DDoS সুরক্ষা বাজারে কি এবং কারা কারা

"যে লোকটি আমাদের ওয়েবসাইট তৈরি করেছে সে ইতিমধ্যেই DDoS সুরক্ষা সেট আপ করেছে।"
"আমাদের DDoS সুরক্ষা আছে, কেন সাইটটি নিচে চলে গেল?"
"ক্বারাটর কত হাজার চায়?"

গ্রাহক/বসের কাছ থেকে এই ধরনের প্রশ্নের সঠিক উত্তর দেওয়ার জন্য, "DDoS সুরক্ষা" নামের পিছনে কী লুকিয়ে আছে তা জেনে ভালো লাগবে৷ নিরাপত্তা পরিষেবাগুলি বেছে নেওয়া IKEA-তে একটি টেবিল বেছে নেওয়ার চেয়ে ডাক্তারের কাছ থেকে ওষুধ বেছে নেওয়ার মতো।

আমি 11 বছর ধরে ওয়েবসাইটগুলিকে সমর্থন করছি, আমি যে পরিষেবাগুলি সমর্থন করি তার উপর শত শত আক্রমণ থেকে বেঁচে গেছি, এবং এখন আমি আপনাকে সুরক্ষার অভ্যন্তরীণ কাজগুলি সম্পর্কে একটু বলব৷

নিয়মিত আক্রমণ। মোট 350k অনুরোধ, 52k অনুরোধ বৈধ

প্রথম আক্রমণ ইন্টারনেটের সাথে প্রায় একযোগে প্রদর্শিত হয়. DDoS একটি ঘটনা হিসাবে 2000 এর দশকের শেষের দিক থেকে ব্যাপক হয়ে উঠেছে (চেক আউট www.cloudflare.com/learning/ddos/famous-ddos-attacks).
প্রায় 2015-2016 সাল থেকে, প্রায় সমস্ত হোস্টিং প্রদানকারীকে DDoS আক্রমণ থেকে সুরক্ষিত করা হয়েছে, যেমন প্রতিযোগিতামূলক এলাকায় সবচেয়ে বিশিষ্ট সাইট রয়েছে (whois সাইটগুলির IP দ্বারা eldorado.ru, leroymerlin.ru, tilda.ws, আপনি নেটওয়ার্কগুলি দেখতে পাবেন সুরক্ষা অপারেটরদের)।

যদি 10-20 বছর আগে বেশিরভাগ আক্রমণগুলি সার্ভারেই প্রতিহত করা যেতে পারে (90 এর দশক থেকে Lenta.ru সিস্টেম অ্যাডমিনিস্ট্রেটর ম্যাক্সিম মোশকভের সুপারিশগুলি মূল্যায়ন করুন: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), কিন্তু এখন সুরক্ষা কাজগুলি আরও কঠিন হয়ে উঠেছে।

সুরক্ষা অপারেটর বেছে নেওয়ার দৃষ্টিকোণ থেকে DDoS আক্রমণের ধরন

L3/L4 স্তরে আক্রমণ (ওএসআই মডেল অনুযায়ী)

— একটি বটনেট থেকে UDP ফ্লাড (অনেক অনুরোধ সরাসরি সংক্রামিত ডিভাইস থেকে আক্রমণ করা পরিষেবাতে পাঠানো হয়, সার্ভারগুলি চ্যানেলের সাথে ব্লক করা হয়);
— ডিএনএস/এনটিপি/ইত্যাদি পরিবর্ধন (সংক্রমিত ডিভাইসগুলি থেকে দুর্বল DNS/এনটিপি/ইত্যাদিতে অনেক অনুরোধ পাঠানো হয়, প্রেরকের ঠিকানা জাল, অনুরোধের প্রতিক্রিয়ায় প্যাকেটের একটি মেঘ আক্রমণ করা ব্যক্তির চ্যানেল প্লাবিত করে; এভাবেই সবচেয়ে বেশি আধুনিক ইন্টারনেটে ব্যাপক হামলা চালানো হয়);
— SYN / ACK বন্যা (সংযোগ স্থাপনের জন্য অনেক অনুরোধ আক্রমণ করা সার্ভারে পাঠানো হয়, সংযোগের সারি উপচে পড়ে);
— প্যাকেট ফ্র্যাগমেন্টেশন, পিং অফ ডেথ, পিং ফ্লাড সহ আক্রমণ (গুগল দয়া করে);
- এবং তাই

