ການທົດລອງ: ມັນເປັນໄປໄດ້ທີ່ຈະຫຼຸດຜ່ອນຜົນກະທົບທາງລົບຂອງການໂຈມຕີ DoS ໂດຍໃຊ້ຕົວແທນ

ຮູບພາບ: Unsplash

ການໂຈມຕີ DoS ແມ່ນຫນຶ່ງໃນໄພຂົ່ມຂູ່ທີ່ໃຫຍ່ທີ່ສຸດຕໍ່ຄວາມປອດໄພຂອງຂໍ້ມູນໃນອິນເຕີເນັດທີ່ທັນສະໄຫມ. ມີຫລາຍສິບ botnets ທີ່ຜູ້ໂຈມຕີເຊົ່າອອກເພື່ອປະຕິບັດການໂຈມຕີດັ່ງກ່າວ.

ນັກວິທະຍາສາດຈາກມະຫາວິທະຍາໄລ San Diego ໄດ້ດໍາເນີນການ ການສຶກສາ ການນໍາໃຊ້ຕົວແທນຊ່ວຍຫຼຸດຜ່ອນຜົນກະທົບທາງລົບຂອງການໂຈມຕີ DoS - ພວກເຮົາສະເຫນີໃຫ້ທ່ານສົນໃຈຫົວຂໍ້ຕົ້ນຕໍຂອງວຽກງານນີ້.

ແນະນໍາ: ຕົວແທນເປັນເຄື່ອງມືເພື່ອຕໍ່ສູ້ກັບ DoS

ການທົດລອງທີ່ຄ້າຍຄືກັນໄດ້ຖືກດໍາເນີນເປັນແຕ່ລະໄລຍະໂດຍນັກຄົ້ນຄວ້າຈາກປະເທດຕ່າງໆ, ແຕ່ບັນຫາທົ່ວໄປຂອງພວກເຂົາແມ່ນການຂາດຊັບພະຍາກອນເພື່ອຈໍາລອງການໂຈມຕີໃກ້ກັບຄວາມເປັນຈິງ. ການທົດສອບໃນ benches ການທົດສອບຂະຫນາດນ້ອຍບໍ່ອະນຸຍາດໃຫ້ຕອບຄໍາຖາມກ່ຽວກັບວິທີການສົບຜົນສໍາເລັດ proxies ຈະຕ້ານການໂຈມຕີໃນເຄືອຂ່າຍສະລັບສັບຊ້ອນ, ຕົວກໍານົດການທີ່ມີບົດບາດສໍາຄັນໃນຄວາມສາມາດໃນການຫຼຸດຜ່ອນຄວາມເສຍຫາຍ, ແລະອື່ນໆ.

ສໍາລັບການທົດລອງ, ນັກວິທະຍາສາດສ້າງຕົວແບບຂອງຄໍາຮ້ອງສະຫມັກເວັບໄຊຕ໌ປົກກະຕິ - ຕົວຢ່າງ, ການບໍລິການອີຄອມເມີຊ. ມັນເຮັດວຽກໂດຍໃຊ້ກຸ່ມຂອງເຄື່ອງແມ່ຂ່າຍ; ໃນຮູບແບບນີ້, ອິນເຕີເນັດເຮັດຫນ້າທີ່ເປັນການສື່ສານລະຫວ່າງບໍລິການແລະຜູ້ໃຊ້ - ນີ້ແມ່ນວິທີການບໍລິການເວັບຈາກເຄື່ອງຈັກຊອກຫາໄປຫາເຄື່ອງມືທະນາຄານອອນໄລນ໌ເຮັດວຽກ.

