18

Antes de tudo, um teste de stress, segundo essa resposta do @guiandmag é:

O Teste de Stress consiste em submeter o software a situações extremas. Basicamente, o teste de estresse baseia-se em testar os limites do software e avaliar seu comportamento. Assim, avalia-se até quando o software pode ser exigido e quais as falhas (se existirem) decorrentes do teste.

Sempre utilizei o JMeter para testar minhas aplicações. Sempre forcei ao máximo e para obter o que necessitava. Porém, ontem eu decidi testar outros sistemas/sites que existem por aí, e para minha "surpresa", muitos deles caíram.
Sendo mais específico, o que realizei foi uma requisição HTTP de 100 usuários a cada 0.2 segundos para uma determinada URL.

Minha primeira dúvida é: Isso pode ser considerado um ataque de negação de serviço? Levando em consideração que após sucesso ou falha dos testes eu não insisti novamente (sei que não justifica, mas quem sabe toca o coração de vocês rsrs).

Mas minha real dúvida é: O sistema cair é falha de infra ou de programação?

Vamos levar em consideração que você pode facilmente bloquear várias requisições pelo firewall ou outras ferramentas disponíveis. E também podemos verificar os IP's pela aplicação e realizar a comparação (o @lbotinelly nessa resposta).

Com isso vem a minha dúvida. Devemos garantir essa segurança, deixar para a infra ou a melhor opção seria as duas?

Ao tentar fazer esse teste com sites grandes, como o Google pro exemplo, meu IP é bloqueado por um determinado período, como segurança. Creio que não dê para saber se isso é pelo sistema ou pela infra, mas essa é a melhor abordagem para tratar esse tipo de "ataque"?


Para quem não conhece, este tutorial explica o que é JMeter e suas funcionalidades.

11
  • 2
    @Randrande, eu considero segurança um conceito muito amplo. E a responsabilidade é conjunta. Onde puder haver falha tem que haver um método de proteção. O software precisa ser seguro quando ele se responsabiliza pela utilização da porta. O software também tem especificações, como usuários por segundo máximo. Se a infra ajudar, fica melhor, não acha? Segurança é de todos. Commented 21/01/2016 às 12:12
  • 2
    @AndreMesquita Concordo plenamente com você. Falha de segurança é uma coisa que pode causar um enorme prejuízo para todos os envolvidos. Quanto mais segurança melhor. Claro, dentro das condições estabelecidas para o sistema. "Não é necessário um bunker para guardar um passarinho".
    – Randrade
    Commented 21/01/2016 às 12:19
  • 2
    Cair em um ataque DDos é limite da Infra sim, mas aplicações que consomem mais memória ou processo "ajudam" a acontecer mais rápido :/ - Mas não tem como prevenir ataques com programação (linguagem server-side web) de forma eficiente, o melhor é bloquear os ataques via algum tipo de FireWall, pois assim nem chega a "executar nada". Não posso explicar detalhadamente pois não entendo muito, por exemplo detectar ataques robotizados de IPs, como curtos intervalos. Isto geralmente quem faz é uma ferramenta na infra e geralmente não esta diretamente no teu servidor (corrija-me se confundi algo).
    – Syzoth
    Commented 21/01/2016 às 13:47
  • 1
    @GuilhermeNascimento Não confundiu nada. Um firewall + IPS ajudam não só isso como muitas outras coisas. Existem outras coisas como balanceamento de carga, que divide as requisições para mais servidores e assim vai. Agora o termo "de forma eficiente" é um pouco relativo. Você consegue fazer algo no sistema para "tentar" amenizar. Se é eficiente ou não depende muito da funcionalidade. Mas o sentido da pergunta é esse mesmo. Valeu pelo comentário.
    – Randrade
    Commented 21/01/2016 às 13:56
  • 2
    Obrigado, só mais uma nota, eu me concentrei em responder mais isto "O sistema cair é falha de infra ou de programação?" levando em consideração ataques. Só mais uma nota, uma aplicação com péssima perfomance também pode "derrubar o servidor" (na verdade travar) pois pode consumir muito os processos e childs do Apache por exemplo.
    – Syzoth
    Commented 21/01/2016 às 14:03

1 Resposta 1

7
+150

Existem vários conceitos ai e envolvem tópicos amplos que não tem um conjunto de definições muito claro ou comum. Mas, vamos tentar elucidar o problema real que mais me parece de definição.

