ეს სტატია მეოთხეა სერიიდან „როგორ აიღოთ კონტროლი თქვენი ქსელის ინფრასტრუქტურაზე“. სერიის ყველა სტატიის შინაარსი და ბმულები შეგიძლიათ იხილოთ აქ.

В პირველი ნაწილი ამ თავში ჩვენ გადავხედეთ ქსელის უსაფრთხოების ზოგიერთ ასპექტს მონაცემთა ცენტრის სეგმენტში. ეს ნაწილი დაეთმობა "ინტერნეტ წვდომის" სეგმენტს.

ინტერნეტის ხელმისაწვდომობა

უსაფრთხოების თემა უდავოდ ერთ-ერთი ყველაზე რთული თემაა მონაცემთა ქსელების სამყაროში. როგორც წინა შემთხვევებში, სიღრმისა და სისრულის მოთხოვნის გარეშე, აქ განვიხილავ საკმაოდ მარტივ, მაგრამ, ჩემი აზრით, მნიშვნელოვან კითხვებს, რომლებზეც პასუხები, იმედი მაქვს, დაგეხმარებათ თქვენი ქსელის უსაფრთხოების დონის ამაღლებაში.

ამ სეგმენტის აუდიტისას ყურადღება მიაქციეთ შემდეგ ასპექტებს:

• დიზაინი
• BGP პარამეტრები
• DOS/DDOS დაცვა
• ტრეფიკის გაფილტვრა firewall-ზე

დიზაინი

როგორც საწარმოს ქსელისთვის ამ სეგმენტის დიზაინის მაგალითი, მე გირჩევთ ხელმძღვანელობა Cisco-დან შიგნით უსაფრთხო მოდელები.

რა თქმა უნდა, შესაძლოა, სხვა მოვაჭრეების გადაწყვეტა უფრო მიმზიდველი მოგეჩვენოთ (იხ. Gartner Quadrant 2018 წელი), მაგრამ არ მოგიწოდებთ, რომ დეტალურად მიჰყვეთ ამ დიზაინს, მე მაინც სასარგებლოდ მიმაჩნია მის უკან არსებული პრინციპებისა და იდეების გაგება.

შენიშვნა:

SAFE-ში სეგმენტი "დისტანციური წვდომა" არის "ინტერნეტ წვდომის" სეგმენტის ნაწილი. მაგრამ სტატიების ამ სერიაში მას ცალკე განვიხილავთ.

აღჭურვილობის სტანდარტული ნაკრები ამ სეგმენტში საწარმოს ქსელისთვის არის

• სასაზღვრო მარშრუტიზატორები
• firewalls

შენიშვნა 1

ამ სტატიების სერიაში, როდესაც ვსაუბრობ ფაირვოლებზე, ვგულისხმობ NGFW.

შენიშვნა 2

მე გამოვტოვებ სხვადასხვა სახის L2/L1 ან გადაფარვის L2 გადაწყვეტილებების განხილვას, რომლებიც აუცილებელია L3/L1 კავშირის უზრუნველსაყოფად და შემოვიფარგლები მხოლოდ L2 დონეზე და ზემოთ არსებული საკითხებით. ნაწილობრივ, L3/L1 საკითხები განხილული იყო თავში “დასუფთავება და დოკუმენტაცია".

თუ ამ სეგმენტში ვერ იპოვნეთ firewall, მაშინ არ უნდა იჩქაროთ დასკვნების გაკეთება.

მოდით გავაკეთოთ იგივე, რაც შიგნით წინა ნაწილიდავიწყოთ კითხვით: აუცილებელია თუ არა თქვენს შემთხვევაში ამ სეგმენტში Firewall-ის გამოყენება?

შემიძლია ვთქვა, რომ ეს არის ყველაზე გამართლებული ადგილი firewalls-ის გამოსაყენებლად და რთული ტრაფიკის ფილტრაციის ალგორითმების გამოსაყენებლად. IN 1 ნაწილები ჩვენ აღვნიშნეთ 4 ფაქტორი, რამაც შეიძლება ხელი შეუშალოს ფაირვოლების გამოყენებას მონაცემთა ცენტრის სეგმენტში. მაგრამ აქ ისინი აღარ არიან ისეთი მნიშვნელოვანი.