এই আক্রমণগুলির লক্ষ্য সার্ভারের চ্যানেলকে "জমাট করা" বা নতুন ট্র্যাফিক গ্রহণ করার ক্ষমতাকে "হত্যা" করা।
যদিও SYN/ACK ফ্লাডিং এবং অ্যামপ্লিফিকেশন খুব আলাদা, অনেক কোম্পানি সমানভাবে তাদের সাথে লড়াই করে। পরবর্তী গ্রুপ থেকে আক্রমণের সাথে সমস্যা দেখা দেয়।

L7 এর উপর আক্রমণ (অ্যাপ্লিকেশন স্তর)

— http বন্যা (যদি একটি ওয়েবসাইট বা কিছু http এপিআই আক্রমণ করা হয়);
— সাইটের ঝুঁকিপূর্ণ এলাকায় আক্রমণ (যাদের ক্যাশে নেই, যেগুলি সাইটটি খুব বেশি লোড করে, ইত্যাদি)।

লক্ষ্য হল সার্ভারকে "কঠোর পরিশ্রম করা", প্রচুর "আপাতদৃষ্টিতে বাস্তব অনুরোধ" প্রক্রিয়া করা এবং প্রকৃত অনুরোধের জন্য সংস্থান ছাড়াই ছেড়ে দেওয়া।

যদিও অন্যান্য আক্রমণ আছে, এগুলোই সবচেয়ে সাধারণ।

L7 স্তরে গুরুতর আক্রমণগুলি আক্রমণ করা প্রতিটি প্রকল্পের জন্য একটি অনন্য উপায়ে তৈরি করা হয়।

কেন 2 দল?
কারণ এমন অনেকেই আছেন যারা L3/L4 স্তরে আক্রমণগুলিকে ভালভাবে প্রতিহত করতে জানেন, কিন্তু হয় অ্যাপ্লিকেশন স্তরে (L7) একেবারেই সুরক্ষা গ্রহণ করেন না, অথবা তাদের মোকাবেলায় বিকল্পগুলির তুলনায় এখনও দুর্বল৷

DDoS সুরক্ষা বাজারে কে কে

(আমার ব্যক্তিগত মতামত)

L3/L4 স্তরে সুরক্ষা

অ্যামপ্লিফিকেশন (সার্ভার চ্যানেলের "অবরোধ") সহ আক্রমণ প্রতিহত করার জন্য, যথেষ্ট প্রশস্ত চ্যানেল রয়েছে (অনেক সুরক্ষা পরিষেবা রাশিয়ার বেশিরভাগ বৃহৎ ব্যাকবোন প্রদানকারীদের সাথে সংযুক্ত এবং 1 টিবিটের বেশি তাত্ত্বিক ক্ষমতা সহ চ্যানেল রয়েছে)। ভুলে যাবেন না যে খুব বিরল পরিবর্ধন আক্রমণগুলি এক ঘন্টার বেশি স্থায়ী হয়। আপনি যদি স্পামহাউস হন এবং সবাই আপনাকে পছন্দ না করে, হ্যাঁ, তারা আপনার চ্যানেলগুলিকে কয়েক দিনের জন্য বন্ধ করার চেষ্টা করতে পারে, এমনকি বিশ্বব্যাপী বটনেটের আরও বেঁচে থাকার ঝুঁকিতেও। আপনার যদি শুধু একটি অনলাইন স্টোর থাকে, এমনকি এটি mvideo.ru হলেও, আপনি খুব শীঘ্রই 1 টিবিট দেখতে পাবেন না (আমি আশা করি)।

SYN/ACK ফ্লাডিং, প্যাকেট ফ্র্যাগমেন্টেশন ইত্যাদির মাধ্যমে আক্রমণ প্রতিহত করতে, এই ধরনের আক্রমণ শনাক্ত করতে এবং বন্ধ করার জন্য আপনার সরঞ্জাম বা সফ্টওয়্যার সিস্টেমের প্রয়োজন।
অনেক লোক এই জাতীয় সরঞ্জাম তৈরি করে (আর্বার, সিসকো, হুয়াওয়ে থেকে সমাধান রয়েছে, ওয়ানগার্ড থেকে সফ্টওয়্যার বাস্তবায়ন ইত্যাদি), অনেক ব্যাকবোন অপারেটর ইতিমধ্যে এটি ইনস্টল করেছে এবং ডিডিওএস সুরক্ষা পরিষেবা বিক্রি করেছে (আমি রোস্টেলকম, মেগাফোন, টিটিকে, এমটিএস থেকে ইনস্টলেশন সম্পর্কে জানি। , আসলে, সমস্ত প্রধান প্রদানকারী তাদের নিজস্ব সুরক্ষা সহ হোস্টারদের সাথে একই কাজ করে a-la OVH.com, Hetzner.de, আমি নিজেই ihor.ru এ সুরক্ষার সম্মুখীন হয়েছি)। কিছু কোম্পানি তাদের নিজস্ব সফ্টওয়্যার সমাধান তৈরি করছে (DPDK-এর মতো প্রযুক্তি আপনাকে একটি শারীরিক x86 মেশিনে দশ গিগাবিট ট্রাফিক প্রক্রিয়া করার অনুমতি দেয়)।

