DDoS सुरक्षा बाज़ार में क्या है और कौन है

"जिस व्यक्ति ने हमारी वेबसाइट बनाई है उसने पहले ही DDoS सुरक्षा स्थापित कर ली है।"
"हमारे पास DDoS सुरक्षा है, साइट बंद क्यों हो गई?"
"क्यूरेटर को कितने हज़ार चाहिए?"

ग्राहक/बॉस के ऐसे प्रश्नों का उचित उत्तर देने के लिए, यह जानना अच्छा होगा कि "DDoS सुरक्षा" नाम के पीछे क्या छिपा है। सुरक्षा सेवाएँ चुनना IKEA में टेबल चुनने की तुलना में डॉक्टर से दवा चुनने जैसा है।

मैं 11 वर्षों से वेबसाइटों का समर्थन कर रहा हूं, जिन सेवाओं का मैं समर्थन करता हूं उन पर सैकड़ों हमलों से बच चुका हूं, और अब मैं आपको सुरक्षा की आंतरिक कार्यप्रणाली के बारे में थोड़ा बताऊंगा।

नियमित हमले. कुल 350k अनुरोध, 52k अनुरोध वैध

पहला हमला लगभग इंटरनेट के साथ ही सामने आया। DDoS एक घटना के रूप में 2000 के दशक के उत्तरार्ध से व्यापक हो गया है (देखें)। www.cloudflare.com/learning/ddos/famous-ddos-attacks).
2015-2016 के बाद से, लगभग सभी होस्टिंग प्रदाताओं को DDoS हमलों से सुरक्षित किया गया है, जैसा कि प्रतिस्पर्धी क्षेत्रों में सबसे प्रमुख साइटें हैं (eldorado.ru, leroymerlin.ru, tilda.ws साइटों के आईपी द्वारा whois करें, आप नेटवर्क देखेंगे सुरक्षा ऑपरेटरों की)

यदि 10-20 साल पहले अधिकांश हमलों को सर्वर पर ही निरस्त किया जा सकता था (90 के दशक से लेंटा.आरयू सिस्टम प्रशासक मैक्सिम मोशकोव की सिफारिशों का मूल्यांकन करें: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), लेकिन अब सुरक्षा कार्य अधिक कठिन हो गए हैं।

सुरक्षा ऑपरेटर चुनने के दृष्टिकोण से DDoS हमलों के प्रकार

L3/L4 स्तर पर हमले (OSI मॉडल के अनुसार)

- एक बॉटनेट से यूडीपी बाढ़ (कई अनुरोध संक्रमित उपकरणों से सीधे हमला की गई सेवा पर भेजे जाते हैं, सर्वर चैनल के साथ अवरुद्ध होते हैं);
- डीएनएस/एनटीपी/आदि प्रवर्धन (कई अनुरोध संक्रमित उपकरणों से कमजोर डीएनएस/एनटीपी/आदि को भेजे जाते हैं, प्रेषक का पता जाली है, अनुरोधों का जवाब देने वाले पैकेटों का एक बादल हमला किए जा रहे व्यक्ति के चैनल में बाढ़ ला देता है; यह सबसे अधिक है आधुनिक इंटरनेट पर बड़े पैमाने पर हमले किए जाते हैं);
- SYN / ACK बाढ़ (कनेक्शन स्थापित करने के लिए कई अनुरोध हमलावर सर्वर पर भेजे जाते हैं, कनेक्शन कतार ओवरफ्लो हो जाती है);
- पैकेट विखंडन, पिंग ऑफ डेथ, पिंग फ्लड (कृपया इसे गूगल करें) के साथ हमले;
- और इसी तरह।

इन हमलों का उद्देश्य सर्वर के चैनल को "बंद" करना या नए ट्रैफ़िक को स्वीकार करने की उसकी क्षमता को "ख़त्म" करना है।
हालाँकि SYN/ACK बाढ़ और प्रवर्धन बहुत अलग हैं, कई कंपनियां समान रूप से अच्छी तरह से उनका मुकाबला करती हैं। अगले समूह के हमलों से समस्याएँ उत्पन्न होती हैं।

L7 पर हमले (अनुप्रयोग परत)

— http बाढ़ (यदि किसी वेबसाइट या किसी http एपीआई पर हमला किया जाता है);
- साइट के कमजोर क्षेत्रों पर हमला (जिनमें कैश नहीं है, जो साइट को बहुत अधिक लोड करते हैं, आदि)।

लक्ष्य यह है कि सर्वर "कड़ी मेहनत करे", बहुत सारे "वास्तविक प्रतीत होने वाले अनुरोधों" को संसाधित करे और वास्तविक अनुरोधों के लिए संसाधनों के बिना छोड़ दिया जाए।

हालाँकि अन्य हमले भी हैं, ये सबसे आम हैं।

एल7 स्तर पर गंभीर हमले प्रत्येक हमले वाली परियोजना के लिए एक अनूठे तरीके से बनाए जाते हैं।

2 समूह क्यों?
क्योंकि ऐसे बहुत से लोग हैं जो L3/L4 स्तर पर हमलों को अच्छी तरह से दोहराना जानते हैं, लेकिन या तो एप्लिकेशन स्तर (L7) पर सुरक्षा बिल्कुल नहीं लेते हैं, या फिर उनसे निपटने में विकल्पों की तुलना में कमज़ोर हैं।

DDoS सुरक्षा बाज़ार में कौन है?