Primeiro, rodar uma ferramenta de teste, telnet, rede, monitoramento, ping ou qualquer serviço sem autorização da equipe responsável e que tira o serviço do ar, independente do tempo, é um ataque, não importa a motivação. Você não tinha conhecimento do SLA dos serviços contratados, nem de quais rotinas o ambiente está rodando naquele momento e o nivel de disponibilidade contratual (inclusive com multas) é medido pela disponibilidade do serviço. Um teste, só pode ser considerado teste, se existe um comportamento para ser testado e conhecimento de quem opera o ambiente, já que por definição, um teste é uma ação controlada. Mesmo pesquisadores de segurança, só realizam ações ou divulgam dados, sob autorização.

Segundo, testes de Stress, sobrecarga e segurança, novamente, por definição são ações com escopo controlado. A responsabilidade técnica sobre a falha deve recair sobre a equipe que deveria implementar a especificação que gera o motivo do teste. Por exemplo, você ter como requisito não funcional de um projeto, atender a uma taxa x de conexões tcp, por segundo. Esse tipo de requisito é feito com base na previsão de numero de usuários da operação/produto. E o teste, novamente, com objetivo e definição previa gerada pela demanda (que serviu de base para compra de equipamentos, cluster, redundância, velocidade de discos, etc) é o motivo da execução da ferramenta. Para saber se o teste atende as especificações. Sendo assim, se estava especificado que a carga do DDoS seria corrigida via firewall, culpa da infra, se era via código, culpa do Dev.

Terceiro, se você trabalha com operações com processos de produto/software incrementais, que não possuem requisitos neste aspecto (deveria? certo?), geralmente as definições de papeis da equipe e as soluções mais triviais são a resposta. Mas, eu consideraria culpa dos 2 times. Porque alguem deveria ter checado, em ambientes sérios a implementação de redundância é algo padrão para os serviços se vai ser na camada de software ou hardware é apenas uma questão de custo benefício.

Os próprios procedimentos de recovery do ambiente são regularmente testados para auditoria interna e verificação de estabilidade/status de funcionamento da recuperação. O tipo de recuperação depende do que foi especificado nos procedimentos operacionais. Então, a culpa, por si só definida nos papéis e planos de ação, já esta definida.

Se ainda assim, ninguém pensou que podia sofrer uma ataque, é de todo mundo. Até porque, discutir a culpa sobre algo que não foi definido e encontrar um culpado (um time ou pessoa) além de ser uma incoerência, não ajuda em nada a resolver o problema e ainda cria discórdia.

Isso é muito mais transparente em projetos com Especificação formal ou projetos com requisitos de tempo real ou provas formais do software, onde é preciso provar que o software atende os requisitos. Em ambientes onde isso não é tão 'profundo' na cultura, as vezes, passa desapercebido.

Você pode encontrar mais informações em referências as metodos formais e engenharia de software de uma forma geral, além dos próprios livros de segurança, mas, "não existe bala de prata".

Uma boa discussão sobre falhas de software pode ser encontrada no livro Como Quebrar Códigos (http://www.buscape.com.br/como-quebrar-codigos-a-arte-de-explorar-e-proteger-software-greg-hoglund-gary-mcgraw-8534615462)

Você pode verificar material padronizado sobre segurança e padrões de vulnerabilidades e ataques aqui (https://www.owasp.org/index.php/Main_Page)

E uma introdução e visão da necessidade da utilização de métodos formais pode ser encontrado no link: http://www.ufpa.br/cdesouza/teaching/es/carla_metodos_formais.pdf

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .