이 기사는 "네트워크 인프라를 제어하는 ​​방법" 시리즈의 네 번째 기사입니다. 시리즈의 모든 기사 내용과 링크를 확인할 수 있습니다. 여기에.

В 첫 번째 부분 이 장에서는 데이터 센터 부문의 네트워크 보안의 몇 가지 측면을 살펴보았습니다. 이 부분은 "인터넷 액세스" 부분에 대해 다루겠습니다.

인터넷 액세스

보안이라는 주제는 의심할 여지 없이 데이터 네트워크 세계에서 가장 복잡한 주제 중 하나입니다. 이전 사례와 마찬가지로 깊이와 완전성을 주장하지 않고 여기서는 매우 간단하다고 생각하지만 제 생각에는 중요한 질문과 답변이 네트워크 보안 수준을 높이는 데 도움이 될 것이라고 생각합니다.

이 세그먼트를 감사할 때 다음 측면에 주의하십시오.

• 디자인
• BGP 설정
• DOS/DDOS 보호
• 방화벽의 트래픽 필터링

디자인

엔터프라이즈 네트워크를 위한 이 세그먼트 설계의 예로 다음을 권장합니다. 지도력 Cisco에서 안전한 모델.

물론, 아마도 다른 공급업체의 솔루션이 귀하에게 더 매력적으로 보일 수도 있습니다(참조. 가트너 쿼드런트 2018), 하지만 이 디자인을 자세히 따르도록 권장하지 않더라도 그 뒤에 있는 원리와 아이디어를 이해하는 것이 여전히 유용하다고 생각합니다.

참고 :

SAFE에서 "원격 액세스" 세그먼트는 "인터넷 액세스" 세그먼트의 일부입니다. 그러나 이 일련의 기사에서는 별도로 고려할 것입니다.

기업 네트워크를 위한 이 부문의 표준 장비 세트는 다음과 같습니다.

• 국경 라우터
• 방화벽

비고 1

이 시리즈 기사에서 방화벽에 관해 이야기할 때 내 말은 NGFW.

비고 2

나는 L2/L1 연결을 보장하는 데 필요한 다양한 종류의 L2/L3 또는 L1 솔루션 위에 L2를 오버레이하는 것에 대한 고려를 생략하고 L3 수준 이상의 문제에만 제한합니다. 부분적으로 L1/L2 문제는 "장에서 논의되었습니다.청소 및 문서화".

이 세그먼트에서 방화벽을 찾지 못했다면 성급하게 결론을 내리면 안 됩니다.

에서와 같이 해보자 이전 부분질문부터 시작해 보겠습니다. 귀하의 경우 이 세그먼트에서 방화벽을 사용해야 합니까?

방화벽을 사용하고 복잡한 트래픽 필터링 알고리즘을 적용하기에 가장 정당한 곳이라고 말할 수 있습니다. 안에 1 부품 데이터센터 부문에서 방화벽 사용을 방해할 수 있는 4가지 요소를 언급했습니다. 그러나 여기서는 더 이상 그렇게 중요하지 않습니다.

예 1. 지연

인터넷에 관한 한 약 1밀리초의 지연에 대해 이야기하는 것은 의미가 없습니다. 따라서 이 세그먼트의 지연은 방화벽 사용을 제한하는 요인이 될 수 없습니다.

예 2. Производительность

어떤 경우에는 이 요소가 여전히 중요할 수 있습니다. 따라서 일부 트래픽(예: 로드 밸런서의 트래픽)이 방화벽을 우회하도록 허용해야 할 수도 있습니다.

예 3. 신뢰성

이 요소는 여전히 고려해야 하지만 인터넷 자체의 신뢰성이 낮기 때문에 이 부문에서 그 중요성은 데이터 센터만큼 중요하지 않습니다.

따라서 귀하의 서비스가 http/https(짧은 세션 포함) 위에 존재한다고 가정해 보겠습니다. 이 경우 두 개의 독립적인 박스(HA 없이)를 사용할 수 있으며, 그 중 하나에 라우팅 문제가 있는 경우 모든 트래픽을 두 번째 박스로 전송할 수 있습니다.