მაგალითი 1. შეფერხება

რაც შეეხება ინტერნეტს, აზრი არ აქვს ლაპარაკს თუნდაც 1 მილიწამის დაგვიანებაზე. ამიტომ, ამ სეგმენტში შეფერხება არ შეიძლება იყოს Firewall-ის გამოყენების შეზღუდვის ფაქტორი.

მაგალითი 2. მოქმედება

ზოგიერთ შემთხვევაში ეს ფაქტორი შეიძლება კვლავ მნიშვნელოვანი იყოს. ამიტომ, შესაძლოა მოგიწიოთ გარკვეული ტრაფიკის დაშვება (მაგალითად, დატვირთვის ბალანსერებიდან ტრაფიკი) გვერდის ავლით firewall-ზე.

მაგალითი 3. საიმედოობა

ეს ფაქტორი ჯერ კიდევ გასათვალისწინებელია, მაგრამ მაინც, თავად ინტერნეტის არასანდოობის გათვალისწინებით, მისი მნიშვნელობა ამ სეგმენტისთვის არ არის ისეთი მნიშვნელოვანი, როგორც მონაცემთა ცენტრისთვის.

ასე რომ, დავუშვათ, რომ თქვენი სერვისი ცხოვრობს http/https-ის თავზე (მოკლე სესიებით). ამ შემთხვევაში შეგიძლიათ გამოიყენოთ ორი დამოუკიდებელი ყუთი (HA-ს გარეშე) და თუ ერთ-ერთ მათგანს მარშრუტიზაციის პრობლემა აქვს, მთელი ტრაფიკი მეორეზე გადაიტანეთ.

ან შეგიძლიათ გამოიყენოთ firewall გამჭვირვალე რეჟიმში და, თუ ისინი ვერ მოხერხდა, მიეცით საშუალება ტრაფიკს გადალახოს firewall პრობლემის გადაჭრისას.

ამიტომ, დიდი ალბათობით მხოლოდ ფასი შეიძლება იყოს ის ფაქტორი, რომელიც გაიძულებთ უარი თქვათ ამ სეგმენტში ფაირვოლების გამოყენებაზე.

მნიშვნელოვანია!

არსებობს ცდუნება, დააკავშიროთ ეს firewall მონაცემთა ცენტრის firewall-თან (გამოიყენეთ ერთი firewall ამ სეგმენტებისთვის). გამოსავალი, პრინციპში, შესაძლებელია, მაგრამ თქვენ უნდა გესმოდეთ, რადგან ინტერნეტის წვდომის firewall რეალურად არის თქვენი დაცვის წინა პლანზე და „იღებს“ მავნე ტრაფიკის ნაწილს მაინც, მაშინ, რა თქმა უნდა, თქვენ უნდა გაითვალისწინოთ გაზრდილი რისკი, რომ ეს firewall გამორთული იქნება. ანუ, ამ ორ სეგმენტში ერთი და იგივე მოწყობილობების გამოყენებით, თქვენ მნიშვნელოვნად შეამცირებთ მონაცემთა ცენტრის სეგმენტის ხელმისაწვდომობას.

როგორც ყოველთვის, თქვენ უნდა გესმოდეთ, რომ კომპანიის სერვისებიდან გამომდინარე, ამ სეგმენტის დიზაინი შეიძლება მნიშვნელოვნად განსხვავდებოდეს. როგორც ყოველთვის, თქვენ შეგიძლიათ აირჩიოთ სხვადასხვა მიდგომები თქვენი მოთხოვნებიდან გამომდინარე.

მაგალითი

თუ თქვენ ხართ კონტენტის პროვაიდერი, CDN ქსელით (იხილეთ, მაგალითად, სტატიების სერია), მაშინ შეიძლება არ გინდოდეთ ინფრასტრუქტურის შექმნა ათობით ან თუნდაც ასობით წერტილში, ტრაფიკის მარშრუტიზაციისა და ფილტრაციისთვის ცალკეული მოწყობილობების გამოყენებით. ეს ძვირი იქნება და შეიძლება უბრალოდ არასაჭირო იყოს.

BGP-სთვის სულაც არ უნდა გქონდეთ გამოყოფილი მარშრუტიზატორები, შეგიძლიათ გამოიყენოთ ღია კოდის ინსტრუმენტები, როგორიცაა კვაგა. ასე რომ, შესაძლოა ყველაფერი რაც თქვენ გჭირდებათ არის სერვერი ან რამდენიმე სერვერი, გადამრთველი და BGP.

