Ha se sephiri hore taolo ea ho thibela lethathamong la tlhahisoleseding e thibetsoeng Russia e behiloe leihlo ke "Inspector" e ikemetseng. Kamoo e sebetsang kateng e ngotsoe hantle mona ho sena , setšoantšo se tsoang sebakeng se le seng:
E kentsoe ka kotloloho ho mofani oa thepa :
Mojule oa "Agent Inspector" ke karolo ea sebopeho sa "Mohlahlobi" oa "Mohlahlobi" (AS "Mohlahlobi"). Sistimi ena e etselitsoe ho beha leihlo ho latela melao ea basebelisi ba mehala ea mehala ka litlhoko tsa thibelo ea phihlello ka har'a moralo oa lipehelo tse thehiloeng ke Article 15.1-15.4 ea Federal Law ea Phupu 27, 2006 No. 149-FZ "Ka Boitsebiso, Theknoloji ea Boitsebiso le Tšireletso ea Boitsebiso. ”
Morero o ka sehloohong oa ho theha AS "Revizor" ke ho netefatsa hore ho behoa leihlo ho latela melao ea basebetsi ba mehala ea thelefono ho latela litlhoko tse thehiloeng ke Article 15.1-15.4 ea Federal Law ea July 27, 2006 No. "Mabapi le ho tsebahatsa lintlha tsa phihlello ea tlhaiso-leseling e thibetsoeng le ho fumana lisebelisoa tse tšehetsang (data) mabapi le tlolo ea molao ho thibela phihlello ea tlhahisoleseling e thibetsoeng.
Ho ela hloko taba ea hore, haeba e se kaofela, joale bafani ba bangata ba kentse sesebelisoa sena, ho ne ho lokela hore ebe ho bile le marang-rang a maholo a li-beacon probes joalo ka. le ho feta, empa ka phihlello e koetsoeng. Leha ho le joalo, lebone ke lebone la ho romela melaetsa ka mahlakoreng 'ohle, empa ho thoe'ng haeba re ka li tšoara' me re bona seo re se tšoereng le hore na ke tse kae?
Pele re bala, a re bone hore na ke hobane'ng ha sena se ka khoneha.
Taba e seng kae
Baemeli ba lekola boteng ba sesebelisoa, ho kenyeletsoa ka likopo tsa HTTP(S), joalo ka ena:
TCP, 14678 > 80, "[SYN] Seq=0"
TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
TCP, 14678 > 80, "[ACK] Seq=1 Ack=1"
HTTP, "GET /somepage HTTP/1.1"
TCP, 80 > 14678, "[ACK] Seq=1 Ack=71"
HTTP, "HTTP/1.1 302 Found"
TCP, 14678 > 80, "[FIN, ACK] Seq=71 Ack=479"
TCP, 80 > 14678, "[FIN, ACK] Seq=479 Ack=72"
TCP, 14678 > 80, "[ACK] Seq=72 Ack=480"
Ntle le mojaro oa moputso, kopo e boetse e na le mohato oa ho theha khokahano: phapanyetsano SYN и SYN-ACK, le mekhahlelo ea ho phethela khokahanyo: FIN-ACK.
Ngoliso ea tlhahisoleseling e thibetsoeng e na le mefuta e mengata ea ho thibela. Ho hlakile hore haeba sesebelisoa se koetsoe ke aterese ea IP kapa domain name, joale re ke ke ra bona likopo. Tsena ke mefuta e senyang ka ho fetisisa ea ho thibela, e lebisang ho se fumaneheng ha lisebelisoa tsohle ho aterese e le 'ngoe ea IP kapa tlhahisoleseding eohle e sebakeng sa marang-rang. Ho boetse ho na le mofuta oa "block" oa "URL". Tabeng ena, sisteme ea ho sefa e tlameha ho bapisa hlooho ea kopo ea HTTP ho tseba hantle hore na e thibela eng. 'Me pele ho eona, joalo ka ha ho bonoa kaholimo, ho tlameha ho be le karolo ea ho theha khokahano eo u ka lekang ho e latela, hobane ho ka etsahala hore ebe sefahla se tla e fosa.
