An einem schönen Frühlingsabend, als ich nicht nach Hause gehen wollte und der unaufhörliche Wunsch zu leben und zu lernen mich wie glühendes Eisen brannte, kam mir die Idee, die verlockende neue Funktion in der Firewall mit dem Namen „IP DOS-Richtlinie«.
Nach ein wenig Vorbereitungen und der Durchsicht des Handbuchs stellte ich es im Modus Pass-and-Log, um überhaupt zu sehen, was die Ausgabe war und wie nützlich diese Einstellung ist.
Nach ein paar Tagen (damit sich die Statistiken aufbauen, natürlich, und nicht weil ich es vergessen habe) schaute ich in die Logs und klatschte vergnügt in die Hände – es gab eine Menge Einträge. Es schien so einfach zu sein – aktiviere die Richtlinie, um alle flutenden, scannenden, installierenden half-open Sitzungen mit einem Ban für eine Stunde zu blockieren und schlaf ruhig mit dem Wissen, dass die Grenze gesichert ist. Aber das 34. Jahr meines Lebens hat den jugendlichen Idealismus überwunden, und irgendwo im hinteren Teil meines Gehirns ertönte eine feine Stimme: „Warum nicht die Augen öffnen und sehen, welche Adressen unsere geliebte Firewall als hartnäckige Flooder erkannt hat? Nur so, um es der Verwunderung willen.“
Wir beginnen mit der Analyse der erhaltenen Daten aus der Liste der Anomalien. Ich lasse die Adressen durch ein einfaches Skript laufen Powershell und meine Augen treffen auf vertraute Buchstaben google.
Reibe mir die Augen, blinzele fünf Minuten, um sicherzustellen, dass ich mir das nicht eingebildet habe – tatsächlich, in der Liste derjenigen, die die Firewall als hartnäckige Flooder erkannt hat, der Angriffstyp – udp flood, Adressen, die der guten Corporation gehören.
Ich kratze mir den Hinterkopf und richte gleichzeitig auf dem externen Interface die Paketaufnahme für die weitere Analyse ein. In meinem Kopf fliegen bunte Gedanken herum: „Wie kann das sein, dass etwas infiziertes im Scope von Google? Und ich habe es entdeckt? Das wäre doch — Auszeichnungen, Ehrungen und einen roten Teppich, und mein eigenes Casino mit Blackjack und, naja, ihr wisst schon…“
Ich analysiere die erhaltene Datei Wireshark-.
Ja, tatsächlich senden Adressen aus dem Scope Google UDP-Pakete von Port 443 an einen zufälligen Port auf meinem Gerät.
Aber warte mal… Hier wechselt das Protokoll von UDP auf zu GQUIC..
Semyon Semyonovich…
Sofort fällt mir der Bericht von HighLoad Alexander Tobol ein «UDP gegen TCP oder die Zukunft des Netzwerkstacks“ ().
Einerseits gibt es eine leichte Enttäuschung – weder Lorbeeren noch Ehrungen. Auf der anderen Seite ist das Problem klar, ich muss nur herausfinden, wo und wie tief ich graben muss.
Ein paar Minuten Kommunikation mit der Wohltätigkeitsorganisation – und alles wird klar. Um die Geschwindigkeit der Inhaltslieferung zu verbessern, hat die Firma Google schon 2012 ein Protokoll angekündigt, QUICdas einen Großteil der Mängel des TCP beseitigen soll (ja, ja, ja, in diesen Artikeln wird — und von einem völlig revolutionären Ansatz gesprochen, aber seien wir ehrlich, ich möchte, dass die Katzenbilder schneller geladen werden, nicht all diese Revolutionen des Bewusstseins und des Fortschritts). Wie weitere Untersuchungen gezeigt haben, wechseln viele Organisationen derzeit zu dieser Art der Inhaltslieferung.
Das Problem in meinem und ich denke, nicht nur meinem Fall war, dass am Ende viel zu viele Pakete kommen und die Firewall sie als Flood interpretiert.
Die Lösungsansätze waren nicht viele:
1. Zur Ausnahmeliste für DoS-Policy in der Firewall den Adressbereich hinzufügen. GoogleSchon der Gedanke an den möglichen Adressbereich ließ mein Auge nervös zucken – diese Idee wurde als absurd verworfen.
2. Die Auslöseschwelle für UDP Flood Policy erhöhen – auch nicht optimal, was, wenn wirklich jemand Böswilliges durchschlüpft.
3. Zugriffe aus dem internen Netzwerk auf UDP auf 443 Ports nach außen verbieten.
Nach weiterer Lektüre über die Implementierung und Integration wurde die letzte Option als Handlungsanweisung angenommen. Das Problem ist, dass der allseits beliebte und gnadenlose (ich verstehe nicht, warum, wäre doch besser, wenn das dreiste rothaarige QUIC in Google Chrome -Gesicht für die verbrauchten Gigabytes RAM zur Verantwortung gezogen wird), Firefoxursprünglich versucht, die Verbindung mit seinem mühevoll erkämpften Google Chrome herzustellen, aber wenn das Wunder nicht geschieht, greift es auf bewährte Methoden zurück, QUICobwohl es sich dabei ganz schamhaft fühlt. TLSWir erstellen in der Firewall einen Eintrag für den Dienst,
stellen eine neue Regel ein und platzieren sie irgendwo weiter oben in der Kette. QUIC:
Nach der Aktivierung der Regel ist in der Liste der Anomalien Frieden und Ruhe, abgesehen von wirklich böswilligen Verstößern.
Danke an alle für Ihre Aufmerksamkeit.
Verwendete Ressourcen:
Vortrag von Alexander Toboł
1.
2.
3.
4.
Quelle: habr.com