ამ შემთხვევაში, თქვენს სერვერს ან რამდენიმე სერვერს შეუძლია შეასრულოს არა მხოლოდ CDN სერვერის, არამედ როუტერის როლიც. რა თქმა უნდა, ჯერ კიდევ ბევრი დეტალია (როგორიცაა როგორ უნდა უზრუნველყოს დაბალანსება), მაგრამ ეს შესაძლებელია და ეს არის მიდგომა, რომელიც წარმატებით გამოვიყენეთ ჩვენი ერთ-ერთი პარტნიორისთვის.

თქვენ შეგიძლიათ გქონდეთ რამდენიმე მონაცემთა ცენტრი სრული დაცვით (firewalls, DDOS დაცვის სერვისები, რომლებიც უზრუნველყოფილია თქვენი ინტერნეტ პროვაიდერების მიერ) და ათობით ან ასობით „გამარტივებული“ ყოფნის წერტილი მხოლოდ L2 გადამრთველებით და სერვერებით.

მაგრამ რაც შეეხება დაცვას ამ შემთხვევაში?

მოდით შევხედოთ, მაგალითად, ბოლო დროს პოპულარული DNS გაძლიერება DDOS შეტევა. მისი საშიშროება მდგომარეობს იმაში, რომ წარმოიქმნება დიდი რაოდენობით ტრაფიკი, რომელიც უბრალოდ „ბლოკავს“ თქვენი ყველა ბმულის 100%-ს.

რა გვაქვს ჩვენი დიზაინის შემთხვევაში.

• თუ იყენებთ AnyCast-ს, მაშინ ტრაფიკი ნაწილდება თქვენი ყოფნის წერტილებს შორის. თუ თქვენი მთლიანი გამტარუნარიანობა არის ტერაბიტები, მაშინ ეს თავისთავად რეალურად (თუმცა, ახლახან განხორციელდა რამდენიმე თავდასხმა მავნე ტრაფიკით ტერაბიტების რიგითობით) გიცავთ ზედმეტად გადატვირთული ბმულებისგან.
• თუმცა, თუ ზოგიერთი ბმულები დაიბლოკება, თქვენ უბრალოდ ამოიღებთ ამ საიტს სერვისიდან (შეაჩერეთ პრეფიქსის რეკლამირება)
• თქვენ ასევე შეგიძლიათ გაზარდოთ თქვენი „სრული“ (და, შესაბამისად, დაცული) მონაცემთა ცენტრებიდან გაგზავნილი ტრაფიკის წილი, რითაც წაშალეთ მავნე ტრაფიკის მნიშვნელოვანი ნაწილი დაუცველი ყოფნის წერტილებიდან.

და კიდევ ერთი პატარა შენიშვნა ამ მაგალითზე. თუ საკმარის ტრაფიკს აგზავნით IX-ების მეშვეობით, მაშინ ეს ასევე ამცირებს თქვენს დაუცველობას ასეთი შეტევების მიმართ

BGP-ის დაყენება

აქ ორი თემაა.

• დაკავშირება
• BGP-ის დაყენება

ჩვენ უკვე ვისაუბრეთ ცოტათი კავშირის შესახებ 1 ნაწილები. საქმე იმაშია, რომ უზრუნველყოთ, რომ ტრაფიკი თქვენს კლიენტებს მიჰყვება ოპტიმალურ გზას. მიუხედავად იმისა, რომ ოპტიმალური ყოველთვის არ არის მხოლოდ შეყოვნება, დაბალი შეყოვნება, როგორც წესი, ოპტიმალურის მთავარი მაჩვენებელია. ზოგიერთი კომპანიისთვის ეს უფრო მნიშვნელოვანია, ზოგისთვის ნაკლებად. ეს ყველაფერი დამოკიდებულია თქვენს მიერ მოწოდებულ სერვისზე.

მაგალითი 1

თუ თქვენ ხართ ბირჟა და მილიწამებზე ნაკლები დროის ინტერვალები მნიშვნელოვანია თქვენი კლიენტებისთვის, მაშინ, რა თქმა უნდა, საერთოდ არ შეიძლება საუბარი რაიმე სახის ინტერნეტზე.

