DDoS 공격에 대한 완벽한 보호를 갖춘 호스팅 - 신화 또는 현실

2020년 첫 65분기 동안 DDoS 공격 건수는 거의 XNUMX배로 늘어났으며, 그 중 XNUMX%는 소규모 온라인 상점, 포럼, 블로그, 언론 매체의 무방비 사이트를 쉽게 "비활성화"하는 "부하 테스트"를 위한 원시적인 시도였습니다.

DDoS 보호 호스팅을 선택하는 방법은 무엇입니까? 불쾌한 상황에 빠지지 않으려면 어떤 점에 주의하고 어떤 준비를 해야 할까요?

(내부의 "회색" 마케팅에 대한 예방 접종)

DDoS 공격을 수행하기 위한 도구의 가용성과 다양성으로 인해 온라인 서비스 소유자는 위협에 대응하기 위한 적절한 조치를 취해야 합니다. 첫 번째 실패 이후나 인프라의 내결함성을 높이기 위한 일련의 조치의 일부가 아니라 배치할 사이트(호스팅 공급자 또는 데이터 센터)를 선택하는 단계에서 DDoS 보호에 대해 생각해야 합니다.

DDoS 공격은 OSI(Open Systems Interconnection) 모델 수준에서 취약점이 악용되는 프로토콜에 따라 분류됩니다.

• 채널(L2),
• 네트워크(L3),
• 운송(L4),
• 적용됩니다(L7).

보안 시스템의 관점에서 볼 때 인프라 수준 공격(L2-L4)과 애플리케이션 수준 공격(L7)의 두 그룹으로 일반화할 수 있습니다. 이는 트래픽 분석 알고리즘의 실행 순서와 계산 복잡성 때문입니다. IP 패킷을 더 깊이 조사할수록 더 많은 컴퓨팅 성능이 필요합니다.

일반적으로 실시간 트래픽 처리 시 계산 최적화 문제는 별도의 기사 시리즈에서 다루는 주제입니다. 이제 애플리케이션 수준 공격(예: бесплатно).

DDoS 공격에 대한 호스팅 보안 수준을 결정하기 위한 3가지 주요 질문

DDoS 공격으로부터 보호하기 위한 서비스 약관과 호스팅 제공업체의 SLA(서비스 수준 계약)를 살펴보겠습니다. 다음 질문에 대한 답변이 포함되어 있습니까?

• 서비스 제공업체가 명시한 기술적 한계는 무엇입니까??
• 고객이 한도를 초과하면 어떻게 되나요?
• 호스팅 제공업체는 DDoS 공격(기술, 솔루션, 공급업체)에 대한 보호 기능을 어떻게 구축합니까?

이 정보를 찾지 못했다면 서비스 제공업체의 심각성을 생각해 보거나 기본적인 DDoS 보호(L3-4)를 스스로 구성해야 하는 이유입니다. 예를 들어 전문 보안 공급자의 네트워크에 대한 물리적 연결을 주문합니다.

중요! 호스팅 공급자가 인프라 수준 공격에 대한 보호를 제공할 수 없는 경우 역방향 프록시를 사용하여 애플리케이션 수준 공격에 대한 보호를 제공하는 것은 의미가 없습니다. 클라우드 공급자의 프록시 서버를 포함하여 네트워크 장비가 과부하되어 사용할 수 없게 됩니다(그림 1).

그림 1. 호스팅 제공업체 네트워크에 대한 직접 공격

그리고 서버의 실제 IP 주소가 보안 공급자의 클라우드 뒤에 숨겨져 있어 직접 공격이 불가능하다는 동화를 말하게 하지 마세요. XNUMX번 중 XNUMX번은 공격자가 전체 데이터 센터를 "파괴"하기 위해 서버의 실제 IP 주소나 최소한 호스팅 제공업체의 네트워크를 찾는 것이 어렵지 않습니다.

해커가 실제 IP 주소를 찾기 위해 행동하는 방법

스포일러 아래에는 실제 IP 주소를 찾는 여러 가지 방법이 나와 있습니다(정보 제공의 목적으로 제공됨).

