हमलों का टूटना: SYN- बाढ़

स्पूफ़्ड SYN - एक ऐसा हमला जिसमें पैकेट के शीर्षों को इस तरह से जाली लगाया जाता है कि वास्तविक प्रेषक का स्थान एक मनमाना या गैर-मौजूद आईपी पते द्वारा लिया जाता है।

चूंकि, वास्तव में, SYN " तीव्र प्रतिस्पर्धा " के लिए एक लगातार उपकरण है और - एक ही समय में - सबसे DDoS शमन समाधान इस विशेष प्रकार के हमले में प्रभावशाली प्रभावशीलता दिखाते हैं, हम SYN बाढ़ के साथ शुरुआत करेंगे, जो स्पूफेड हमले के प्रकार को सबसे अधिक मानते हैं। दुर्जेय।

त्याग

अस्वीकरण संख्या 1

इस और बाद के विषयों में वर्णित सब कुछ अनिवार्य रूप से ज्ञात नहीं है। सभी विधियां खुली हैं, और एक समय या किसी अन्य (2003 से कुछ) को खुले स्रोतों में प्रकाशित किया गया था। मैंने उन्हें केवल एक में कम करने और सुरक्षा की " वैश्विक रणनीति " का वर्णन करने के लिए परेशानी का सामना किया, समर्पित सर्वर पर स्थित छोटी परियोजनाओं की सेवा करने वाले सिस्टम प्रशासकों पर ध्यान केंद्रित किया (वर्णित रणनीति का उपयोग साझा परियोजनाओं में भी किया जा सकता है, लेकिन कार्यान्वयन इतना भयानक होगा कि इसके बारे में लिखो कि कोई इच्छा नहीं है)

अस्वीकरण संख्या 2

विषय हार्डवेयर सुरक्षा समाधानों पर विचार नहीं करता है - सबसे पहले, वे कई लेखों में इन समाधानों के निर्माताओं द्वारा अच्छी तरह से विचार किया जाता है, दूसरी बात, जिन परियोजनाओं में एक सर्वर होता है, उन्हें अक्सर बर्दाश्त नहीं किया जा सकता है (मोटे तौर पर बोल, समाधान की कीमत 20 हजार यूरो से शुरू होती है ), तीसरा - लेखक के पास ऐसे विशिष्ट हार्डवेयर के साथ काम करने के लिए पर्याप्त डेटा और अनुभव नहीं है जो इस तरह की सुरक्षा के तरीकों और प्रभावशीलता के बारे में वैश्विक निष्कर्ष निकालता है - यह संभावना नहीं है कि किसी को दो विक्रेताओं के समाधान के अवलोकन में दिलचस्पी होगी एक दर्जन से अधिक की, उनके उपयोग के लिए प्रमुख ऑपरेटिंग आँकड़े द्वारा समर्थित नहीं। लेकिन यह ध्यान देने योग्य है कि मेरे द्वारा उपयोग किए जाने वाले दोनों हार्डवेयर समाधान आमतौर पर कई स्थितियों में SYN हमलों पर बहुत प्रभावी होते हैं ।

अस्वीकरण संख्या 3

विषय डीडीओएस हमलों के खिलाफ सुरक्षा के प्रदाताओं पर विचार नहीं करता है - इन संगठनों के सेवा इंजीनियर अपने कामकाजी तरीकों का बेहतर और अधिक विस्तार से वर्णन करने में सक्षम होंगे। संभवत: स्वयं प्रदाताओं की समीक्षा करना सार्थक होगा - क्लाइंट के दृष्टिकोण से (अलग-अलग समय पर जिन परियोजनाओं में मैंने भाग लिया था, वे ड्रैगनारा, ब्लैकलोटस, जिगनेट, विस्टनेट (फिलहाल), प्रोजेनिक (फिलहाल) और उपरोक्त कंपनियों की सेवाओं के कई विक्रेता), लेकिन यह विषय के दायरे से बाहर है, बाद में इसके बारे में बात करने की कोशिश करें। फिर, यह ध्यान देने योग्य है कि सभी सुरक्षा प्रदाता जिनके साथ लेखक की परियोजनाएं काम करती हैं या काम करती हैं, SYN हमलों की समस्या से निपटने में, अच्छी दक्षता दिखाती हैं।