მაგალითი 2

თუ თქვენ ხართ სათამაშო კომპანია და ათობით მილიწამი თქვენთვის მნიშვნელოვანია, მაშინ, რა თქმა უნდა, დაკავშირება თქვენთვის ძალიან მნიშვნელოვანია.

მაგალითი 3

თქვენ ასევე უნდა გესმოდეთ, რომ TCP პროტოკოლის თვისებებიდან გამომდინარე, მონაცემთა გადაცემის სიჩქარე ერთი TCP სესიის განმავლობაში ასევე დამოკიდებულია RTT-ზე (Round Trip Time). CDN ქსელები ასევე შენდება ამ პრობლემის გადასაჭრელად, შინაარსის განაწილების სერვერების გადაადგილებით ამ შინაარსის მომხმარებელთან.

კავშირის შესწავლა თავისთავად საინტერესო თემაა, იმსახურებს საკუთარ სტატიას ან სტატიების სერიას და მოითხოვს კარგად გააზრებას, თუ როგორ "მუშაობს ინტერნეტი".

სასარგებლო რესურსები:

მწიფე.net
bgp.he.net

მაგალითი

მხოლოდ ერთ პატარა მაგალითს მოვიყვან.

დავუშვათ, რომ თქვენი მონაცემთა ცენტრი მდებარეობს მოსკოვში და თქვენ გაქვთ ერთი ლინკი - Rostelecom (AS12389). ამ შემთხვევაში (ერთ სახლში) თქვენ არ გჭირდებათ BGP და, სავარაუდოდ, იყენებთ Rostelecom-ის მისამართების აუზს საჯარო მისამართებად.

დავუშვათ, რომ თქვენ უზრუნველყოფთ გარკვეულ მომსახურებას და გყავთ საკმარისი რაოდენობის კლიენტები უკრაინიდან და ისინი უჩივიან ხანგრძლივ დაგვიანებას. თქვენი კვლევის დროს გაიგეთ, რომ ზოგიერთი მათგანის IP მისამართები 37.52.0.0/21 ბადეშია.

ტრეკერუტის გაშვებით თქვენ ხედავდით, რომ ტრაფიკი გადიოდა AS1299 (Telia) გავლით, ხოლო პინგის გაშვებით თქვენ მიიღებთ საშუალო RTT 70 - 80 მილიწამს. თქვენ ასევე შეგიძლიათ ნახოთ ეს აქ შუშის როსტელეკომი.

Whois utility-ის გამოყენებით (ripe.net-ზე ან ადგილობრივ კომუნალურ პროგრამაზე), შეგიძლიათ მარტივად განსაზღვროთ, რომ ბლოკი 37.52.0.0/21 ეკუთვნის AS6849-ს (Ukrtelecom).

შემდეგი, გადასვლით bgp.he.net თქვენ ხედავთ, რომ AS6849-ს არავითარი კავშირი არ აქვს AS12389-თან (ისინი არ არიან არც კლიენტები და არც ერთმანეთზე აკავშირებულები და არც აქვთ პიერინგი). მაგრამ თუ შეხედავთ თანატოლების სია AS6849-ისთვის ნახავთ, მაგალითად, AS29226 (Mastertel) და AS31133 (Megafon).

მას შემდეგ რაც იპოვით ამ პროვაიდერთა ხედს, შეგიძლიათ შეადაროთ გზა და RTT. მაგალითად, Mastertel-ისთვის RTT იქნება დაახლოებით 30 მილიწამი.

ასე რომ, თუ სხვაობა 80 და 30 მილიწამს შორის მნიშვნელოვანია თქვენი სერვისისთვის, მაშინ, ალბათ, უნდა იფიქროთ დაკავშირებაზე, მიიღოთ თქვენი AS ნომერი, თქვენი მისამართის ფონდი RIPE-დან და დააკავშიროთ დამატებითი ბმულები და/ან შექმნათ IX-ებზე ყოფნის წერტილები.

როდესაც იყენებთ BGP-ს, თქვენ არა მხოლოდ გაქვთ შესაძლებლობა გააუმჯობესოთ კავშირი, არამედ ზედმეტად შეინარჩუნოთ თქვენი ინტერნეტ კავშირი.

