{"id":31057,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","title":{"rendered":"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Drugi deo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Ovaj \u010dlanak je \u010detvrti u seriji \u010dlanaka \u201eKako kontrolirati mre\u017enu infrastrukturu\u201c. Sadr\u017eaj svih \u010dlanaka u seriji i poveznice mo\u017eete prona\u0107i <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">ovdje<\/a><\/noindex><\/i>.<\/p>\n<p>U <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">prvom delu<\/a><\/noindex> u ovom poglavlju razmatrali smo neke aspekte mre\u017ene sigurnosti segmenta \u201eData Center\u201c. Ovaj dio \u0107e biti posve\u0107en segmentu \u201eInternet Access\u201c. <\/p>\n<p><img decoding=\"async\" alt=\"Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Drugi deo\" src=\"\/wp-content\/uploads\/2019\/04\/10b33f9b02e3a7562d9e7cf023cbc197.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h1>Internet pristup<\/h1>\n<p>\nTema sigurnosti je nesumnjivo jedna od najslo\u017eenijih tema u svijetu mre\u017ea prijenosa podataka. Kao i u prethodnim slu\u010dajevima, ne pretvaraju\u0107i se da pru\u017eam dubinu i sveobuhvatnost, ovdje \u0107u razmotriti dovoljno jednostavna, ali, po mom mi\u0161ljenju, va\u017ena pitanja, \u010diji odgovori \u0107e, nadam se, pomo\u0107i u pove\u0107anju razine za\u0161tite va\u0161e mre\u017ee.<\/p>\n<p>Pri auditu ovog segmenta obratite pa\u017enju na sljede\u0107e aspekte:<\/p>\n<ul>\n<li>dizajn<\/li>\n<li>BGP postavke <\/li>\n<li>DOS\/DDOS za\u0161tita<\/li>\n<li>filtriranje prometa na vatrozidu<\/li>\n<\/ul>\n<p><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>Dizajn<\/h3>\n<p>\nKao primjer dizajna ovog segmenta za mre\u017eu poduze\u0107a preporu\u010dio bih <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-pin-secure-internet-edge.pdf\">priru\u010dnik<\/a><\/noindex> od Cisco-a unutar <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">SAFE modela<\/a><\/noindex>.<\/p>\n<p>Naravno, mogu\u0107e je da \u0107e vas rje\u0161enja drugih dobavlja\u010da izgledati privla\u010dnije (vidi <noindex><a rel=\"nofollow\" href=\"https:\/\/researchcenter.paloaltonetworks.com\/2018\/10\/palo-alto-networks-seven-time-gartner-magic-quadrant-leader\/\">Gartnerov kvadrant iz 2018;<\/a><\/noindex>), ali ne pozivaju\u0107i vas da slijedite u detalje ovaj dizajn, smatrao bih korisnim razumjeti principe i ideje koje le\u017ee u njegovoj osnovi.<\/p>\n<blockquote><p><b>Napomena<\/b><\/p>\n<p>U SAFE segment \u201eRemote Access\u201c dio je \u201eInternet Access\u201c. No u ovoj seriji \u010dlanaka razmatrat \u0107emo ga odvojeno.<\/p><\/blockquote>\n<p>Standardni niz opreme u ovom segmentu za mre\u017eu poduze\u0107a (enterprise network) \u010dine <\/p>\n<ul>\n<li>grani\u010dni usmjeriva\u010di (border routers)<\/li>\n<li>vatrozidi<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Napomena 1<\/b><\/p>\n<p>U ovoj seriji \u010dlanaka, kada govorim o vatrozidima, mislim na <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/Next-generation_firewall\">NGFW<\/a><\/noindex>.<\/p><\/blockquote>\n<blockquote><p><b>Napomena 2<\/b><\/p>\n<p>Isklju\u010dujem razmatranje razli\u010ditih L2\/L1 ili overlay L2 over L3 rje\u0161enja potrebnih za osiguravanje L1\/L2 povezanosti i ograni\u010davam se samo na pitanja razine L3 i vi\u0161ih. Djelomi\u010dno su pitanja L1\/L2 razmatrana u poglavlju &#171;<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">\u010ci\u0161\u0107enje i dokumentacija<\/a><\/noindex>&#171;.