ການໂຈມຕີ DoS ເຮັດໃຫ້ການໂຕ້ຕອບປົກກະຕິລະຫວ່າງບໍລິການແລະຜູ້ໃຊ້ເປັນໄປບໍ່ໄດ້. ມີສອງປະເພດຂອງ DoS: ການໂຈມຕີລະດັບຄໍາຮ້ອງສະຫມັກແລະໂຄງສ້າງພື້ນຖານ. ໃນກໍລະນີສຸດທ້າຍ, ຜູ້ໂຈມຕີໂດຍກົງໂຈມຕີເຄືອຂ່າຍແລະເຈົ້າພາບທີ່ໃຫ້ບໍລິການ (ຕົວຢ່າງ, ພວກມັນຂັດຂວາງແບນວິດຂອງເຄືອຂ່າຍທັງຫມົດດ້ວຍການຈະລາຈອນນໍ້າຖ້ວມ). ໃນກໍລະນີຂອງການໂຈມຕີລະດັບແອັບພລິເຄຊັນ, ເປົ້າຫມາຍຂອງຜູ້ໂຈມຕີແມ່ນການໂຕ້ຕອບຜູ້ໃຊ້ - ເພື່ອເຮັດສິ່ງນີ້, ພວກເຂົາສົ່ງຄໍາຮ້ອງຂໍຈໍານວນຫຼວງຫຼາຍເພື່ອເຮັດໃຫ້ແອັບພລິເຄຊັນລົ້ມລົງ. ການທົດລອງດັ່ງກ່າວໄດ້ອະທິບາຍເຖິງການໂຈມຕີທີ່ກ່ຽວຂ້ອງໃນລະດັບພື້ນຖານໂຄງລ່າງ.

ເຄືອຂ່າຍພຣັອກຊີແມ່ນຫນຶ່ງໃນເຄື່ອງມືສໍາລັບການຫຼຸດຜ່ອນຄວາມເສຍຫາຍຈາກການໂຈມຕີ DoS. ເມື່ອໃຊ້ຕົວແທນ, ທຸກໆຄໍາຮ້ອງຂໍຈາກຜູ້ໃຊ້ໄປຫາບໍລິການແລະການຕອບສະຫນອງຕໍ່ພວກມັນຖືກສົ່ງໂດຍກົງ, ແຕ່ຜ່ານເຄື່ອງແມ່ຂ່າຍລະດັບກາງ. ທັງຜູ້ໃຊ້ແລະແອັບພລິເຄຊັນບໍ່ໄດ້ "ເບິ່ງ" ເຊິ່ງກັນແລະກັນໂດຍກົງ; ດັ່ງນັ້ນ, ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະທໍາຮ້າຍຄໍາຮ້ອງສະຫມັກໂດຍກົງ. ຢູ່ຂອບຂອງເຄືອຂ່າຍມີອັນທີ່ເອີ້ນວ່າ edge proxies - proxies ພາຍນອກທີ່ມີທີ່ຢູ່ IP ທີ່ມີຢູ່, ການເຊື່ອມຕໍ່ໄປຫາພວກເຂົາກ່ອນ.

ເພື່ອຕ້ານການໂຈມຕີ DoS ຢ່າງສຳເລັດຜົນ, ເຄືອຂ່າຍຕົວແທນຈະຕ້ອງມີຄວາມສາມາດຫຼັກສອງອັນ. ກ່ອນອື່ນ ໝົດ, ເຄືອຂ່າຍລະດັບປານກາງດັ່ງກ່າວຕ້ອງມີບົດບາດຂອງຕົວກາງ, ນັ້ນແມ່ນ, ແອັບພລິເຄຊັນສາມາດ "ເຂົ້າເຖິງ" ຜ່ານມັນເທົ່ານັ້ນ. ນີ້ຈະລົບລ້າງຄວາມເປັນໄປໄດ້ຂອງການໂຈມຕີໂດຍກົງຕໍ່ການບໍລິການ. ອັນທີສອງ, ເຄືອຂ່າຍຕົວແທນຈະຕ້ອງສາມາດອະນຸຍາດໃຫ້ຜູ້ໃຊ້ສາມາດພົວພັນກັບແອັບພລິເຄຊັນເຖິງແມ່ນວ່າໃນລະຫວ່າງການໂຈມຕີ.