সুপরিচিত খেলোয়াড়দের মধ্যে, সবাই কমবেশি কার্যকরভাবে L3/L4 DDoS-এর বিরুদ্ধে লড়াই করতে পারে। এখন আমি বলব না কার কাছে কার চ্যানেলের ক্ষমতা বেশি (এটি অভ্যন্তরীণ তথ্য), তবে সাধারণত এটি এত গুরুত্বপূর্ণ নয়, এবং শুধুমাত্র পার্থক্য হল কত দ্রুত সুরক্ষা ট্রিগার হয় (তাত্ক্ষণিকভাবে বা প্রকল্প ডাউনটাইমের কয়েক মিনিট পরে, হেটজনারের মতো)।
প্রশ্ন হল এটি কতটা ভালভাবে করা হয়েছে: সবচেয়ে বেশি পরিমাণে ক্ষতিকারক ট্র্যাফিক রয়েছে এমন দেশগুলির ট্র্যাফিক ব্লক করে একটি পরিবর্ধন আক্রমণ প্রতিহত করা যেতে পারে, বা শুধুমাত্র সত্যিকারের অপ্রয়োজনীয় ট্র্যাফিক বাতিল করা যেতে পারে।
কিন্তু একই সময়ে, আমার অভিজ্ঞতার ভিত্তিতে, সমস্ত গুরুতর বাজারের খেলোয়াড়রা সমস্যা ছাড়াই এটি মোকাবেলা করে: Qrator, DDoS-Guard, Kaspersky, G-Core Labs (পূর্বে SkyParkCDN), ServicePipe, Stormwall, Voxility, ইত্যাদি।
আমি Rostelecom, Megafon, TTK, Beeline এর মতো অপারেটরদের কাছ থেকে সুরক্ষার সম্মুখীন হইনি; সহকর্মীদের পর্যালোচনা অনুসারে, তারা এই পরিষেবাগুলি বেশ ভালভাবে সরবরাহ করে, তবে এখনও অবধি অভিজ্ঞতার অভাব পর্যায়ক্রমে প্রভাবিত করছে: কখনও কখনও আপনাকে সমর্থনের মাধ্যমে কিছু পরিবর্তন করতে হবে সুরক্ষা অপারেটরের।
কিছু অপারেটরের একটি পৃথক পরিষেবা রয়েছে "L3/L4 স্তরে আক্রমণের বিরুদ্ধে সুরক্ষা", বা "চ্যানেল সুরক্ষা"; এটি সমস্ত স্তরে সুরক্ষার চেয়ে অনেক কম খরচ করে৷

কেন এটি ব্যাকবোন প্রদানকারী নয় যে শত শত Gbits এর আক্রমণ প্রতিহত করে, যেহেতু এর নিজস্ব চ্যানেল নেই?সুরক্ষা অপারেটর যেকোনো প্রধান প্রদানকারীর সাথে সংযোগ স্থাপন করতে পারে এবং আক্রমণ প্রতিহত করতে পারে "তার খরচে।" আপনাকে চ্যানেলের জন্য অর্থ প্রদান করতে হবে, তবে এই সমস্ত শত শত Gbits সর্বদা ব্যবহার করা হবে না; এই ক্ষেত্রে চ্যানেলগুলির ব্যয় উল্লেখযোগ্যভাবে হ্রাস করার বিকল্প রয়েছে, তাই স্কিমটি কার্যকর থাকে।

হোস্টিং প্রদানকারীর সিস্টেমগুলিকে সমর্থন করার সময় আমি উচ্চ-স্তরের L3/L4 সুরক্ষা থেকে নিয়মিত প্রাপ্ত রিপোর্টগুলি।

L7 স্তরে সুরক্ষা (অ্যাপ্লিকেশন স্তর)