<\/p><\/blockquote>\n<p> Ako niste prona\u0161li vatrozid u ovom segmentu, ne treba \u017euriti s zaklju\u010dcima.<\/p>\n<p>Hajde, kao i u <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">u prethodnom dijelu<\/a><\/noindex>, krenimo od pitanja, je li u va\u0161em slu\u010daju potrebno koristiti vatrozid u ovom segmentu?<\/p>\n<p>Mogu re\u0107i da se \u010dini da je ovo najsmislenije mjesto za kori\u0161tenje vatrodija i primjenu slo\u017eenih algoritama filtriranja prometa. U <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">Dijelu 1<\/a><\/noindex> spomenuli smo 4 faktora koji mogu ometati kori\u0161tenje vatrozida u segmentu data centra. No ovdje vi\u0161e nisu tako bitni.<\/p>\n<blockquote><p>Primjer 1. <b>Ka\u0161njenje<\/b><\/p>\n<p>Kada je rije\u010d o internetu, nema smisla govoriti o ka\u0161njenju \u010dak ni od 1 milisekunde. Stoga ka\u0161njenje u ovom segmentu ne mo\u017ee biti faktor koji ograni\u010dava kori\u0161tenje vatrozida.<\/p><\/blockquote>\n<blockquote><p>Primjer 2. <b>Performanse<\/b><\/p>\n<p>U nekim slu\u010dajevima, ovaj faktor i dalje mo\u017ee biti zna\u010dajan. Stoga, mogu\u0107e je da \u0107ete dio prometa (na primjer, promet balansirnih tereta) morati usmjeriti mimo vatrozida.<\/p><\/blockquote>\n<blockquote><p>Primjer 3. <b>Pouzdanost<\/b><\/p>\n<p>Ovaj faktor i dalje treba uzeti u obzir, ali s obzirom na nepouzdano stanje samog interneta, njegova va\u017enost za ovaj segment nije toliko zna\u010dajna kao za podatkovni centar. <\/p>\n<p>Pretpostavimo da va\u0161a usluga radi na http\/https (s kratkim sesijama). U tom slu\u010daju mo\u017eete koristiti dvije neovisne kutije (bez HA) i u slu\u010daju problema s jednom od njih, preusmjeriti sav promet na drugu. <\/p>\n<p>Ili mo\u017eete koristiti vatrozide u transparentnom modu i u slu\u010daju njihovog kvara, dok se problem ne rije\u0161i, usmjeriti promet mimo vatrozida.<\/p><\/blockquote>\n<p> Stoga, vjerojatno, samo <b>cena<\/b> mo\u017ee biti faktor koji \u0107e vas natjerati da odustanete od kori\u0161tenja vatrozida u ovom segmentu.<\/p>\n<blockquote><p><b>Va\u017eno!<\/b><\/p>\n<p>Pojavljuje se isku\u0161enje da se ovaj vatrozid pomije\u0161a s vatrozidom podatkovnog centra (koristiti jedan vatrozid za ove segmente). Rje\u0161enje je, u na\u010delu, mogu\u0107e, ali treba razumjeti da s obzirom na to da vatrozid \"Internet Access\" zapravo stoji na prednjoj liniji va\u0161e obrane i \"preuzima\", barem dio zlonamjernog prometa, naravno, treba uzeti u obzir pove\u0107ani rizik da \u0107e ovaj vatrozid prestati raditi. To jest, koriste\u0107i iste ure\u0111aje u ova dva segmenta, zna\u010dajno \u0107ete smanjiti dostupnost va\u0161eg segmenta podatkovnog centra.<\/p><\/blockquote>\n<p> Kao i obi\u010dno, treba razumjeti da, ovisno o usluzi koju poduze\u0107e pru\u017ea, dizajn ovog segmenta mo\u017ee zna\u010dajno varirati. Kao i obi\u010dno, mo\u017eete odabrati razli\u010dite pristupe ovisno o zahtjevima. <\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Ako ste davatelj sadr\u017eaja s CDN mre\u017eom (vidi, na primjer, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/users\/ramax\/posts\/\">seriju \u010dlanaka<\/a><\/noindex>), mo\u017eda ne\u0107ete \u017eeljeti stvoriti desetke, a mo\u017eda i stotine to\u010daka prisutnosti infrastrukture koriste\u0107i pojedina\u010dne ure\u0111aje za rutiranje i filtriranje prometa. To \u0107e biti skupo, a mo\u017ee se pokazati i kao suvi\u0161no. <\/p>\n<p>Za BGP vam uop\u0107e nije potrebno imati izdvojene usmjeriva\u010de, mo\u017eete koristiti open-source alate, na primjer, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.quagga.net\">Quagga<\/a><\/noindex>. Stoga, mo\u017eda vam je sve \u0161to trebate - poslu\u017eitelj ili nekoliko poslu\u017eitelja, prekida\u010d i BGP.