ທົດລອງໂຄງສ້າງພື້ນຖານ

ການສຶກສາໄດ້ນໍາໃຊ້ສີ່ອົງປະກອບທີ່ສໍາຄັນ:

• ການປະຕິບັດເຄືອຂ່າຍຕົວແທນ;
• ເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ Apache;
• ເຄື່ອງ​ມື​ການ​ທົດ​ສອບ​ເວັບ​ໄຊ​ຕ​໌​ Siege;
• ເຄື່ອງ​ມື​ການ​ໂຈມ​ຕີ​ Trinoo.

ການຈໍາລອງໄດ້ຖືກປະຕິບັດໃນສະພາບແວດລ້ອມ MicroGrid - ມັນສາມາດຖືກນໍາໃຊ້ເພື່ອຈໍາລອງເຄືອຂ່າຍທີ່ມີ 20 ພັນ routers, ເຊິ່ງສາມາດປຽບທຽບກັບເຄືອຂ່າຍຂອງຕົວປະຕິບັດການ Tier-1.

ເຄືອຂ່າຍ Trinoo ປົກກະຕິປະກອບດ້ວຍຊຸດຂອງ hosts ທີ່ຖືກປະນີປະນອມທີ່ແລ່ນ daemon ຂອງໂຄງການ. ນອກຈາກນີ້ຍັງມີຊອບແວຕິດຕາມກວດກາສໍາລັບການຕິດຕາມກວດກາເຄືອຂ່າຍແລະຊີ້ນໍາການໂຈມຕີ DoS. ຫຼັງຈາກໄດ້ຮັບບັນຊີລາຍຊື່ຂອງທີ່ຢູ່ IP, Trinoo daemon ສົ່ງແພັກເກັດ UDP ໄປຫາເປົ້າຫມາຍໃນເວລາທີ່ກໍານົດ.

ໃນລະຫວ່າງການທົດລອງ, ສອງກຸ່ມໄດ້ຖືກນໍາໃຊ້. ເຄື່ອງຈຳລອງ MicroGrid ແລ່ນຢູ່ໃນກຸ່ມ Xeon Linux 16-node (ເຊີບເວີ 2.4GHz ທີ່ມີໜ່ວຍຄວາມຈຳ 1 gigabyte ຢູ່ແຕ່ລະເຄື່ອງ) ເຊື່ອມຕໍ່ຜ່ານສູນອີເທີເນັດ 1 Gbps. ອົງປະກອບຊອບແວອື່ນໆແມ່ນຕັ້ງຢູ່ໃນກຸ່ມຂອງ 24 nodes (450MHz PII Linux-cthdths ທີ່ມີ 1 GB ຂອງຫນ່ວຍຄວາມຈໍາໃນແຕ່ລະເຄື່ອງ), ເຊື່ອມຕໍ່ໂດຍ 100Mbps Ethernet hub. ສອງກຸ່ມຖືກເຊື່ອມຕໍ່ໂດຍຊ່ອງ 1Gbps.

ເຄືອຂ່າຍພຣັອກຊີຖືກໂຮດຢູ່ໃນສະນຸກເກີຂອງ 1000 ໂຮສ. Edge proxies ໄດ້ຖືກແຈກຢາຍຢ່າງເທົ່າທຽມກັນໃນທົ່ວກຸ່ມຊັບພະຍາກອນ. ຕົວແທນສໍາລັບການເຮັດວຽກກັບຄໍາຮ້ອງສະຫມັກແມ່ນຕັ້ງຢູ່ໃນໂຮດທີ່ໃກ້ຊິດກັບໂຄງສ້າງພື້ນຖານຂອງມັນ. ຕົວແທນທີ່ຍັງເຫຼືອແມ່ນໄດ້ຖືກແຈກຢາຍຢ່າງເທົ່າທຽມກັນລະຫວ່າງ edge ແລະ application proxies.