L7 স্তরে (অ্যাপ্লিকেশন স্তর) আক্রমণগুলি ইউনিটগুলিকে ধারাবাহিকভাবে এবং দক্ষতার সাথে প্রতিহত করতে সক্ষম।
আমি সঙ্গে বাস্তব অভিজ্ঞতা বেশ অনেক আছে
— Qrator.net;
— DDoS-গার্ড;
- জি-কোর ল্যাবস;
- ক্যাসপারস্কি।

তারা বিশুদ্ধ ট্র্যাফিকের প্রতিটি মেগাবিটের জন্য চার্জ করে, একটি মেগাবিটের দাম প্রায় কয়েক হাজার রুবেল। আপনার যদি কমপক্ষে 100 এমবিপিএস বিশুদ্ধ ট্র্যাফিক থাকে - ওহ। সুরক্ষা খুব ব্যয়বহুল হবে। আমি আপনাকে নিম্নলিখিত নিবন্ধগুলিতে বলতে পারি যে কীভাবে সুরক্ষা চ্যানেলগুলির ক্ষমতার উপর প্রচুর সংরক্ষণ করার জন্য অ্যাপ্লিকেশনগুলি ডিজাইন করতে হয়।
আসল "পাহাড়ের রাজা" হল Qrator.net, বাকিরা তাদের থেকে পিছিয়ে। আমার অভিজ্ঞতায় এখন পর্যন্ত কিউরেটরই একমাত্র যারা মিথ্যা ইতিবাচকের শতাংশ শূন্যের কাছাকাছি দেয়, কিন্তু একই সময়ে তারা অন্যান্য বাজারের খেলোয়াড়দের তুলনায় কয়েকগুণ বেশি ব্যয়বহুল।

অন্যান্য অপারেটরগুলিও উচ্চ-মানের এবং স্থিতিশীল সুরক্ষা প্রদান করে। আমাদের দ্বারা সমর্থিত অনেক পরিষেবা (দেশের খুব পরিচিত পরিষেবা সহ!) DDoS-Guard, G-Core Labs থেকে সুরক্ষিত এবং প্রাপ্ত ফলাফলের সাথে যথেষ্ট সন্তুষ্ট।

Qrator দ্বারা আক্রমণ প্রতিহত

ক্লাউড-শিল্ড.রু, ddosa.net, হাজার হাজারের মতো ছোট নিরাপত্তা অপারেটরদের সাথেও আমার অভিজ্ঞতা আছে। আমি অবশ্যই এটি সুপারিশ করব না, কারণ ... আমার খুব বেশি অভিজ্ঞতা নেই, তবে আমি আপনাকে তাদের কাজের নীতিগুলি সম্পর্কে বলব। তাদের সুরক্ষার খরচ প্রায়ই প্রধান খেলোয়াড়দের তুলনায় 1-2 মাত্রার কম। একটি নিয়ম হিসাবে, তারা একটি বড় খেলোয়াড়দের থেকে একটি আংশিক সুরক্ষা পরিষেবা (L3/L4) কিনে + উচ্চ স্তরে আক্রমণের বিরুদ্ধে তাদের নিজস্ব সুরক্ষা করে। এটি বেশ কার্যকর হতে পারে + আপনি কম টাকায় ভাল পরিষেবা পেতে পারেন, তবে এগুলি এখনও একটি ছোট কর্মী সহ ছোট সংস্থা, দয়া করে এটি মনে রাখবেন।

L7 স্তরে আক্রমণ প্রতিহত করতে অসুবিধা কি?

সমস্ত অ্যাপ্লিকেশন অনন্য, এবং আপনাকে তাদের জন্য উপযোগী ট্রাফিকের অনুমতি দিতে হবে এবং ক্ষতিকারকগুলিকে ব্লক করতে হবে। বটগুলিকে অবশ্যই আগাছা বের করা সবসময় সম্ভব নয়, তাই আপনাকে অনেক, সত্যিই অনেক ডিগ্রী ট্রাফিক পরিশোধন ব্যবহার করতে হবে।

একসময়, nginx-testcookie মডিউল যথেষ্ট ছিল (https://github.com/kyprizel/testcookie-nginx-module), এবং এটি এখনও প্রচুর সংখ্যক আক্রমণ প্রতিহত করার জন্য যথেষ্ট। আমি যখন হোস্টিং শিল্পে কাজ করতাম, তখন L7 সুরক্ষা nginx-testcookie-এর উপর ভিত্তি করে ছিল।
দুর্ভাগ্যক্রমে, আক্রমণগুলি আরও কঠিন হয়ে উঠেছে। testcookie JS-ভিত্তিক বট চেক ব্যবহার করে এবং অনেক আধুনিক বট সফলভাবে সেগুলি পাস করতে পারে।