थोड़ा यांत्रिकी और विकिपीडिया

मैं विषय को एक प्रकार के RFC में बदलना नहीं चाहता और अच्छी तरह से ज्ञात सच्चाइयों को उद्धृत करना चाहता हूं, इसलिए हम खुद को प्रतिबंधित करेंगे कि एक SYN हमले के दृष्टिकोण से TCP क्या दिलचस्प है और शीर्ष पर जाए।

सबसे पहले, टीसीपी सबसे अधिक उपयोग किए जाने वाले परिवहन प्रोटोकॉल में से एक है, जिसके शीर्ष पर अधिकांश एप्लिकेशन प्रोटोकॉल स्थित हैं। दूसरे, इसकी कई विशिष्ट विशेषताएं हैं (कनेक्शन, प्रवाह नियंत्रण, आदि की शुरुआत और अंत से स्पष्ट रूप से पुष्टि की गई है) - जो इसके कार्यान्वयन को अपेक्षाकृत जटिल और संसाधन गहन बनाते हैं।

लेख के संदर्भ में, टीसीपी कनेक्शन की स्थापना के लिए तंत्र पर विचार करना दिलचस्प है - तीन-तरफा हैंडशेक। पहले सन्निकटन में, क्लाइंट-सर्वर स्तर पर, यह इस तरह दिखता है: क्लाइंट सर्वर को SYN पैकेट भेजता है, जिस पर SYN + ACK प्रतिक्रिया देता है। क्लाइंट प्रतिक्रिया में ACN को SYN सर्वर पर भेजता है और कनेक्शन स्थापित अवस्था में चला जाता है।

SYN हमला - खुले सर्वर पोर्ट पर SYN पैकेट का एक द्रव्यमान भेजना जो एक कारण या किसी अन्य के लिए वास्तविक कनेक्शन की स्थापना के लिए नेतृत्व नहीं करता है, जो "आधे-खुले कनेक्शन" के निर्माण को मजबूर करता है जो कनेक्शन कतार को अभिभूत करता है, जिससे सर्वर भविष्य के ग्राहकों के लिए सेवा से इनकार करने के लिए मजबूर हो जाता है। इसके अलावा, टीसीपी RFC सर्वर को प्रत्येक आने वाले SYN का जवाब देने के लिए बाध्य करता है, जो सर्वर संसाधनों और डेटा ट्रांसमिशन चैनल दोनों को अतिरिक्त रूप से प्रभावित करता है। अन्य मामलों में, यदि आप पहले से ही सामना कर चुके हैं - वास्तव में - कोई भी डीडीओएस हमला - आप मेरे बिना वर्णित ऊपर जानते हैं। हम विशिष्ट अनुशंसाओं को पास करते हैं।

अकेले मैदान में

अपनी बांह के नीचे का उपयोग करें और कुछ और की तलाश न करें - जब आप हमले के साथ अकेले हों तो आप क्या कर सकते हैं? ईमानदारी से, ज्यादा नहीं, लेकिन ऐसा होता है कि यह पर्याप्त है। निम्नलिखित वर्णन करता है कि FreeBSD के साथ क्या करना है, क्योंकि हमारी परियोजनाओं में 90% मामलों में इस प्रणाली का उपयोग किया जाता है। हालांकि, ओएस से ओएस तक अंतर छोटा होगा - सिद्धांत समान हैं।

सबसे पहले , आपको सर्वर का उपयोग करने की आवश्यकता है (हां, यह मुश्किल भी हो सकता है, खासकर अगर हमला बड़ा और / या लंबा है - सर्वर ने सभी बफ़र्स को चुना या 100% सीपीयू लोड किया है)। आमतौर पर यह एक फ़ायरवॉल के साथ हमले वाली सेवा को बंद करने या बस इसे चुकाने के लिए पर्याप्त है - सेवा - (हालांकि, अगर किसी हमले का पता चला है, तो आपको इसे वैसे भी करने की आवश्यकता है, यदि केवल सर्वर पर कुछ और करने में सक्षम हो)।