Ho etsa sena, o hloka ho khetha sebaka se loketseng sa mahala se nang le "URL" le mofuta oa ho thibela HTTP ho tsamaisa mosebetsi oa sistimi ea ho sefa, haholo-holo e lahliloeng ka nako e telele, ho fokotsa ho kena ha sephethephethe se kantle ho naha ntle le ho Baemeli. Mosebetsi ona o ile oa bonahala o se thata ho hang; ho na le libaka tse ngata tsa mahala ho registara ea tlhahisoleseling e thibetsoeng le bakeng sa tatso e 'ngoe le e' ngoe. Ka hona, domain name e ile ea rekoa 'me ea amahanngoa le liaterese tsa IP ho VPS e sebetsang tcpdump mme palo ya qala.
Tlhahlobo ea "Auditors"
Ke ne ke lebelletse ho bona likopo tsa nako le nako, tseo ka maikutlo a ka li neng li tla bontša ketso e laoloang. Ho ke ke ha khoneha ho bolela hore ha kea e bona ho hang, empa ho ne ho se na setšoantšo se hlakileng:
Seo ha se makatse, esita le sebakeng seo ho seng motho ea se hlokang le ho IP e sa kang ea sebelisoa, ho tla ba le boitsebiso bo bongata bo sa kōptjoang, joalo ka Inthanete ea morao-rao. Empa ka lehlohonolo, ke ne ke hloka feela likopo tsa URL e itseng, kahoo li-scanner tsohle le li-password crackers li ile tsa fumanoa kapele. Hape, ho ne ho le bonolo ho utloisisa moo moroallo o neng o thehiloe holim'a bongata ba likopo tse tšoanang. Ka mor'a moo, ke ile ka bokella khafetsa ea ho hlaha ha liaterese tsa IP 'me ka feta holimo ka letsoho, ka arola ba e fositseng methating e fetileng. Ho feta moo, ke ile ka khaola mehloli eohle e rometsoeng ka har'a sephutheloana se le seng, ho ne ho se ho se tse ngata tsa tsona. Mme sena ke se ileng sa etsahala:
Phallo e nyane ya pina. Nako e fetang letsatsi hamorao, mofani oa ka ea amohelang baeti o ile a romela lengolo le nang le litaba tse bonolo, a re mehaho ea hau e na le mohloli o tsoang lethathamong le thibetsoeng la RKN, kahoo e thibetsoe. Qalong ke ne ke nahana hore akhaonto ea ka e koetsoe, ho ne ho se joalo. Eaba ke nahana hore ba mpa ba ntemosa ka ntho eo ke seng ke ntse ke e tseba. Empa ho ile ha fumaneha hore moamoheli o ile a bula filthara ea hae ka pel'a sebaka sa ka mme ka lebaka leo ke ile ka ba tlas'a ho sefa habeli: ho tsoa ho bafani le ho tsoa ho moamoheli. Sefello se fetisitse liphetho tsa likopo feela: FIN-ACK и RST ho khaola HTTP eohle ho URL e thibetsoeng. Joalokaha u ka bona ho graph e ka holimo, ka mor'a letsatsi la pele ke ile ka qala ho fumana lintlha tse fokolang, empa ke ne ke ntse ke e fumana, e neng e lekane haholo bakeng sa mosebetsi oa ho bala mehloli ea kopo.