방법 1: 오픈 소스에서 검색

온라인 서비스로 검색을 시작할 수 있습니다. 인텔리전스 X: 다크 웹, 문서 공유 플랫폼, Whois 데이터 처리, 공개 데이터 유출 및 기타 여러 소스를 검색합니다.

일부 징후(HTTP 헤더, Whois 데이터 등)를 기반으로 사이트 보호가 Cloudflare를 사용하여 구성되어 있음을 확인할 수 있는 경우 다음에서 실제 IP 검색을 시작할 수 있습니다. 목록, Cloudflare 뒤에 위치한 사이트의 약 3만 개 IP 주소가 포함되어 있습니다.

SSL 인증서 및 서비스 사용 센 시스 사이트의 실제 IP 주소를 포함하여 유용한 정보를 많이 찾을 수 있습니다. 리소스에 대한 요청을 생성하려면 인증서 탭으로 이동하여 다음을 입력하세요.

_parsed.names: 이름사이트 및 태그.raw: 신뢰할 수 있음

SSL 인증서를 사용하여 서버의 IP 주소를 검색하려면 여러 도구("탐색" 탭에서 "IPv4 호스트" 선택)를 사용하여 드롭다운 목록을 수동으로 살펴보아야 합니다.

방법 2: DNS

DNS 레코드 변경 내역을 검색하는 것은 오래되고 입증된 방법입니다. 사이트의 이전 IP 주소를 통해 사이트가 어느 호스팅(또는 데이터 센터)에 있었는지 명확하게 알 수 있습니다. 사용 편의성 측면에서 온라인 서비스 중에서 다음이 두드러집니다. 뷰DNS и 보안트레일.

설정을 변경하면 해당 사이트는 클라우드 보안업체나 CDN의 IP 주소를 즉시 사용하지 않고 한동안 직접 작동하게 됩니다. 이 경우 IP 주소 변경 내역을 저장하는 온라인 서비스에 사이트의 소스 주소에 대한 정보가 포함될 가능성이 있습니다.

이전 DNS 서버의 이름만 있으면 특수 유틸리티(dig, 호스트 또는 nslookup)를 사용하여 사이트의 도메인 이름으로 IP 주소를 요청할 수 있습니다. 예:

_dig @old_dns_server_name 이름сайта

방법 3: 이메일

이 방법의 아이디어는 피드백/등록 양식(또는 편지 보내기를 시작할 수 있는 다른 방법)을 사용하여 이메일로 편지를 받고 헤더, 특히 "수신됨" 필드를 확인하는 것입니다. .

이메일 헤더에는 MX 레코드(이메일 교환 서버)의 실제 IP 주소가 포함되는 경우가 많으며, 이는 대상에서 다른 서버를 찾는 출발점이 될 수 있습니다.

검색 자동화 도구

Cloudflare Shield 뒤에 있는 IP 검색 소프트웨어는 다음 세 가지 작업에 가장 자주 작동합니다.

• DNSDumpster.com을 사용하여 DNS 구성 오류를 검색하세요.
• Crimeflare.com 데이터베이스 스캔;
• 사전 검색 방법을 사용하여 하위 도메인을 검색합니다.

하위 도메인을 찾는 것이 세 가지 옵션 중 가장 효과적인 옵션인 경우가 많습니다. 사이트 소유자는 기본 사이트를 보호하고 하위 도메인은 직접 실행되도록 둘 수 있습니다. 확인하는 가장 쉬운 방법은 다음을 사용하는 것입니다. 클라우드실패.

또한 사전 검색을 사용하여 하위 도메인을 검색하고 오픈 소스에서 검색하도록 설계된 유틸리티도 있습니다. 예를 들면 다음과 같습니다. 하위 목록 3r 또는 dnsrecon.

실제로 검색이 수행되는 방식

예를 들어 Cloudflare를 사용하여 seo.com 사이트를 예로 들어보겠습니다. 이 사이트는 잘 알려진 서비스를 사용하여 찾을 수 있습니다. 내장 (사이트가 운영되는 기술/엔진/CMS를 결정하거나 그 반대로 사용된 기술로 사이트를 검색할 수 있습니다).

