DDoS પ્રોટેક્શન માર્કેટમાં શું છે અને કોણ કોણ છે

"અમારી વેબસાઇટ બનાવનાર છોકરાએ પહેલેથી જ DDoS સુરક્ષા સેટ કરી છે."
"અમારી પાસે DDoS સુરક્ષા છે, સાઇટ કેમ નીચે ગઈ?"
"ક્યુરેટરને કેટલા હજાર જોઈએ છે?"

ગ્રાહક/બોસના આવા પ્રશ્નોના યોગ્ય જવાબ આપવા માટે, "DDoS રક્ષણ" નામ પાછળ શું છુપાયેલું છે તે જાણવું સરસ રહેશે. સુરક્ષા સેવાઓ પસંદ કરવી એ IKEA માં ટેબલ પસંદ કરવા કરતાં ડૉક્ટર પાસેથી દવા પસંદ કરવા જેવું છે.

હું 11 વર્ષથી વેબસાઇટ્સને સપોર્ટ કરી રહ્યો છું, હું જે સેવાઓને સપોર્ટ કરું છું તેના પરના સેંકડો હુમલાઓમાંથી બચી ગયો છું અને હવે હું તમને રક્ષણની આંતરિક કામગીરી વિશે થોડું કહીશ.

નિયમિત હુમલા. કુલ 350k req, 52k req કાયદેસર

પ્રથમ હુમલાઓ ઇન્ટરનેટ સાથે લગભગ એક સાથે દેખાયા હતા. DDoS એક ઘટના તરીકે 2000 ના દાયકાના અંતથી વ્યાપક બની છે (તપાસો www.cloudflare.com/learning/ddos/famous-ddos-attacks).
લગભગ 2015-2016 થી, લગભગ તમામ હોસ્ટિંગ પ્રદાતાઓ DDoS હુમલાઓથી સુરક્ષિત છે, જેમ કે સ્પર્ધાત્મક ક્ષેત્રોમાં સૌથી અગ્રણી સાઇટ્સ છે (do whois સાઇટ્સ eldorado.ru, leroymerlin.ru, tilda.ws ના IP દ્વારા, તમે નેટવર્ક્સ જોશો. સંરક્ષણ ઓપરેટરોની).

જો 10-20 વર્ષ પહેલાં મોટાભાગના હુમલાઓ સર્વર પર જ ભગાડી શકાય છે (90 ના દાયકાથી Lenta.ru સિસ્ટમ એડમિનિસ્ટ્રેટર મેક્સિમ મોશકોવની ભલામણોનું મૂલ્યાંકન કરો: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), પરંતુ હવે સંરક્ષણ કાર્યો વધુ મુશ્કેલ બની ગયા છે.

પ્રોટેક્શન ઓપરેટર પસંદ કરવાના દૃષ્ટિકોણથી DDoS હુમલાના પ્રકાર

L3/L4 સ્તરે હુમલાઓ (OSI મોડલ મુજબ)

— બોટનેટમાંથી UDP ફ્લડ (ઘણી વિનંતીઓ ચેપગ્રસ્ત ઉપકરણોથી સીધી હુમલો કરાયેલ સેવાને મોકલવામાં આવે છે, સર્વરો ચેનલ સાથે અવરોધિત છે);
— DNS/NTP/etc એમ્પ્લીફિકેશન (સંક્રમિત ઉપકરણોથી સંવેદનશીલ DNS/NTP/વગેરેને ઘણી વિનંતીઓ મોકલવામાં આવે છે, પ્રેષકનું સરનામું બનાવટી છે, વિનંતીઓનો જવાબ આપતા પેકેટોનો વાદળ હુમલો કરવામાં આવી રહેલી વ્યક્તિની ચેનલમાં પૂર આવે છે; આ રીતે સૌથી વધુ આધુનિક ઇન્ટરનેટ પર મોટા હુમલાઓ કરવામાં આવે છે);
— SYN / ACK ફ્લડ (કનેક્શન સ્થાપિત કરવા માટે ઘણી વિનંતીઓ હુમલો કરાયેલ સર્વર્સને મોકલવામાં આવે છે, કનેક્શન કતાર ઓવરફ્લો થાય છે);
- પેકેટ ફ્રેગમેન્ટેશન, પિંગ ઓફ ડેથ, પિંગ ફ્લડ સાથેના હુમલા (Google it please);
- અને તેથી વધુ.