दूसरे हमले के बारे में पहली जानकारी प्राप्त करना है। यदि आपने पहले से ही आने वाले ट्रैफ़िक की निगरानी कर ली है - ठीक है, यदि नहीं - तो फ़ायरवॉल खोलें / सर्विस बढ़ाएँ और अच्छे पुराने tcpdump और netstat का उपयोग करके यह पता करें कि हमले क्या हैं और हमले का आकार प्रति सेकंड पैकेट में क्या है। रास्ते के साथ, आप उन नेटवर्क को जल्दी से देख सकते हैं जिनमें से बल्क अनुरोध आते हैं - चाहे वे आपकी सेवा के विशिष्ट ऑडियंस में शामिल हों। यह सब भविष्य में काम आएगा।

तीसरा - इंटरफ़ेस पर जहां हमला किया गया आईपी पता स्थित है, केवल एक ही रहना चाहिए। प्रत्येक उपनाम सिस्टम प्रदर्शन को कम करेगा। यह अलग-अलग प्रणालियों के लिए अलग-अलग संख्याओं में व्यक्त किया गया है, लेकिन ये संख्याएं गंभीर हैं, प्रत्येक उर्फ ​​प्रति अतिरिक्त 2-3 हजार पैकेट खर्च कर सकते हैं।

चौथा - यदि आप आक्रमण किए गए पते पर आने वाले ट्रैफ़िक के लिए किसी भी फ़ायरवॉल का उपयोग करते हैं - अवरुद्ध करने के अलावा सभी नियम, अक्षम होने चाहिए - उदाहरण के लिए, एक स्पूफ किए गए SYN हमले के साथ, PF से SYN प्रॉक्सी आपको शून्य करने में मदद करता है, और सीपीयू यह बहुत गंभीरता से लेता है।

पांचवां - सिस्टम को कॉन्फ़िगर करें। कोई चमत्कार नहीं होगा, उन्हें तैयार ड्राइवरों और विशेष रूप से खरीदे गए नेटवर्क कार्ड के रूप में झाड़ियों में एक पियानो की आवश्यकता होती है, और केवल दो सामान्य सिफारिशें जो गंभीरता से SYN हमले को प्राप्त करने की क्षमता को प्रभावित करती हैं: सभी को लंबे समय से ज्ञात है:
- सर्वर प्रोसेसर पर धुरी बाधा से निपटने;
- सिंक-कुकीज़ सक्षम करें और सिंक-कैश को अक्षम करें।

ट्यूनिंग प्रणाली के बाकी अतिरिक्त 5-10 हजार पैकेटों को निचोड़ने में मदद करेंगे, जो एक हमले की स्थिति में निर्णायक होने की संभावना नहीं है। यदि यह किसी के लिए काम में आता है, तो यहां सबसे आम विन्यास है (कर्नेल या विशेष ड्राइवरों के पुनर्निर्माण के विकल्प की आवश्यकता के बिना)

net.isr.direct=1 kern.ipc.nmbclusters=400000 net.inet.tcp.nolocaltimewait=1 net.inet.tcp.recvspace=16384 net.inet.tcp.sendspace=32768 net.inet.tcp.msl=5000 net.inet.tcp.blackhole=1 net.inet.ip.intr_queue_maxlen=3000 net.inet.tcp.blackhole=2 net.inet.udp.blackhole=1 net.inet.icmp.log_redirect=1 net.inet.ip.redirect=0 net.inet.icmp.maskrepl=1 net.inet.tcp.syncookies_only=1 net.route.netisr_maxqlen=4096 kern.ipc.maxsockbuf=83886080 net.inet.ip.intr_queue_maxlen=10240 

डेस्कटॉप कंप्यूटर सिस्टम इन सिफारिशों के अनुसार कॉन्फ़िगर किया गया है:

 first# netstat -w1 -h -d      input     (Total)      output packets  errs idrops    bytes   packets  errs    bytes colls drops   260K  0   0     15M    230K   0     13M   0   0 

सिस्टम स्तर IBM System x3630 M3, इन सिफारिशों के अनुसार कॉन्फ़िगर किया गया है:

 second# netstat -w1 -h -d      input     (Total)      output packets  errs idrops    bytes   packets  errs    bytes colls drops   477K  0   0     36M    457K   0     25M   0   0 

