तात्कालिक साधनों द्वारा डीडीओएस हमलों के खिलाफ सुरक्षा। अपने सर्वर तक पहुँच प्राप्त करना

हाल ही में, हमारी साइट को अक्सर काफी शक्तिशाली डीडीओएस हमलों के अधीन किया जाता है, वैसे, हाल के वर्षों में आखिरी हमला सबसे बड़ा था, बॉटनेट आकार, हमारे अनुमानों के अनुसार, लगभग 10 हजार मशीनें हैं, और क्षमता 100 मीटर / सेकंड है।

यहां तक ​​कि कैसपर्सकी लैब ने भी इस हमले पर गौर किया और इसकी मदद की, जिसमें मैंने उन्हें धन्यवाद दिया। सच है, उस समय तक हमने स्वतंत्र रूप से एक समाधान ढूंढ लिया था जो हमले को रोकता है। दरअसल, इस फैसले पर चर्चा की जाएगी।

यह सब पिछले शुक्रवार को शाम पांच बजे शुरू हुआ, और सोमवार दोपहर तक जारी रहा। शूटिंग बॉट्स में एक रोमांचक सबक के लिए सप्ताहांत समाप्त हो गया था। मुझे हमले का मुकाबला करने के लिए काम करने का हल मिल जाने के बाद थोड़ा पसीना बहाना पड़ा।

हमला HTTP फ्लड की तरह था। जिस सिस्टम पर हम साइट संचालित करते हैं वह लिनक्स के लिए अपाचे है। हमने कई स्क्रिप्ट लिखी हैं जो लेख के पाठ में दी जाएंगी। सिद्धांत रूप में, एक समान दृष्टिकोण विंडोज / आईआईएस पर लागू किया जा सकता है।

मैं आपको यह बताने की कोशिश करूंगा कि हमले को रोकने के लिए हमने कौन से बुनियादी कदम उठाए, और रास्ते में क्या समस्याएं आईं:

अपने सर्वर तक पहुँच प्राप्त करना

हमले के कारण उच्च भार के कारण, सर्वर से कनेक्शन असंभव हो जाता है। बाहर निकलना एक रिबूट है, साथ ही रिबूट मशीन से कनेक्ट करने की कोशिश करने के लिए एक अच्छी प्रतिक्रिया है, और उस सेवा को डिस्कनेक्ट करें जो हमला किया जा रहा है , और हमले का विश्लेषण करें। लेकिन एक शक्तिशाली हमले के साथ, एक रिबूट के बाद भी, कनेक्शन बहुत समस्याग्रस्त है। कभी-कभी सर्वर को कई बार पुनरारंभ करना आवश्यक था, जबकि यह सिस्टम में प्रवेश करने में सफल रहा।

सिस्टम में लॉग इन करने और Apache (सेवा httpd रोकना) बंद करने के बाद, आपको सिस्टम स्टार्टअप पर Apache लॉन्च को हटाने की आवश्यकता है। यदि कुछ गलत हो जाता है तो यह रिबूट करके मशीन तक पहुंचना संभव बना देगा। यह कमांड का उपयोग करके किया जाता है:

# chkconfig httpd off

समाधान सही नहीं है, लेकिन एक शुरुआत के लिए यह करेगा।

उच्च सिस्टम लोड पर अटकी सेवा का स्वचालित अवरोधन

सर्वर को रिबूट करना, हमले की प्रत्येक नई लहर के साथ, एक बहुत बुरा निर्णय है, क्योंकि यह हर समय हमारे खिलाफ खेल रहा है।

कुछ विचार के बाद, एक समाधान मिला। यदि लोड एक महत्वपूर्ण महत्वपूर्ण स्तर से ऊपर बढ़ जाता है, तो हमले वाली सेवा को फ़ायरवॉल (हमारे मामले में, पोर्ट 80) के साथ अवरुद्ध करें ।

असल में, एक सार्वभौमिक स्क्रिप्ट लिखी गई थी जो वही करता है जो इरादा था। स्क्रिप्ट कॉल इस प्रकार है:

# blockOnHighLoad.sh turnOn80Port 5 turnOff80Port

दो कमांड स्क्रिप्ट पर भेजे जाते हैं, और सिस्टम लोड का अधिकतम स्तर जिस पर हमें कुछ करने की आवश्यकता होती है। इस स्थिति में, जब लोड औसत 5 तक पहुंच जाता है, तो एक कमांड लॉन्च किया जाता है जो फ़ायरवॉल के साथ 80 वें पोर्ट को ब्लॉक करता है। जब डाउनलोड अपने सामान्य स्तर पर लौटता है, तो पोर्ट फिर से खुलता है।

वास्तव में, सरल मामलों के लिए, आप सीधे कॉल किए गए कार्यों का वर्णन कर सकते हैं, उदाहरण के लिए, बाहरी स्क्रिप्ट का उपयोग किए बिना पिछली कमांड:

blockOnHighLoad.sh "/sbin/iptables -D INPUT -p tcp -m tcp --dport 80 -j DROP" 5 "/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j DROP"

