DDoS संरक्षण बाजारात काय आणि कोण कोण आहे

"ज्याने आमची वेबसाइट बनवली आहे त्याने आधीच DDoS संरक्षण सेट केले आहे."
"आमच्याकडे DDoS संरक्षण आहे, साइट का खाली गेली?"
"क्यूरेटरला किती हजार हवे आहेत?"

ग्राहक/बॉसच्या अशा प्रश्नांची योग्य उत्तरे देण्यासाठी, “DDoS संरक्षण” या नावामागे काय दडलेले आहे हे जाणून घेणे आनंददायक ठरेल. सुरक्षा सेवा निवडणे हे IKEA मधील टेबल निवडण्यापेक्षा डॉक्टरांकडून औषध निवडण्यासारखे आहे.

मी 11 वर्षांपासून वेबसाइटचे समर्थन करत आहे, मी समर्थन देत असलेल्या सेवांवर शेकडो हल्ल्यांपासून वाचलो आहे आणि आता मी तुम्हाला संरक्षणाच्या अंतर्गत कार्यांबद्दल थोडेसे सांगेन.

नियमित हल्ले. एकूण 350k req, 52k req कायदेशीर

पहिले हल्ले इंटरनेटसह जवळजवळ एकाच वेळी दिसू लागले. 2000 च्या दशकाच्या उत्तरार्धापासून DDoS एक घटना म्हणून व्यापक बनली आहे (तपासा www.cloudflare.com/learning/ddos/famous-ddos-attacks).
2015-2016 पासून, जवळजवळ सर्व होस्टिंग प्रदाते DDoS हल्ल्यांपासून संरक्षित आहेत, जसे की स्पर्धात्मक क्षेत्रांमध्ये सर्वात प्रमुख साइट्स आहेत (do whois साइट्सच्या IP द्वारे eldorado.ru, leroymerlin.ru, tilda.ws, तुम्हाला नेटवर्क दिसेल. संरक्षण ऑपरेटर्सचे).

जर 10-20 वर्षांपूर्वी बहुतेक हल्ले सर्व्हरवरच रोखले जाऊ शकतात (90 च्या दशकातील Lenta.ru सिस्टम प्रशासक मॅक्सिम मोशकोव्हच्या शिफारसींचे मूल्यांकन करा: lib.ru/WEBMASTER/sowetywww2.txt_with-big-pictures.html#10), परंतु आता संरक्षणाची कामे अधिक कठीण झाली आहेत.

संरक्षण ऑपरेटर निवडण्याच्या दृष्टिकोनातून DDoS हल्ल्यांचे प्रकार

L3/L4 स्तरावरील हल्ले (OSI मॉडेलनुसार)

— बॉटनेट वरून UDP फ्लड (अनेक विनंत्या संक्रमित डिव्हाइसेसवरून थेट हल्ला झालेल्या सेवेकडे पाठविल्या जातात, सर्व्हर चॅनेलसह अवरोधित केले जातात);
— DNS/NTP/etc एम्प्लीफिकेशन (संक्रमित उपकरणांकडून असुरक्षित DNS/NTP/इत्यादिंना अनेक विनंत्या पाठवल्या जातात, प्रेषकाचा पत्ता खोटा आहे, विनंत्यांना प्रतिसाद देणार्‍या पॅकेट्सचा ढग हल्ला झालेल्या व्यक्तीच्या चॅनेलवर पूर येतो; अशा प्रकारे सर्वात जास्त आधुनिक इंटरनेटवर मोठ्या प्रमाणात हल्ले केले जातात);
— SYN / ACK फ्लड (कनेक्शन स्थापित करण्यासाठी अनेक विनंत्या हल्ला केलेल्या सर्व्हरवर पाठवल्या जातात, कनेक्शन रांग ओव्हरफ्लो होते);
- पॅकेट विखंडन, पिंग ऑफ डेथ, पिंग फ्लडसह हल्ले (कृपया गुगल करा);
- आणि असेच.

