DDoS আক্রমণের বিরুদ্ধে সম্পূর্ণ সুরক্ষা সহ হোস্টিং - মিথ বা বাস্তবতা

2020 সালের প্রথম দুই ত্রৈমাসিকে, DDoS আক্রমণের সংখ্যা প্রায় তিনগুণ বেড়েছে, যার মধ্যে 65% হল "লোড টেস্টিং" এর আদিম প্রচেষ্টা যা ছোট অনলাইন স্টোর, ফোরাম, ব্লগ এবং মিডিয়া আউটলেটগুলির প্রতিরক্ষাহীন সাইটগুলিকে সহজেই "অক্ষম" করে।

কিভাবে DDoS-সুরক্ষিত হোস্টিং নির্বাচন করবেন? আপনার কী মনোযোগ দেওয়া উচিত এবং আপনার কী প্রস্তুতি নেওয়া উচিত যাতে একটি অপ্রীতিকর পরিস্থিতিতে শেষ না হয়?

(ভিতরে "ধূসর" বিপণনের বিরুদ্ধে টিকা)

DDoS আক্রমণ চালানোর জন্য উপলভ্যতা এবং বিভিন্ন সরঞ্জাম অনলাইন পরিষেবার মালিকদের হুমকি মোকাবেলায় যথাযথ ব্যবস্থা নিতে বাধ্য করে। আপনার DDoS সুরক্ষা সম্পর্কে চিন্তা করা উচিত প্রথম ব্যর্থতার পরে নয়, এবং এমনকি পরিকাঠামোর ত্রুটি সহনশীলতা বাড়ানোর ব্যবস্থার একটি সেটের অংশ হিসাবে নয়, তবে স্থান নির্ধারণের জন্য একটি সাইট বেছে নেওয়ার পর্যায়ে (হোস্টিং প্রদানকারী বা ডেটা সেন্টার)।

DDoS আক্রমণগুলি প্রোটোকলগুলির উপর নির্ভর করে শ্রেণীবদ্ধ করা হয় যার দুর্বলতাগুলি ওপেন সিস্টেম ইন্টারকানেকশন (OSI) মডেলের স্তরে শোষিত হয়:

• চ্যানেল (L2),
• নেটওয়ার্ক (L3),
• পরিবহন (L4),
• প্রয়োগ করা হয়েছে (L7)।

নিরাপত্তা ব্যবস্থার দৃষ্টিকোণ থেকে, তাদের দুটি গ্রুপে সাধারণীকরণ করা যেতে পারে: অবকাঠামো স্তরের আক্রমণ (L2-L4) এবং অ্যাপ্লিকেশন স্তরের আক্রমণ (L7)। এটি ট্রাফিক অ্যানালাইসিস অ্যালগরিদম এবং কম্পিউটেশনাল জটিলতার সঞ্চালনের ক্রমগত কারণে: আমরা যত গভীরভাবে আইপি প্যাকেটের দিকে তাকাই, তত বেশি কম্পিউটিং শক্তি প্রয়োজন।

সাধারণভাবে, রিয়েল টাইমে ট্র্যাফিক প্রক্রিয়া করার সময় গণনা অপ্টিমাইজ করার সমস্যাটি নিবন্ধগুলির একটি পৃথক সিরিজের জন্য একটি বিষয়। এখন শুধু কল্পনা করা যাক যে শর্তসাপেক্ষে সীমাহীন কম্পিউটিং সংস্থান সহ কিছু ক্লাউড সরবরাহকারী রয়েছে যা সাইটগুলিকে অ্যাপ্লিকেশন-স্তরের আক্রমণ থেকে রক্ষা করতে পারে (সহ বিনামূল্যে).

DDoS আক্রমণের বিরুদ্ধে হোস্টিং নিরাপত্তার মাত্রা নির্ধারণের জন্য 3টি প্রধান প্রশ্ন

আসুন DDoS আক্রমণের বিরুদ্ধে সুরক্ষার জন্য পরিষেবার শর্তাবলী এবং হোস্টিং প্রদানকারীর পরিষেবা স্তরের চুক্তি (SLA) দেখি৷ তারা কি নিম্নলিখিত প্রশ্নের উত্তর ধারণ করে:

• কোন প্রযুক্তিগত সীমাবদ্ধতা পরিষেবা প্রদানকারী দ্বারা বিবৃত করা হয়??
• গ্রাহক সীমা ছাড়িয়ে গেলে কি হয়?
• কিভাবে একটি হোস্টিং প্রদানকারী DDoS আক্রমণের বিরুদ্ধে সুরক্ষা তৈরি করে (প্রযুক্তি, সমাধান, সরবরাহকারী)?