(मेरी निजी राय)

L3/L4 स्तर पर सुरक्षा

प्रवर्धन (सर्वर चैनल के "रुकावट") के साथ हमलों को रोकने के लिए, पर्याप्त विस्तृत चैनल हैं (कई सुरक्षा सेवाएँ रूस में अधिकांश बड़े बैकबोन प्रदाताओं से जुड़ती हैं और 1 Tbit से अधिक की सैद्धांतिक क्षमता वाले चैनल हैं)। यह मत भूलो कि बहुत ही दुर्लभ प्रवर्धन हमले एक घंटे से अधिक समय तक चलते हैं। यदि आप स्पैमहॉस हैं और हर कोई आपको पसंद नहीं करता है, तो हाँ, वे आपके चैनल को कई दिनों के लिए बंद करने का प्रयास कर सकते हैं, यहां तक ​​कि उपयोग किए जा रहे वैश्विक बॉटनेट के आगे जीवित रहने के जोखिम पर भी। यदि आपके पास सिर्फ एक ऑनलाइन स्टोर है, भले ही वह mvideo.ru हो, तो आपको जल्द ही कुछ दिनों के भीतर 1 Tbit नहीं दिखाई देगा (मुझे उम्मीद है)।

SYN/ACK बाढ़, पैकेट विखंडन आदि वाले हमलों को रोकने के लिए, आपको ऐसे हमलों का पता लगाने और रोकने के लिए उपकरण या सॉफ़्टवेयर सिस्टम की आवश्यकता होती है।
बहुत से लोग ऐसे उपकरण का उत्पादन करते हैं (आर्बर, सिस्को, हुआवेई से समाधान, वानगार्ड से सॉफ्टवेयर कार्यान्वयन, आदि), कई बैकबोन ऑपरेटरों ने पहले ही इसे स्थापित कर लिया है और डीडीओएस सुरक्षा सेवाएं बेचते हैं (मुझे रोस्टेलकॉम, मेगफॉन, टीटीके, एमटीएस से इंस्टॉलेशन के बारे में पता है) वास्तव में, सभी प्रमुख प्रदाता अपनी स्वयं की सुरक्षा वाले होस्टर्स के साथ ऐसा ही करते हैं जैसे OVH.com, Hetzner.de, मुझे स्वयं ihor.ru पर सुरक्षा का सामना करना पड़ा)। कुछ कंपनियाँ अपने स्वयं के सॉफ़्टवेयर समाधान विकसित कर रही हैं (DPDK जैसी प्रौद्योगिकियाँ आपको एक भौतिक x86 मशीन पर दसियों गीगाबिट ट्रैफ़िक संसाधित करने की अनुमति देती हैं)।

जाने-माने खिलाड़ियों में से हर कोई L3/L4 DDoS से कमोबेश प्रभावी ढंग से लड़ सकता है। अब मैं यह नहीं कहूंगा कि किसके पास अधिकतम चैनल क्षमता अधिक है (यह अंदरूनी जानकारी है), लेकिन आमतौर पर यह इतना महत्वपूर्ण नहीं है, और एकमात्र अंतर यह है कि सुरक्षा कितनी जल्दी चालू हो जाती है (तुरंत या प्रोजेक्ट डाउनटाइम के कुछ मिनटों के बाद, जैसा कि हेट्ज़नर में है)।
सवाल यह है कि यह कितनी अच्छी तरह से किया जाता है: हानिकारक ट्रैफ़िक की सबसे बड़ी मात्रा वाले देशों से ट्रैफ़िक को अवरुद्ध करके एक प्रवर्धन हमले को रद्द किया जा सकता है, या केवल वास्तव में अनावश्यक ट्रैफ़िक को त्याग दिया जा सकता है।
लेकिन साथ ही, मेरे अनुभव के आधार पर, सभी गंभीर बाजार खिलाड़ी बिना किसी समस्या के इसका सामना करते हैं: क्यूरेटर, डीडीओएस-गार्ड, कैस्परस्की, जी-कोर लैब्स (पूर्व में स्काईपार्कसीडीएन), सर्विसपाइप, स्टॉर्मवॉल, वोक्सिलिटी, आदि।
मुझे रोस्टेलकॉम, मेगफॉन, टीटीके, बीलाइन जैसे ऑपरेटरों से सुरक्षा का सामना नहीं करना पड़ा; सहकर्मियों की समीक्षाओं के अनुसार, वे ये सेवाएं काफी अच्छी तरह से प्रदान करते हैं, लेकिन अब तक अनुभव की कमी समय-समय पर प्रभावित कर रही है: कभी-कभी आपको समर्थन के माध्यम से कुछ बदलाव करने की आवश्यकता होती है सुरक्षा संचालक का.
कुछ ऑपरेटरों के पास एक अलग सेवा "L3/L4 स्तर पर हमलों के खिलाफ सुरक्षा", या "चैनल सुरक्षा" होती है; इसकी लागत सभी स्तरों पर सुरक्षा की तुलना में बहुत कम है।