આ હુમલાઓનો હેતુ સર્વરની ચેનલને "ક્લોગ" કરવાનો છે અથવા નવા ટ્રાફિકને સ્વીકારવાની તેની ક્ષમતાને "મારવા" છે.
જો કે SYN/ACK ફ્લડિંગ અને એમ્પ્લીફિકેશન ખૂબ જ અલગ છે, ઘણી કંપનીઓ તેમનો સમાન રીતે સામનો કરે છે. આગામી જૂથના હુમલાઓ સાથે સમસ્યાઓ ઊભી થાય છે.

L7 પર હુમલાઓ (એપ્લિકેશન લેયર)

— HTTP પૂર (જો કોઈ વેબસાઈટ અથવા અમુક http api પર હુમલો કરવામાં આવ્યો હોય તો);
— સાઇટના સંવેદનશીલ વિસ્તારો પર હુમલો (જેની પાસે કેશ નથી, જે સાઇટને ખૂબ જ ભારપૂર્વક લોડ કરે છે, વગેરે).

ધ્યેય એ છે કે સર્વરને "સખત મહેનત કરવી", ઘણી બધી "વાસ્તવિક લાગતી વિનંતીઓ" પર પ્રક્રિયા કરવી અને વાસ્તવિક વિનંતીઓ માટે સંસાધનો વિના છોડી દેવામાં આવે.

અન્ય હુમલાઓ હોવા છતાં, આ સૌથી સામાન્ય છે.

L7 સ્તર પર ગંભીર હુમલાઓ દરેક પ્રોજેક્ટ પર હુમલો કરવા માટે અનન્ય રીતે બનાવવામાં આવે છે.

શા માટે 2 જૂથો?
કારણ કે એવા ઘણા લોકો છે જેઓ L3/L4 સ્તરે હુમલાઓને સારી રીતે કેવી રીતે નિવારવા તે જાણે છે, પરંતુ તેઓ કાં તો એપ્લિકેશન સ્તર (L7) પર બિલકુલ રક્ષણ લેતા નથી અથવા તેમની સાથે વ્યવહાર કરવામાં વિકલ્પો કરતાં હજુ પણ નબળા છે.

DDoS પ્રોટેક્શન માર્કેટમાં કોણ કોણ છે

(મારો અંગત અભિપ્રાય)

L3/L4 સ્તર પર રક્ષણ

એમ્પ્લીફિકેશન (સર્વર ચેનલના "અવરોધ") સાથેના હુમલાઓને નિવારવા માટે, ત્યાં પૂરતી વિશાળ ચેનલો છે (ઘણી સુરક્ષા સેવાઓ રશિયામાં મોટા ભાગના કરોડરજ્જુ પ્રદાતાઓ સાથે જોડાય છે અને 1 Tbit કરતાં વધુની સૈદ્ધાંતિક ક્ષમતા ધરાવતી ચેનલો ધરાવે છે). ભૂલશો નહીં કે ખૂબ જ દુર્લભ એમ્પ્લીફિકેશન હુમલા એક કલાક કરતાં વધુ સમય સુધી ચાલે છે. જો તમે સ્પામહૌસ છો અને દરેક જણ તમને પસંદ નથી કરતા, હા, તેઓ ઉપયોગમાં લેવાતા વૈશ્વિક બોટનેટના વધુ અસ્તિત્વના જોખમે પણ તમારી ચેનલોને ઘણા દિવસો સુધી બંધ કરવાનો પ્રયાસ કરી શકે છે. જો તમારી પાસે માત્ર એક ઓનલાઈન સ્ટોર છે, પછી ભલે તે mvideo.ru હોય, તો તમને થોડા દિવસોમાં 1 Tbit દેખાશે નહીં (મને આશા છે).

SYN/ACK ફ્લડિંગ, પેકેટ ફ્રેગમેન્ટેશન વગેરે સાથેના હુમલાઓને નિવારવા માટે, તમારે આવા હુમલાઓને શોધવા અને રોકવા માટે સાધનો અથવા સોફ્ટવેર સિસ્ટમ્સની જરૂર છે.
ઘણા લોકો આવા સાધનોનું ઉત્પાદન કરે છે (આર્બોર, સિસ્કો, હ્યુઆવેઇના સોલ્યુશન્સ છે, વેનગાર્ડના સોફ્ટવેર અમલીકરણો વગેરે), ઘણા બેકબોન ઓપરેટરો પહેલેથી જ તેને ઇન્સ્ટોલ કરી ચૂક્યા છે અને ડીડીઓએસ પ્રોટેક્શન સેવાઓ વેચે છે (હું રોસ્ટેલિકોમ, મેગાફોન, ટીટીકે, એમટીએસના ઇન્સ્ટોલેશન વિશે જાણું છું. , વાસ્તવમાં, તમામ મુખ્ય પ્રદાતાઓ હોસ્ટર્સ સાથે તેમના પોતાના રક્ષણ સાથે તે જ કરે છે કેટલીક કંપનીઓ તેમના પોતાના સોફ્ટવેર સોલ્યુશન્સ વિકસાવી રહી છે (DPDK જેવી તકનીકો તમને એક ભૌતિક x86 મશીન પર દસ ગીગાબિટ્સ ટ્રાફિક પર પ્રક્રિયા કરવાની મંજૂરી આપે છે).