আপনি যদি এই তথ্যটি খুঁজে না পান, তবে এটি হয় পরিষেবা প্রদানকারীর গুরুত্ব সম্পর্কে চিন্তা করার একটি কারণ, অথবা আপনার নিজের থেকে মৌলিক DDoS সুরক্ষা (L3-4) সংগঠিত করা। উদাহরণস্বরূপ, একটি বিশেষ নিরাপত্তা প্রদানকারীর নেটওয়ার্কে একটি শারীরিক সংযোগ অর্ডার করুন।

গুরুত্বপূর্ণ! যদি আপনার হোস্টিং প্রদানকারী অবকাঠামো-স্তরের আক্রমণের বিরুদ্ধে সুরক্ষা প্রদান করতে সক্ষম না হয় তবে রিভার্স প্রক্সি ব্যবহার করে অ্যাপ্লিকেশন-স্তরের আক্রমণগুলির বিরুদ্ধে সুরক্ষা প্রদান করার কোন মানে নেই: ক্লাউড প্রদানকারীর প্রক্সি সার্ভার সহ নেটওয়ার্ক সরঞ্জামগুলি ওভারলোড হয়ে যাবে এবং অনুপলব্ধ হয়ে যাবে (চিত্র 1)।

চিত্র 1. হোস্টিং প্রদানকারীর নেটওয়ার্কের উপর সরাসরি আক্রমণ

এবং তাদের আপনাকে রূপকথা বলার চেষ্টা করতে দেবেন না যে সার্ভারের আসল আইপি ঠিকানাটি সুরক্ষা প্রদানকারীর ক্লাউডের পিছনে লুকানো রয়েছে, যার অর্থ এটি সরাসরি আক্রমণ করা অসম্ভব। দশটির মধ্যে নয়টি ক্ষেত্রে, আক্রমণকারীর জন্য সার্ভারের আসল আইপি ঠিকানা বা অন্তত হোস্টিং প্রদানকারীর নেটওয়ার্ক খুঁজে পাওয়া কঠিন হবে না যাতে একটি সম্পূর্ণ ডেটা সেন্টার "ধ্বংস" করা যায়।

একটি আসল আইপি ঠিকানা অনুসন্ধানে হ্যাকাররা কীভাবে কাজ করে

স্পয়লারগুলির নীচে একটি বাস্তব আইপি ঠিকানা (তথ্যগত উদ্দেশ্যে দেওয়া) খোঁজার জন্য বেশ কয়েকটি পদ্ধতি রয়েছে।

পদ্ধতি 1: উন্মুক্ত উত্সগুলিতে অনুসন্ধান করুন

আপনি অনলাইন পরিষেবা দিয়ে আপনার অনুসন্ধান শুরু করতে পারেন বুদ্ধিমত্তা এক্স: এটি ডার্ক ওয়েব, ডকুমেন্ট শেয়ারিং প্ল্যাটফর্ম, Whois ডেটা প্রসেস, পাবলিক ডেটা লিক এবং অন্যান্য অনেক উত্স অনুসন্ধান করে।

যদি, কিছু লক্ষণের (HTTP শিরোনাম, Whois ডেটা, ইত্যাদি) উপর ভিত্তি করে, ক্লাউডফ্লেয়ার ব্যবহার করে সাইটটির সুরক্ষা সংগঠিত করা হয়েছে তা নির্ধারণ করা সম্ভব হয়, তাহলে আপনি এখান থেকে আসল আইপি অনুসন্ধান শুরু করতে পারেন তালিকা, যা ক্লাউডফ্লেয়ারের পিছনে অবস্থিত সাইটগুলির প্রায় 3 মিলিয়ন আইপি ঠিকানা রয়েছে৷

একটি SSL শংসাপত্র এবং পরিষেবা ব্যবহার করে৷ সেন্সিস আপনি সাইটের আসল আইপি ঠিকানা সহ অনেক দরকারী তথ্য খুঁজে পেতে পারেন। আপনার সম্পদের জন্য একটি অনুরোধ তৈরি করতে, সার্টিফিকেট ট্যাবে যান এবং লিখুন:

