यह लेख "अपने नेटवर्क इन्फ्रास्ट्रक्चर पर नियंत्रण कैसे रखें" श्रृंखला में चौथा है। श्रृंखला के सभी लेखों की सामग्री और लिंक पाए जा सकते हैं यहां.

В पहले भाग इस अध्याय में, हमने डेटा सेंटर सेगमेंट में नेटवर्क सुरक्षा के कुछ पहलुओं पर गौर किया। यह भाग "इंटरनेट एक्सेस" खंड के लिए समर्पित होगा।

इंटरनेट एक्सेस

सुरक्षा का विषय निस्संदेह डेटा नेटवर्क की दुनिया में सबसे जटिल विषयों में से एक है। पिछले मामलों की तरह, गहराई और पूर्णता का दावा किए बिना, मैं यहां काफी सरल, लेकिन, मेरी राय में, महत्वपूर्ण प्रश्नों पर विचार करूंगा, जिनके उत्तर, मुझे आशा है, आपके नेटवर्क की सुरक्षा के स्तर को बढ़ाने में मदद करेंगे।

इस खंड का ऑडिट करते समय निम्नलिखित पहलुओं पर ध्यान दें:

• डिज़ाइन
• बीजीपी सेटिंग्स
• डॉस/डीडीओएस सुरक्षा
• फ़ायरवॉल पर ट्रैफ़िक फ़िल्टरिंग

डिज़ाइन

एक एंटरप्राइज़ नेटवर्क के लिए इस सेगमेंट के डिज़ाइन के उदाहरण के रूप में, मैं अनुशंसा करूंगा नेतृत्व सिस्को के भीतर से सुरक्षित मॉडल.

बेशक, शायद अन्य विक्रेताओं का समाधान आपको अधिक आकर्षक लगेगा (देखें)। गार्टनर क्वाड्रेंट 2018), लेकिन आपको इस डिज़ाइन का विस्तार से पालन करने के लिए प्रोत्साहित किए बिना, मुझे अभी भी इसके पीछे के सिद्धांतों और विचारों को समझना उपयोगी लगता है।

टिप्पणी

SAFE में, "रिमोट एक्सेस" खंड "इंटरनेट एक्सेस" खंड का हिस्सा है। लेकिन लेखों की इस श्रृंखला में हम इस पर अलग से विचार करेंगे।

किसी एंटरप्राइज़ नेटवर्क के लिए इस सेगमेंट में उपकरणों का मानक सेट है

• सीमा रूटर
• फ़ायरवाल

टिप्पणी १

लेखों की इस श्रृंखला में, जब मैं फ़ायरवॉल के बारे में बात करता हूँ, तो मेरा मतलब है एनजीएफडब्ल्यू.

टिप्पणी १

मैं L2/L1 कनेक्टिविटी सुनिश्चित करने के लिए आवश्यक विभिन्न प्रकार के L2/L3 या L1 समाधानों पर L2 को ओवरले करने पर विचार करना छोड़ देता हूं और खुद को केवल L3 स्तर और उससे ऊपर के मुद्दों तक सीमित रखता हूं। आंशिक रूप से, L1/L2 मुद्दों पर "अध्याय" में चर्चा की गई।सफ़ाई और दस्तावेज़ीकरण"।

यदि आपको इस खंड में फ़ायरवॉल नहीं मिला है, तो आपको निष्कर्ष पर पहुंचने में जल्दबाजी नहीं करनी चाहिए।

आइए वैसा ही करें जैसा कि अंदर है पिछला हिस्साआइए प्रश्न से शुरू करें: क्या आपके मामले में इस खंड में फ़ायरवॉल का उपयोग करना आवश्यक है?

मैं कह सकता हूं कि फ़ायरवॉल का उपयोग करने और जटिल ट्रैफ़िक फ़िल्टरिंग एल्गोरिदम लागू करने के लिए यह सबसे उचित स्थान प्रतीत होता है। में 1 के हिस्सों हमने 4 कारकों का उल्लेख किया है जो डेटा सेंटर सेगमेंट में फ़ायरवॉल के उपयोग में हस्तक्षेप कर सकते हैं। लेकिन यहां अब उनका उतना महत्व नहीं रह गया है.

