{"id":31057,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","title":{"rendered":"S\u00e5dan f\u00e5r du kontrol over netv\u00e6rksinfrastrukturen. Kapitel tre. Netv\u00e6rkssikkerhed. Del to","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Denne artikel er den fjerde i serien \"S\u00e5dan f\u00e5r du kontrol over netv\u00e6rksinfrastrukturen\". Indholdet af alle artikler i serien og links kan findes <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">her<\/a><\/noindex><\/i>.<\/p>\n<p>I <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">f\u00f8rste del<\/a><\/noindex> I dette kapitel har vi set p\u00e5 nogle aspekter af netv\u00e6rkssikkerheden i segmentet \"Data Center\". Denne del vil fokusere p\u00e5 segmentet \"Internet Access\". <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5dan f\u00e5r du kontrol over netv\u00e6rksinfrastrukturen. Kapitel tre. Netv\u00e6rkssikkerhed. Del to\" src=\"\/wp-content\/uploads\/2019\/04\/10b33f9b02e3a7562d9e7cf023cbc197.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h1>Internetadgang<\/h1>\n<p>\nSikkerhedsemnet er uden tvivl et af de mest komplekse emner i verden af datatransmission. Ligesom i de foreg\u00e5ende tilf\u00e6lde vil jeg her se p\u00e5 nogle ganske enkle, men efter min mening vigtige sp\u00f8rgsm\u00e5l, hvis svar forh\u00e5bentlig vil hj\u00e6lpe med at h\u00e6ve sikkerhedsniveauet for dit netv\u00e6rk.<\/p>\n<p>Ved revision af dette segment skal du v\u00e6re opm\u00e6rksom p\u00e5 f\u00f8lgende aspekter:<\/p>\n<ul>\n<li>design<\/li>\n<li>BGP-indstillinger <\/li>\n<li>DOS\/DDOS-beskyttelse<\/li>\n<li>trafikfiltrering p\u00e5 firewallen<\/li>\n<\/ul>\n<p><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>Design<\/h3>\n<p>\nSom et eksempel p\u00e5 design af dette segment for en virksomhedsnetv\u00e6rk vil jeg anbefale <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-pin-secure-internet-edge.pdf\">vejledning<\/a><\/noindex> fra Cisco i rammerne af <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">SAFE-modellen<\/a><\/noindex>.<\/p>\n<p>Selvf\u00f8lgelig kan l\u00f8sninger fra andre leverand\u00f8rer virke mere tiltalende for dig (se <noindex><a rel=\"nofollow\" href=\"https:\/\/researchcenter.paloaltonetworks.com\/2018\/10\/palo-alto-networks-seven-time-gartner-magic-quadrant-leader\/\">Gartner-kvadrant for 2018<\/a><\/noindex>), men uden at opfordre dig til at f\u00f8lge dette design i detaljer mener jeg, det er nyttigt at forst\u00e5 principperne og id\u00e9erne bag det.<\/p>\n<blockquote><p><b>Bem\u00e6rkning<\/b><\/p>\n<p>I SAFE-segmentet \"Remote Access\" er en del af \"Internet Access\". Men i denne serie af artikler vil vi se p\u00e5 det separat.<\/p><\/blockquote>\n<p>Det standardudstyr, der findes i dette segment for et virksomhedsnetv\u00e6rk, er <\/p>\n<ul>\n<li>gr\u00e6nseroutere<\/li>\n<li>firewalls<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Bem\u00e6rkning 1<\/b><\/p>\n<p>I denne serie af artikler, n\u00e5r jeg taler om firewalls, mener jeg <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/Next-generation_firewall\">NGFW<\/a><\/noindex>.<\/p><\/blockquote>\n<blockquote><p><b>Bem\u00e6rkning 2<\/b><\/p>\n<p>Jeg lader v\u00e6re med at overveje forskellige former for L2\/L1 eller overlay L2 over L3-l\u00f8sninger, der er n\u00f8dvendige for at sikre L1\/L2 sammenkobling, og jeg begr\u00e6nser mig udelukkende til sp\u00f8rgsm\u00e5l p\u00e5 L3-niveau og derover. Delvist er L1\/L2-sp\u00f8rgsm\u00e5l blevet behandlet i kapitlet &#171;<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">Reng\u00f8ring og dokumentation<\/a><\/noindex>&#171;.