Fumana ntlha. Ka maikutlo a ka, ho phatloha tse peli ho bonahala ka ho hlaka letsatsi le leng le le leng, la pele le lenyenyane, ka mor'a khitla nako ea Moscow, ea bobeli e haufi le 6 hoseng ka mohatla ho fihlela ka 12 motšehare. Tlhōrō ha e hlahe ka nako e tšoanang hantle. Qalong, ke ne ke batla ho khetha liaterese tsa IP tse oelang feela ka linako tsena 'me e' ngoe le e 'ngoe ka linako tsohle, ho itšetlehile ka maikutlo a hore licheke tsa baemeli li etsoa nako le nako. Empa ha ke hlahloba ka hloko, ke ile ka fumana kapele linako tse oelang ka linako tse ling, ka maqhubu a mang, ho fihlela kopo e le 'ngoe hora e' ngoe le e 'ngoe. Eaba ke nahana ka libaka tsa nako le hore mohlomong ho na le ho hong ho amanang le tsona, joale ke ile ka nahana hore ka kakaretso tsamaiso e ka 'na ea se ke ea lumellana lefatšeng ka bophara. Ho feta moo, NAT mohlomong e tla bapala karolo mme Moemeli ea tšoanang a ka etsa likopo ho tsoa ho li-IP tse fapaneng tsa sechaba.
Kaha sepheo sa ka sa pele e ne e se hantle, ke ile ka bala liaterese tsohle tseo ke ileng ka li fumana ka beke 'me ka li fumana - 2791. Palo ea likopano tsa TCP tse thehiloeng ho tloha atereseng e le 'ngoe ke ka karolelano ea 4, e nang le karolelano ea 2. Likopano tse phahameng ka aterese: 464, 231, 149, 83, 77. Boholo bo tsoang ho 95% ea sampuli ke li-session tsa 8 ka aterese. Bohareng ha bo phahame haholo, e-re ke u hopotse hore graph e bontša periodicity e hlakileng ea letsatsi le letsatsi, kahoo motho a ka lebella ho hong ho pota 4 ho 8 matsatsing a 7. Haeba re lahla liboka tsohle tse etsahalang hang, re tla fumana karolelano e lekanang le 5. Empa ha kea ka ka ba qhelela ka thōko ho latela mokhoa o hlakileng. Ho fapana le hoo, tlhahlobo e sa lebelloang e bonts'itse hore li amana le likopo tsa mohloli o thibetsoeng.
Liaterese ke liaterese, empa marang-rang, litsamaiso tse ikemetseng - AS, tse ileng tsa fetoha tsa bohlokoa le ho feta 1510, ka karolelano liaterese tsa 2 ka AS e nang le karolelano ea 1. Liaterese tse ka holimo ho AS: 288, 77, 66, 39, 27. Boholo ba 95% ea sampuli ke liaterese tsa 4 ka AS. Mona ho lebeletsoe bohareng - Moemeli a le mong ka mofani. Re boetse re lebelletse holimo - ho na le libapali tse kholo ho eona. Ka marang-rang a maholo, Li-agents li tlameha ho ba sebakeng se seng le se seng sa boteng ba opereishene, 'me u se ke ua lebala ka NAT. Haeba re e nka ka naha, boholo bo tla ba: 1409 - RU, 42 - UA, 23 - CZ, 36 ho tloha libakeng tse ling, eseng RIPE NCC. Likopo tse tsoang kantle ho Russia li hohela tlhokomelo. Mohlomong sena se ka hlalosoa ke liphoso tsa geolocation kapa liphoso tsa ngoliso ha u tlatsa data. Kapa taba ea hore k'hamphani ea Serussia e ka 'na ea se ke ea e-ba le metso ea Serussia, kapa ea e-ba le ofisi ea moemeli oa linaheng tse ling hobane e bonolo, e leng ntho ea tlhaho ha e sebetsana le mokhatlo oa linaheng tse ling RIPE NCC. Ha ho pelaelo hore karolo e 'ngoe ha e na thuso, empa ho thata ho e arola, kaha mohloli o ntse o thibetsoe,' me ho tloha letsatsing la bobeli tlas'a ho thibela habeli, 'me mananeo a mangata ke phapanyetsano ea lipakete tse ngata tsa tšebeletso. A re lumellaneng hore ena ke karolo e nyenyane.