ეს დოკუმენტი შეიცავს რეკომენდაციებს BGP-ის კონფიგურაციისთვის. მიუხედავად იმისა, რომ ეს რეკომენდაციები შემუშავდა პროვაიდერების „საუკეთესო პრაქტიკაზე“ დაფუძნებული, მიუხედავად ამისა (თუ თქვენი BGP პარამეტრები არ არის საკმაოდ ძირითადი) ისინი უდავოდ სასარგებლოა და ფაქტობრივად უნდა იყოს იმ გამკვრივების ნაწილი, რომელიც განვიხილეთ. პირველი ნაწილი.

DOS/DDOS დაცვა

ახლა DOS/DDOS შეტევები მრავალი კომპანიისთვის ყოველდღიურ რეალობად იქცა. სინამდვილეში, საკმაოდ ხშირად თავს ესხმიან ამა თუ იმ ფორმით. ის ფაქტი, რომ თქვენ ჯერ არ შეგიმჩნევიათ ეს მხოლოდ იმას ნიშნავს, რომ მიზნობრივი შეტევა ჯერ არ არის ორგანიზებული თქვენს წინააღმდეგ და რომ დაცვის ზომები, რომელსაც იყენებთ, თუნდაც ამის ცოდნის გარეშე (ოპერაციული სისტემების სხვადასხვა ჩაშენებული დაცვა), საკმარისია დარწმუნდით, რომ მოწოდებული სერვისის დეგრადაცია მინიმუმამდეა დაყვანილი თქვენთვის და თქვენი კლიენტებისთვის.

არსებობს ინტერნეტ რესურსები, რომლებიც აღჭურვილობის ჟურნალებზე დაყრდნობით, რეალურ დროში ასახავს ლამაზ შეტევის რუკებს.

აქ შეგიძლიათ იპოვოთ ბმულები მათზე.

ჩემი საყვარელი რუკა CheckPoint-დან.

DDOS/DOS-ისგან დაცვა ჩვეულებრივ ფენიანია. იმის გასაგებად, თუ რატომ, თქვენ უნდა გესმოდეთ, რა ტიპის DOS/DDOS შეტევები არსებობს (იხილეთ, მაგალითად, აქ ან აქ)

ანუ გვაქვს სამი სახის შეტევა:

• მოცულობითი შეტევები
• პროტოკოლის შეტევები
• განაცხადის შეტევები

თუ თქვენ შეგიძლიათ დაიცვათ თავი ბოლო ორი ტიპის თავდასხმისგან, მაგალითად, firewalls-ის გამოყენებით, მაშინ ვერ დაიცვათ თავდასხმებისგან, რომლებიც მიზნად ისახავს თქვენი ბმულების „გადატვირთვას“ (რა თქმა უნდა, თუ თქვენი ინტერნეტ არხების მთლიანი სიმძლავრე არ არის გათვლილი ტერაბიტებში, ან კიდევ უკეთესი, ათეულ ტერაბიტში).

ამიტომ, დაცვის პირველი ხაზი არის დაცვა „მოცულობითი“ თავდასხმებისგან და თქვენმა პროვაიდერმა ან პროვაიდერებმა უნდა მოგაწოდოთ ეს დაცვა. თუ თქვენ ჯერ არ გააცნობიერეთ ეს, მაშინ უბრალოდ იღბლიანი ხართ.

მაგალითი

დავუშვათ, რომ თქვენ გაქვთ რამდენიმე uplink, მაგრამ მხოლოდ ერთ პროვაიდერს შეუძლია მოგაწოდოთ ეს დაცვა. მაგრამ თუ მთელი ტრაფიკი გადის ერთ პროვაიდერზე, მაშინ რაც შეეხება დაკავშირებას, რომელიც მოკლედ განვიხილეთ ცოტა ადრე?

ამ შემთხვევაში, თქვენ მოგიწევთ ნაწილობრივ შესწიროთ კავშირი თავდასხმის დროს. მაგრამ

• ეს არის მხოლოდ შეტევის ხანგრძლივობისთვის. თავდასხმის შემთხვევაში, შეგიძლიათ ხელით ან ავტომატურად დააკონფიგურიროთ BGP ისე, რომ ტრაფიკი გადის მხოლოდ პროვაიდერის მეშვეობით, რომელიც მოგაწოდებთ „ქოლგას“. თავდასხმის დასრულების შემდეგ, შეგიძლიათ დააბრუნოთ მარშრუტი წინა მდგომარეობაში
• არ არის აუცილებელი მთელი ტრაფიკის გადატანა. თუ, მაგალითად, ხედავთ, რომ არ არის თავდასხმები ზოგიერთი ბმულების ან პიერინგის მეშვეობით (ან ტრაფიკი არ არის მნიშვნელოვანი), შეგიძლიათ გააგრძელოთ კონკურენტული ატრიბუტების პრეფიქსების რეკლამირება ამ BGP მეზობლების მიმართ.