<\/p><\/blockquote>\n<p> Hvis du ikke har fundet en firewall i dette segment, skal du ikke skynde dig med konklusionerne.<\/p>\n<p>Lad os, ligesom i <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">den foreg\u00e5ende del<\/a><\/noindex>, starte med sp\u00f8rgsm\u00e5let om, hvorvidt det er n\u00f8dvendigt at bruge en firewall i dette segment i dit tilf\u00e6lde?<\/p>\n<p>Jeg kan sige, at det ser ud til at v\u00e6re det mest berettigede sted at bruge firewalls og anvende komplekse trafikfiltreringsalgoritmer. I <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">del 1<\/a><\/noindex> Vi n\u00e6vnte fire faktorer, der kan hindre brugen af firewalls i datacentersegmentet. Men her er de ikke s\u00e5 v\u00e6sentlige.<\/p>\n<blockquote><p>Eksempel 1. <b>Forsinkelse<\/b><\/p>\n<p>N\u00e5r det kommer til internettet, giver det ikke mening at tale om forsinkelser, selv i st\u00f8rrelsesordenen \u00e9n millisekund. Derfor kan forsinkelse i dette segment ikke v\u00e6re en faktor, der begr\u00e6nser brugen af firewallen.<\/p><\/blockquote>\n<blockquote><p>Eksempel 2. <b>Ydeevne<\/b><\/p>\n<p>I nogle tilf\u00e6lde kan denne faktor stadig v\u00e6re v\u00e6sentlig. Derfor m\u00e5 du muligvis lade en del trafik (f.eks. trafik fra load balancere) g\u00e5 udenom firewallen.<\/p><\/blockquote>\n<blockquote><p>Eksempel 3. <b>P\u00e5lidelighed<\/b><\/p>\n<p>Denne faktor skal stadig tages i betragtning, men med tanke p\u00e5 internettets ustabilitet er dens betydning for dette segment ikke s\u00e5 stor som for datacenteret. <\/p>\n<p>S\u00e5 lad os antage, at din service k\u00f8rer over http\/https (med korte sessioner). I dette tilf\u00e6lde kan du bruge to uafh\u00e6ngige bokse (uden HA), og hvis der opst\u00e5r problemer med den ene af dem, kan trafikken routedes over til den anden. <\/p>\n<p>Eller du kan bruge firewalls i transparent tilstand, og ved en nedbrud kan du i mellemtiden lede trafikken udenom firewalls.<\/p><\/blockquote>\n<p> Derfor er det sandsynligvis kun <b>pris<\/b> der kan v\u00e6re den faktor, der f\u00e5r dig til at frav\u00e6lge brugen af firewalls i dette segment.<\/p>\n<blockquote><p><b>Vigtigt!<\/b><\/p>\n<p>Der er en fristelse til at kombinere denne firewall med datacenterets firewall (bruge \u00e9n firewall til disse segmenter). En s\u00e5dan l\u00f8sning er i princippet mulig, men det er vigtigt at forst\u00e5, at eftersom \"Internet Access\" firewallen faktisk st\u00e5r i frontlinjen af dit forsvar, og \"tager imod\", i det mindste, en del af den skadelige trafik, skal man v\u00e6re opm\u00e6rksom p\u00e5 den \u00f8gede risiko for, at denne firewall kan g\u00e5 ned. Det vil sige, at ved at bruge de samme enheder i begge disse segmenter, vil du v\u00e6sentligt reducere tilg\u00e6ngeligheden af dit datacentersegment.<\/p><\/blockquote>\n<p> Som altid skal man forst\u00e5, at designet af dette segment kan variere betydeligt alt efter den service, som virksomheden tilbyder. Du kan altid v\u00e6lge forskellige tilgange afh\u00e6ngigt af kravene. <\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Hvis du er en indholdudbyder med et CDN (se f.eks. