DDoS हमलों के विरुद्ध पूर्ण सुरक्षा के साथ होस्टिंग - मिथक या वास्तविकता

2020 की पहली दो तिमाहियों में, DDoS हमलों की संख्या लगभग तीन गुना हो गई, जिनमें से 65% "लोड परीक्षण" के आदिम प्रयास थे जो छोटे ऑनलाइन स्टोर, फ़ोरम, ब्लॉग और मीडिया आउटलेट की रक्षाहीन साइटों को आसानी से "अक्षम" कर देते थे।

DDoS-संरक्षित होस्टिंग कैसे चुनें? आपको किस पर ध्यान देना चाहिए और क्या तैयारी करनी चाहिए ताकि किसी अप्रिय स्थिति में न पड़ें?

(अंदर "ग्रे" मार्केटिंग के खिलाफ टीकाकरण)

DDoS हमलों को अंजाम देने के लिए उपकरणों की उपलब्धता और विविधता ऑनलाइन सेवाओं के मालिकों को खतरे का मुकाबला करने के लिए उचित उपाय करने के लिए मजबूर करती है। आपको DDoS सुरक्षा के बारे में पहली विफलता के बाद नहीं सोचना चाहिए, और बुनियादी ढांचे की दोष सहनशीलता को बढ़ाने के उपायों के एक सेट के हिस्से के रूप में भी नहीं, बल्कि प्लेसमेंट के लिए साइट (होस्टिंग प्रदाता या डेटा सेंटर) चुनने के चरण में।

DDoS हमलों को उन प्रोटोकॉल के आधार पर वर्गीकृत किया जाता है जिनकी कमजोरियों का ओपन सिस्टम इंटरकनेक्शन (OSI) मॉडल के स्तर पर शोषण किया जाता है:

• चैनल (L2),
• नेटवर्क (L3),
• परिवहन (L4),
• लागू (L7)।

सुरक्षा प्रणालियों के दृष्टिकोण से, उन्हें दो समूहों में सामान्यीकृत किया जा सकता है: बुनियादी ढाँचा स्तर के हमले (L2-L4) और अनुप्रयोग स्तर के हमले (L7)। यह ट्रैफ़िक विश्लेषण एल्गोरिदम के निष्पादन के अनुक्रम और कम्प्यूटेशनल जटिलता के कारण है: हम आईपी पैकेट को जितना गहराई से देखेंगे, उतनी ही अधिक कंप्यूटिंग शक्ति की आवश्यकता होगी।

सामान्य तौर पर, वास्तविक समय में ट्रैफ़िक संसाधित करते समय गणनाओं को अनुकूलित करने की समस्या लेखों की एक अलग श्रृंखला का विषय है। अब आइए कल्पना करें कि सशर्त रूप से असीमित कंप्यूटिंग संसाधनों के साथ कुछ क्लाउड प्रदाता हैं जो साइटों को एप्लिकेशन-स्तरीय हमलों (सहित) से बचा सकते हैं бесплатно).

DDoS हमलों से होस्टिंग सुरक्षा की डिग्री निर्धारित करने के लिए 3 मुख्य प्रश्न

आइए DDoS हमलों से सुरक्षा के लिए सेवा की शर्तों और होस्टिंग प्रदाता के सर्विस लेवल एग्रीमेंट (SLA) पर नजर डालें। क्या उनमें निम्नलिखित प्रश्नों के उत्तर हैं:

• सेवा प्रदाता द्वारा कौन सी तकनीकी सीमाएँ बताई गई हैं??
• क्या होता है जब ग्राहक सीमा से आगे चला जाता है?
• एक होस्टिंग प्रदाता DDoS हमलों (प्रौद्योगिकियां, समाधान, आपूर्तिकर्ता) के खिलाफ सुरक्षा कैसे बनाता है?