অ্যাটাক বটনেটগুলিও অনন্য, এবং প্রতিটি বড় বটনেটের বৈশিষ্ট্যগুলি অবশ্যই বিবেচনায় নেওয়া উচিত।
অ্যামপ্লিফিকেশন, বটনেট থেকে সরাসরি বন্যা, বিভিন্ন দেশ থেকে ট্রাফিক ফিল্টারিং (বিভিন্ন দেশের জন্য আলাদা ফিল্টারিং), SYN/ACK ফ্লাডিং, প্যাকেট ফ্র্যাগমেন্টেশন, ICMP, http ফ্লাডিং, যখন অ্যাপ্লিকেশন/http স্তরে আপনি সীমাহীন সংখ্যক নিয়ে আসতে পারেন বিভিন্ন আক্রমণ।
মোট, চ্যানেল সুরক্ষার স্তরে, ট্র্যাফিক সাফ করার জন্য বিশেষ সরঞ্জাম, বিশেষ সফ্টওয়্যার, প্রতিটি ক্লায়েন্টের জন্য অতিরিক্ত ফিল্টারিং সেটিংস দশ এবং শত শত ফিল্টারিং স্তর থাকতে পারে।
এটি সঠিকভাবে পরিচালনা করতে এবং বিভিন্ন ব্যবহারকারীদের জন্য সঠিকভাবে ফিল্টারিং সেটিংস টিউন করতে, আপনার প্রচুর অভিজ্ঞতা এবং যোগ্য কর্মীদের প্রয়োজন। এমনকি একটি বৃহৎ অপারেটর যে সুরক্ষা পরিষেবা প্রদানের সিদ্ধান্ত নিয়েছে তারা "নির্বোধভাবে সমস্যায় অর্থ নিক্ষেপ" করতে পারে না: মিথ্যা সাইটগুলি থেকে অভিজ্ঞতা অর্জন করতে হবে এবং বৈধ ট্র্যাফিকের মিথ্যা ইতিবাচক হতে হবে।
সিকিউরিটি অপারেটরের জন্য কোন "রিপেল ডিডিওএস" বোতাম নেই; প্রচুর সংখ্যক টুল রয়েছে এবং সেগুলি কীভাবে ব্যবহার করতে হয় তা আপনাকে জানতে হবে।

এবং আরো একটি বোনাস উদাহরণ.

600 Mbit ক্ষমতা সহ একটি আক্রমণের সময় হোস্টার দ্বারা একটি অরক্ষিত সার্ভার ব্লক করা হয়েছিল
(ট্র্যাফিকের "ক্ষতি" লক্ষণীয় নয়, কারণ মাত্র 1টি সাইট আক্রমণ করা হয়েছিল, এটি সাময়িকভাবে সার্ভার থেকে সরানো হয়েছিল এবং এক ঘন্টার মধ্যে ব্লকিং তুলে নেওয়া হয়েছিল)।

একই সার্ভার সুরক্ষিত। আক্রমণকারীরা একদিন পরপর আক্রমণের পর "আত্মসমর্পণ" করে। হামলা নিজেই সবচেয়ে শক্তিশালী ছিল না।

L3/L4 এর আক্রমণ এবং প্রতিরক্ষা আরও তুচ্ছ; এগুলি প্রধানত চ্যানেলের পুরুত্ব, আক্রমণের জন্য সনাক্তকরণ এবং ফিল্টারিং অ্যালগরিদমের উপর নির্ভর করে।
L7 আক্রমণগুলি আরও জটিল এবং আসল; এগুলি আক্রমণ করা অ্যাপ্লিকেশন, আক্রমণকারীদের ক্ষমতা এবং কল্পনার উপর নির্ভর করে। তাদের বিরুদ্ধে সুরক্ষা অনেক জ্ঞান এবং অভিজ্ঞতা প্রয়োজন, এবং ফলাফল অবিলম্বে এবং একশ শতাংশ নাও হতে পারে। যতক্ষণ না Google সুরক্ষার জন্য আরেকটি নিউরাল নেটওয়ার্ক নিয়ে আসে।

উত্স: www.habr.com