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/users\/ramax\/posts\/\">en serie artikler<\/a><\/noindex>), s\u00e5 du kanske inte vill oprette hundrevis eller endda tusindvis af punkter for infrastruktur ved hj\u00e6lp af separate enheder til routing og trafikfiltrering. Det vil v\u00e6re dyrt, og det kan ogs\u00e5 v\u00e6re overfl\u00f8digt. <\/p>\n<p>For BGP er det slet ikke n\u00f8dvendigt at have dedikerede routere, du kan bruge open-source v\u00e6rkt\u00f8jer, som for eksempel, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.quagga.net\">Quagga<\/a><\/noindex>. Derfor er det muligt, at alt hvad du beh\u00f8ver, er en server eller flere servere, en switch og BGP.<\/p>\n<p>I dette tilf\u00e6lde kan din server eller flere servere fungere som b\u00e5de CDN-server og router. Naturligvis er der mange detaljer (for eksempel hvordan man sikrer balance), men det er gennemf\u00f8rligt, og denne tilgang har vi med succes anvendt for en af vores partnere.<\/p>\n<p>Du kan have flere datacentre med fuld beskyttelse (firewalls, DDoS-beskyttelsestjenester leveret af dine internetudbydere) og titusinder eller hundreder af 'forenklede' tilstedev\u00e6relsespunkter kun med L2 switches og servere.<\/p>\n<p>Men hvad med beskyttelsen i dette tilf\u00e6lde?<\/p>\n<p>Lad os tage et kig p\u00e5 for eksempel den popul\u00e6re <noindex>DNS Amplification DDoS angreb<\/noindex>. Dens fare ligger i, at der genereres en stor m\u00e6ngde trafik, som simpelthen \"tilstopper\" alle dine uplinks 100%. <\/p>\n<p>Hvad har vi i tilf\u00e6lde af vores design.<\/p>\n<ul>\n<li>hvis du bruger AnyCast, s\u00e5 fordeles trafikken mellem dine tilstedev\u00e6relsespunkter. Hvis den samlede b\u00e5ndbredde er flere terabits, s\u00e5 forhindrer det i sig selv (der har dog v\u00e6ret nogle angreb med ondsindet trafik op til en terabit p\u00e5 det seneste) dig i at \"overl\u00f8be\" dine uplinks.<\/li>\n<li>hvis nogle uplinks alligevel \"bliver tilstoppet\", kan du simpelthen tage dette site ud af driften (stoppe med at annoncere pr\u00e6fikset).<\/li>\n<li>du kan ogs\u00e5 \u00f8ge andelen af trafik, der leveres fra dine \"fuldgyldige\" (og dermed beskyttede) datacentre, s\u00e5ledes at du fjerner en v\u00e6sentlig del af den ondsindede trafik fra ubeskyttede tilstedev\u00e6relsespunkter.<\/li>\n<\/ul>\n<p>\nOg en lille bem\u00e6rkning til dette eksempel. Hvis du leverer en tilstr\u00e6kkelig m\u00e6ngde trafik gennem IX'er, s\u00e5 reducerer det ogs\u00e5 din udsathed for s\u00e5danne angreb.<\/p><\/blockquote>\n<h3>BGP ops\u00e6tning<\/h3>\n<p>\nHer er der to emner.<\/p>\n<ul>\n<li>Konnektivitet<\/li>\n<li>BGP ops\u00e6tning<\/li>\n<\/ul>\n<p>\nOm konnektivitet har vi allerede talt lidt <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">del 1<\/a><\/noindex>Essensen er, at trafikken til dine kunder skal f\u00f8lge den mest optimale rute. Selvom, optimalitet ikke altid kun handler om forsinkelse, er lave forsinkelser som regel det prim\u00e6re m\u00e5l for optimalitet. For nogle virksomheder er dette vigtigere, mens det for andre er mindre vigtigt. Det afh\u00e6nger af den service, du leverer.<\/p>\n<blockquote><p><b>Eksempel 1<\/b><\/p>\n<p>Hvis du er en b\u00f8rs, og dine kunder har brug for tidsintervaller p\u00e5 under millisekunder, s\u00e5 er det klart, at internettet slet ikke kan komme p\u00e5 tale.<\/p><\/blockquote>\n<blockquote><p><b>Eksempel 2<\/b><\/p>\n<p>Hvis du er et gamingfirma, og for dig er titusinde millisekunder vigtigt, s\u00e5 er sammenh\u00e6ngen naturligvis meget vigtig for dig.