यदि आपको यह जानकारी नहीं मिली है, तो यह सेवा प्रदाता की गंभीरता के बारे में सोचने या स्वयं बुनियादी DDoS सुरक्षा (L3-4) को व्यवस्थित करने का एक कारण है। उदाहरण के लिए, किसी विशेष सुरक्षा प्रदाता के नेटवर्क से भौतिक कनेक्शन का आदेश दें।

महत्वपूर्ण! यदि आपका होस्टिंग प्रदाता बुनियादी ढांचे-स्तर के हमलों के खिलाफ सुरक्षा प्रदान करने में सक्षम नहीं है, तो रिवर्स प्रॉक्सी का उपयोग करके एप्लिकेशन-स्तरीय हमलों के खिलाफ सुरक्षा प्रदान करने का कोई मतलब नहीं है: नेटवर्क उपकरण अतिभारित हो जाएंगे और अनुपलब्ध हो जाएंगे, जिसमें क्लाउड प्रदाता के प्रॉक्सी सर्वर भी शामिल हैं (चित्र) 1).

चित्र 1. होस्टिंग प्रदाता के नेटवर्क पर सीधा हमला

और उन्हें आपको परी कथाएं बताने की कोशिश न करें कि सर्वर का वास्तविक आईपी पता सुरक्षा प्रदाता के क्लाउड के पीछे छिपा हुआ है, जिसका अर्थ है कि उस पर सीधे हमला करना असंभव है। दस में से नौ मामलों में, किसी हमलावर के लिए संपूर्ण डेटा केंद्र को "नष्ट" करने के लिए सर्वर या कम से कम होस्टिंग प्रदाता के नेटवर्क का वास्तविक आईपी पता ढूंढना मुश्किल नहीं होगा।

वास्तविक आईपी पते की तलाश में हैकर्स कैसे कार्य करते हैं

स्पॉइलर के नीचे वास्तविक आईपी पता खोजने के लिए कई तरीके दिए गए हैं (सूचना के उद्देश्यों के लिए दिए गए हैं)।

विधि 1: खुले स्रोतों में खोजें

आप अपनी खोज ऑनलाइन सेवा से शुरू कर सकते हैं इंटेलिजेंस एक्स: यह डार्क वेब, दस्तावेज़ साझाकरण प्लेटफ़ॉर्म, Whois डेटा, सार्वजनिक डेटा लीक और कई अन्य स्रोतों को संसाधित करता है।

यदि, कुछ संकेतों (HTTP हेडर, Whois डेटा, आदि) के आधार पर, यह निर्धारित करना संभव था कि साइट की सुरक्षा क्लाउडफ्लेयर का उपयोग करके व्यवस्थित की गई है, तो आप वास्तविक आईपी की खोज शुरू कर सकते हैं सूची, जिसमें क्लाउडफ्लेयर के पीछे स्थित साइटों के लगभग 3 मिलियन आईपी पते शामिल हैं।

एसएसएल प्रमाणपत्र और सेवा का उपयोग करना सेंसिस आप साइट के वास्तविक आईपी पते सहित बहुत सी उपयोगी जानकारी पा सकते हैं। अपने संसाधन के लिए अनुरोध उत्पन्न करने के लिए, प्रमाणपत्र टैब पर जाएं और दर्ज करें:

_parsed.names: नामसाइट और टैग.कच्चे: विश्वसनीय

एसएसएल प्रमाणपत्र का उपयोग करके सर्वर के आईपी पते की खोज करने के लिए, आपको कई टूल ("एक्सप्लोर" टैब, फिर "आईपीवी4 होस्ट्स") का उपयोग करके ड्रॉप-डाउन सूची से मैन्युअल रूप से गुजरना होगा।

विधि 2: डीएनएस

DNS रिकॉर्ड परिवर्तनों का इतिहास खोजना एक पुराना, सिद्ध तरीका है। साइट का पिछला आईपी पता यह स्पष्ट कर सकता है कि यह किस होस्टिंग (या डेटा सेंटर) पर स्थित था। उपयोग में आसानी की दृष्टि से ऑनलाइन सेवाओं में निम्नलिखित प्रमुख हैं: व्यूडीएनएस и सुरक्षा ट्रेल्स.