또는 투명 모드에서 방화벽을 사용할 수 있으며, 실패할 경우 문제를 해결하는 동안 트래픽이 방화벽을 우회하도록 허용할 수 있습니다.

그러므로 아마도 단지 가격 이 세그먼트에서 방화벽 사용을 포기하게 만드는 요인이 될 수 있습니다.

중요!

이 방화벽을 데이터 센터 방화벽과 결합하고 싶은 유혹이 있습니다(이러한 세그먼트에 하나의 방화벽을 사용하십시오). 해결책은 원칙적으로 가능하지만 이를 이해해야 합니다. 인터넷 액세스 방화벽은 실제로 방어의 최전선에 있으며 적어도 일부 악성 트래픽을 "수용"합니다. 물론 이 방화벽이 비활성화될 위험이 증가한다는 점을 고려해야 합니다. 즉, 이 두 세그먼트에서 동일한 장치를 사용하면 데이터 센터 세그먼트의 가용성이 크게 줄어듭니다.

언제나 그렇듯, 회사가 제공하는 서비스에 따라 이 부문의 디자인이 크게 달라질 수 있다는 점을 이해해야 합니다. 언제나 그렇듯이 요구 사항에 따라 다양한 접근 방식을 선택할 수 있습니다.

예

CDN 네트워크를 갖춘 콘텐츠 제공업체인 경우(예: 일련의 기사), 그러면 트래픽 라우팅 및 필터링을 위해 별도의 장치를 사용하여 수십 또는 수백 개의 접속 지점에 걸쳐 인프라를 생성하고 싶지 않을 수 있습니다. 비용이 많이 들고 단순히 불필요할 수도 있습니다.

BGP의 경우 반드시 전용 라우터가 있을 필요는 없으며 다음과 같은 오픈 소스 도구를 사용할 수 있습니다. 콰가. 따라서 아마도 필요한 것은 서버 또는 여러 서버, 스위치 및 BGP뿐입니다.

이 경우 귀하의 서버 또는 여러 대의 서버가 CDN 서버 역할뿐만 아니라 라우터 역할도 할 수 있습니다. 물론 아직 세부 사항(균형을 보장하는 방법 등)이 많이 남아 있지만 이는 가능하며 파트너 중 한 곳에서 성공적으로 사용한 접근 방식입니다.

완벽한 보호(인터넷 공급자가 제공하는 방화벽, DDOS 보호 서비스)를 갖춘 여러 데이터 센터와 L2 스위치 및 서버만으로 수십 또는 수백 개의 "간소화된" 접속 지점을 보유할 수 있습니다.

하지만 이 경우 보호는 어떻습니까?

예를 들어 최근 인기를 끌고 있는 DNS 증폭 DDOS 공격. 그 위험은 많은 양의 트래픽이 생성되어 모든 업링크가 100% "막히게" 된다는 사실에 있습니다.

우리 디자인의 경우에는 무엇이 있습니까?

• AnyCast를 사용하는 경우 트래픽은 접속 지점 간에 분산됩니다. 총 대역폭이 테라비트인 경우 실제로는 이 자체로(그러나 최근에는 테라비트 수준의 악성 트래픽을 이용한 공격이 여러 차례 발생했습니다) "오버플로" 업링크로부터 사용자를 보호합니다.
• 그러나 일부 업링크가 막히면 서비스에서 이 사이트를 제거하면 됩니다(접두사 광고 중지).
• 또한 "전체"(따라서 보호되는) 데이터 센터에서 전송되는 트래픽의 점유율을 늘려서 보호되지 않은 접속 지점에서 악성 트래픽의 상당 부분을 제거할 수 있습니다.

그리고 이 예에 대한 작은 참고 사항이 하나 더 있습니다. IX를 통해 충분한 트래픽을 전송하면 이러한 공격에 대한 취약성도 줄어듭니다.

BGP 설정

여기에는 두 가지 주제가 있습니다.

• 연결성
• BGP 설정

우리는 이미 연결성에 대해 조금 이야기했습니다. 1 부품. 요점은 고객에 대한 트래픽이 최적의 경로를 따르도록 하는 것입니다. 최적성은 항상 지연 시간에 관한 것이 아니지만 일반적으로 낮은 지연 시간은 최적성의 주요 지표입니다. 일부 회사에서는 이것이 더 중요하지만 다른 회사에서는 덜 중요합니다. 그것은 모두 귀하가 제공하는 서비스에 따라 다릅니다.