<\/p><\/blockquote>\n<blockquote><p><b>Eksempel 3<\/b><\/p>\n<p>Det er ogs\u00e5 vigtigt at forst\u00e5, at hastigheden af dataoverf\u00f8rsel inden for en enkelt TCP-session ogs\u00e5 afh\u00e6nger af RTT (Round Trip Time) p\u00e5 grund af karakteristikaene ved TCP-protokollen. CDN-netv\u00e6rk er opbygget delvist for at l\u00f8se dette problem ved at bringe indholdsdistributionsserverne t\u00e6ttere p\u00e5 indholdets forbruger.<\/p><\/blockquote>\n<p> Unders\u00f8gelsen af sammenh\u00e6ng er et separat interessant emne, der fortjener en s\u00e6rskilt artikel eller en serie artikler, og kr\u00e6ver en god forst\u00e5else af, hvordan internettet 'er bygget'.<\/p>\n<p>Nyttige ressourcer:<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/ripe.net\">ripe.net<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex><\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Jeg vil kun give et lille eksempel.<\/p>\n<p>Antag, at dit datacenter ligger i Moskva, og du har en enkelt uplink \u2013 Rostelecom (AS12389). I dette tilf\u00e6lde (single homed) har du ikke brug for BGP, og som offentlige adresser bruger du sandsynligvis IP-poolen fra Rostelecom. <\/p>\n<p>Antag, at du tilbyder en eller anden service, og du har et tilstr\u00e6kkeligt antal kunder fra Ukraine, og de klager over store forsinkelser. Ved unders\u00f8gelsen fandt du ud af, at IP-adresserne til nogle af dem ligger i netv\u00e6rket 37.52.0.0\/21. <\/p>\n<p>Efter at have udf\u00f8rt traceroute s\u00e5 du, at trafikken gik gennem AS1299 (Telia), og efter at have udf\u00f8rt ping fik du en gennemsnitlig RTT p\u00e5 70 \u2014 80 millisekunder. Du kan ogs\u00e5 se dette p\u00e5 <noindex><a rel=\"nofollow\" href=\"http:\/\/lg.ip.rt.ru\">Rostelecoms looking glass<\/a><\/noindex>.<\/p>\n<p>Med v\u00e6rkt\u00f8jet whois (p\u00e5 websiden ripe.net eller en lokal applikation) kan du nemt afg\u00f8re, at blokken 37.52.0.0\/21 tilh\u00f8rer AS6849 (Ukrtelecom).<\/p>\n<p>Derudover, ved at g\u00e5 til <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex> ser du, at AS6849 ikke har relationer med AS12389 (de er hverken kunder eller uplinks for hinanden, og de har heller ikke peering). Men hvis du ser p\u00e5 <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\/AS6849#_peers\">listen over peers<\/a><\/noindex> for AS6849, ser du for eksempel AS29226 (Mastertel) og AS31133 (Megafon). <\/p>\n<p>Ved at finde looking glass for disse udbydere kan du sammenligne ruten og RTT. For Mastertel vil RTT for eksempel v\u00e6re p\u00e5 cirka 30 millisekunder. <\/p>\n<p>S\u00e5 hvis forskellen mellem 80 og 30 millisekunder er v\u00e6sentlig for din service, b\u00f8r du m\u00e5ske overveje forbindelsen, f\u00e5 dit AS-nummer fra RIPE, din adressepulje og tilslutte yderligere uplinks eller etablere tilstedev\u00e6relsespunkter p\u00e5 IX'er.<\/p><\/blockquote>\n<p>\nVed brug af BGP har du ikke kun mulighed for at forbedre forbindelsen, men du sikrer ogs\u00e5 din internetforbindelse.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ssi.gouv.fr\/uploads\/2016\/03\/bgp-configuration-best-practices.pdf\">Dette dokument<\/a><\/noindex> indeholder anbefalinger til konfiguration af BGP. Selvom disse anbefalinger er udviklet baseret p\u00e5 'best practices' fra udbydere, er de, hvis dine BGP-indstillinger ikke er helt fundamentale, bestemt nyttige og b\u00f8r faktisk v\u00e6re en del af det hardening, vi diskuterede i <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">f\u00f8rste del<\/a><\/noindex>.