जब आप सेटिंग्स बदलते हैं, तो साइट तुरंत क्लाउड सुरक्षा प्रदाता या सीडीएन के आईपी पते का उपयोग नहीं करेगी, बल्कि कुछ समय के लिए सीधे काम करेगी। इस मामले में, ऐसी संभावना है कि आईपी पते में परिवर्तन के इतिहास को संग्रहीत करने के लिए ऑनलाइन सेवाओं में साइट के स्रोत पते के बारे में जानकारी शामिल है।

यदि पुराने DNS सर्वर के नाम के अलावा कुछ नहीं है, तो विशेष उपयोगिताओं (dig, होस्ट या nslookup) का उपयोग करके आप साइट के डोमेन नाम से आईपी पते का अनुरोध कर सकते हैं, उदाहरण के लिए:

_dig @old_dns_server_name नामсайта

विधि 3: ईमेल

विधि का विचार आपके ईमेल पर एक पत्र प्राप्त करने और हेडर, विशेष रूप से "प्राप्त" फ़ील्ड की जांच करने के लिए फीडबैक/पंजीकरण फॉर्म (या कोई अन्य विधि जो आपको पत्र भेजने की शुरुआत करने की अनुमति देता है) का उपयोग करना है। .

ईमेल हेडर में अक्सर एमएक्स रिकॉर्ड (ईमेल एक्सचेंज सर्वर) का वास्तविक आईपी पता होता है, जो लक्ष्य पर अन्य सर्वर खोजने के लिए एक प्रारंभिक बिंदु हो सकता है।

स्वचालन उपकरण खोजें

क्लाउडफ्लेयर शील्ड के पीछे आईपी खोज सॉफ्टवेयर अक्सर तीन कार्यों के लिए काम करता है:

• DNSDumpster.com का उपयोग करके DNS गलत कॉन्फ़िगरेशन के लिए स्कैन करें;
• Crimeflare.com डेटाबेस स्कैन;
• शब्दकोश खोज विधि का उपयोग करके उपडोमेन खोजें।

उपडोमेन ढूंढना अक्सर तीनों में से सबसे प्रभावी विकल्प होता है - साइट स्वामी मुख्य साइट की सुरक्षा कर सकता है और उपडोमेन को सीधे चालू छोड़ सकता है। जांचने का सबसे आसान तरीका उपयोग करना है क्लाउडफ़ेल.

इसके अलावा, ऐसी उपयोगिताएँ हैं जो केवल शब्दकोश खोज और खुले स्रोतों में खोज का उपयोग करके उपडोमेन खोजने के लिए डिज़ाइन की गई हैं, उदाहरण के लिए: उपसूची3आर या dnsrecon.

व्यवहार में खोज कैसे होती है

उदाहरण के लिए, आइए Cloudflare का उपयोग करके साइट seo.com लें, जिसे हम एक प्रसिद्ध सेवा का उपयोग करके पाएंगे बिल्टविथ (आपको उन तकनीकों/इंजनों/सीएमएस को निर्धारित करने की अनुमति देता है जिन पर साइट संचालित होती है, और इसके विपरीत - उपयोग की गई तकनीकों के आधार पर साइटों की खोज करें)।

जब आप "आईपीवी4 होस्ट्स" टैब पर क्लिक करते हैं, तो सेवा प्रमाणपत्र का उपयोग करने वाले होस्ट्स की एक सूची दिखाएगी। आपको जिसकी आवश्यकता है उसे ढूंढने के लिए, खुले पोर्ट 443 के साथ एक आईपी पता देखें। यदि यह वांछित साइट पर रीडायरेक्ट करता है, तो कार्य पूरा हो गया है, अन्यथा आपको साइट के डोमेन नाम को "होस्ट" हेडर में जोड़ना होगा। HTTP अनुरोध (उदाहरण के लिए, *curl -H "होस्ट: साइट_नाम" *https://IP_адрес).

हमारे मामले में, सेंसिस डेटाबेस में खोज से कुछ नहीं मिला, इसलिए हम आगे बढ़ते हैं।

हम सेवा के माध्यम से एक DNS खोज करेंगे https://securitytrails.com/dns-trails.

क्लाउडफ़ेल उपयोगिता का उपयोग करके DNS सर्वरों की सूचियों में उल्लिखित पतों को खोजने से, हमें कार्यशील संसाधन मिलते हैं। कुछ ही सेकंड में रिजल्ट तैयार हो जाएगा.