જાણીતા ખેલાડીઓમાંથી, દરેક જણ વધુ કે ઓછા અસરકારક રીતે L3/L4 DDoS સામે લડી શકે છે. હવે હું કહીશ નહીં કે કોની પાસે ચેનલની મહત્તમ ક્ષમતા વધારે છે (આ આંતરિક માહિતી છે), પરંતુ સામાન્ય રીતે આ એટલું મહત્વનું નથી, અને માત્ર એટલો જ તફાવત એ છે કે સંરક્ષણ કેટલી ઝડપથી ટ્રિગર થાય છે (ત્વરિત અથવા પ્રોજેક્ટ ડાઉનટાઇમની થોડી મિનિટો પછી, હેટ્ઝનરની જેમ).
પ્રશ્ન એ છે કે આ કેટલી સારી રીતે કરવામાં આવે છે: એમ્પ્લીફિકેશન એટેકને સૌથી વધુ હાનિકારક ટ્રાફિક ધરાવતા દેશોના ટ્રાફિકને અવરોધિત કરીને ભગાડી શકાય છે અથવા ફક્ત બિનજરૂરી ટ્રાફિકને જ કાઢી શકાય છે.
પરંતુ તે જ સમયે, મારા અનુભવના આધારે, બજારના તમામ ગંભીર ખેલાડીઓ સમસ્યા વિના આનો સામનો કરે છે: ક્યુરેટર, ડીડીઓએસ-ગાર્ડ, કેસ્પરસ્કી, જી-કોર લેબ્સ (અગાઉનું સ્કાયપાર્કસીડીએન), સર્વિસપાઈપ, સ્ટોર્મવોલ, વોક્સિલિટી વગેરે.
મને Rostelecom, Megafon, TTK, Beeline જેવા ઓપરેટરો તરફથી રક્ષણ મળ્યું નથી; સાથીદારોની સમીક્ષાઓ અનુસાર, તેઓ આ સેવાઓ ખૂબ સારી રીતે પ્રદાન કરે છે, પરંતુ અત્યાર સુધી અનુભવનો અભાવ સમયાંતરે અસર કરે છે: કેટલીકવાર તમારે સપોર્ટ દ્વારા કંઈક ટ્વિક કરવાની જરૂર પડે છે. પ્રોટેક્શન ઓપરેટરનું.
કેટલાક ઓપરેટરો પાસે "L3/L4 સ્તરે હુમલાઓ સામે રક્ષણ" અથવા "ચેનલ સંરક્ષણ" અલગ સેવા હોય છે; તેની કિંમત તમામ સ્તરે સુરક્ષા કરતાં ઘણી ઓછી હોય છે.

શા માટે તે કરોડરજ્જુ પ્રદાતા નથી જે સેંકડો Gbits ના હુમલાઓને દૂર કરે છે, કારણ કે તેની પાસે તેની પોતાની ચેનલો નથી?પ્રોટેક્શન ઓપરેટર કોઈપણ મુખ્ય પ્રદાતાઓ સાથે જોડાઈ શકે છે અને "તેના ખર્ચે" હુમલાઓને દૂર કરી શકે છે. તમારે ચેનલ માટે ચૂકવણી કરવી પડશે, પરંતુ આ તમામ સેંકડો જીબીટ્સનો હંમેશા ઉપયોગ કરવામાં આવશે નહીં; આ કિસ્સામાં ચેનલોની કિંમતમાં નોંધપાત્ર ઘટાડો કરવાના વિકલ્પો છે, તેથી યોજના કાર્યક્ષમ રહે છે.

હોસ્ટિંગ પ્રદાતાની સિસ્ટમ્સને ટેકો આપતી વખતે ઉચ્ચ-સ્તરની L3/L4 સુરક્ષામાંથી મને નિયમિતપણે પ્રાપ્ત થયેલા આ અહેવાલો છે.