<\/p>\n<p>U ovom slu\u010daju va\u0161 poslu\u017eitelj ili nekoliko poslu\u017eitelja mogu igrati ulogu ne samo CDN poslu\u017eitelja, ve\u0107 i usmjeriva\u010da. Naravno, tu je jo\u0161 mnogo detalja (na primjer, kako osigurati ravnote\u017eu), ali to je izvedivo, i ovaj pristup smo uspje\u0161no primijenili za jednog od na\u0161ih partnera.<\/p>\n<p>Mo\u017eete imati nekoliko datacentara s punom za\u0161titom (vatrozidi, usluge za\u0161tite od DDOS-a koje pru\u017eaju va\u0161i internetski davatelji) i desetke ili stotine \"pojednostavljenih\" to\u010daka prisutnosti samo s L2 prekida\u010dima i poslu\u017eiteljima.<\/p>\n<p>A \u0161to je s za\u0161titom u ovom slu\u010daju?<\/p>\n<p>Razmotrimo, na primjer, popularni u posljednje vrijeme <noindex>DNS Amplification DDOS napad<\/noindex>. Njegova opasnost le\u017ei u tome \u0161to se generira velika koli\u010dina prometa, koji jednostavno \"za\u010depljuje\" 100% svih va\u0161ih uplinkova. <\/p>\n<p>\u0160to imamo u slu\u010daju na\u0161eg dizajna.<\/p>\n<ul>\n<li>ako koristite AnyCast, tada se promet raspore\u0111uje izme\u0111u va\u0161ih to\u010daka prisutnosti. Ako je ukupni protok za vas terabiti, to samo po sebi zapravo (usprkos \u010dinjenici da je u posljednje vrijeme bilo nekoliko napada s malicioznim prometom u rasponu terabita) \u0161titi vas od \"preoptere\u0107enja\" uplinkova.<\/li>\n<li>ako se ipak neki uplinkovi \"za\u010depe\", jednostavno izvla\u010dite tu lokaciju iz upotrebe (prestajete najavljivati prefiks).<\/li>\n<li>mo\u017eete tako\u0111er pove\u0107ati udio prometa koji dolazi s va\u0161ih \"punopravnih\" (i, sukladno tome, za\u0161ti\u0107enih) datacentara, \u010dime uklanjate zna\u010dajan dio malicioznog prometa s neza\u0161ti\u0107enih to\u010daka prisutnosti.<\/li>\n<\/ul>\n<p>\nI jo\u0161 jedna mala napomena na ovaj primjer. Ako dovoljno prometa \u0161aljete preko IX-ova, to tako\u0111er smanjuje va\u0161u podlo\u017enost sli\u010dnim napadima.<\/p><\/blockquote>\n<h3>Postavljanje BGP-a<\/h3>\n<p>\nOvdje su dvije teme.<\/p>\n<ul>\n<li>Povezivost<\/li>\n<li>Postavljanje BGP-a<\/li>\n<\/ul>\n<p>\nO povezivosti smo ve\u0107 malo govorili u <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">Dijelu 1<\/a><\/noindex>. Su\u0161tina je da promet prema va\u0161im klijentima ide optimalnim putem. Iako, optimalnost \u2014 to nije uvijek samo o ka\u0161njenju, ali obi\u010dno je upravo nisko ka\u0161njenje glavni pokazatelj optimalnosti. Za neke tvrtke to je va\u017enije, za druge manje. Sve ovisi o usluzi koju pru\u017eate.<\/p>\n<blockquote><p><b>Primjer 1<\/b><\/p>\n<p>Ako ste burza i vremenski intervali manji od milisekunde su bitni za va\u0161e klijente, jasno je da internet ne mo\u017ee niti biti tema.<\/p><\/blockquote>\n<blockquote><p><b>Primjer 2<\/b><\/p>\n<p>Ako ste igra\u010dka kompanija i bitni su vam deseci milisekundi, onda je povezanost za vas izuzetno va\u017ena.