_parsed.names: নামসাইট এবং tags.raw: বিশ্বস্ত

একটি SSL শংসাপত্র ব্যবহার করে সার্ভারের IP ঠিকানাগুলি অনুসন্ধান করতে, আপনাকে ম্যানুয়ালি বেশ কয়েকটি সরঞ্জাম সহ ড্রপ-ডাউন তালিকার মধ্য দিয়ে যেতে হবে ("এক্সপ্লোর" ট্যাব, তারপরে "IPv4 হোস্ট" নির্বাচন করুন)।

পদ্ধতি 2: DNS

DNS রেকর্ড পরিবর্তনের ইতিহাস অনুসন্ধান করা একটি পুরানো, প্রমাণিত পদ্ধতি। সাইটের পূর্ববর্তী আইপি ঠিকানা এটি কোন হোস্টিং (বা ডেটা সেন্টার) এ অবস্থিত ছিল তা পরিষ্কার করতে পারে। ব্যবহারের সহজতার দিক থেকে অনলাইন পরিষেবাগুলির মধ্যে, নিম্নলিখিতগুলি আলাদা: ভিউডিএনএস и নিরাপত্তা ট্রেল.

আপনি সেটিংস পরিবর্তন করলে, সাইটটি অবিলম্বে ক্লাউড নিরাপত্তা প্রদানকারী বা CDN এর IP ঠিকানা ব্যবহার করবে না, তবে কিছু সময়ের জন্য সরাসরি কাজ করবে। এই ক্ষেত্রে, আইপি ঠিকানা পরিবর্তনের ইতিহাস সংরক্ষণের জন্য অনলাইন পরিষেবাগুলিতে সাইটের উত্স ঠিকানা সম্পর্কে তথ্য থাকার সম্ভাবনা রয়েছে।

যদি পুরানো ডিএনএস সার্ভারের নাম ছাড়া আর কিছুই না থাকে, তবে বিশেষ ইউটিলিটিগুলি (ডিগ, হোস্ট বা এনএসলুকআপ) ব্যবহার করে আপনি সাইটের ডোমেন নাম দ্বারা একটি আইপি ঠিকানার অনুরোধ করতে পারেন, উদাহরণস্বরূপ:

_dig @old_dns_server_name নামসাইট

পদ্ধতি 3: ইমেল

পদ্ধতিটির ধারণাটি হল আপনার ইমেলে একটি চিঠি পাওয়ার জন্য প্রতিক্রিয়া/রেজিস্ট্রেশন ফর্ম (বা অন্য কোনও পদ্ধতি যা আপনাকে চিঠি পাঠানো শুরু করতে দেয়) ব্যবহার করা এবং শিরোনামগুলি পরীক্ষা করা, বিশেষ করে "প্রাপ্ত" ক্ষেত্রটি .

ইমেল হেডারে প্রায়শই MX রেকর্ডের (ইমেল এক্সচেঞ্জ সার্ভার) প্রকৃত আইপি ঠিকানা থাকে, যা লক্ষ্যে অন্যান্য সার্ভার খুঁজে পাওয়ার জন্য একটি সূচনা বিন্দু হতে পারে।

অটোমেশন টুল অনুসন্ধান করুন

ক্লাউডফ্লেয়ার শিল্ডের পিছনে আইপি অনুসন্ধান সফ্টওয়্যারটি প্রায়শই তিনটি কাজের জন্য কাজ করে:

• DNSdumpster.com ব্যবহার করে DNS ভুল কনফিগারেশনের জন্য স্ক্যান করুন;
• Crimeflare.com ডাটাবেস স্ক্যান;
• একটি অভিধান অনুসন্ধান পদ্ধতি ব্যবহার করে সাবডোমেন অনুসন্ধান করুন।

সাবডোমেন খোঁজা প্রায়শই তিনটির মধ্যে সবচেয়ে কার্যকরী বিকল্প - সাইটের মালিক মূল সাইটটিকে রক্ষা করতে পারে এবং সাবডোমেনগুলিকে সরাসরি চলমান রেখে দিতে পারে। চেক করার সবচেয়ে সহজ উপায় হল ব্যবহার করা ক্লাউডফেইল.