<\/p>\n<h3>DOS\/DDOS-beskyttelse<\/h3>\n<p>\nI dag er DOS\/DDOS-angreb blevet en dagligdags realitet for mange virksomheder. Faktisk bliver du ofte angrebet p\u00e5 en eller anden m\u00e5de. At du ikke bem\u00e6rker det, siger blot, at der endnu ikke har v\u00e6ret en m\u00e5lrettet angreb mod dig, og at de beskyttelsesforanstaltninger, du bruger, muligvis, uden at du engang er klar over det (forskellige indbyggede beskyttelser i operativsystemer), er tilstr\u00e6kkelige til at minimere nedgangen i den ydelse, du tilbyder, for dig og dine kunder.<\/p>\n<p>Der eksisterer internetressourcer, der baseret p\u00e5 logs fra udstyr i realtid tegner flotte angrebskort.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3217944\/security\/8-top-cyber-attack-maps-and-how-to-use-them.html\">Her<\/a><\/noindex> kan du finde links til dem.<\/p>\n<p>Mit yndlings- <noindex><a rel=\"nofollow\" href=\"https:\/\/threatmap.checkpoint.com\/ThreatPortal\/livemap.html\">kort<\/a><\/noindex> fra CheckPoint.<\/p>\n<p>Beskyttelse mod DDOS\/DOS er typisk lagdelt. For at forst\u00e5 hvorfor, skal man forst\u00e5, hvilke typer af DOS\/DDOS-angreb der findes (se f.eks. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3222095\/network-security\/ddos-explained-how-denial-of-service-attacks-are-evolving.html\">her <\/a><\/noindex> eller <noindex><a rel=\"nofollow\" href=\"https:\/\/blog.thousandeyes.com\/three-types-ddos-attacks\/\">her<\/a><\/noindex>)<\/p>\n<p>Det vil sige, vi har tre typer angreb:<\/p>\n<ul>\n<li>volumetriske angreb<\/li>\n<li>protokolangreb<\/li>\n<li>applikationsangreb<\/li>\n<\/ul>\n<p>\nHvis du kan beskytte dig mod de sidste to typer angreb selv ved hj\u00e6lp af f.eks. firewalls, kan du ikke beskytte dig mod angreb, der er rettet mod at 'overbelaste' dine uplinks (naturligvis, hvis din samlede kapacitet af internetforbindelser ikke m\u00e5les i terabitter, helst endda i titusinde terabitter).<\/p>\n<p>Derfor er den f\u00f8rste beskyttelseslinje at beskytte mod 'volumetriske' angreb, og denne beskyttelse b\u00f8r din udbyder eller udbydere s\u00f8rge for. Hvis du ikke har indset dette endnu, er du blot heldig.<\/p>\n<blockquote><p><b>Eksempel<\/b><\/p>\n<p>Lad os antage, at du har flere uplinks, men kun \u00e9n af udbyderne kan give dig denne beskyttelse. Men hvis al trafik g\u00e5r gennem \u00e9n udbyder, hvordan er det s\u00e5 med forbindelsen, som vi kort diskuterede tidligere?<\/p>\n<p>I tilf\u00e6lde af et angreb m\u00e5 du delvist opgive forbindelsen. Men<\/p>\n<ul>\n<li>det er kun under angrebet. Du kan i tilf\u00e6lde af et angreb manuelt eller automatisk omkonfigurere BGP, s\u00e5 trafikken kun g\u00e5r gennem den udbyder, der giver dig \"paraplyen\". Efter angrebet kan du returnere routing til den tidligere tilstand.<\/li>\n<li>det er ikke n\u00f8dvendigt at dirigere al trafik. Hvis du for eksempel ser, at der ikke er et angreb (eller trafikken er ubetydelig) gennem nogle uplinks eller peering, kan du forts\u00e6tte med at annoncere pr\u00e6fikser med konkurrerende attributter mod disse BGP-naboer.<\/li>\n<\/ul>\n<\/blockquote>\n<p>\nBeskyttelse mod \"protocol angreb\" og \"application angreb\" kan du ogs\u00e5 overlade til partnere.<br \/>\nHer er <noindex><a rel=\"nofollow\" href=\"https:\/\/geekflare.com\/ddos-protection-service\/\">her<\/a><\/noindex> kan du l\u00e6se en god unders\u00f8gelse (<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/company\/hosting-cafe\/blog\/324848\/\">overs\u00e6ttelse<\/a><\/noindex>). Sandt nok er artiklen to \u00e5r gammel, men det vil give dig en forst\u00e5else af tilgange, hvordan du kan beskytte dig mod DDOS-angreb.