ເຄືອຂ່າຍຈໍາລອງ

ເພື່ອສຶກສາປະສິດທິຜົນຂອງຕົວແທນເປັນເຄື່ອງມືສໍາລັບການຕ້ານການໂຈມຕີ DoS, ນັກຄົ້ນຄວ້າໄດ້ວັດແທກຜົນຜະລິດຂອງຄໍາຮ້ອງສະຫມັກພາຍໃຕ້ສະຖານະການທີ່ແຕກຕ່າງກັນຂອງອິດທິພົນພາຍນອກ. ມີທັງໝົດ 192 ຕົວແທນໃນເຄືອຂ່າຍຕົວແທນ (64 ຂອງພວກເຂົາແມ່ນຂອບ). ເພື່ອປະຕິບັດການໂຈມຕີ, ເຄືອຂ່າຍ Trinoo ໄດ້ຖືກສ້າງຂື້ນ, ລວມທັງ 100 ຜີປີສາດ. ຜີປີສາດແຕ່ລະຄົນມີຊ່ອງທາງ 100Mbps. ນີ້ເທົ່າກັບ botnet ຂອງ 10 ພັນ routers ເຮືອນ.

ຜົນກະທົບຂອງການໂຈມຕີ DoS ໃນແອັບພລິເຄຊັນ ແລະເຄືອຂ່າຍຕົວແທນໄດ້ຖືກວັດແທກ. ໃນການຕັ້ງຄ່າທົດລອງ, ແອັບພລິເຄຊັນມີຊ່ອງທາງອິນເຕີເນັດ 250 Mbps, ແລະແຕ່ລະ edge proxy ມີຊ່ອງ 100 Mbps.

ຜົນການທົດລອງ

ອີງຕາມຜົນຂອງການວິເຄາະ, ມັນໄດ້ຫັນອອກວ່າການໂຈມຕີຢູ່ທີ່ 250Mbps ເພີ່ມເວລາຕອບສະຫນອງຂອງແອັບພລິເຄຊັນ (ປະມານສິບເທົ່າ), ເປັນຜົນມາຈາກການທີ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະໃຊ້ມັນ. ຢ່າງໃດກໍ່ຕາມ, ເມື່ອນໍາໃຊ້ເຄືອຂ່າຍຕົວແທນ, ການໂຈມຕີບໍ່ມີຜົນກະທົບຢ່າງຫຼວງຫຼາຍຕໍ່ການປະຕິບັດແລະບໍ່ເຮັດໃຫ້ປະສົບການຂອງຜູ້ໃຊ້ຫຼຸດລົງ. ອັນນີ້ເກີດຂຶ້ນເນື່ອງຈາກວ່າ edge proxies ເຈືອຈາງຜົນກະທົບຂອງການໂຈມຕີ, ແລະຊັບພະຍາກອນທັງຫມົດຂອງເຄືອຂ່າຍຕົວແທນແມ່ນສູງກ່ວາຄໍາຮ້ອງສະຫມັກຂອງຕົວມັນເອງ.

ອີງຕາມສະຖິຕິ, ຖ້າພະລັງງານການໂຈມຕີບໍ່ເກີນ 6.0Gbps (ເຖິງວ່າຈະມີແບນວິດທັງຫມົດຂອງຊ່ອງ proxy edge ພຽງແຕ່ 6.4Gbps), ຫຼັງຈາກນັ້ນ 95% ຂອງຜູ້ໃຊ້ບໍ່ປະສົບກັບການຫຼຸດລົງຢ່າງຫຼວງຫຼາຍໃນການປະຕິບັດ. ຍິ່ງໄປກວ່ານັ້ນ, ໃນກໍລະນີຂອງການໂຈມຕີທີ່ມີອໍານາດຫຼາຍເກີນ 6.4Gbps, ເຖິງແມ່ນວ່າການນໍາໃຊ້ເຄືອຂ່າຍຕົວແທນກໍ່ຈະບໍ່ຫຼີກເວັ້ນການທໍາລາຍລະດັບການບໍລິການສໍາລັບຜູ້ໃຊ້ສຸດທ້າຍ.