L7 સ્તર પર રક્ષણ (એપ્લિકેશન સ્તર)

L7 સ્તર (એપ્લિકેશન સ્તર) પરના હુમલાઓ એકમોને સતત અને અસરકારક રીતે ભગાડવા માટે સક્ષમ છે.
મારી પાસે ઘણો વાસ્તવિક અનુભવ છે
— Qrator.net;
- DDoS-ગાર્ડ;
- જી-કોર લેબ્સ;
- કેસ્પરસ્કી.

તેઓ શુદ્ધ ટ્રાફિકના પ્રત્યેક મેગાબીટ માટે ચાર્જ કરે છે, એક મેગાબીટનો ખર્ચ લગભગ હજારો રુબેલ્સ છે. જો તમારી પાસે ઓછામાં ઓછો 100 Mbps શુદ્ધ ટ્રાફિક છે - ઓહ. રક્ષણ ખૂબ ખર્ચાળ હશે. હું તમને નીચેના લેખોમાં કહી શકું છું કે સુરક્ષા ચેનલોની ક્ષમતા પર ઘણો બચાવ કરવા માટે એપ્લિકેશન કેવી રીતે ડિઝાઇન કરવી.
વાસ્તવિક "પહાડીનો રાજા" Qrator.net છે, બાકીના તેમની પાછળ છે. મારા અનુભવમાં અત્યાર સુધી માત્ર ક્યુરેટર જ એવા છે કે જેઓ શૂન્યની નજીક ખોટા ધનની ટકાવારી આપે છે, પરંતુ તે જ સમયે તેઓ અન્ય માર્કેટ પ્લેયર્સ કરતાં અનેક ગણા મોંઘા છે.

અન્ય ઓપરેટરો પણ ઉચ્ચ ગુણવત્તા અને સ્થિર સુરક્ષા પ્રદાન કરે છે. અમારા દ્વારા સમર્થિત ઘણી સેવાઓ (દેશમાં ખૂબ જ જાણીતી સેવાઓ સહિત!) DDoS-Guard, G-Core Labs થી સુરક્ષિત છે અને પ્રાપ્ત પરિણામોથી તદ્દન સંતુષ્ટ છે.

ક્યુરેટર દ્વારા હુમલાઓને ભગાડવામાં આવ્યા

મને નાના સુરક્ષા ઓપરેટરો જેવા કે cloud-shield.ru, ddosa.net, તેમાંના હજારોનો અનુભવ પણ છે. હું ચોક્કસપણે તેની ભલામણ કરીશ નહીં, કારણ કે ... મારી પાસે વધારે અનુભવ નથી, પણ હું તમને તેમના કામના સિદ્ધાંતો વિશે જણાવીશ. તેમની સુરક્ષાની કિંમત મોટાભાગે મોટા ખેલાડીઓ કરતા 1-2 ઓર્ડરની તીવ્રતા ઓછી હોય છે. નિયમ પ્રમાણે, તેઓ મોટા ખેલાડીઓમાંથી એક આંશિક સુરક્ષા સેવા (L3/L4) ખરીદે છે + ઉચ્ચ સ્તરે હુમલાઓ સામે પોતાનું રક્ષણ કરે છે. આ તદ્દન અસરકારક હોઈ શકે છે + તમે ઓછા પૈસામાં સારી સેવા મેળવી શકો છો, પરંતુ આ હજુ પણ નાની કંપનીઓ છે જેમાં એક નાનો સ્ટાફ છે, કૃપા કરીને તેને ધ્યાનમાં રાખો.

L7 સ્તરે હુમલાને દૂર કરવામાં મુશ્કેલી શું છે?

બધી એપ્લિકેશનો અનન્ય છે, અને તમારે ટ્રાફિકને મંજૂરી આપવાની જરૂર છે જે તેમના માટે ઉપયોગી છે અને નુકસાનકારક લોકોને અવરોધિત કરે છે. બૉટોને ચોક્કસપણે નીંદણ કરવું હંમેશાં શક્ય નથી, તેથી તમારે ટ્રાફિક શુદ્ધિકરણની ઘણી, ખરેખર ઘણી ડિગ્રીનો ઉપયોગ કરવો પડશે.

એક સમયે, nginx-testcookie મોડ્યુલ પૂરતું હતું (https://github.com/kyprizel/testcookie-nginx-module), અને તે હજી પણ મોટી સંખ્યામાં હુમલાઓને દૂર કરવા માટે પૂરતું છે. જ્યારે મેં હોસ્ટિંગ ઉદ્યોગમાં કામ કર્યું, ત્યારે L7 સુરક્ષા nginx-testcookie પર આધારિત હતી.
કમનસીબે, હુમલાઓ વધુ મુશ્કેલ બની ગયા છે. testcookie JS-આધારિત બૉટ ચેકનો ઉપયોગ કરે છે અને ઘણા આધુનિક બૉટો તેમને સફળતાપૂર્વક પાસ કરી શકે છે.