<\/p>\n<p>I princippet kan du begr\u00e6nse dig til dette og helt outsource din beskyttelse. Der er fordele ved denne l\u00f8sning, men der er ogs\u00e5 en \u00e5benlys ulempe. Sagen er, at det kan handle om (igen afh\u00e6ngigt af, hvad din virksomhed besk\u00e6ftiger sig med) virksomhedens overlevelse. Og at stole p\u00e5 s\u00e5danne ting hos tredjepartsorganisationer\u2026<\/p>\n<p>Derfor lad os se p\u00e5, hvordan man organiserer det andet og tredje forsvarslag (som supplement til beskyttelsen fra udbyderen).<\/p>\n<p>S\u00e5 det andet forsvarslag er filtrering og trafikbegr\u00e6nsere (policers) ved indgangen til dit netv\u00e6rk. <\/p>\n<blockquote><p><b>Eksempel 1<\/b><\/p>\n<p>Lad os antage, at du har \"lukket dig inde\" fra DDOS med hj\u00e6lp fra en af udbyderne. Lad os antage, at denne udbyder bruger Arbor til trafikfiltrering og filtre p\u00e5 gr\u00e6nsen af sit netv\u00e6rk. <\/p>\n<p>B\u00e5ndbredden, som Arbor kan \"behandle\", er begr\u00e6nset, og udbyderen kan selvf\u00f8lgelig ikke konstant lede trafikken fra alle sine partnere, der har bestilt denne service, gennem det filtrerende udstyr. Derfor bliver trafik ikke filtreret under normale forhold.<\/p>\n<p>Antag at et SYN flood angreb. Selvom du har bestilt en service, hvor trafikken automatisk omdirigeres til filtrering i tilf\u00e6lde af et angreb, sker det ikke \u00f8jeblikkeligt. I l\u00f8bet af et minut eller mere vil du v\u00e6re under angreb. Dette kan f\u00f8re til, at dit udstyr svigter eller din service degraderes. I dette tilf\u00e6lde, selvom begr\u00e6nsning af trafikken ved gr\u00e6nserouteringen vil medf\u00f8re, at nogle TCP-sessioner ikke vil blive etableret i denne periode, vil det redde din infrastruktur fra mere omfattende problemer.<\/p><\/blockquote>\n<blockquote><p><b>Eksempel 2<\/b><\/p>\n<p>Et unormalt stort antal SYN-pakker kan ikke kun v\u00e6re et resultat af et SYN flood angreb. Lad os antage, at du tilbyder en service, hvor du samtidig kan have op til 100.000 TCP-forbindelser (til et datacenter).<\/p>\n<p>Lad os antage, at halvdelen af sessionerne er blevet 'sparket ud' som f\u00f8lge af et kortvarigt problem med en af dine hovedudbydere. Hvis din applikation er konstrueret s\u00e5dan, at den uden videre straks (eller efter en ensartet tidsperiode for alle sessioner) fors\u00f8ger at genoprette forbindelsen, vil du i det mindste modtage ca. 50.000 SYN-pakker samtidig. <\/p>\n<p>Hvis der oven p\u00e5 disse sessioner eksempelvis skal k\u00f8re en SSL\/TLS handshake, som indeb\u00e6rer udveksling af certifikater, vil det fra dit belastningsfordeleres synspunkt v\u00e6re en meget st\u00f8rre 'DDoS' end et simpelt SYN flood. Det synes, at belastningsfordelere skal kunne h\u00e5ndtere s\u00e5danne h\u00e6ndelser, men... desv\u00e6rre har vi m\u00f8dt dette problem i fuld skala.<\/p>\n<p>Og selvf\u00f8lgelig vil en policer p\u00e5 gr\u00e6nserouteren redde dit udstyr i dette tilf\u00e6lde.<\/p><\/blockquote>\n<p>Det tredje beskyttelsesniveau mod DDoS\/DOS er indstillingerne i din firewall.<\/p>\n<p>Her kan du stoppe b\u00e5de angreb af anden og tredje type. Generelt kan alt, der n\u00e5r firewall'en, filtreres her. <\/p>\n<blockquote><p><b>R\u00e5d<\/b><\/p>\n<p>Fors\u00f8g at give din firewall s\u00e5 lidt arbejde som muligt ved at filtrere s\u00e5 meget som muligt p\u00e5 de f\u00f8rste to forsvarslinjer. Og her er hvorfor.