X, boffins вычисляет бессерверную функцию с выделением памяти 512 МБ, время выполнения составит 2950 мс. Когда они посмотрели, сколько это будет стоить с течением времени, они обнаружили, что больше всего стоят Google Cloud Functions, за ними следуют AWS Lambda, IBM Cloud Functions и, наконец, Azure Functions.

Читайте также:
Как удалить все оповещения на Apple Watch

«Со скромной бот-сетью из 1000 узлов медленная атака на 2000 запросов в час обойдется владельцу приложения примерно в 40 000 долларов через месяц и от 400 000 до 500 000 долларов, если ее не остановить в течение года», — сообщают они. «Количество атакующих узлов просто линейно влияет на финансовый ущерб. Ботнет из 100 000 узлов нанесет тот же ущерб за один месяц, что и 1000 узлов за год».

Теперь нам просто нужно дождаться, пока кто-нибудь попробует DoW-атаку в дикой природе, если это еще не произошло и осталось незамеченным. ®