या हल्ल्यांचे उद्दिष्ट सर्व्हरचे चॅनल "बंद करणे" किंवा नवीन रहदारी स्वीकारण्याची त्याची क्षमता "मारणे" आहे.
जरी SYN/ACK फ्लडिंग आणि एम्प्लिफिकेशन खूप भिन्न आहेत, अनेक कंपन्या त्यांचा तितकाच सामना करतात. पुढील गटाच्या हल्ल्यांसह समस्या उद्भवतात.

L7 (अनुप्रयोग स्तर) वर हल्ले

— http पूर (वेबसाइट किंवा काही http api वर हल्ला झाल्यास);
— साइटच्या असुरक्षित भागांवर हल्ला (ज्यांच्याकडे कॅशे नाही, जे साइट खूप जास्त लोड करतात इ.).

सर्व्हरला "मेहनत करणे", बर्‍याच "वास्तविक विनंत्या" वर प्रक्रिया करणे आणि वास्तविक विनंत्यांसाठी संसाधनांशिवाय सोडणे हे ध्येय आहे.

इतर हल्ले असले तरी हे सर्वात सामान्य आहेत.

L7 स्तरावरील गंभीर हल्ले प्रत्येक प्रकल्पावर हल्ला केल्याबद्दल अनोख्या पद्धतीने तयार केले जातात.

२ गट का?
कारण असे बरेच लोक आहेत ज्यांना L3/L4 स्तरावर हल्ले चांगले कसे परतवायचे हे माहित आहे, परंतु ते एकतर ऍप्लिकेशन स्तरावर (L7) अजिबात संरक्षण घेत नाहीत किंवा त्यांना सामोरे जाण्याच्या पर्यायांपेक्षा अजूनही कमकुवत आहेत.

DDoS संरक्षण बाजारात कोण कोण आहे

(माझे वैयक्तिक मत)

L3/L4 स्तरावर संरक्षण

अॅम्प्लीफिकेशन (सर्व्हर चॅनेलचे "ब्लॉकेज") सह हल्ले दूर करण्यासाठी, तेथे पुरेसे विस्तृत चॅनेल आहेत (अनेक संरक्षण सेवा रशियामधील बहुतेक मोठ्या पाठीचा कणा प्रदात्यांशी जोडतात आणि 1 Tbit पेक्षा जास्त सैद्धांतिक क्षमता असलेले चॅनेल आहेत). हे विसरू नका की अत्यंत दुर्मिळ प्रवर्धन हल्ले एका तासापेक्षा जास्त काळ टिकतात. जर तुम्ही स्पॅमहॉस असाल आणि प्रत्येकजण तुम्हाला आवडत नसेल, होय, ते कदाचित अनेक दिवस तुमचे चॅनेल बंद करण्याचा प्रयत्न करू शकतात, जरी जागतिक बॉटनेट वापरल्या जाण्याच्या पुढील अस्तित्वाच्या जोखमीवर. तुमच्याकडे फक्त ऑनलाइन स्टोअर असल्यास, ते mvideo.ru असले तरीही, तुम्हाला लवकरच काही दिवसांत 1 Tbit दिसणार नाही (मला आशा आहे).

SYN/ACK फ्लडिंग, पॅकेट फ्रॅगमेंटेशन इ. सह हल्ले रोखण्यासाठी, तुम्हाला असे हल्ले शोधण्यासाठी आणि थांबवण्यासाठी उपकरणे किंवा सॉफ्टवेअर सिस्टमची आवश्यकता आहे.
बरेच लोक अशी उपकरणे तयार करतात (आर्बर, सिस्को, हुआवेई कडून उपाय आहेत, वॅन्गार्ड कडून सॉफ्टवेअर अंमलबजावणी इ.), अनेक बॅकबोन ऑपरेटरने ते आधीच स्थापित केले आहे आणि डीडीओएस संरक्षण सेवा विकल्या आहेत (मला Rostelecom, Megafon, TTK, MTS कडून स्थापनेबद्दल माहिती आहे. , खरं तर, सर्व प्रमुख प्रदाते त्यांच्या स्वत: च्या संरक्षणासह होस्टर्ससह तेच करतात a-la OVH.com, Hetzner.de, मी स्वतः ihor.ru वर संरक्षणाचा सामना केला आहे). काही कंपन्या त्यांचे स्वतःचे सॉफ्टवेअर सोल्यूशन्स विकसित करत आहेत (DPDK सारखे तंत्रज्ञान तुम्हाला एका भौतिक x86 मशीनवर दहा गिगाबिट्स ट्रॅफिकवर प्रक्रिया करण्याची परवानगी देतात).