Linomoro tsena li se li ka bapisoa le palo ea bafani ba Russia. laesense bakeng sa "Litšebeletso tsa likhokahano bakeng sa phetiso ea data, ntle le lentsoe" - 6387, empa ena ke khakanyo e phahameng haholo ho tsoa holimo, ha se lilaesense tsena kaofela tse sebetsang ka ho khetheha ho bafani ba Marang-rang ba hlokang ho kenya Moemeli. Sebakeng sa RIPE NCC ho na le palo e tšoanang ea ASes e ngolisitsoeng Russia - 6230, eo e seng bohle ba fanang ka litšebeletso. mme e amohetse lik'hamphani tse 3940 ka 2017, 'me sena ke khakanyo e tsoang holimo. Leha ho le joalo, re na le makhetlo a mabeli le halofo ka tlase ho palo ea li-AS tse bonesitsoeng. Empa mona ho bohlokoa ho utloisisa hore AS ha e lekane ka thata le mofani oa thepa. Bafani ba bang ha ba na AS ea bona, ba bang ba na le tse fetang bonngoe. Haeba re nka hore motho e mong le e mong o ntse a e-na le li-Agent, joale motho e mong o sefa ka matla ho feta ba bang, e le hore likōpo tsa bona li se ke tsa khetholloa ho tloha litšila, haeba li fihla ho tsona ho hang. Empa bakeng sa tlhahlobo e thata e ka mamelleha, leha ho na le ntho e lahlehileng ka lebaka la bolebeli ba ka.
Mabapi le DPI
Ho sa tsotellehe taba ea hore mofani oa ka ea amohelang baeti o ile a bula filthara ea eona ho tloha letsatsing la bobeli, ho itšetlehile ka boitsebiso bo tsoang letsatsing la pele re ka etsa qeto ea hore ho thibela ho sebetsa ka katleho. Ke mehloli ea 4 feela e ileng ea khona ho feta le ho qeta ka ho feletseng mananeo a HTTP le TCP (joaloka mohlala o ka holimo). Tse ling tse 460 li ka romeloa GET, empa seboka se felisoa hang hang ka RST. Ela hloko TTL:
TTL 50, TCP, 14678 > 80, "[SYN] Seq=0"
TTL 64, TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
TTL 50, TCP, 14678 > 80, "[ACK] Seq=1 Ack=1"
HTTP, "GET /filteredpage HTTP/1.1"
TTL 64, TCP, 80 > 14678, "[ACK] Seq=1 Ack=294"
#Вот это прислал фильтр
TTL 53, TCP, 14678 > 80, "[RST] Seq=3458729893"
TTL 53, TCP, 14678 > 80, "[RST] Seq=3458729893"
HTTP, "HTTP/1.1 302 Found"
#А это попытка исходного узла получить потерю
TTL 50, TCP ACKed unseen segment, 14678 > 80, "[ACK] Seq=294 Ack=145"
TTL 50, TCP, 14678 > 80, "[FIN, ACK] Seq=294 Ack=145"
TTL 64, TCP, 80 > 14678, "[FIN, ACK] Seq=171 Ack=295"
TTL 50, TCP Dup ACK 14678 > 80 "[ACK] Seq=295 Ack=145"
#Исходный узел понимает что сессия разрушена
TTL 50, TCP, 14678 > 80, "[RST] Seq=294"
TTL 50, TCP, 14678 > 80, "[RST] Seq=295"
Phapang ea sena e ka ba e fapaneng: e fokolang RST kapa ho fetisa hape - hape ho ipapisitse le hore na sefahla se romella eng sebakeng sa mohloli. Ho sa tsotellehe boemo leha e le bofe, ena ke template e tšepahalang ka ho fetisisa, eo ho eona ho hlakileng hore e ne e le mohloli o thibetsoeng o neng o kōptjoa. Ho feta moo kamehla ho na le karabo e hlahang lenaneong le TTL e kholo hofeta liphutheloana tse fetileng le tse latelang.