예를 들어 1

귀하가 교환자이고 밀리초 미만의 시간 간격이 고객에게 중요하다면 물론 어떤 종류의 인터넷에 대해서도 전혀 이야기할 수 없습니다.

예를 들어 2

귀하가 게임 회사이고 수십 밀리초가 중요하다면 당연히 연결도 매우 중요합니다.

예를 들어 3

또한 TCP 프로토콜의 속성으로 인해 하나의 TCP 세션 내 데이터 전송 속도도 RTT(Round Trip Time)에 따라 달라진다는 점을 이해해야 합니다. 콘텐츠 배포 서버를 콘텐츠 소비자에게 더 가까이 이동하여 이 문제를 해결하기 위해 CDN 네트워크도 구축되고 있습니다.

연결성에 대한 연구는 그 자체로 흥미로운 주제이며, 자체 기사 또는 일련의 기사를 읽을 가치가 있으며, 인터넷이 어떻게 "작동"하는지에 대한 좋은 이해가 필요합니다.

유용한 리소스:

ripe.net
bgp.he.net

예

작은 예를 하나만 들어보겠습니다.

귀하의 데이터 센터가 모스크바에 있고 단일 업링크인 Rostelecom(AS12389)이 있다고 가정해 보겠습니다. 이 경우(단일 홈)에는 BGP가 필요하지 않으며 Rostelecom의 주소 풀을 공용 주소로 사용할 가능성이 높습니다.

귀하가 특정 서비스를 제공하고 있으며 우크라이나 고객 수가 충분하고 고객이 오랜 지연에 대해 불평한다고 가정해 보겠습니다. 조사 중에 일부 IP 주소가 37.52.0.0/21 그리드에 있다는 사실을 발견했습니다.

Traceroute를 실행하여 트래픽이 AS1299(Telia)를 통과하는 것을 확인했고, Ping을 실행하여 70~80밀리초의 평균 RTT를 얻었습니다. 다음에서도 볼 수 있습니다. 거울 Rostelecom.

whois 유틸리티(ripe.net 또는 로컬 유틸리티)를 사용하면 블록 37.52.0.0/21이 AS6849(Ukrtelecom)에 속하는지 쉽게 확인할 수 있습니다.

다음으로 이동하여 bgp.he.net AS6849는 AS12389와 아무런 관계가 없다는 것을 알 수 있습니다(클라이언트도 아니고 서로 업링크도 아니며 피어링도 없습니다). 하지만 당신이 보면 동료 목록 AS6849의 경우 예를 들어 AS29226(Mastertel) 및 AS31133(Megafon)이 표시됩니다.

이러한 공급자의 거울을 찾으면 경로와 RTT를 비교할 수 있습니다. 예를 들어 Mastertel의 경우 RTT는 약 30밀리초입니다.

따라서 80밀리초와 30밀리초 사이의 차이가 서비스에 중요한 경우 연결에 대해 생각하고 RIPE에서 AS 번호, 주소 풀을 가져와 추가 업링크를 연결하거나 IX에 접속 지점을 생성해야 할 수 있습니다.

BGP를 사용하면 연결성을 향상시킬 수 있을 뿐만 아니라 인터넷 연결을 중복적으로 유지 관리할 수도 있습니다.

이 문서 BGP 구성에 대한 권장 사항이 포함되어 있습니다. 이러한 권장 사항은 공급자의 "모범 사례"를 기반으로 개발되었음에도 불구하고(BGP 설정이 기본이 아닌 경우) 의심할 여지 없이 유용하며 실제로 우리가 논의한 강화의 일부가 되어야 합니다. 첫 번째 부분.

DOS/DDOS 보호

이제 DOS/DDOS 공격은 많은 회사에서 일상적인 현실이 되었습니다. 사실, 당신은 어떤 형태로든 꽤 자주 공격을 받습니다. 귀하가 아직 이를 인지하지 못했다는 사실은 귀하를 대상으로 한 표적 공격이 아직 조직되지 않았음을 의미할 뿐이며, 귀하가 알지 못하는 사이에도 귀하가 사용하는 보호 도구(운영 체제에 내장된 다양한 보호 기능)가 다음을 수행하기에 충분하다는 것을 의미합니다. 귀하와 귀하의 고객을 위해 제공된 서비스의 품질 저하가 최소화되도록 합니다.