উপরন্তু, শুধুমাত্র একটি অভিধান অনুসন্ধান ব্যবহার করে সাবডোমেন অনুসন্ধান করার জন্য এবং মুক্ত উত্সগুলিতে অনুসন্ধান করার জন্য ডিজাইন করা ইউটিলিটি রয়েছে, উদাহরণস্বরূপ: সাবলিস্ট3আর বা dnsrecon.

কিভাবে অনুসন্ধান বাস্তবে ঘটবে

উদাহরণস্বরূপ, ক্লাউডফ্লেয়ার ব্যবহার করে seo.com সাইটটি ধরা যাক, যা আমরা একটি সুপরিচিত পরিষেবা ব্যবহার করে খুঁজে পাব। সঙ্গে নির্মিত (আপনাকে সাইটটি যে প্রযুক্তি/ইঞ্জিন/সিএমএস-এর উপর কাজ করে তা নির্ধারণ করতে এবং এর বিপরীতে - ব্যবহৃত প্রযুক্তি দ্বারা সাইট অনুসন্ধান করতে দেয়)।

আপনি যখন "IPv4 হোস্ট" ট্যাবে ক্লিক করেন, পরিষেবাটি সার্টিফিকেট ব্যবহার করে হোস্টগুলির একটি তালিকা দেখাবে৷ আপনার প্রয়োজনীয় একটি খুঁজে পেতে, খোলা পোর্ট 443 সহ একটি আইপি ঠিকানা সন্ধান করুন৷ যদি এটি পছন্দসই সাইটে পুনঃনির্দেশিত হয়, তবে কাজটি সম্পন্ন হয়েছে, অন্যথায় আপনাকে সাইটের "হোস্ট" শিরোনামে সাইটের ডোমেন নাম যুক্ত করতে হবে HTTP অনুরোধ (উদাহরণস্বরূপ, *curl -H "হোস্ট: site_name" *https://IP_адрес).

আমাদের ক্ষেত্রে, সেন্সিস ডাটাবেসে অনুসন্ধান কিছু দেয়নি, তাই আমরা এগিয়ে যাই।

আমরা পরিষেবার মাধ্যমে একটি DNS অনুসন্ধান করব৷ https://securitytrails.com/dns-trails.

CloudFail ইউটিলিটি ব্যবহার করে DNS সার্ভারের তালিকায় উল্লিখিত ঠিকানাগুলির মাধ্যমে অনুসন্ধান করে, আমরা কাজের সংস্থান খুঁজে পাই। ফলাফল কয়েক সেকেন্ডের মধ্যে প্রস্তুত হবে।

শুধুমাত্র খোলা ডেটা এবং সহজ টুল ব্যবহার করে, আমরা ওয়েব সার্ভারের আসল IP ঠিকানা নির্ধারণ করেছি। আক্রমণকারীর জন্য বাকিটা কৌশলের ব্যাপার।

আসুন হোস্টিং প্রদানকারী বেছে নেওয়ার বিষয়ে ফিরে আসি। গ্রাহকের জন্য পরিষেবার সুবিধা মূল্যায়ন করতে, আমরা DDoS আক্রমণের বিরুদ্ধে সুরক্ষার সম্ভাব্য পদ্ধতিগুলি বিবেচনা করব৷

কিভাবে একটি হোস্টিং প্রদানকারী তার সুরক্ষা তৈরি করে

1. ফিল্টারিং সরঞ্জাম সহ নিজস্ব সুরক্ষা ব্যবস্থা (চিত্র 2)।
   প্রয়োজন:
   1.1। ট্রাফিক ফিল্টারিং সরঞ্জাম এবং সফ্টওয়্যার লাইসেন্স;
   1.2। এর সমর্থন এবং অপারেশনের জন্য ফুল-টাইম বিশেষজ্ঞ;
   1.3। ইন্টারনেট অ্যাক্সেস চ্যানেল যা আক্রমণ গ্রহণের জন্য যথেষ্ট হবে;
   1.4। "জাঙ্ক" ট্র্যাফিক পাওয়ার জন্য উল্লেখযোগ্য প্রিপেইড চ্যানেল ব্যান্ডউইথ৷
   