"IPv4 호스트" 탭을 클릭하면 서비스에 인증서를 사용하는 호스트 목록이 표시됩니다. 필요한 것을 찾으려면 포트 443이 열려 있는 IP 주소를 찾으십시오. 원하는 사이트로 리디렉션되면 작업이 완료된 것입니다. 그렇지 않으면 사이트의 도메인 이름을 "호스트" 헤더에 추가해야 합니다. HTTP 요청(예: *curl -H "Host: site_name" *https://IP_адрес).

우리의 경우 Censys 데이터베이스에서 검색해도 아무것도 나오지 않았으므로 계속 진행합니다.

서비스를 통해 DNS 검색을 수행합니다. https://securitytrails.com/dns-trails.

CloudFail 유틸리티를 사용하여 DNS 서버 목록에 언급된 주소를 검색하여 작업 리소스를 찾습니다. 몇 초 안에 결과가 준비됩니다.

공개 데이터와 간단한 도구만을 사용하여 웹 서버의 실제 IP 주소를 결정했습니다. 공격자의 나머지 부분은 기술의 문제입니다.

호스팅 공급자 선택으로 돌아가 보겠습니다. 고객을 위한 서비스 이점을 평가하기 위해 DDoS 공격에 대한 가능한 보호 방법을 고려할 것입니다.

호스팅 제공업체가 보호 기능을 구축하는 방법

1. 필터링 장비를 갖춘 자체 보호 시스템(그림 2).
   요구사항:
   1.1. 트래픽 필터링 장비 및 소프트웨어 라이선스
   1.2. 지원 및 운영을 위한 전담 전문가
   1.3. 공격을 받기에 충분한 인터넷 액세스 채널
   1.4. "정크" 트래픽을 수신하기 위한 상당한 선불 채널 대역폭.
   
   그림 2. 호스팅 업체 자체 보안 시스템
   설명된 시스템을 수백 Gbps의 최신 DDoS 공격에 대한 보호 수단으로 간주하면 이러한 시스템에는 많은 비용이 듭니다. 호스팅 제공업체에 그러한 보호 기능이 있습니까? 그는 "정크" 트래픽에 대한 비용을 지불할 준비가 되어 있습니까? 분명히, 관세가 추가 지불을 제공하지 않는 경우 그러한 경제 모델은 공급자에게 수익성이 없습니다.
2. 역방향 프록시(웹사이트 및 일부 애플리케이션에만 해당) 숫자에도 불구하고 혜택, 공급업체는 직접적인 DDoS 공격에 대한 보호를 보장하지 않습니다(그림 1 참조). 호스팅 제공업체는 보안 제공업체에 책임을 전가하는 만병통치약과 같은 솔루션을 제공하는 경우가 많습니다.
3. 모든 OSI 수준에서 DDoS 공격으로부터 보호하기 위한 전문 클라우드 제공업체의 서비스(필터링 네트워크 사용)(그림 3).
   
   그림 3. 전문 공급자를 사용한 DDoS 공격에 대한 포괄적인 보호
   결정 양측의 깊은 통합과 높은 수준의 기술적 역량을 가정합니다. 아웃소싱 트래픽 필터링 서비스를 통해 호스팅 제공업체는 고객을 위한 추가 서비스 가격을 낮출 수 있습니다.

중요! 제공되는 서비스의 기술적 특성을 자세히 설명할수록 서비스 중단 시 구현이나 보상을 요구할 가능성이 커집니다.

세 가지 주요 방법 외에도 많은 조합과 조합이 있습니다. 호스팅을 선택할 때 고객은 보장된 차단 공격의 크기와 필터링 정확도뿐만 아니라 응답 속도와 정보 내용(차단된 공격 목록, 일반 통계 등).

자체적으로 허용 가능한 수준의 보호를 제공할 수 있는 호스팅 제공업체는 전 세계에서 소수에 불과하며, 다른 경우에는 협력과 기술적 이해력이 도움이 된다는 점을 기억하세요. 따라서 DDoS 공격에 대한 보호를 구성하는 기본 원칙을 이해하면 사이트 소유자가 마케팅 속임수에 빠지지 않고 "포크에 돼지"를 사지 않을 수 있습니다.

출처 : habr.com