उदाहरण 1। देरी

जहां तक ​​इंटरनेट का सवाल है तो एक मिलीसेकंड की भी देरी के बारे में बात करने का कोई मतलब नहीं है। इसलिए, इस खंड में देरी फ़ायरवॉल के उपयोग को सीमित करने वाला कारक नहीं हो सकती है।

उदाहरण 2। निष्पादन

कुछ मामलों में यह कारक अभी भी महत्वपूर्ण हो सकता है। इसलिए, आपको फ़ायरवॉल को बायपास करने के लिए कुछ ट्रैफ़िक (उदाहरण के लिए, लोड बैलेंसर्स से ट्रैफ़िक) की अनुमति देनी पड़ सकती है।

उदाहरण 3। विश्वसनीयता

इस कारक को अभी भी ध्यान में रखने की आवश्यकता है, लेकिन फिर भी, इंटरनेट की अविश्वसनीयता को देखते हुए, इस सेगमेंट के लिए इसका महत्व डेटा सेंटर जितना महत्वपूर्ण नहीं है।

तो, मान लीजिए कि आपकी सेवा http/https (छोटे सत्रों के साथ) के शीर्ष पर रहती है। इस मामले में, आप दो स्वतंत्र बॉक्स (एचए के बिना) का उपयोग कर सकते हैं और यदि उनमें से एक के साथ कोई रूटिंग समस्या है, तो सभी ट्रैफ़िक को दूसरे में स्थानांतरित करें।

या आप फ़ायरवॉल को पारदर्शी मोड में उपयोग कर सकते हैं और, यदि वे विफल हो जाते हैं, तो समस्या को हल करते समय ट्रैफ़िक को फ़ायरवॉल को बायपास करने की अनुमति दें।

इसलिए, सबसे अधिक संभावना बस यही है कीमत यह वह कारक हो सकता है जो आपको इस सेगमेंट में फ़ायरवॉल का उपयोग छोड़ने के लिए मजबूर करेगा।

महत्वपूर्ण!

इस फ़ायरवॉल को डेटा सेंटर फ़ायरवॉल के साथ संयोजित करने का प्रलोभन है (इन खंडों के लिए एक फ़ायरवॉल का उपयोग करें)। समाधान, सैद्धांतिक रूप से, संभव है, लेकिन आपको इसे समझने की आवश्यकता है क्योंकि एक इंटरनेट एक्सेस फ़ायरवॉल वास्तव में आपके बचाव में सबसे आगे है और कम से कम कुछ दुर्भावनापूर्ण ट्रैफ़िक को "ले लेता है", तो, निश्चित रूप से, आपको इस फ़ायरवॉल को अक्षम किए जाने के बढ़ते जोखिम को ध्यान में रखना होगा। यानी, इन दोनों सेगमेंट में समान डिवाइस का उपयोग करके, आप अपने डेटा सेंटर सेगमेंट की उपलब्धता को काफी कम कर देंगे।

हमेशा की तरह, आपको यह समझने की ज़रूरत है कि कंपनी द्वारा प्रदान की जाने वाली सेवा के आधार पर, इस सेगमेंट का डिज़ाइन बहुत भिन्न हो सकता है। हमेशा की तरह, आप अपनी आवश्यकताओं के आधार पर विभिन्न दृष्टिकोण चुन सकते हैं।

उदाहरण

यदि आप एक सामग्री प्रदाता हैं, जिसके पास सीडीएन नेटवर्क है (उदाहरण के लिए देखें, लेखों की श्रृंखला), तो आप ट्रैफ़िक को रूट करने और फ़िल्टर करने के लिए अलग-अलग उपकरणों का उपयोग करके दर्जनों या यहां तक ​​कि सैकड़ों उपस्थिति बिंदुओं पर बुनियादी ढांचा तैयार नहीं करना चाहेंगे। यह महँगा होगा, और यह अनावश्यक भी हो सकता है।

बीजीपी के लिए आपके पास समर्पित राउटर होना आवश्यक नहीं है, आप ओपन-सोर्स टूल जैसे का उपयोग कर सकते हैं क्वागा. तो शायद आपको बस एक सर्वर या कई सर्वर, एक स्विच और बीजीपी की आवश्यकता है।