बैकबोन प्रदाता सैकड़ों Gbits के हमलों को क्यों नहीं रोक रहा है, क्योंकि उसके पास अपने चैनल नहीं हैं?सुरक्षा ऑपरेटर किसी भी प्रमुख प्रदाता से जुड़ सकता है और "अपने खर्च पर" हमलों को विफल कर सकता है। आपको चैनल के लिए भुगतान करना होगा, लेकिन इन सभी सैकड़ों Gbits का हमेशा उपयोग नहीं किया जाएगा; इस मामले में चैनलों की लागत को काफी कम करने के विकल्प हैं, इसलिए योजना व्यावहारिक बनी हुई है।

ये वे रिपोर्टें हैं जो मुझे होस्टिंग प्रदाता के सिस्टम का समर्थन करते समय नियमित रूप से उच्च-स्तरीय L3/L4 सुरक्षा से प्राप्त होती हैं।

L7 स्तर पर सुरक्षा (आवेदन स्तर)

L7 स्तर (आवेदन स्तर) पर हमले लगातार और कुशलता से इकाइयों को पीछे हटाने में सक्षम हैं।
मेरे पास इसके साथ काफी वास्तविक अनुभव है
— Qrator.net;
- DDoS-गार्ड;
- जी-कोर लैब्स;
- कास्परस्की.

वे शुद्ध ट्रैफ़िक के प्रत्येक मेगाबिट के लिए शुल्क लेते हैं, एक मेगाबिट की लागत लगभग कई हज़ार रूबल होती है। यदि आपके पास कम से कम 100 एमबीपीएस शुद्ध ट्रैफ़िक है - ओह। सुरक्षा बहुत महँगी होगी. मैं आपको निम्नलिखित लेखों में बता सकता हूं कि सुरक्षा चैनलों की क्षमता पर काफी बचत करने के लिए एप्लिकेशन कैसे डिज़ाइन करें।
असली "पहाड़ी का राजा" Qrator.net है, बाकी लोग उनसे पीछे हैं। मेरे अनुभव में अब तक क्यूरेटर एकमात्र ऐसा है जो झूठी सकारात्मकता का प्रतिशत शून्य के करीब देता है, लेकिन साथ ही वे अन्य बाजार खिलाड़ियों की तुलना में कई गुना अधिक महंगे हैं।

अन्य ऑपरेटर भी उच्च-गुणवत्ता और स्थिर सुरक्षा प्रदान करते हैं। हमारे द्वारा समर्थित कई सेवाएँ (देश में बहुत प्रसिद्ध सेवाओं सहित!) DDoS-गार्ड, जी-कोर लैब्स से सुरक्षित हैं, और प्राप्त परिणामों से काफी संतुष्ट हैं।

क्यूरेटर द्वारा हमलों को निरस्त कर दिया गया

मेरे पास क्लाउड-शील्ड.ru, ddosa.net जैसे हजारों छोटे सुरक्षा ऑपरेटरों के साथ भी अनुभव है। मैं निश्चित रूप से इसकी अनुशंसा नहीं करूंगा, क्योंकि... मेरे पास ज्यादा अनुभव नहीं है, लेकिन मैं आपको उनके काम के सिद्धांतों के बारे में बताऊंगा। उनकी सुरक्षा की लागत अक्सर प्रमुख खिलाड़ियों की तुलना में 1-2 ऑर्डर कम होती है। एक नियम के रूप में, वे बड़े खिलाड़ियों में से एक से आंशिक सुरक्षा सेवा (एल3/एल4) खरीदते हैं + उच्च स्तर पर हमलों के खिलाफ अपनी सुरक्षा स्वयं करते हैं। यह काफी प्रभावी हो सकता है + आप कम पैसे में अच्छी सेवा प्राप्त कर सकते हैं, लेकिन ये अभी भी छोटे कर्मचारियों वाली छोटी कंपनियां हैं, कृपया इसे ध्यान में रखें।

L7 स्तर पर हमलों को विफल करने में क्या कठिनाई है?

