Atak Smurf to odmiana ataku DoS/DDoS wykorzystująca mechanizm amplifikacji w protokole ICMP. Atakujący wysyła pakiety ICMP echo request na adres rozgłoszeniowy (broadcast) danej sieci, ale jako adres źródłowy wpisuje (spoofuje) adres IP ofiary. Skutek jest mnożnikowy: wiele urządzeń w sieci odpowiada pakietami echo reply nie do nadawcy, lecz do ofiary, co może przeciążyć łącze lub zasoby hosta.
Najbardziej adekwatnym środkiem ochrony "od strony Internetu" jest zapora ogniowa (oraz zwykle funkcje zapory/routera brzegowego), ponieważ działa w warstwie sieciowej i może:
- filtrować lub ograniczać ruch ICMP przychodzący z sieci zewnętrznych (np. echo request),
- blokować pakiety kierowane do adresów broadcast/directed broadcast,
- egzekwować reguły anti-spoofing (ingress/egress filtering), aby redukować ruch z fałszywymi adresami źródłowymi,
- rejestrować i wykrywać anomalie (nagłe skoki ICMP), co ułatwia reakcję na incydent.
Pozostałe propozycje są nieadekwatne do mechanizmu ataku. Skaner antywirusowy chroni głównie przed złośliwym oprogramowaniem na stacjach/serwerach (plikami, procesami), a nie przed przeciążeniem łącza ruchem ICMP z Internetu. Oprogramowanie antyspamowe dotyczy filtracji poczty, więc nie rozwiązuje problemu ruchu sieciowego typu broadcast/ICMP. Bezpieczna przeglądarka WWW wzmacnia bezpieczeństwo użytkownika w kontekście stron i skryptów, ale nie jest narzędziem do kontroli ruchu na granicy sieci.
W praktyce całkowite blokowanie ICMP bywa błędem administracyjnym (utrudnia diagnostykę), dlatego typowo stosuje się reguły selektywne: ograniczanie konkretnych typów ICMP, limitowanie (rate limiting), logowanie oraz poprawną konfigurację urządzeń brzegowych, w tym wyłączanie obsługi directed broadcast.