ओएस और मशीनों के विस्तृत विन्यास, और वास्तव में, हम उनके पास कैसे आए, मैं अगले विषय में बताने की कोशिश करूंगा।

हम एक काम करते हैं

सिस्टम को ट्यूनिंग के अलावा क्या करना है सिद्धांत रूप में, कुछ करना है।

यहां यह एक छोटी सी विषयांतर करने के लायक है - अधिकांश होस्टिंग कंपनियां बेहद अनिच्छा से हमले के खिलाफ लड़ाई में मदद करेंगी, अगर वे बिल्कुल मदद करते हैं, और उन्हें दोष देना मुश्किल है। लेकिन कम से कम वे हमले के बारे में जानकारी प्रदान करेंगे - यदि आपको सुरक्षा प्रदाताओं के साथ काम करना है, तो यह, हमले के दौरान आपके द्वारा एकत्र की गई जानकारी के साथ जीवन को आसान बना देगा।

यदि मेजबान समझ में आता है (जो वास्तव में दुर्लभता है ) - तो हम निम्नलिखित एल्गोरिथ्म के अनुसार काम करते हैं - समानांतर और ब्लॉक, ब्लॉक और समानांतर :
यदि हमारे पास कई नेटवर्क कार्ड हैं (यदि नहीं, तो हम आपको स्थापित करने के लिए कहते हैं) - उन्हें एलएसीपी मोड में चालू करें (इसके लिए आपको मेजबान स्विच पर समान विकल्प सक्षम करना होगा) - इससे लगभग डेढ़ प्रदर्शन बढ़ेगा (हम इस प्रक्रिया की कुछ सूक्ष्मताओं पर बाद में चर्चा करेंगे - अपारदर्शिता को गले लगाते हुए विषय किसी भी तरह से काम नहीं करता है) आइए ऐसे प्रदर्शन के लिए जाएं:

 second# netstat -w1 -h -d      input     (Total)      output packets  errs idrops    bytes   packets  errs    bytes colls drops   1.2M  16K   0     65M    1.1M   0     59M   0   0 

कृपया सभी अप्रयुक्त बंदरगाहों और प्रोटोकॉल को अवरुद्ध करें - एक SYN हमले को आसानी से UDP हमले से बदला जा सकता है।
वस्तुतः कोई भी होस्टिंग कंपनी इन कार्यों के लिए सक्षम है। लेकिन अगर आप एक गंभीर कंपनी के साथ काम करने के लिए भाग्यशाली हैं - एक ऐसे क्षेत्र से ट्रैफ़िक को ब्लॉक करने के लिए कहें जहां आपकी परियोजना के अधिकांश दर्शक नहीं रहते हैं (उदाहरण के लिए, चीन) - इसका मतलब है कि किसी विशेष क्षेत्र में बैकबोन प्रदाताओं के लिए आपके नेटवर्क के लिए ब्लैकहोल की घोषणा। एक नियम के रूप में, एक SYN हमले को एशिया से किया जाता है, इसकी सस्ताता और बड़े पैमाने पर चरित्र के कारण, और इसलिए, इस तरह की घोषणा से हमले के खिलाफ लड़ाई में गंभीरता से मदद मिल सकती है या इसकी संभावना को भी बाहर कर सकती है।

उपरोक्त उपायों के अलावा, आप जियोडएनएस-जैसी सेवा का उपयोग करने की सलाह दे सकते हैं - कुछ शर्तों के तहत (उदाहरण के लिए, किसी डोमेन पर हमला किया जाता है), यह कुछ नेटवर्क के लिए ब्लैकहोल की घोषणा करने के समान काम करेगा।

अंत में

मुझे उम्मीद है कि यह लेख किसी भी अफ्रीकी देश के वार्षिक बजट को पार किए बिना SYN बाढ़ की समस्या से निपटने में आपकी मदद करेगा। बेशक, केवल सबसे सामान्य सिफारिशें यहां दी गई हैं, लेकिन मेरा विश्वास है - 90% मामलों में वे काफी पर्याप्त हैं। और सबसे महत्वपूर्ण बात - घबराओ मत!

युपीडी। निरंतरता लेखन की प्रक्रिया में है, और जल्द ही यहां पोस्ट किया जाएगा। हमारे साथ रहो!