თქვენ ასევე შეგიძლიათ „პროტოკოლის თავდასხმებისგან“ და „აპლიკაციის თავდასხმებისგან“ დაცვის დელეგირება თქვენს პარტნიორებს.
აქ აქ შეგიძლიათ წაიკითხოთ კარგი კვლევა (თარგმანი). მართალია, სტატია ორი წლისაა, მაგრამ ის მოგცემთ წარმოდგენას მიდგომების შესახებ, თუ როგორ შეგიძლიათ დაიცვათ თავი DDOS შეტევებისგან.

პრინციპში, თქვენ შეგიძლიათ შემოიფარგლოთ ამით, თქვენი დაცვის მთლიანად აუთსორსინგით. ამ გადაწყვეტილებას აქვს უპირატესობები, მაგრამ ასევე არის აშკარა მინუსი. ფაქტია, რომ ჩვენ შეგვიძლია ვისაუბროთ (ისევ, იმის მიხედვით, თუ რას აკეთებს თქვენი კომპანია) ბიზნესის გადარჩენაზე. და ენდე ასეთ რაღაცეებს ​​მესამე პირებს...

მაშასადამე, მოდით შევხედოთ როგორ მოვაწყოთ თავდაცვის მეორე და მესამე ხაზები (როგორც პროვაიდერისგან დაცვის დამატება).

ასე რომ, დაცვის მეორე ხაზი არის ფილტრაცია და ტრაფიკის შემზღუდველი (პოლიციელები) თქვენი ქსელის შესასვლელთან.

მაგალითი 1

დავუშვათ, რომ თქვენ დაიფარეთ ქოლგა DDOS-ის წინააღმდეგ ერთ-ერთი პროვაიდერის დახმარებით. დავუშვათ, რომ ეს პროვაიდერი იყენებს Arbor-ს ტრაფიკის გასაფილტრად და მისი ქსელის კიდეზე.

გამტარუნარიანობა, რომლის „დამუშავება“ არბორს შეუძლია, შეზღუდულია და პროვაიდერს, რა თქმა უნდა, არ შეუძლია მუდმივად გაიაროს ყველა მისი პარტნიორის ტრაფიკი, რომლებიც ამ სერვისს შეუკვეთებენ ფილტრაციის აღჭურვილობის საშუალებით. ამიტომ ნორმალურ პირობებში მოძრაობა არ არის გაფილტრული.

დავუშვათ, რომ არსებობს SYN წყალდიდობის შეტევა. მაშინაც კი, თუ თქვენ შეუკვეთეთ სერვისი, რომელიც ავტომატურად ცვლის ტრაფიკს ფილტრაციაზე თავდასხმის შემთხვევაში, ეს არ ხდება მყისიერად. ერთი წუთით ან მეტით დარჩებით თავდასხმის ქვეშ. და ამან შეიძლება გამოიწვიოს თქვენი აღჭურვილობის უკმარისობა ან სერვისის დეგრადაცია. ამ შემთხვევაში, მარშრუტიზაციის ზღვარზე ტრაფიკის შეზღუდვა, თუმცა ეს გამოიწვევს იმ ფაქტს, რომ ზოგიერთი TCP სესია ამ დროის განმავლობაში არ დამყარდება, დაიცავს თქვენს ინფრასტრუქტურას უფრო ფართომასშტაბიანი პრობლემებისგან.

მაგალითი 2

SYN პაკეტების არანორმალურად დიდი რაოდენობა შეიძლება იყოს არა მხოლოდ SYN flood თავდასხმის შედეგი. დავუშვათ, რომ თქვენ აწვდით სერვისს, რომელშიც შეგიძლიათ ერთდროულად გქონდეთ დაახლოებით 100 ათასი TCP კავშირი (ერთ მონაცემთა ცენტრთან).