<\/p>\n<p>Har du nogensinde oplevet, at du ved et uheld, mens du genererede trafik for at teste, hvor modstandsdygtig dit serversystems operativsystem er over for DDoS-angreb, 'dr\u00e6bte' din firewall ved at belaste den med 100 procent normal trafikintensitet? Hvis ikke, s\u00e5 m\u00e5ske fordi du ikke har pr\u00f8vet?<\/p>\n<p>Generelt er firewallen, som jeg allerede har n\u00e6vnt, en kompleks st\u00f8rrelse, og den fungerer godt med kendte s\u00e5rbarheder og testede l\u00f8sninger. Men hvis du sender noget us\u00e6dvanligt, bare noget skrald eller pakker med forkerte overskrifter, kan du med en vis, ikke ubetydelig (baseret p\u00e5 min erfaring) sandsynlighed kunne forvirre selv det mest avancerede udstyr. Derfor, p\u00e5 trin 2, lad kun den trafik ind i dit netv\u00e6rk, der skal v\u00e6re der, ved hj\u00e6lp af almindelige ACL'er (p\u00e5 L3\/L4-niveau).<\/p><\/blockquote>\n<h3>Trafikfiltrering p\u00e5 firewallen<\/h3>\n<p>\nLad os forts\u00e6tte snakken om firewallen. Det er vigtigt at forst\u00e5, at DoS\/DDoS-angreb kun er \u00e9n type cyberangreb. <\/p>\n<p>Udover DoS\/DDoS-beskyttelse kan vi have noget, der ligner f\u00f8lgende liste over funktioner:<\/p>\n<ul>\n<li>applikationsfirewalling<\/li>\n<li>trusselssikring (antivirus, antispyware og s\u00e5rbarhed)<\/li>\n<li>URL-filtrering<\/li>\n<li>datafiltrering (indholdsfiltrering)<\/li>\n<li>filblokering (blokering af filtyper)<\/li>\n<\/ul>\n<p>\nDet er dig, der bestemmer, hvad du har brug for fra denne liste.<\/p>\n<p><i>Forts\u00e6ttes<\/i><br \/>\n<br \/>Kilde: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/436230\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u044d\u0442\u043e\u0439 \u0433\u043b\u0430\u0432\u044b \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043b\u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0441\u043f\u0435\u043a\u0442\u044b \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430 \u00abData Center\u00bb. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u00abInternet Access\u00bb \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0443. Internet access \u0422\u0435\u043c\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043d\u0435\u0441\u043e\u043c\u043d\u0435\u043d\u043d\u043e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0442\u0435\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23032,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31057","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"da_DK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47S\u00e5dan f\u00e5r du kontrol over din netv\u00e6rksinfrastruktur. Kapitel tre. Netv\u00e6rkssikkerhed. Del to | ProHoster","description":"Denne artikel er den fjerde i en serie af artikler om 'Hvordan man f\u00e5r kontrol over sin netv\u00e6rksinfrastruktur'.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:19:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:19:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/31057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=31057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/31057\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/23032"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=31057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=31057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=31057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}