U ke ke ua e bona le ho ba bang kaofela GET:
TTL 50, TCP, 14678 > 80, "[SYN] Seq=0"
TTL 64, TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
#Вот это прислал фильтр
TTL 53, TCP, 14678 > 80, "[RST] Seq=1"
Kapa ho joalo:
TTL 50, TCP, 14678 > 80, "[SYN] Seq=0"
TTL 64, TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
TTL 50, TCP, 14678 > 80, "[ACK] Seq=1 Ack=1"
#Вот это прислал фильтр
TTL 53, TCP, 14678 > 80, "[RST, PSH] Seq=1"
TTL 50, TCP ACKed unseen segment, 14678 > 80, "[FIN, ACK] Seq=89 Ack=172"
TTL 50, TCP ACKed unseen segment, 14678 > 80, "[FIN, ACK] Seq=89 Ack=172"
#Опять фильтр, много раз
TTL 53, TCP, 14678 > 80, "[RST, PSH] Seq=1"
...
Ka sebele phapang e bonahala TTL haeba ho hong ho tsoa sefang. Empa hangata ha ho letho le ka fihlang ho hang:
TCP, 14678 > 80, "[SYN] Seq=0"
TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
TCP Retransmission, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
...
Kapa ho joalo:
TCP, 14678 > 80, "[SYN] Seq=0"
TCP, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
TCP, 14678 > 80, "[ACK] Seq=1 Ack=1"
#Прошло несколько секунд без трафика
TCP, 80 > 14678, "[FIN, ACK] Seq=1 Ack=1"
TCP Retransmission, 80 > 14678, "[FIN, ACK] Seq=1 Ack=1"
...
'Me sena sohle se phetoa le ho phetoa le ho phetoa, joalokaha ho ka bonoa ho graph, ho feta hanngoe, letsatsi le leng le le leng.
Mabapi le IPv6
Litaba tse monate ke hore e teng. Nka bua ka ts'epahalo hore likopo tsa nako le nako ho sesebelisoa se thibetsoeng li hlaha ho tsoa ho liaterese tse 5 tse fapaneng tsa IPv6, e leng hantle boitšoaro ba Baemeli boo ke neng ke bo lebelletse. Ho feta moo, e 'ngoe ea liaterese tsa IPv6 ha e oele tlas'a ho sefa 'me ke bona lenaneo le feletseng. Ho tsoa ho tse ling tse peli ke bone karolo e le 'ngoe feela e sa phethoang, e' ngoe ea eona e ile ea sitisoa ke RST ho tsoa ho sefe, ea bobeli ka nako. Kakaretso 7.
Kaha ho na le liaterese tse fokolang, ke ithutile kaofela ha tsona ka ho qaqileng 'me ho ile ha fumaneha hore ho na le bafani ba 3 feela moo, ba ka fuoa maikutlo a emeng! Aterese e 'ngoe ke cloud hosting Russia (ha e sefere), e' ngoe ke setsi sa lipatlisiso Jeremane (ho na le sefe, hokae?). Empa ke hobane'ng ha ba hlahloba boteng ba lisebelisoa tse thibetsoeng ka kemiso ke potso e ntle. Ba babeli ba setseng ba ile ba etsa kopo e le 'ngoe' me ba fumaneha ka ntle ho Russia, 'me e' ngoe ea tsona e hloekisoa (ka lipalangoang, ka mor'a tsohle?).
Thibelo le Maemeli ke tšitiso e kholo ho IPv6, ts'ebetsong ea eona e sa tsamaeeng ka potlako. Ho bohloko. Ba ileng ba rarolla bothata bona ba ka ithorisa ka ho feletseng.
Qetellong
Ha kea ka ka loanela ho nepahala ha 100%, ka kopo, ntšoarele ka sena, ke tšepa hore motho o batla ho pheta mosebetsi ona ka ho nepahala ho hoholo. Ho ne ho le bohlokoa hore ke utloisise hore na mokhoa ona o tla sebetsa ka molao-motheo. Karabo ke e. Lipalo tse fumanoeng, joalo ka tekanyo ea pele, ke nahana hore li ka tšeptjoa.
Ke eng hape e ka beng e entsoe mme seo ke neng ke le botsoa haholo ho se etsa ke ho bala likopo tsa DNS. Ha li hloekisoe, empa hape ha li fane ka ho nepahala ho hongata kaha li sebetsa feela bakeng sa domain, eseng bakeng sa URL eohle. Maqhubu a lokela ho bonahala. Haeba u e kopanya le se bonahalang ka ho toba lipotsong, sena se tla u lumella ho arola ho sa hlokahaleng le ho fumana boitsebiso bo eketsehileng. Hoa khoneha ho tseba hore na ke bahlahisi ba DNS e sebelisoang ke bafani le tse ling tse ngata.