ვთქვათ, რომ ერთ-ერთ მთავარ პროვაიდერთან მოკლევადიანი პრობლემის შედეგად, თქვენი სესიების ნახევარი წყდება. თუ თქვენი აპლიკაცია შექმნილია ისე, რომ ორჯერ დაუფიქრებლად, ის დაუყოვნებლივ (ან გარკვეული დროის ინტერვალის შემდეგ, რომელიც იგივეა ყველა სესიისთვის) შეეცდება კავშირის აღდგენას, მაშინ მიიღებთ დაახლოებით 50 ათას SYN პაკეტს. ერთდროულად.

თუ, მაგალითად, თქვენ უნდა აწარმოოთ ssl/tls ხელის ჩამორთმევა ამ სესიების თავზე, რაც გულისხმობს სერთიფიკატების გაცვლას, მაშინ თქვენი დატვირთვის ბალანსერის რესურსების ამოწურვის თვალსაზრისით, ეს იქნება ბევრად უფრო ძლიერი „DDOS“, ვიდრე მარტივი. SYN წყალდიდობა. როგორც ჩანს, ბალანსისტებმა უნდა გაუმკლავდნენ ასეთ მოვლენებს, მაგრამ... სამწუხაროდ, ასეთი პრობლემის წინაშე ვდგავართ.

და, რა თქმა უნდა, პოლიციელი ზღვარზე როუტერზე დაზოგავს თქვენს აღჭურვილობას ამ შემთხვევაშიც.

DDOS/DOS-ისგან დაცვის მესამე დონე არის თქვენი firewall პარამეტრები.

აქ შეგიძლიათ შეაჩეროთ მეორე და მესამე ტიპის ორივე შეტევა. ზოგადად, ყველაფერი, რაც აღწევს firewall-ს, აქ შეიძლება გაფილტრული იყოს.

რჩევები

შეეცადეთ დაურთოთ firewall-ს რაც შეიძლება ნაკლები სამუშაო, რაც შეიძლება მეტი გაფილტრეთ თავდაცვის პირველ ორ ხაზზე. და ამიტომ.

ოდესმე შეგემთხვათ, რომ შემთხვევით, ტრაფიკის გენერირებისას, რათა შეამოწმოთ, მაგალითად, რამდენად მდგრადია თქვენი სერვერების ოპერაციული სისტემა DDOS შეტევების მიმართ, თქვენ „მოკალით“ თქვენი firewall, ჩატვირთეთ იგი 100 პროცენტამდე, ტრაფიკით ნორმალური ინტენსივობით. ? თუ არა, იქნებ უბრალოდ იმიტომ, რომ არ გიცდიათ?

ზოგადად, firewall, როგორც ვთქვი, რთული რამ არის და ის კარგად მუშაობს ცნობილი დაუცველობითა და გამოცდილი გადაწყვეტილებებით, მაგრამ თუ რაიმე უჩვეულოს აგზავნით, უბრალოდ ნაგავს ან პაკეტს არასწორი სათაურით, მაშინ თქვენ ხართ ზოგიერთთან და არა ასეთი მცირე ალბათობით (ჩემი გამოცდილებიდან გამომდინარე), თქვენ შეგიძლიათ გააფუჭოთ უმაღლესი დონის აღჭურვილობაც კი. ამიტომ, მე-2 ეტაპზე, ჩვეულებრივი ACL-ების გამოყენებით (L3/L4 დონეზე), დაუშვით მხოლოდ ტრაფიკი თქვენს ქსელში, რომელიც უნდა შევიდეს იქ.

ტრეფიკის გაფილტვრა firewall-ზე

მოდით გავაგრძელოთ საუბარი firewall-ზე. თქვენ უნდა გესმოდეთ, რომ DOS/DDOS შეტევები კიბერშეტევის მხოლოდ ერთი სახეობაა.

გარდა DOS/DDOS დაცვისა, ჩვენ ასევე შეგვიძლია გვქონდეს შემდეგი მახასიათებლების სია:

• განაცხადის firewalling
• საფრთხის პრევენცია (ანტივირუსი, ანტი-სპივერი და დაუცველობა)
• URL გაფილტვრა
• მონაცემთა ფილტრაცია (შინაარსის ფილტრაცია)
• ფაილის დაბლოკვა (ფაილის ტიპების დაბლოკვა)

თქვენი გადასაწყვეტია, რა გჭირდებათ ამ სიიდან.

გაგრძელება იქნება

წყარო: www.habr.com