केवल खुले डेटा और सरल टूल का उपयोग करके, हमने वेब सर्वर का वास्तविक आईपी पता निर्धारित किया। हमलावर के लिए बाकी सब तकनीक का मामला है।

आइए एक होस्टिंग प्रदाता चुनने पर वापस लौटें। ग्राहक के लिए सेवा के लाभ का मूल्यांकन करने के लिए, हम DDoS हमलों से सुरक्षा के संभावित तरीकों पर विचार करेंगे।

एक होस्टिंग प्रदाता अपनी सुरक्षा कैसे बनाता है

1. फ़िल्टरिंग उपकरण के साथ स्वयं की सुरक्षा प्रणाली (चित्र 2)।
   आवश्यकता है:
   1.1. ट्रैफ़िक फ़िल्टरिंग उपकरण और सॉफ़्टवेयर लाइसेंस;
   1.2. इसके समर्थन और संचालन के लिए पूर्णकालिक विशेषज्ञ;
   1.3. इंटरनेट एक्सेस चैनल जो हमलों को प्राप्त करने के लिए पर्याप्त होंगे;
   1.4. "जंक" ट्रैफ़िक प्राप्त करने के लिए महत्वपूर्ण प्रीपेड चैनल बैंडविड्थ।
   
   चित्र 2. होस्टिंग प्रदाता की अपनी सुरक्षा प्रणाली
   यदि हम वर्णित प्रणाली को सैकड़ों Gbps के आधुनिक DDoS हमलों से सुरक्षा का एक साधन मानते हैं, तो ऐसी प्रणाली पर बहुत अधिक पैसा खर्च होगा। क्या होस्टिंग प्रदाता के पास ऐसी सुरक्षा है? क्या वह "जंक" ट्रैफ़िक के लिए भुगतान करने को तैयार है? जाहिर है, ऐसा आर्थिक मॉडल प्रदाता के लिए लाभहीन है यदि टैरिफ अतिरिक्त भुगतान प्रदान नहीं करता है।
2. रिवर्स प्रॉक्सी (केवल वेबसाइटों और कुछ एप्लिकेशन के लिए)। एक संख्या के बावजूद लाभ, आपूर्तिकर्ता प्रत्यक्ष DDoS हमलों के विरुद्ध सुरक्षा की गारंटी नहीं देता है (चित्र 1 देखें)। होस्टिंग प्रदाता अक्सर सुरक्षा प्रदाता पर जिम्मेदारी डालकर रामबाण जैसा समाधान पेश करते हैं।
3. सभी OSI स्तरों पर DDoS हमलों से बचाने के लिए एक विशेष क्लाउड प्रदाता की सेवाएँ (इसके फ़िल्टरिंग नेटवर्क का उपयोग) (चित्र 3)।
   
   चित्र 3. एक विशेष प्रदाता का उपयोग करके DDoS हमलों के विरुद्ध व्यापक सुरक्षा
   समाधान दोनों पक्षों के गहरे एकीकरण और उच्च स्तर की तकनीकी क्षमता को मानता है। आउटसोर्सिंग ट्रैफ़िक फ़िल्टरिंग सेवाएँ होस्टिंग प्रदाता को ग्राहक के लिए अतिरिक्त सेवाओं की कीमत कम करने की अनुमति देती हैं।

महत्वपूर्ण! प्रदान की गई सेवा की तकनीकी विशेषताओं का जितना अधिक विस्तृत वर्णन किया जाएगा, डाउनटाइम की स्थिति में उनके कार्यान्वयन या मुआवजे की मांग करने की संभावना उतनी ही अधिक होगी।

तीन मुख्य विधियों के अलावा, कई संयोजन और संयोजन भी हैं। होस्टिंग चुनते समय, ग्राहक के लिए यह याद रखना महत्वपूर्ण है कि निर्णय न केवल गारंटीकृत अवरुद्ध हमलों के आकार और फ़िल्टरिंग सटीकता पर निर्भर करेगा, बल्कि प्रतिक्रिया की गति, साथ ही सूचना सामग्री (अवरुद्ध हमलों की सूची) पर भी निर्भर करेगा। सामान्य आँकड़े, आदि)।

याद रखें कि दुनिया में केवल कुछ ही होस्टिंग प्रदाता अपने दम पर स्वीकार्य स्तर की सुरक्षा प्रदान करने में सक्षम हैं; अन्य मामलों में, सहयोग और तकनीकी साक्षरता मदद करती है। इस प्रकार, DDoS हमलों के खिलाफ सुरक्षा के आयोजन के बुनियादी सिद्धांतों को समझने से साइट मालिक को मार्केटिंग चालों में नहीं फंसने और "एक प्रहार में सुअर" खरीदने की अनुमति नहीं मिलेगी।

स्रोत: www.habr.com