<\/p><\/blockquote>\n<blockquote><p><b>Primjer 3<\/b><\/p>\n<p>Tako\u0111er treba razumjeti da, zbog svojstava TCP protokola, brzina prijenosa podataka unutar jedne TCP sesije tako\u0111er ovisi o RTT (Round Trip Time). CDN mre\u017ee se grade, me\u0111u ostalim, i za rje\u0161avanje ovog problema, smje\u0161taju\u0107i servere za distribuciju sadr\u017eaja bli\u017ee potro\u0161a\u010du tog sadr\u017eaja.<\/p><\/blockquote>\n<p> Istra\u017eivanje povezanosti je zasebna zanimljiva tema, dostojna posebnog \u010dlanka ili niza \u010dlanaka i zahtijeva dobro razumijevanje kako je 'internet' 'konstruiran'.<\/p>\n<p>Koriste\u0107i resurse:<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/ripe.net\">ripe.net<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex><\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Pru\u017eam samo jedan mali primjer.<\/p>\n<p>Pretpostavimo da se va\u0161 data centar nalazi u Moskvi i da imate jedini uplink \u2013 Rostelecom (AS12389). U ovom slu\u010daju (single homed) BGP vam nije potreban i kao javne adrese vjerojatno koristite adresni raspon od Rostelecoma. <\/p>\n<p>Pretpostavimo da pru\u017eate neku uslugu i imate dovoljno klijenata iz Ukrajine koji se \u017eale na velike latencije. Kada ste istra\u017eivali, otkrili ste da IP adrese nekih od njih pripadaju mre\u017ei 37.52.0.0\/21. <\/p>\n<p>Izvr\u0161avaju\u0107i traceroute, primijetili ste da promet prolazi kroz AS1299 (Telia), a izvr\u0161avaju\u0107i ping, dobili ste prosje\u010dni RTT od 70 \u2014 80 milisekundi. Ovo tako\u0111er mo\u017eete vidjeti na <noindex><a rel=\"nofollow\" href=\"http:\/\/lg.ip.rt.ru\">looking glass Rostelecoma<\/a><\/noindex>.<\/p>\n<p>Alatom whois (na web stranici ripe.net ili lokalnom alatu) lako mo\u017eete utvrditi da blok 37.52.0.0\/21 pripada AS6849 (Ukrtelecom).<\/p>\n<p>Nakon toga, odlaskom na <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex> vidite da AS6849 nema odnose s AS12389 (nisu ni klijenti ni uplinkovi jedni drugima, niti imaju peering). No, ako pogledate <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\/AS6849#_peers\">popis peera<\/a><\/noindex> za AS6849, vidjet \u0107ete, na primjer, AS29226 (Mastertel) i AS31133 (Megafon). <\/p>\n<p>Prona\u0161av\u0161i looking glass tih pru\u017eatelja, mo\u017eete usporediti putanju i RTT. Na primjer, za Mastertel RTT \u0107e biti otprilike 30 milisekundi. <\/p>\n<p>Dakle, ako je razlika izme\u0111u 80 i 30 milisekundi zna\u010dajna za va\u0161u uslugu, mo\u017eda biste trebali razmisliti o povezanosti, dobiti svoj AS broj u RIPE-u, svoj raspon adresa i povezati dodatne uplinkove i\/ili stvoriti prisutnost na IX-ima.<\/p><\/blockquote>\n<p>\nKori\u0161tenjem BGP-a ne samo da mo\u017eete pobolj\u0161ati povezanost, ve\u0107 tako\u0111er rezervirate svoju internet vezu.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ssi.gouv.fr\/uploads\/2016\/03\/bgp-configuration-best-practices.pdf\">Ovaj dokument<\/a><\/noindex> sadr\u017ei preporuke za konfiguraciju BGP-a. Iako su ove preporuke izra\u0111ene na osnovu 'najbolje prakse' pru\u017eatelja usluga, one su svakako korisne te bi trebale biti dio **hardening-a**, o kojem smo razgovarali u <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">prvom delu<\/a><\/noindex>.<\/p>\n<h3>DOS\/DDOS za\u0161tita<\/h3>\n<p>\nDanas su DOS\/DDOS napadi postali svakodnevna stvar za mnoge tvrtke. U stvarnosti, na neki na\u010din, \u010desto vas napadaju. To \u0161to to trenutno ne primje\u0107ujete zna\u010di samo da do sada nije organiziran ciljani napad na vas, i da su sredstva za\u0161tite koja koristite, mo\u017eda nesvjesno (razli\u010dite ugra\u0111ene za\u0161tite operativnih sustava), dovoljna kako bi se degradacija pru\u017eane usluge minimalizirala za vas i va\u0161e klijente.