यानी हम सीधे iptables का उपयोग करके पोर्ट को लॉक / अनलॉक करते हैं।

अधिक जटिल मामलों में, उदाहरण के लिए, जब कोई हमला एक साथ कई सेवाओं में जाता है, या आपको एक साथ कई चरणों को करने की आवश्यकता होती है, तो आप बाहरी कमांड का उपयोग कर सकते हैं।

इसलिए, एकल पोर्ट को ब्लॉक करने के साथ-साथ यह मशीन को पूरी तरह से "बंद" करने के लिए उपयोगी है, केवल एसएसएच कनेक्शन के लिए पोर्ट को छोड़कर। इस तरह की कार्रवाई को "अंतरिक्ष" में लोड करने के "प्रस्थान" के साथ करने की सलाह दी जाती है। यहाँ दूसरी उपयोगी कमांड है:

blockOnHighLoad.sh "" 50 "blockAllExcept.sh 22"

यहां, 50 इकाइयों के लोड औसत तक पहुंचने पर, हम एसएसएच (पोर्ट 22) को छोड़कर, हम सब कुछ बंद कर सकते हैं। पोर्ट इस मामले में मैनुअल मोड में खोला गया है।

अब इस पूरे खेत को स्टार्टअप प्रणाली में सम्मिलित करना बाकी है। साथ ही आपको httpd को शुरू करने की आवश्यकता है। ऐसा करने के लिए, हमने निम्नलिखित कमांड्स को इनिशियलाइज़ेशन स्क्रिप्ट /etc/rc.local में जोड़ा:

 blockOnHighLoad.sh "/sbin/iptables -D INPUT -p tcp -m tcp --dport 80 -j DROP" 5 "/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j DROP" >> /var/log/blockOnHighLoad-5-80.logs 2>&1 & blockOnHighLoad.sh "" 50 "blockAllExcept.sh 22" >> /dev/null & service httpd start 

सिस्टम शुरू सेवाओं के माध्यम से httpd के सामान्य लॉन्च को क्यों नहीं छोड़ते? क्योंकि यह ऑटो-ब्लॉकर से पहले शुरू हो जाएगा, और "अच्छे" हमले के साथ यह तुरंत सिस्टम को नीचे रख देगा और आरंभीकरण स्क्रिप्ट निष्पादित नहीं हो सकती है।

मैं ध्यान देता हूं कि स्क्रिप्ट एक छोटे नैदानिक ​​लॉग को प्रिंट करती है। संदेशों को प्रदर्शित किया जाता है जब ऑपरेशन के "मोड" को स्विच किया जाता है और वर्तमान लोड और मोड को प्रिंट किया जाता है।
उदाहरण के लिए, यह लॉग फ़ाइल /var/log/blockOnHighLoad-5-80.logs में सहेजा गया है। तो आप कहानी देख सकते हैं।

आगे क्या है?

मशीन तक पहुंचने के बाद, हमने हमलों का विश्लेषण किया, एक स्क्रिप्ट लिखी जो स्वचालित रूप से बॉट्स को रोकती है। यह ध्यान देने योग्य है कि कई सौ से अधिक अवरुद्ध आईपी की संख्या के साथ, iptables विकल्प काम नहीं करता है । क्योंकि बड़ी सूचियों के साथ काम करने में iptables बेहद अक्षम है। iptables का उपयोग ipset के साथ संयोजन में किया जाना चाहिए , जो कि iptables के लिए बड़ी IP सूचियों को संग्रहीत करने और बनाए रखने के लिए बस तेज किया जाता है। इस लेख में विवरण के बारे में पढ़ें।

हमें उम्मीद है कि हमारा अनुभव हमलों के खिलाफ लड़ाई में मदद करेगा।

आपका ध्यान देने के लिए धन्यवाद।

वास्तव में स्क्रिप्ट:

blockOnHighLoad.sh

 #!/bin/bash state=normal i=0 while [ 1 ]; do up=`uptime` loadavg=`echo $up | sed 's/.*average: //' | sed 's/,.\+//' | sed 's/\..\+//'` i=$(($i+1)) if (( $i > 60 )); then echo echo -n `date` " " i=0 fi if (( $loadavg > $2 ));then if [ "$state" == "normal" ];then state=high echo echo `date` HIGH $3 $3 else echo -n ${loadavg}H fi else if [ "$state" == "high" ];then state=normal echo echo `date` Normal $1 $1 else echo -n ${loadavg}. fi fi sleep 1 done 

blockAllExcept.sh (स्क्रिप्ट यहां से ली गई है )

 #!/bin/sh # Minimal emergency firewall (block everything except SSH). iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -F iptables -X iptables -A INPUT -p tcp -m tcp --dport $1 -j ACCEPT iptables -P INPUT DROP iptables -A OUTPUT -p tcp -m tcp --sport $1 -j ACCEPT iptables -P OUTPUT DROP