इस स्थिति में, आपका सर्वर या कई सर्वर न केवल एक सीडीएन सर्वर, बल्कि एक राउटर की भी भूमिका निभा सकते हैं। बेशक, अभी भी बहुत सारे विवरण हैं (जैसे कि संतुलन कैसे सुनिश्चित किया जाए), लेकिन यह संभव है, और यह एक ऐसा दृष्टिकोण है जिसका उपयोग हमने अपने एक साथी के लिए सफलतापूर्वक किया है।

आपके पास पूर्ण सुरक्षा वाले कई डेटा केंद्र (फ़ायरवॉल, आपके इंटरनेट प्रदाताओं द्वारा प्रदान की जाने वाली डीडीओएस सुरक्षा सेवाएँ) और केवल L2 स्विच और सर्वर के साथ दर्जनों या सैकड़ों "सरलीकृत" उपस्थिति बिंदु हो सकते हैं।

लेकिन इस मामले में सुरक्षा का क्या?

आइए, उदाहरण के लिए, हाल ही में लोकप्रिय को देखें डीएनएस एम्प्लीफिकेशन डीडीओएस हमला. इसका ख़तरा इस तथ्य में निहित है कि बड़ी मात्रा में ट्रैफ़िक उत्पन्न होता है, जो आपके सभी अपलिंक को 100% "अवरूद्ध" कर देता है।

हमारे डिज़ाइन के मामले में हमारे पास क्या है.

• यदि आप AnyCast का उपयोग करते हैं, तो ट्रैफ़िक आपकी उपस्थिति के बिंदुओं के बीच वितरित होता है। यदि आपकी कुल बैंडविड्थ टेराबिट्स है, तो यह वास्तव में अपने आप में (हालाँकि, हाल ही में टेराबिट्स के क्रम पर दुर्भावनापूर्ण ट्रैफ़िक के साथ कई हमले हुए हैं) आपको "अतिप्रवाह" अपलिंक से बचाता है
• यदि, तथापि, कुछ अपलिंक अवरुद्ध हो जाते हैं, तो आप बस इस साइट को सेवा से हटा दें (उपसर्ग का विज्ञापन बंद करें)
• आप अपने "पूर्ण" (और, तदनुसार, संरक्षित) डेटा केंद्रों से भेजे गए ट्रैफ़िक का हिस्सा भी बढ़ा सकते हैं, इस प्रकार उपस्थिति के असुरक्षित बिंदुओं से दुर्भावनापूर्ण ट्रैफ़िक का एक महत्वपूर्ण हिस्सा हटा सकते हैं

और इस उदाहरण पर एक और छोटी टिप्पणी। यदि आप IX के माध्यम से पर्याप्त ट्रैफ़िक भेजते हैं, तो इससे ऐसे हमलों के प्रति आपकी भेद्यता भी कम हो जाती है

बीजीपी का विन्यास

यहां दो विषय हैं.

• कनेक्टिविटी
• बीजीपी का विन्यास

हम पहले ही कनेक्टिविटी के बारे में थोड़ी बात कर चुके हैं 1 के हिस्सों. मुद्दा यह सुनिश्चित करना है कि आपके ग्राहकों के लिए ट्रैफ़िक इष्टतम पथ का अनुसरण करे। हालाँकि इष्टतमता हमेशा केवल विलंबता के बारे में नहीं होती है, कम विलंबता आमतौर पर इष्टतमता का मुख्य संकेतक होती है। कुछ कंपनियों के लिए यह अधिक महत्वपूर्ण है, दूसरों के लिए यह कम है। यह सब आपके द्वारा प्रदान की जाने वाली सेवा पर निर्भर करता है।

उदाहरण 1

यदि आप एक एक्सचेंज हैं, और आपके ग्राहकों के लिए मिलीसेकंड से कम का समय अंतराल महत्वपूर्ण है, तो, निश्चित रूप से, किसी भी प्रकार के इंटरनेट की कोई बात ही नहीं हो सकती है।

उदाहरण 2

यदि आप एक गेमिंग कंपनी हैं और दसियों मिलीसेकंड आपके लिए महत्वपूर्ण हैं, तो, निश्चित रूप से, कनेक्टिविटी आपके लिए बहुत महत्वपूर्ण है।