   চিত্র 2. হোস্টিং প্রদানকারীর নিজস্ব নিরাপত্তা ব্যবস্থা
   যদি আমরা বর্ণিত সিস্টেমটিকে শত শত Gbps এর আধুনিক DDoS আক্রমণের বিরুদ্ধে সুরক্ষার মাধ্যম হিসাবে বিবেচনা করি তবে এই জাতীয় সিস্টেমের জন্য প্রচুর অর্থ ব্যয় হবে। হোস্টিং প্রদানকারীর কি এমন সুরক্ষা আছে? তিনি কি "জাঙ্ক" ট্র্যাফিকের জন্য অর্থ প্রদান করতে প্রস্তুত? স্পষ্টতই, এই ধরনের একটি অর্থনৈতিক মডেল প্রদানকারীর জন্য অলাভজনক যদি ট্যারিফগুলি অতিরিক্ত অর্থ প্রদানের জন্য প্রদান না করে।
2. বিপরীত প্রক্সি (শুধুমাত্র ওয়েবসাইট এবং কিছু অ্যাপ্লিকেশনের জন্য)। সংখ্যা থাকা সত্ত্বেও সুবিধাদি, সরবরাহকারী সরাসরি DDoS আক্রমণের বিরুদ্ধে সুরক্ষার নিশ্চয়তা দেয় না (চিত্র 1 দেখুন)। হোস্টিং প্রদানকারীরা প্রায়শই একটি প্যানেসিয়া হিসাবে এই ধরনের একটি সমাধান অফার করে, নিরাপত্তা প্রদানকারীর উপর দায়িত্ব স্থানান্তর করে।
3. সমস্ত OSI স্তরে DDoS আক্রমণ থেকে রক্ষা করার জন্য একটি বিশেষ ক্লাউড প্রদানকারীর পরিষেবা (এর ফিল্টারিং নেটওয়ার্কের ব্যবহার) (চিত্র 3)।
   
   চিত্র 3. একটি বিশেষ প্রদানকারী ব্যবহার করে DDoS আক্রমণের বিরুদ্ধে ব্যাপক সুরক্ষা
   রায় গভীর একীকরণ এবং উভয় পক্ষের উচ্চ স্তরের প্রযুক্তিগত দক্ষতা অনুমান করে। আউটসোর্সিং ট্রাফিক ফিল্টারিং পরিষেবাগুলি হোস্টিং প্রদানকারীকে গ্রাহকের জন্য অতিরিক্ত পরিষেবার দাম কমাতে দেয়৷

গুরুত্বপূর্ণ! প্রদত্ত পরিষেবার প্রযুক্তিগত বৈশিষ্ট্যগুলি যত বেশি বিশদভাবে বর্ণনা করা হয়েছে, ডাউনটাইমের ক্ষেত্রে তাদের বাস্তবায়ন বা ক্ষতিপূরণ দাবি করার সম্ভাবনা তত বেশি।

তিনটি প্রধান পদ্ধতি ছাড়াও, অনেক সমন্বয় এবং সমন্বয় আছে। একটি হোস্টিং নির্বাচন করার সময়, গ্রাহকের জন্য এটি মনে রাখা গুরুত্বপূর্ণ যে সিদ্ধান্তটি শুধুমাত্র গ্যারান্টিযুক্ত অবরুদ্ধ আক্রমণের আকার এবং ফিল্টারিং নির্ভুলতার উপর নির্ভর করবে না, তবে প্রতিক্রিয়ার গতি, সেইসাথে তথ্য সামগ্রীর উপরও নির্ভর করবে (অবরুদ্ধ আক্রমণের তালিকা, সাধারণ পরিসংখ্যান, ইত্যাদি)।

মনে রাখবেন যে বিশ্বের শুধুমাত্র কিছু হোস্টিং প্রদানকারী তাদের নিজের থেকে একটি গ্রহণযোগ্য স্তরের সুরক্ষা প্রদান করতে সক্ষম; অন্য ক্ষেত্রে, সহযোগিতা এবং প্রযুক্তিগত সাক্ষরতা সাহায্য করে। এইভাবে, DDoS আক্রমণের বিরুদ্ধে সুরক্ষা সংগঠিত করার প্রাথমিক নীতিগুলি বোঝার ফলে সাইটের মালিককে বিপণনের কৌশলে না পড়তে এবং "পোকে শূকর" কেনার অনুমতি দেবে না।

উত্স: www.habr.com