એટેક બોટનેટ પણ અનન્ય છે, અને દરેક મોટા બોટનેટની લાક્ષણિકતાઓ ધ્યાનમાં લેવી આવશ્યક છે.
એમ્પ્લીફિકેશન, બોટનેટથી સીધું પૂર, વિવિધ દેશોના ટ્રાફિકને ફિલ્ટર કરવું (વિવિધ દેશો માટે અલગ-અલગ ફિલ્ટરિંગ), SYN/ACK ફ્લડિંગ, પેકેટ ફ્રેગમેન્ટેશન, ICMP, HTTP ફ્લડિંગ, જ્યારે એપ્લિકેશન/http સ્તર પર તમે અમર્યાદિત સંખ્યામાં આવી શકો છો. વિવિધ હુમલાઓ.
કુલ મળીને, ચેનલ સુરક્ષાના સ્તરે, ટ્રાફિકને સાફ કરવા માટેના વિશિષ્ટ સાધનો, વિશેષ સૉફ્ટવેર, દરેક ક્લાયંટ માટે વધારાના ફિલ્ટરિંગ સેટિંગ્સ દસ અને સેંકડો ફિલ્ટરિંગ સ્તરો હોઈ શકે છે.
આને યોગ્ય રીતે સંચાલિત કરવા અને વિવિધ વપરાશકર્તાઓ માટે ફિલ્ટરિંગ સેટિંગ્સને યોગ્ય રીતે ટ્યુન કરવા માટે, તમારે ઘણા અનુભવ અને લાયક કર્મચારીઓની જરૂર છે. મોટા ઓપરેટર કે જેણે સુરક્ષા સેવાઓ પ્રદાન કરવાનું નક્કી કર્યું છે તે પણ "સમસ્યા પર મૂર્ખતાપૂર્વક પૈસા ફેંકી" શકતા નથી: કાયદેસર ટ્રાફિક પર જૂઠું બોલતી સાઇટ્સ અને ખોટા હકારાત્મકથી અનુભવ મેળવવો પડશે.
સુરક્ષા ઓપરેટર માટે કોઈ "રીપેલ DDoS" બટન નથી; ત્યાં મોટી સંખ્યામાં સાધનો છે, અને તમારે તેનો ઉપયોગ કેવી રીતે કરવો તે જાણવાની જરૂર છે.

અને એક વધુ બોનસ ઉદાહરણ.

600 Mbit ની ક્ષમતાવાળા હુમલા દરમિયાન હોસ્ટર દ્વારા અસુરક્ષિત સર્વરને અવરોધિત કરવામાં આવ્યું હતું
(ટ્રાફિકનું "નુકસાન" નોંધનીય નથી, કારણ કે માત્ર 1 સાઇટ પર હુમલો કરવામાં આવ્યો હતો, તેને સર્વરમાંથી અસ્થાયી રૂપે દૂર કરવામાં આવી હતી અને એક કલાકમાં અવરોધ દૂર કરવામાં આવ્યો હતો).

એ જ સર્વર સુરક્ષિત છે. હુમલાખોરોએ એક દિવસના ભગાડેલા હુમલા પછી "શરણાગતિ" કરી. હુમલો પોતે સૌથી મજબૂત ન હતો.

L3/L4 ના હુમલા અને સંરક્ષણ વધુ તુચ્છ છે; તેઓ મુખ્યત્વે ચેનલોની જાડાઈ, હુમલા માટે શોધ અને ફિલ્ટરિંગ અલ્ગોરિધમ્સ પર આધાર રાખે છે.
L7 હુમલાઓ વધુ જટિલ અને મૂળ છે; તેઓ હુમલો કરવામાં આવી રહેલી એપ્લિકેશન, હુમલાખોરોની ક્ષમતાઓ અને કલ્પના પર આધાર રાખે છે. તેમની સામે રક્ષણ માટે ઘણાં જ્ઞાન અને અનુભવની જરૂર છે, અને પરિણામ તાત્કાલિક ન હોઈ શકે અને સો ટકા નહીં. Google રક્ષણ માટે અન્ય ન્યુરલ નેટવર્ક સાથે ન આવે ત્યાં સુધી.

સોર્સ: www.habr.com