सुप्रसिद्ध खेळाडूंपैकी, प्रत्येकजण कमी-अधिक प्रभावीपणे L3/L4 DDoS विरुद्ध लढू शकतो. आता मी सांगणार नाही की कोणाकडे चॅनेलची कमाल क्षमता जास्त आहे (ही आंतरिक माहिती आहे), परंतु सहसा हे इतके महत्त्वाचे नसते आणि फरक इतकाच असतो की संरक्षण किती लवकर ट्रिगर केले जाते (त्वरित किंवा काही मिनिटांच्या प्रोजेक्ट डाउनटाइमनंतर, हेट्झनर प्रमाणे).
हे कितपत योग्यरित्या केले जाते हा प्रश्न आहे: सर्वात जास्त प्रमाणात हानीकारक रहदारी असलेल्या देशांमधील रहदारी अवरोधित करून एम्प्लीफिकेशन हल्ला रोखला जाऊ शकतो किंवा केवळ खरोखरच अनावश्यक रहदारी टाकून दिली जाऊ शकते.
परंतु त्याच वेळी, माझ्या अनुभवावर आधारित, सर्व गंभीर बाजारातील खेळाडू समस्यांशिवाय याचा सामना करतात: क्यूरेटर, डीडीओएस-गार्ड, कॅस्परस्की, जी-कोर लॅब्स (पूर्वीचे स्कायपार्कसीडीएन), सर्व्हिसपाइप, स्टॉर्मवॉल, व्हॉक्सिलिटी इ.
मला रोस्टेलीकॉम, मेगाफोन, टीटीके, बीलाइन सारख्या ऑपरेटरकडून संरक्षण मिळाले नाही; सहकाऱ्यांच्या पुनरावलोकनांनुसार, ते या सेवा चांगल्या प्रकारे प्रदान करतात, परंतु आतापर्यंत अनुभवाचा अभाव वेळोवेळी प्रभावित होत आहे: काहीवेळा आपल्याला समर्थनाद्वारे काहीतरी बदलण्याची आवश्यकता असते. संरक्षण ऑपरेटरचे.
काही ऑपरेटरकडे “L3/L4 स्तरावरील हल्ल्यांपासून संरक्षण” किंवा “चॅनेल संरक्षण” अशी वेगळी सेवा असते; त्याची किंमत सर्व स्तरावरील संरक्षणापेक्षा खूपच कमी असते.

पाठीचा कणा प्रदाता शेकडो Gbits चे हल्ले का परतवून लावत नाही, कारण त्याच्याकडे स्वतःचे चॅनेल नाहीत?संरक्षण ऑपरेटर कोणत्याही प्रमुख प्रदात्याशी कनेक्ट होऊ शकतो आणि "त्याच्या खर्चावर" हल्ले परतवू शकतो. तुम्हाला चॅनेलसाठी पैसे द्यावे लागतील, परंतु हे सर्व शेकडो Gbits नेहमी वापरले जाणार नाहीत; या प्रकरणात चॅनेलची किंमत लक्षणीयरीत्या कमी करण्याचे पर्याय आहेत, त्यामुळे योजना कार्यक्षम राहते.

होस्टिंग प्रदात्याच्या सिस्टीमला समर्थन देत असताना मला उच्च-स्तरीय L3/L4 संरक्षणाकडून नियमितपणे प्राप्त झालेले हे अहवाल आहेत.