उदाहरण 3

आपको यह भी समझने की आवश्यकता है कि, टीसीपी प्रोटोकॉल के गुणों के कारण, एक टीसीपी सत्र के भीतर डेटा ट्रांसफर दर आरटीटी (राउंड ट्रिप टाइम) पर भी निर्भर करती है। सामग्री वितरण सर्वरों को इस सामग्री के उपभोक्ता के करीब ले जाकर इस समस्या को हल करने के लिए सीडीएन नेटवर्क भी बनाए जा रहे हैं।

कनेक्टिविटी का अध्ययन अपने आप में एक दिलचस्प विषय है, जो अपने स्वयं के लेख या लेखों की श्रृंखला के योग्य है, और इंटरनेट "कैसे काम करता है" की अच्छी समझ की आवश्यकता है।

उपयोगी संसाधन:

ripe.net
bgp.he.net

उदाहरण

मैं सिर्फ एक छोटा सा उदाहरण दूंगा.

आइए मान लें कि आपका डेटा सेंटर मॉस्को में स्थित है, और आपके पास एक ही अपलिंक है - रोस्टेलकॉम (AS12389)। इस मामले में (एकल होम्ड) आपको बीजीपी की आवश्यकता नहीं है, और आप संभवतः सार्वजनिक पते के रूप में रोस्टेलकॉम के एड्रेस पूल का उपयोग करते हैं।

आइए मान लें कि आप एक निश्चित सेवा प्रदान करते हैं, और आपके पास यूक्रेन से पर्याप्त संख्या में ग्राहक हैं, और वे लंबी देरी के बारे में शिकायत करते हैं। अपने शोध के दौरान, आपको पता चला कि उनमें से कुछ के आईपी पते 37.52.0.0/21 ग्रिड में हैं।

ट्रेसरूट चलाकर, आपने देखा कि ट्रैफ़िक AS1299 (तेलिया) के माध्यम से जा रहा था, और पिंग चलाकर, आपको 70 - 80 मिलीसेकंड का औसत आरटीटी प्राप्त हुआ। आप इसे यहां भी देख सकते हैं लुकिंग ग्लास रोस्टेलकॉम.

whois उपयोगिता (पका.नेट या स्थानीय उपयोगिता पर) का उपयोग करके, आप आसानी से यह निर्धारित कर सकते हैं कि ब्लॉक 37.52.0.0/21 AS6849 (Ukrtelecom) से संबंधित है।

अगला, पर जाकर bgp.he.net आप देखते हैं कि AS6849 का AS12389 से कोई संबंध नहीं है (वे न तो क्लाइंट हैं, न ही एक-दूसरे के अपलिंक हैं, न ही उनमें पीयरिंग है)। लेकिन अगर आप देखें साथियों की सूची AS6849 के लिए, उदाहरण के लिए, आप AS29226 (मास्टरटेल) और AS31133 (मेगाफोन) देखेंगे।

एक बार जब आपको इन प्रदाताओं का लुकिंग ग्लास मिल जाए, तो आप पथ और आरटीटी की तुलना कर सकते हैं। उदाहरण के लिए, मास्टरटेल के लिए आरटीटी लगभग 30 मिलीसेकंड होगा।

इसलिए, यदि 80 और 30 मिलीसेकंड के बीच का अंतर आपकी सेवा के लिए महत्वपूर्ण है, तो शायद आपको कनेक्टिविटी के बारे में सोचने, अपना एएस नंबर, आरआईपीई से अपना पता पूल प्राप्त करने और अतिरिक्त अपलिंक कनेक्ट करने और/या आईएक्स पर उपस्थिति के बिंदु बनाने की आवश्यकता है।

जब आप बीजीपी का उपयोग करते हैं, तो आपके पास न केवल कनेक्टिविटी में सुधार करने का अवसर होता है, बल्कि आप अपने इंटरनेट कनेक्शन को अनावश्यक रूप से बनाए भी रखते हैं।

इस दस्तावेज़ बीजीपी को कॉन्फ़िगर करने के लिए सिफारिशें शामिल हैं। इस तथ्य के बावजूद कि ये सिफारिशें प्रदाताओं के "सर्वोत्तम अभ्यास" के आधार पर विकसित की गई थीं, फिर भी (यदि आपकी बीजीपी सेटिंग्स काफी बुनियादी नहीं हैं) तो वे निस्संदेह उपयोगी हैं और वास्तव में उस कठोरता का हिस्सा होना चाहिए जिसकी हमने चर्चा की थी पहले भाग.