장비 로그를 기반으로 실시간으로 아름다운 공격 지도를 그리는 인터넷 리소스가 있습니다.

여기에 당신은 그들에 대한 링크를 찾을 수 있습니다.

내 사랑 지도 체크포인트에서.

DDOS/DOS에 대한 보호는 일반적으로 계층화되어 있습니다. 그 이유를 이해하려면 어떤 유형의 DOS/DDOS 공격이 존재하는지 이해해야 합니다(예를 들어, 여기에 또는 여기에)

즉, 세 가지 유형의 공격이 있습니다.

• 대량 공격
• 프로토콜 공격
• 애플리케이션 공격

예를 들어 방화벽을 사용하여 마지막 두 가지 유형의 공격으로부터 자신을 보호할 수 있다면 업링크를 "압도"하는 공격으로부터 자신을 보호할 수 없습니다(물론 인터넷 채널의 총 용량이 테라비트로 계산되지 않는 경우). 또는 수십 테라비트 단위로 더 좋습니다).

따라서 첫 번째 방어선은 "대량" 공격으로부터 보호하는 것이며 귀하의 서비스 제공자는 귀하에게 이러한 보호를 제공해야 합니다. 아직 이것을 깨닫지 못했다면 지금은 운이 좋은 것입니다.

예

업링크가 여러 개 있지만 공급자 중 하나만이 이러한 보호 기능을 제공할 수 있다고 가정해 보겠습니다. 하지만 모든 트래픽이 하나의 공급자를 통과한다면 조금 앞서 간략하게 논의한 연결성은 어떻습니까?

이 경우 공격 중에 연결을 부분적으로 희생해야 합니다. 하지만

• 이는 공격 기간 동안에만 가능합니다. 공격이 발생하는 경우 트래픽이 "우산"을 제공하는 공급자를 통해서만 전달되도록 BGP를 수동 또는 자동으로 재구성할 수 있습니다. 공격이 끝나면 라우팅을 이전 상태로 되돌릴 수 있습니다.
• 모든 트래픽을 전송할 필요는 없습니다. 예를 들어, 일부 업링크나 피어링을 통한 공격이 없는 경우(또는 트래픽이 중요하지 않은 경우) 이러한 BGP 인접 항목에 대한 경쟁 속성이 있는 접두사를 계속 광고할 수 있습니다.

또한 "프로토콜 공격" 및 "애플리케이션 공격"으로부터 보호를 파트너에게 위임할 수도 있습니다.
여기에 여기에 당신은 좋은 연구를 읽을 수 있습니다 (번역). 사실, 이 기사는 XNUMX년 전의 기사이지만 DDOS 공격으로부터 자신을 보호할 수 있는 방법에 대한 접근 방식에 대한 아이디어를 제공할 것입니다.

원칙적으로는 이에 국한하여 보호를 완전히 아웃소싱할 수 있습니다. 이 결정에는 장점이 있지만 분명한 단점도 있습니다. 사실 우리는 (귀하의 회사가 하는 일에 따라) 비즈니스의 생존에 대해 이야기할 수 있습니다. 그리고 그런 건 제XNUMX자에게 맡기고...

따라서 공급자의 보호에 추가로 두 번째 및 세 번째 방어선을 구성하는 방법을 살펴보겠습니다.

따라서 두 번째 방어선은 네트워크 입구에 있는 필터링 및 트래픽 제한기(경찰관)입니다.

예를 들어 1

귀하가 제공업체 중 한 곳의 도움을 받아 DDOS에 대비한 우산을 썼다고 가정해 보겠습니다. 이 공급자가 Arbor를 사용하여 트래픽을 필터링하고 네트워크 가장자리에서 필터링한다고 가정해 보겠습니다.

Arbor가 "처리"할 수 있는 대역폭은 제한되어 있으며, 물론 공급자는 필터링 장비를 통해 이 서비스를 주문하는 모든 파트너의 트래픽을 지속적으로 전달할 수 없습니다. 따라서 정상적인 조건에서는 트래픽이 필터링되지 않습니다.