ໃນກໍລະນີຂອງການໂຈມຕີທີ່ເຂັ້ມຂຸ້ນ, ໃນເວລາທີ່ພະລັງງານຂອງພວກເຂົາແມ່ນສຸມໃສ່ການຕັ້ງແບບສຸ່ມຂອງ proxies edge. ໃນກໍລະນີນີ້, ການໂຈມຕີ clogs ເຖິງສ່ວນຫນຶ່ງຂອງເຄືອຂ່າຍຕົວແທນ, ດັ່ງນັ້ນສ່ວນທີ່ສໍາຄັນຂອງຜູ້ໃຊ້ຈະສັງເກດເຫັນການຫຼຸດລົງໃນການປະຕິບັດ.

ການຄົ້ນພົບ

ຜົນໄດ້ຮັບຂອງການທົດລອງແນະນໍາວ່າເຄືອຂ່າຍຕົວແທນສາມາດປັບປຸງການປະຕິບັດຂອງແອັບພລິເຄຊັນ TCP ແລະໃຫ້ບໍລິການລະດັບປົກກະຕິໃຫ້ກັບຜູ້ໃຊ້, ເຖິງແມ່ນວ່າໃນກໍລະນີການໂຈມຕີ DoS. ອີງຕາມຂໍ້ມູນທີ່ໄດ້ຮັບ, ເຄືອຂ່າຍຕົວແທນກາຍເປັນວິທີທີ່ມີປະສິດທິຜົນເພື່ອຫຼຸດຜ່ອນຜົນສະທ້ອນຂອງການໂຈມຕີໃຫ້ຫນ້ອຍທີ່ສຸດ; ນອກຈາກນັ້ນ, ນັກຄົ້ນຄວ້າໄດ້ພົບເຫັນວ່າຂະຫນາດຂອງເຄືອຂ່າຍຕົວແທນເພີ່ມຂຶ້ນ, ຂະຫນາດຂອງການໂຈມຕີ DoS ທີ່ມັນສາມາດທົນໄດ້ເພີ່ມຂຶ້ນເກືອບເປັນເສັ້ນ. ດັ່ງນັ້ນ, ເຄືອຂ່າຍທີ່ໃຫຍ່ກວ່າ, ມັນຈະມີປະສິດຕິຜົນຫຼາຍທີ່ຈະຕໍ່ສູ້ກັບ DoS.

ການເຊື່ອມຕໍ່ທີ່ເປັນປະໂຫຍດແລະວັດສະດຸຈາກ ອິນຟາຕິກາ:

• ການຄົ້ນຄວ້າ: ການສ້າງບໍລິການພຣັອກຊີທີ່ທົນທານຕໍ່ການຂັດຂວາງໂດຍໃຊ້ທິດສະດີເກມ
• ປະຫວັດຂອງການຕໍ່ສູ້ຕ້ານການເຊັນເຊີ: ວິທີການ flash proxy ທີ່ສ້າງໂດຍນັກວິທະຍາສາດຈາກ MIT ແລະ Stanford ເຮັດວຽກແນວໃດ
• ວິທີການເຂົ້າໃຈໃນເວລາທີ່ proxies ນອນ: ການກວດສອບສະຖານທີ່ທາງດ້ານຮ່າງກາຍຂອງຕົວແທນເຄືອຂ່າຍໂດຍໃຊ້ສູດການຄິດໄລ່ທາງພູມສາດທີ່ເຄື່ອນໄຫວ
• ວິທີປອມຕົວໃນອິນເຕີເນັດ: ການປຽບທຽບເຊີບເວີ ແລະຕົວແທນຜູ້ຢູ່ອາໄສ

ທີ່ມາ: www.habr.com