Ho hang ke ne ke sa lebella hore moamoheli o tla kenyelletsa sefe ea hae bakeng sa VPS ea ka. Mohlomong sena ke tloaelo e tloaelehileng. Qetellong, RKN e romela kopo ea ho hlakola mohloli ho moamoheli. Empa sena ha sea ka sa ’makatsa ’me ka litsela tse ling se bile sa sebetsa molemong oa ka. Sefahla se sebelitse ka mokhoa o atlehileng haholo, sa khaola likopo tsohle tse nepahetseng tsa HTTP ho URL e thibetsoeng, empa tse sa nepahaleng tse neng li fetile ka sefeng sa bafani li fihlile ho bona, leha e le ka mokhoa oa ho qetela: FIN-ACK и RST - ho tlosa bakeng sa ho tlosa 'me e batla e le tlatsetso. Ka tsela, IPv6 ha ea ka ea sefuoa ke moamoheli. Ha e le hantle, sena se ile sa ama boleng ba thepa e bokelitsoeng, empa e ntse e etsa hore ho khonehe ho bona makhetlo a mangata. Ho ile ha fumaneha hore ena ke ntlha ea bohlokoa ha u khetha sebaka sa ho beha lisebelisoa; u se ke ua lebala ho thahasella taba ea ho hlophisa mosebetsi ka lethathamo la libaka tse thibetsoeng le likōpo tse tsoang ho RKN.
Qalong, ke ile ka bapisa AS "Inspector" le . Papiso ena e nepahetse mme marang-rang a maholo a Baemeli a ka ba molemo. Mohlala, ho lekola boleng ba ho fumaneha ha lisebelisoa ho tsoa ho bafani ba fapaneng libakeng tse fapaneng tsa naha. U ka bala tieho, u ka etsa li-graph, u ka li sekaseka kaofela 'me ua bona liphetoho tse etsahalang sebakeng sa heno le lefatšeng ka bophara. Ena hase tsela e tobileng ka ho fetisisa, empa litsebi tsa linaleli li sebelisa "likerese tse tloaelehileng", ke hobane'ng ha u sa sebelise li-Agents? Ho tseba (ho fumana) boitšoaro ba bona bo tloaelehileng, u ka tseba liphetoho tse etsahalang ho ba potoloha le hore na sena se ama boleng ba litšebeletso tse fanoeng joang. 'Me ka nako e ts'oanang, ha ho hlokahale hore u behe li-probes ka bolokolohi marang-rang; Roskomnadzor e se e li kentse.
Ntlha e 'ngoe eo ke batlang ho e ama ke hore sesebelisoa se seng le se seng e ka ba sebetsa. AS "Inspector" ke marang-rang a koetsoeng, empa Baemeli ba eka bohle ka ho romela likopo tsa lisebelisoa tsohle ho tsoa lethathamong le thibetsoeng. Ho ba le mohloli o joalo ha ho hlahise mathata ho hang. Ka kakaretso, bafani ka li-Agents, ba sa hlokomele, ba bolela ho hongata ka marang-rang a bona ho feta kamoo ho ka khonehang: mefuta ea DPI le DNS, sebaka sa Moemeli (node e bohareng le marang-rang a tšebeletso?), Li-markmark tsa marang-rang tsa ho lieha le ho lahleheloa - 'me sena ke feela tse hlakileng ka ho fetisisa. Feela joalokaha motho a ka beha leihlo liketso tsa Baemeli ho ntlafatsa ho fumaneha ha lisebelisoa tsa bona, motho e mong a ka etsa sena ka merero e meng 'me ha ho na litšitiso ho sena. Sephetho ke sesebelisoa se nang le mahlakore a mabeli le a mangata haholo, mang kapa mang a ka bona sena.
Source: www.habr.com