डॉस/डीडीओएस सुरक्षा

अब DOS/DDOS हमले कई कंपनियों के लिए रोजमर्रा की वास्तविकता बन गए हैं। दरअसल, आप पर अक्सर किसी न किसी रूप में हमला किया जाता है। तथ्य यह है कि आपने अभी तक इस पर ध्यान नहीं दिया है, इसका मतलब केवल यह है कि आपके खिलाफ अभी तक लक्षित हमले का आयोजन नहीं किया गया है, और जो सुरक्षा उपाय आप उपयोग करते हैं, यहां तक ​​​​कि शायद इसे जाने बिना भी (ऑपरेटिंग सिस्टम की विभिन्न अंतर्निहित सुरक्षा), पर्याप्त हैं सुनिश्चित करें कि आपके और आपके ग्राहकों के लिए प्रदान की गई सेवा का ह्रास कम से कम हो।

ऐसे इंटरनेट संसाधन हैं जो उपकरण लॉग के आधार पर वास्तविक समय में सुंदर हमले के नक्शे बनाते हैं।

यहां आप उनके लिंक पा सकते हैं।

मेरा पसंदीदा नक्शा चेकप्वाइंट से.

DDOS/DOS के विरुद्ध सुरक्षा आमतौर पर स्तरित होती है। इसका कारण समझने के लिए, आपको यह समझने की आवश्यकता है कि किस प्रकार के DOS/DDOS हमले मौजूद हैं (उदाहरण के लिए देखें, यहां या यहां)

अर्थात्, हमारे पास तीन प्रकार के हमले हैं:

• बड़ा हमला
• प्रोटोकॉल हमले
• अनुप्रयोग आक्रमण

यदि आप उदाहरण के लिए, फ़ायरवॉल का उपयोग करके पिछले दो प्रकार के हमलों से खुद को बचा सकते हैं, तो आप अपने अपलिंक को "जबरदस्त" करने के उद्देश्य से किए गए हमलों से खुद को नहीं बचा सकते हैं (बेशक, यदि आपके इंटरनेट चैनलों की कुल क्षमता की गणना टेराबिट्स में नहीं की जाती है, या इससे भी बेहतर, दसियों टेराबाइट में)।

इसलिए, रक्षा की पहली पंक्ति "वॉल्यूमेट्रिक" हमलों के खिलाफ सुरक्षा है, और आपके प्रदाता या प्रदाताओं को आपको यह सुरक्षा प्रदान करनी होगी। यदि आपको अभी तक इसका एहसास नहीं हुआ है, तो अभी आप भाग्यशाली हैं।

उदाहरण

मान लीजिए कि आपके पास कई अपलिंक हैं, लेकिन प्रदाताओं में से केवल एक ही आपको यह सुरक्षा प्रदान कर सकता है। लेकिन यदि सारा ट्रैफ़िक एक ही प्रदाता के माध्यम से जाता है, तो उस कनेक्टिविटी के बारे में क्या, जिसकी हमने थोड़ी देर पहले संक्षेप में चर्चा की थी?

इस मामले में, आपको हमले के दौरान कनेक्टिविटी का आंशिक त्याग करना होगा। लेकिन

• यह केवल हमले की अवधि के लिए है। किसी हमले की स्थिति में, आप बीजीपी को मैन्युअल रूप से या स्वचालित रूप से पुन: कॉन्फ़िगर कर सकते हैं ताकि ट्रैफ़िक केवल उस प्रदाता के माध्यम से जाए जो आपको "छाता" प्रदान करता है। हमला ख़त्म होने के बाद, आप रूटिंग को उसकी पिछली स्थिति में लौटा सकते हैं
• सारा ट्रैफिक ट्रांसफर करना जरूरी नहीं है. यदि, उदाहरण के लिए, आप देखते हैं कि कुछ अपलिंक या पियरिंग के माध्यम से कोई हमला नहीं हो रहा है (या ट्रैफ़िक महत्वपूर्ण नहीं है), तो आप इन बीजीपी पड़ोसियों के प्रति प्रतिस्पर्धी विशेषताओं वाले उपसर्गों का विज्ञापन करना जारी रख सकते हैं।