L7 स्तरावर संरक्षण (अनुप्रयोग स्तर)

L7 स्तरावरील हल्ले (अॅप्लिकेशन लेव्हल) युनिट्सला सातत्याने आणि कार्यक्षमतेने दूर करण्यास सक्षम असतात.
माझ्याकडे बरेच वास्तविक अनुभव आहेत
— Qrator.net;
- डीडीओएस-गार्ड;
- जी-कोर लॅब्स;
- कॅस्परस्की.

ते शुद्ध रहदारीच्या प्रत्येक मेगाबिटसाठी शुल्क आकारतात, एका मेगाबिटची किंमत सुमारे हजार रूबल आहे. आपल्याकडे शुद्ध रहदारी किमान 100 एमबीपीएस असल्यास - ओह. संरक्षण खूप महाग होईल. सुरक्षा चॅनेलच्या क्षमतेवर बरीच बचत करण्यासाठी अनुप्रयोग कसे डिझाइन करावेत हे मी तुम्हाला पुढील लेखांमध्ये सांगू शकतो.
खरा “टेकडीचा राजा” Qrator.net आहे, बाकीचे त्यांच्या मागे आहेत. माझ्या अनुभवात आतापर्यंत फक्त क्यूरेटर असे आहेत जे शून्याच्या जवळपास खोट्या सकारात्मकतेची टक्केवारी देतात, परंतु त्याच वेळी ते इतर बाजारातील खेळाडूंपेक्षा कित्येक पटीने महाग आहेत.

इतर ऑपरेटर देखील उच्च दर्जाचे आणि स्थिर संरक्षण प्रदान करतात. आमच्याद्वारे समर्थित अनेक सेवा (देशातील अतिशय सुप्रसिद्ध सेवांसह!) DDoS-Guard, G-Core Labs कडून संरक्षित आहेत आणि मिळालेल्या परिणामांवर समाधानी आहेत.

क्यूरेटरने हल्ले परतवले

मला क्लाउड-shield.ru, ddosa.net सारख्या छोट्या सुरक्षा ऑपरेटर्सचा अनुभव आहे, त्यापैकी हजारो. मी निश्चितपणे याची शिफारस करणार नाही, कारण ... मला फारसा अनुभव नाही, पण मी तुम्हाला त्यांच्या कामाच्या तत्त्वांबद्दल सांगेन. त्यांच्या संरक्षणाची किंमत अनेकदा प्रमुख खेळाडूंच्या तुलनेत 1-2 ऑर्डर कमी असते. नियमानुसार, ते मोठ्या खेळाडूंपैकी एकाकडून आंशिक संरक्षण सेवा (L3/L4) खरेदी करतात + उच्च स्तरावरील हल्ल्यांपासून स्वतःचे संरक्षण करतात. हे खूप प्रभावी असू शकते + तुम्हाला कमी पैशात चांगली सेवा मिळू शकते, परंतु तरीही या छोट्या कंपन्या आहेत ज्यात कमी कर्मचारी आहेत, कृपया ते लक्षात ठेवा.

L7 स्तरावर हल्ले मागे घेण्यात काय अडचण येते?

सर्व अॅप्लिकेशन्स अनन्य आहेत आणि तुम्हाला त्यांच्यासाठी उपयुक्त असलेल्या ट्रॅफिकला अनुमती देणे आणि हानिकारकांना ब्लॉक करणे आवश्यक आहे. निःसंदिग्धपणे बॉट्सची तण काढणे नेहमीच शक्य नसते, म्हणून तुम्हाला अनेक, खरोखर अनेक अंश वाहतूक शुद्धीकरण वापरावे लागेल.

एकेकाळी, nginx-testcookie मॉड्यूल पुरेसे होते (https://github.com/kyprizel/testcookie-nginx-module), आणि मोठ्या संख्येने हल्ले रोखण्यासाठी ते अद्याप पुरेसे आहे. जेव्हा मी होस्टिंग उद्योगात काम केले, तेव्हा L7 संरक्षण nginx-testcookie वर आधारित होते.
दुर्दैवाने, हल्ले करणे अधिक कठीण झाले आहे. testcookie JS-आधारित बॉट चेक वापरते आणि अनेक आधुनिक बॉट्स यशस्वीरित्या पास करू शकतात.