सभी एप्लिकेशन अद्वितीय हैं, और आपको उन ट्रैफ़िक को अनुमति देनी होगी जो उनके लिए उपयोगी हों और हानिकारक ट्रैफ़िक को ब्लॉक करें। बॉट्स को स्पष्ट रूप से हटाना हमेशा संभव नहीं होता है, इसलिए आपको ट्रैफ़िक शुद्धिकरण के कई, वास्तव में कई स्तरों का उपयोग करना होगा।

एक समय की बात है, nginx-testcookie मॉड्यूल पर्याप्त था (https://github.com/kyprizel/testcookie-nginx-module), और यह अभी भी बड़ी संख्या में हमलों को विफल करने के लिए पर्याप्त है। जब मैंने होस्टिंग उद्योग में काम किया, तो L7 सुरक्षा nginx-testcookie पर आधारित थी।
दुर्भाग्य से, हमले अधिक कठिन हो गए हैं। टेस्टकुकी जेएस-आधारित बॉट जांच का उपयोग करता है, और कई आधुनिक बॉट उन्हें सफलतापूर्वक पास कर सकते हैं।

आक्रमण बॉटनेट भी अद्वितीय हैं, और प्रत्येक बड़े बॉटनेट की विशेषताओं को ध्यान में रखा जाना चाहिए।
प्रवर्धन, एक बॉटनेट से प्रत्यक्ष बाढ़, विभिन्न देशों से ट्रैफ़िक फ़िल्टर करना (विभिन्न देशों के लिए अलग-अलग फ़िल्टरिंग), SYN/ACK बाढ़, पैकेट विखंडन, ICMP, http बाढ़, जबकि एप्लिकेशन/http स्तर पर आप असीमित संख्या में आ सकते हैं अलग-अलग हमले.
कुल मिलाकर, चैनल सुरक्षा के स्तर पर, ट्रैफ़िक साफ़ करने के लिए विशेष उपकरण, विशेष सॉफ़्टवेयर, प्रत्येक ग्राहक के लिए अतिरिक्त फ़िल्टरिंग सेटिंग्स में दसियों और सैकड़ों फ़िल्टरिंग स्तर हो सकते हैं।
इसे ठीक से प्रबंधित करने और विभिन्न उपयोगकर्ताओं के लिए फ़िल्टरिंग सेटिंग्स को सही ढंग से ट्यून करने के लिए, आपको बहुत सारे अनुभव और योग्य कर्मियों की आवश्यकता है। यहां तक ​​कि एक बड़ा ऑपरेटर जिसने सुरक्षा सेवाएं प्रदान करने का निर्णय लिया है, वह "मूर्खतापूर्वक समस्या पर पैसा नहीं फेंक सकता": झूठ बोलने वाली साइटों और वैध ट्रैफ़िक पर झूठी सकारात्मकता से अनुभव प्राप्त करना होगा।
सुरक्षा ऑपरेटर के लिए कोई "रिपेल DDoS" बटन नहीं है; बड़ी संख्या में उपकरण हैं, और आपको यह जानना होगा कि उनका उपयोग कैसे करना है।

और एक और बोनस उदाहरण.

600 Mbit की क्षमता वाले एक हमले के दौरान होस्टर द्वारा एक असुरक्षित सर्वर को ब्लॉक कर दिया गया था
(यातायात का "नुकसान" ध्यान देने योग्य नहीं है, क्योंकि केवल 1 साइट पर हमला किया गया था, इसे अस्थायी रूप से सर्वर से हटा दिया गया था और एक घंटे के भीतर अवरोध हटा दिया गया था)।

वही सर्वर सुरक्षित है. एक दिन के घृणित हमलों के बाद हमलावरों ने "आत्मसमर्पण" कर दिया। हमला अपने आप में सबसे मजबूत नहीं था.

L3/L4 का हमला और बचाव अधिक तुच्छ है; वे मुख्य रूप से चैनलों की मोटाई, हमलों का पता लगाने और फ़िल्टरिंग एल्गोरिदम पर निर्भर करते हैं।
L7 हमले अधिक जटिल और मौलिक हैं; वे हमला किए जाने वाले एप्लिकेशन, हमलावरों की क्षमताओं और कल्पना पर निर्भर करते हैं। उनके खिलाफ सुरक्षा के लिए बहुत अधिक ज्ञान और अनुभव की आवश्यकता होती है, और परिणाम तत्काल नहीं और सौ प्रतिशत नहीं हो सकता है। जब तक Google सुरक्षा के लिए एक और तंत्रिका नेटवर्क लेकर नहीं आया।

स्रोत: www.habr.com