आप अपने साझेदारों को "प्रोटोकॉल हमलों" और "एप्लिकेशन हमलों" से सुरक्षा भी सौंप सकते हैं।
यहां यहां आप एक अच्छा अध्ययन पढ़ सकते हैं (अनुवाद). सच है, लेख दो साल पुराना है, लेकिन यह आपको उन तरीकों का अंदाजा देगा कि आप डीडीओएस हमलों से खुद को कैसे बचा सकते हैं।

सिद्धांत रूप में, आप अपनी सुरक्षा को पूरी तरह से आउटसोर्स करके खुद को यहीं तक सीमित कर सकते हैं। इस फैसले के फायदे तो हैं, लेकिन एक स्पष्ट नुकसान भी है। तथ्य यह है कि हम व्यवसाय के अस्तित्व के बारे में (फिर से, आपकी कंपनी क्या करती है इसके आधार पर) बात कर सकते हैं। और ऐसी चीज़ों पर तीसरे पक्ष पर भरोसा करें...

इसलिए, आइए देखें कि रक्षा की दूसरी और तीसरी पंक्ति को कैसे व्यवस्थित किया जाए (प्रदाता से सुरक्षा के अतिरिक्त)।

तो, रक्षा की दूसरी पंक्ति आपके नेटवर्क के प्रवेश द्वार पर फ़िल्टरिंग और ट्रैफ़िक अवरोधक (पुलिसकर्ता) है।

उदाहरण 1

आइए मान लें कि आपने प्रदाताओं में से किसी एक की मदद से डीडीओएस के खिलाफ खुद को छाते से ढक लिया है। आइए मान लें कि यह प्रदाता अपने नेटवर्क के किनारे पर ट्रैफ़िक और फ़िल्टर को फ़िल्टर करने के लिए आर्बर का उपयोग करता है।

आर्बर जिस बैंडविड्थ को "प्रोसेस" कर सकता है वह सीमित है, और प्रदाता, निश्चित रूप से, फ़िल्टरिंग उपकरण के माध्यम से इस सेवा का ऑर्डर करने वाले अपने सभी भागीदारों के ट्रैफ़िक को लगातार पास नहीं कर सकता है। इसलिए, सामान्य परिस्थितियों में, ट्रैफ़िक को फ़िल्टर नहीं किया जाता है।

आइए मान लें कि SYN बाढ़ का हमला है। भले ही आपने ऐसी सेवा का ऑर्डर दिया हो जो किसी हमले की स्थिति में स्वचालित रूप से ट्रैफ़िक को फ़िल्टरिंग में बदल देती है, यह तुरंत नहीं होता है। एक मिनट या उससे अधिक समय तक आप आक्रमण के अधीन रहते हैं। और इससे आपके उपकरण की विफलता या सेवा में गिरावट हो सकती है। इस मामले में, एज रूटिंग पर ट्रैफ़िक को सीमित करना, हालांकि यह इस तथ्य को जन्म देगा कि इस दौरान कुछ टीसीपी सत्र स्थापित नहीं किए जाएंगे, यह आपके बुनियादी ढांचे को बड़े पैमाने की समस्याओं से बचाएगा।

उदाहरण 2

असामान्य रूप से बड़ी संख्या में SYN पैकेट न केवल SYN बाढ़ हमले का परिणाम हो सकते हैं। आइए मान लें कि आप एक ऐसी सेवा प्रदान करते हैं जिसमें आप एक साथ लगभग 100 हजार टीसीपी कनेक्शन (एक डेटा सेंटर में) रख सकते हैं।