अटॅक बॉटनेट देखील अद्वितीय आहेत आणि प्रत्येक मोठ्या बॉटनेटची वैशिष्ट्ये विचारात घेणे आवश्यक आहे.
एम्प्लिफिकेशन, बॉटनेटवरून थेट फ्लडिंग, वेगवेगळ्या देशांमधील रहदारी फिल्टर करणे (वेगवेगळ्या देशांसाठी वेगळे फिल्टरिंग), SYN/ACK फ्लडिंग, पॅकेट फ्रॅगमेंटेशन, ICMP, HTTP फ्लडिंग, अनुप्रयोग/http स्तरावर तुम्ही अमर्यादित संख्येने येऊ शकता वेगवेगळे हल्ले.
एकूण, चॅनेल संरक्षणाच्या पातळीवर, रहदारी साफ करण्यासाठी विशेष उपकरणे, विशेष सॉफ्टवेअर, प्रत्येक क्लायंटसाठी अतिरिक्त फिल्टरिंग सेटिंग्ज दहापट आणि शेकडो फिल्टरिंग स्तर असू शकतात.
हे योग्यरित्या व्यवस्थापित करण्यासाठी आणि भिन्न वापरकर्त्यांसाठी फिल्टरिंग सेटिंग्ज योग्यरित्या ट्यून करण्यासाठी, तुम्हाला भरपूर अनुभव आणि पात्र कर्मचारी आवश्यक आहेत. संरक्षण सेवा प्रदान करण्याचा निर्णय घेतलेला मोठा ऑपरेटर देखील "समस्याकडे मूर्खपणाने पैसे टाकू शकत नाही": खोटे बोलणार्‍या साइट्स आणि कायदेशीर रहदारीवरील चुकीच्या सकारात्मक गोष्टींमधून अनुभव मिळवावा लागेल.
सुरक्षा ऑपरेटरसाठी कोणतेही "रिपेल DDoS" बटण नाही; तेथे मोठ्या संख्येने साधने आहेत आणि ते कसे वापरावे हे आपल्याला माहित असणे आवश्यक आहे.

आणि आणखी एक बोनस उदाहरण.

600 Mbit क्षमतेच्या हल्ल्यादरम्यान होस्टरद्वारे असुरक्षित सर्व्हर अवरोधित केला गेला.
(रहदारीचे "नुकसान" लक्षात येण्यासारखे नाही, कारण फक्त 1 साइटवर हल्ला झाला होता, ती सर्व्हरवरून तात्पुरती काढून टाकण्यात आली होती आणि एका तासाच्या आत ब्लॉकिंग हटवण्यात आले होते).

समान सर्व्हर संरक्षित आहे. हल्लेखोरांनी एक दिवस परतवून लावलेल्या हल्ल्यानंतर "शरणागती पत्करली". हल्ला स्वतःच सर्वात मजबूत नव्हता.

L3/L4 चे आक्रमण आणि संरक्षण अधिक क्षुल्लक आहे; ते प्रामुख्याने चॅनेलची जाडी, हल्ल्यांसाठी शोध आणि फिल्टरिंग अल्गोरिदम यावर अवलंबून असतात.
L7 हल्ले अधिक क्लिष्ट आणि मूळ असतात; ते आक्रमण केलेल्या ऍप्लिकेशनवर, हल्लेखोरांच्या क्षमता आणि कल्पकतेवर अवलंबून असतात. त्यांच्या विरूद्ध संरक्षणासाठी भरपूर ज्ञान आणि अनुभव आवश्यक आहे आणि परिणाम तत्काळ असू शकत नाही आणि शंभर टक्के नाही. Google संरक्षणासाठी दुसरे न्यूरल नेटवर्क आणेपर्यंत.

स्त्रोत: www.habr.com