SYN 플러드 공격이 있다고 가정해 보겠습니다. 공격이 발생할 경우 자동으로 트래픽을 필터링으로 전환하는 서비스를 주문하더라도 이것이 즉시 발생하는 것은 아닙니다. XNUMX분 이상 동안 당신은 공격을 받고 있습니다. 그리고 이는 장비의 고장이나 서비스의 저하로 이어질 수 있습니다. 이 경우 에지 라우팅에서 트래픽을 제한하면 이 시간 동안 일부 TCP 세션이 설정되지 않지만 인프라를 대규모 문제로부터 보호할 수 있습니다.

예를 들어 2

비정상적으로 많은 수의 SYN 패킷이 SYN 플러드 공격의 결과일 수는 없습니다. (하나의 데이터 센터에 대해) 약 100만 개의 TCP 연결을 동시에 가질 수 있는 서비스를 제공한다고 가정해 보겠습니다.

주요 공급자 중 한 곳과의 단기적인 문제로 인해 세션의 절반이 중단되었다고 가정해 보겠습니다. 두 번 생각하지 않고 즉시(또는 모든 세션에 대해 동일한 일정 시간 간격 후에) 연결을 다시 설정하도록 애플리케이션이 설계된 경우 대략 50개 이상의 SYN 패킷을 받게 됩니다. 동시에.

예를 들어 인증서 교환을 포함하여 이러한 세션 위에서 SSL/TLS 핸드셰이크를 실행해야 하는 경우 로드 밸런서의 리소스를 고갈시키는 관점에서 이는 단순한 "DDOS"보다 훨씬 더 강력한 "DDOS"가 됩니다. SYN 홍수. 밸런서가 이러한 이벤트를 처리해야 하는 것처럼 보이지만... 불행하게도 우리는 이러한 문제에 직면해 있습니다.

물론, 이 경우에도 에지 라우터의 경찰이 장비를 보호할 것입니다.

DDOS/DOS에 대한 세 번째 보호 수준은 방화벽 설정입니다.

여기서 두 번째 및 세 번째 유형의 공격을 모두 중지할 수 있습니다. 일반적으로 방화벽에 도달하는 모든 항목은 여기에서 필터링될 수 있습니다.

이사회

방화벽에 가능한 한 적은 작업을 주고 처음 두 방어선에서 최대한 많은 것을 필터링하도록 하십시오. 그것이 바로 그 이유입니다.

예를 들어 서버의 운영 체제가 DDOS 공격에 얼마나 강한지 확인하기 위해 트래픽을 생성하는 동안 우연히 방화벽을 "종료"하고 트래픽을 정상적인 강도로 100%로 로드한 적이 있습니까? ? 그렇지 않다면 단순히 시도하지 않았기 때문일까요?

일반적으로 내가 말했듯이 방화벽은 복잡한 것이며 알려진 취약점 및 테스트된 솔루션과 잘 작동하지만 특이한 것, 일부 쓰레기 또는 잘못된 헤더가 있는 패킷을 보내는 경우에는 일부가 아닌 일부를 사용하게 됩니다. (내 경험에 따르면) 아주 작은 확률로 최고급 장비라도 어리둥절해질 수 있습니다. 따라서 2단계에서는 일반 ACL(L3/L4 수준)을 사용하여 네트워크에 들어가야 하는 트래픽만 허용합니다.

방화벽에서 트래픽 필터링

방화벽에 대한 대화를 계속하겠습니다. DOS/DDOS 공격은 사이버 공격의 한 유형일 뿐이라는 점을 이해해야 합니다.

DOS/DDOS 보호 외에도 다음과 같은 기능 목록을 사용할 수 있습니다.

• 애플리케이션 방화벽
• 위협 방지(바이러스 백신, 스파이웨어 방지 및 취약성)
• URL 필터링
• 데이터 필터링(컨텐츠 필터링)
• 파일 차단(파일 형식 차단)

이 목록에서 필요한 것이 무엇인지 결정하는 것은 귀하에게 달려 있습니다.

계속하기

출처 : habr.com