<\/p>\n<p>Postoje internetski resursi koji, na temelju logova s opreme, u stvarnom vremenu prikazuju lijepe karte napada.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3217944\/security\/8-top-cyber-attack-maps-and-how-to-use-them.html\">Ovdje<\/a><\/noindex> linkove na njih mo\u017eete prona\u0107i.<\/p>\n<p>Moj omiljeni <noindex><a rel=\"nofollow\" href=\"https:\/\/threatmap.checkpoint.com\/ThreatPortal\/livemap.html\">karta<\/a><\/noindex> od CheckPoint-a.<\/p>\n<p>Za\u0161tita od DDOS\/DOS napada obi\u010dno je vi\u0161eslojna. Da biste razumjeli za\u0161to, trebate razumjeti koje vrste DOS\/DDOS napada postoje (vidi, na primjer, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3222095\/network-security\/ddos-explained-how-denial-of-service-attacks-are-evolving.html\">ovdje <\/a><\/noindex> ili <noindex><a rel=\"nofollow\" href=\"https:\/\/blog.thousandeyes.com\/three-types-ddos-attacks\/\">ovdje<\/a><\/noindex>)<\/p>\n<p>Dakle, imamo tri tipa napada:<\/p>\n<ul>\n<li>volumetri\u010dki napadi<\/li>\n<li>protokolni napadi<\/li>\n<li>aplikacijski napadi<\/li>\n<\/ul>\n<p>\nAko se od posljednja dva tipa napada mo\u017eete za\u0161tititi sami, koriste\u0107i, na primjer, vatrozide, ne mo\u017eete se sami za\u0161tititi od napada usmjerenih na 'preoptere\u0107enje' va\u0161ih uplinkova (naravno, ako va\u0161a ukupna propusnost internet kanala nije mjerena u terabitima, a jo\u0161 bolje, u desecima terabita).<\/p>\n<p>Stoga, prva linija obrane su za\u0161tite od 'volumetri\u010dkih' napada i tu za\u0161titu bi vam trebao osigurati va\u0161 pru\u017eatelj ili pru\u017eatelji usluga. Ako to jo\u0161 niste shvatili, jednostavno imate sre\u0107e.<\/p>\n<blockquote><p><b>Primjer<\/b><\/p>\n<p>Pretpostavimo da imate nekoliko uplinkova, ali samo jedan od pru\u017eatelja mo\u017ee vam pru\u017eiti ovu za\u0161titu. No, ako sav promet prolazi kroz jednog pru\u017eatelja, kako onda s povezanostima o kojima smo malo prije razgovarali?<\/p>\n<p>Tijekom napada, u tom slu\u010daju, morat \u0107ete dijelom \u017ertvovati povezanost. No<\/p>\n<ul>\n<li>ovo je samo tokom napada. Mo\u017eete ru\u010dno ili automatski ponovno konfigurirati BGP, tako da promet ide samo kroz provajdera koji vam pru\u017ea \"ki\u0161obran\". Nakon zavr\u0161etka napada mo\u017eete vratiti usmjeravanje na prethodno stanje.<\/li>\n<li>nije nu\u017eno preusmjeravati sav promet. Ako na primjer vidite da kroz neke uplinke ili peering nije u tijeku napad (ili je promet neva\u017ean), mo\u017eete i dalje najavljivati prefikse s konkurentnim atributima prema tim BGP susjedima.<\/li>\n<\/ul>\n<\/blockquote>\n<p>\nZa\u0161titu od \u201eprotocol attacks\u201c i \u201eapplication attacks\u201c tako\u0111er mo\u017eete prebaciti na partnere.<br \/>\nEvo <noindex><a rel=\"nofollow\" href=\"https:\/\/geekflare.com\/ddos-protection-service\/\">ovdje<\/a><\/noindex> mo\u017eete pro\u010ditati dobro istra\u017eivanje (<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/company\/hosting-cafe\/blog\/324848\/\">prijevod<\/a><\/noindex>). Iako je \u010dlanak star dvije godine, to \u0107e vam dati predstavu o pristupima kako se mo\u017eete za\u0161tititi od DDoS napada.