मान लीजिए कि आपके किसी मुख्य प्रदाता के साथ अल्पकालिक समस्या के परिणामस्वरूप, आपके आधे सत्र रुक गए हैं। यदि आपका एप्लिकेशन इस तरह से डिज़ाइन किया गया है कि, बिना दो बार सोचे, यह तुरंत (या कुछ समय अंतराल के बाद जो सभी सत्रों के लिए समान है) कनेक्शन को फिर से स्थापित करने का प्रयास करता है, तो आपको लगभग कम से कम 50 हजार SYN पैकेट प्राप्त होंगे इसके साथ ही।

यदि, उदाहरण के लिए, आपको इन सत्रों के शीर्ष पर एसएसएल/टीएलएस हैंडशेक चलाना है, जिसमें प्रमाणपत्रों का आदान-प्रदान शामिल है, तो आपके लोड बैलेंसर के लिए घटते संसाधनों के दृष्टिकोण से, यह एक साधारण की तुलना में बहुत मजबूत "डीडीओएस" होगा SYN बाढ़. ऐसा प्रतीत होता है कि बैलेंसर्स को ऐसी घटनाओं को संभालना चाहिए, लेकिन... दुर्भाग्य से, हमें ऐसी समस्या का सामना करना पड़ रहा है।

और, निःसंदेह, एज राउटर पर एक पुलिसर इस मामले में भी आपके उपकरण को बचाएगा।

DDOS/DOS के विरुद्ध सुरक्षा का तीसरा स्तर आपकी फ़ायरवॉल सेटिंग्स है।

यहां आप दूसरे और तीसरे दोनों प्रकार के हमलों को रोक सकते हैं। सामान्य तौर पर, फ़ायरवॉल तक पहुंचने वाली हर चीज़ को यहां फ़िल्टर किया जा सकता है।

परिषद

फ़ायरवॉल को यथासंभव कम काम देने का प्रयास करें, सुरक्षा की पहली दो पंक्तियों पर जितना संभव हो उतना फ़िल्टर करें। और यही कारण है।

क्या आपके साथ कभी ऐसा हुआ है कि संयोग से, ट्रैफ़िक उत्पन्न करते समय, उदाहरण के लिए, यह जाँचने के लिए कि आपके सर्वर का ऑपरेटिंग सिस्टम DDOS हमलों के प्रति कितना प्रतिरोधी है, आपने अपने फ़ायरवॉल को "मार" दिया, इसे सामान्य तीव्रता पर ट्रैफ़िक के साथ 100 प्रतिशत पर लोड किया। ? यदि नहीं, तो शायद यह सिर्फ इसलिए है क्योंकि आपने कोशिश नहीं की है?

सामान्य तौर पर, फ़ायरवॉल, जैसा कि मैंने कहा, एक जटिल चीज़ है, और यह ज्ञात कमजोरियों और परीक्षण किए गए समाधानों के साथ अच्छी तरह से काम करता है, लेकिन यदि आप कुछ असामान्य, बस कुछ कचरा या गलत हेडर वाले पैकेट भेजते हैं, तो आप कुछ के साथ हैं, नहीं के साथ इतनी कम संभावना (मेरे अनुभव के आधार पर), आप शीर्ष-स्तरीय उपकरणों को भी मूर्ख बना सकते हैं। इसलिए, चरण 2 पर, नियमित एसीएल (एल3/एल4 स्तर पर) का उपयोग करते हुए, केवल अपने नेटवर्क में ट्रैफ़िक की अनुमति दें जिसे वहां प्रवेश करना चाहिए।

फ़ायरवॉल पर ट्रैफ़िक फ़िल्टर करना

आइए फ़ायरवॉल के बारे में बातचीत जारी रखें। आपको यह समझने की आवश्यकता है कि DOS/DDOS हमले केवल एक प्रकार का साइबर हमला है।

डॉस/डीडीओएस सुरक्षा के अलावा, हमारे पास निम्नलिखित सुविधाओं की सूची भी हो सकती है:

• एप्लिकेशन फ़ायरवॉलिंग
• खतरे की रोकथाम (एंटीवायरस, एंटी-स्पाइवेयर और भेद्यता)
• यूआरएल फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरोधन (फ़ाइल प्रकार अवरुद्ध करना)

यह आप पर निर्भर है कि आपको इस सूची में से क्या चाहिए।

को जारी रखा जाएगा

स्रोत: www.habr.com