<\/p>\n<p>U principu, mo\u017eete se time i ograni\u010diti, potpuno outsourcaju\u0107i va\u0161u za\u0161titu. Ovo rje\u0161enje ima svoje prednosti, ali postoji i o\u010digledan nedostatak. Rije\u010d je o tome da bi se moglo raditi (opet, ovisno o tome \u010dime se va\u0161a tvrtka bavi) o pre\u017eivljavanju poslovanja. I povjeriti takve stvari vanjskim organizacijama\u2026<\/p>\n<p>Zato hajde da razmotrimo kako organizirati drugu i tre\u0107u liniju obrane (kao dodatak za\u0161titi od provajdera).<\/p>\n<p>Dakle, druga linija za\u0161tite je filtracija i ograni\u010diva\u010di prometa (policers) na ulazu u va\u0161u mre\u017eu. <\/p>\n<blockquote><p><b>Primjer 1<\/b><\/p>\n<p>Pretpostavimo da ste se \"zaklonili ki\u0161obranom\" od DDoS-a pomo\u0107u jednog od provajdera. Pretpostavimo da ovaj provajder koristi Arbor za filtraciju prometa i filtre na granici svoje mre\u017ee. <\/p>\n<p>Propusnost koju Arbor mo\u017ee \"obraditi\" je ograni\u010dena, i provajder naravno ne mo\u017ee stalno propusiti promet svih svojih partnera koji su naru\u010dili ovu uslugu kroz filtriraju\u0107u opremu. Stoga se u normalnim uvjetima promet ne filtrira.<\/p>\n<p>Pretpostavimo da se odvija SYN flood napad. Iako ste naru\u010dili uslugu koja automatski preusmjerava promet na filtriranje u slu\u010daju napada, to se ne doga\u0111a odmah. Tijekom minute ili vi\u0161e ostajete pod napadom. To mo\u017ee dovesti do kvara va\u0161e opreme ili degradacije usluge. U tom slu\u010daju ograni\u010denje prometa na grani\u010dnom usmjeravanju, iako \u0107e rezultirati time da neki TCP sesije tijekom tog vremena ne budu uspostavljene, spasit \u0107e va\u0161u infrastrukturu od ve\u0107ih problema.<\/p><\/blockquote>\n<blockquote><p><b>Primjer 2<\/b><\/p>\n<p>Abnormalno velika koli\u010dina SYN paketa mo\u017ee biti rezultat ne samo SYN flood napada. Pretpostavimo da pru\u017eate uslugu koja istovremeno mo\u017ee imati oko 100 tisu\u0107a TCP veza (u jednom data centru).<\/p>\n<p>Pretpostavimo da je zbog kratkotrajnog problema s jednim od va\u0161ih glavnih pru\u017eatelja usluga pola sesija 'izba\u010deno'. Ako je va\u0161a aplikacija konstruirana tako da, 'ne razmi\u0161ljaju\u0107i', odmah (ili nakon nekog istog vremenskog intervala za sve sesije) poku\u0161ava ponovno uspostaviti vezu, tada \u0107ete otprilike u isto vrijeme primiti najmanje 50 tisu\u0107a SYN paketa. <\/p>\n<p>Ako uz ove sesije, primjerice, treba raditi ssl\/tls handshake, \u0161to uklju\u010duje razmjenu certifikata, s gledi\u0161ta iscrpljivanja resursa za va\u0161 ravnote\u017eiva\u010d optere\u0107enja to \u0107e biti mnogo ja\u010di 'DDoS' od obi\u010dnog SYN flood-a. Naizgled, ravnote\u017eiva\u010di bi trebali uspje\u0161no obraditi takve situacije, ali \u2026 na\u017ealost, nai\u0161li smo na taj problem.<\/p>\n<p>I, naravno, policer na grani\u010dnom usmjeriva\u010du u ovom slu\u010daju \u0107e spasiti va\u0161u opremu.<\/p><\/blockquote>\n<p>Tre\u0107i nivo za\u0161tite od DDoS\/DOS su postavke va\u0161eg vatrozida.<\/p>\n<p>Ovdje mo\u017eete kontrolirati napade drugog i tre\u0107eg tipa. U su\u0161tini, sve \u0161to do\u0111e do vatrozida mo\u017ee se filtrirati ovdje. <\/p>\n<blockquote><p><b>Savjet<\/b><\/p>\n<p>Poku\u0161ajte dati vatrozidu \u0161to je mogu\u0107e manje posla filtriraju\u0107i \u0161to vi\u0161e na prvim dvjema linijama obrane. I to je razlog.<\/p>\n<p>Da li vam se ikada dogodilo da ste slu\u010dajno generirali promet kako biste provjerili, na primjer, koliko je operacijski sustav va\u0161ih poslu\u017eitelja otporan na DDOS napade, i pritom 'ubijali' svoj vatrozid optere\u0107uju\u0107i ga do 100 posto, koriste\u0107i promet u uobi\u010dajenoj intenzitetu? Ako ne, mo\u017eda jednostavno zato \u0161to niste poku\u0161ali?<\/p>\n<p>Uglavnom, vatrozid, kao \u0161to sam ve\u0107 rekao \u2014 slo\u017eena je stvar, i dobro funkcionira s poznatim ranjivostima i provjerenim rje\u0161enjima, ali ako po\u0161aljete ne\u0161to neobi\u010dno, jednostavno neki otpad ili pakete s krivim zaglavljima, postoji zna\u010dajna (s obzirom na moje iskustvo) vjerojatnost da mo\u017eete zbuniti \u010dak i najnaprednije opreme. Stoga, u fazi 2 pomo\u0107u uobi\u010dajenih ACL (na L3\/L4 razini) propu\u0161tajte u svoju mre\u017eu samo onaj promet koji bi trebao u\u0107i.<\/p><\/blockquote>\n<h3>Filtriranje saobra\u0107aja na firewall-u<\/h3>\n<p>\nNastavljamo razgovor o vatrozidu. Treba razumjeti da su DOS\/DDOS napadi samo jedan od oblika kiberneti\u010dkih napada. <\/p>\n<p>Osim DOS\/DDOS za\u0161tite, mo\u017eemo imati jo\u0161 ne\u0161to poput sljede\u0107eg popisa mogu\u0107nosti:<\/p>\n<ul>\n<li>aplikacijski vatrozid<\/li>\n<li>sprje\u010davanje prijetnji (antivirus, anti-spyware i ranjivosti)<\/li>\n<li>filtriranje URL-ova<\/li>\n<li>filtriranje podataka (filtriranje sadr\u017eaja)<\/li>\n<li>blokiranje datoteka (blokiranje vrsta datoteka)<\/li>\n<\/ul>\n<p>\nNa vama je da odlu\u010dite \u0161to vam od tog popisa treba.<\/p>\n<p><i>Nastavlja se<\/i><br \/>\n<br \/>Izvor: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/436230\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u044d\u0442\u043e\u0439 \u0433\u043b\u0430\u0432\u044b \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043b\u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0441\u043f\u0435\u043a\u0442\u044b \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430 \u00abData Center\u00bb. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u00abInternet Access\u00bb \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0443. Internet access \u0422\u0435\u043c\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043d\u0435\u0441\u043e\u043c\u043d\u0435\u043d\u043d\u043e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0442\u0435\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23032,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31057","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"hr_HR\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kako preuzeti kontrolu nad mre\u017enom infrastrukturom. Poglavlje tre\u0107e. Mre\u017ena sigurnost. Drugi deo | ProHoster","description":"Ovaj \u010dlanak je \u010detvrti u ciklusu \u010dlanaka 'Kako preuzeti kontrolu nad mre\u017enom infrastrukturom'.","canonical_url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hr_HR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:19:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:19:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/31057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/comments?post=31057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/posts\/31057\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media\/23032"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/media?parent=31057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/categories?post=31057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hr\/wp-json\/wp\/v2\/tags?post=31057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}