इंटरनेट मीडिया पर DDoS हमलों: घटनाओं का एक क्रॉनिकल

4 दिसंबर, 2011 को रूसी संघ में राज्य ड्यूमा के चुनाव हुए। इसी समय, कई लोकप्रिय ऑनलाइन मीडिया पर बड़े हमले दर्ज किए गए। हाईट्रेटर लैब की Qrator सेवा ने इनमें से अधिकांश हमलों को फ़िल्टर किया। निम्नलिखित हमारे दृष्टिकोण से घटनाओं का कालक्रम है।

डिस्क्लेमर: हाईलोड लैब किसी भी राजनीतिक पार्टी से जुड़ा नहीं है और किसी भी ऐसे संगठन को अपनी सेवाएं देने के लिए तैयार है, जिसकी गतिविधियां रूसी संघ के कानूनों का उल्लंघन नहीं करती हैं। यह समीक्षा एक विशेष आईटी संसाधन पर प्रकाशित की जाती है, जो घटनाओं के तकनीकी विवरणों पर केंद्रित है, और किसी भी तरह से लेख में वर्णित कारणों और दोषों को निर्धारित करने के उद्देश्य से नहीं है।

02 दिसंबर, 2011 । साइटें zaks.ru और novayagazeta.spb.ru qrator.net पर पंजीकृत हैं। हमले का सक्रिय चरण 04 दिसंबर की शाम तक चला, दोनों संसाधनों के लिए कुल मिलाकर 3400 अनुरोध / एस दर्ज किए गए, जो सामान्य भार से अधिक परिमाण का एक आदेश था। हालाँकि, अधिकांश अनुरोध विभिन्न URL पर भारी POST थे। फ़िल्टरिंग की शुरुआत से पहले, अनुरोध का प्रतिक्रिया समय 60 एस तक था, इस आंकड़े को जोड़ने के बाद जल्दी से सीधा हो गया।



उस क्षण अभी भी सोचा गया था कि सब कुछ इस हमले तक सीमित होगा। अजीब तरह से, मूल रूप से डीडीओएस के हमले चुनाव से एक सप्ताह पहले शुरू नहीं हुए थे, अभियान की अवधि के दौरान नहीं, बल्कि सीधे लोकप्रिय वोट के दिन। शायद हमलावरों की गणना यह थी कि हमले वाली जगहों के मालिक खतरे के लिए तैयार नहीं होंगे और ट्रैफ़िक फ़िल्टरिंग सेवा प्रदाता और सेटअप चुनने में महत्वपूर्ण समय व्यतीत करेंगे। आंशिक रूप से यह गणना उचित थी।

04 दिसंबर, 2011 । 14:00 पर slon.ru Qrator से जुड़ा हुआ है। वास्तव में, एक संसाधन पर हमले के दो चरण थे:
- 14:00 से 19:20 तक आवेदन स्तर पर हमला, HTTP अनुरोध जैसे GET और POST, साथ ही UDP बाढ़। 250 Mbit / s (ब्लैकहोल में एक हिस्सा), 2.5 हजार अनुरोध / s, 50-60 हजार बॉट
- 19:20 से दिन के अंत तक, आवेदन स्तर पर एक हमले ने रणनीति बदल दी, SYN-बाढ़ को भी इसमें जोड़ा गया। मुख्य रूप से भारत और पाकिस्तान से कुल 200-250 हजार बॉट पंजीकृत किए गए थे। X- फॉरवर्डेड-फॉर HTTP हेडर में कई बॉट ने LAN एड्रेस जैसे "10.94.3.16" पास किया। फ़िल्टर प्रशिक्षण के लिए समय की कमी के कारण, रणनीति में बदलाव से हमलावरों को फायदा हुआ और 19:24 से 21:12 तक slon.ru फिर से अनुपलब्ध था, जिसके बाद यह पहले से ही लगातार काम कर रहा था।



दुर्भाग्य से, यह ग्राफ़ मामलों की वास्तविक स्थिति का सही प्रतिनिधित्व नहीं करता है, क्योंकि हार्डवेयर पर सीधे फ़िल्टर्ड किए गए आँकड़े संग्रह मॉड्यूल द्वारा ध्यान में नहीं लिए जाते हैं। ठीक है, सामान्य तौर पर, यह उसके लिए, गलत होने के आँकड़े हैं।

19:40 बजे , echo.msk.ru जुड़ा हुआ है। हम लगभग 3,000 IP पतों से औसतन 3,500 HTTP GET अनुरोध दर्ज करते हैं, साथ ही लगभग 1 Gbit / s की कुल मात्रा के साथ SYN बाढ़। 5 दिसंबर को, SYN बाढ़ बार-बार लौटी, लेकिन क्षमता 100 Mbit / s से अधिक नहीं थी।

20:20: kartanarusheniy.ru । फ़िल्टर प्रशिक्षण की प्रक्रिया में, एक गलतफहमी के कारण (आप स्वयं जुनून की कल्पना कर सकते हैं), साइट प्रशासक ने DNS को सीधे वापस स्विच किया, लेकिन अगले दिन 14:30 बजे लौटा और समय में कामयाब रहा - 3 घंटे के बाद एक 1.5 Gbit SYN साइट पर आ गया / एस इसके समाप्त होने के बाद, साइट पर हमला व्यावहारिक रूप से कम हो गया।



5 दिसंबर, 2011 । दिन के मध्य में, उल्लंघन का मानचित्र वापस आ जाता है, और 18:40 bg.ru और tvrain.ru पर बचाव हो जाता है। साइट डेटाबेस को अक्षम करने के उद्देश्य से HTTP अनुरोध हैं। कुल 8 हजार यूनिक आईपी एड्रेस।

फिलहाल, अधिकांश वर्णित हमलों का सक्रिय चरण समाप्त हो गया है, लेकिन उनमें से एक संख्या (उदाहरण के लिए, मास्को के इको पर DDoS) प्रतीक्षा चरण में चली गई है: लगभग सौ बॉट इस पल का पता लगाने के लिए सर्वर को "भारी" अनुरोध भेजने की कोशिश कर रहे हैं, जब साइट "हाथ" से शुरू होती है। "- उदाहरण के लिए, सुरक्षा से बाहर। एक और उदाहरण: Slon.ru पर हमला अब कम हो गया है और केवल 60,000 बॉट इसमें निरंतर आधार पर भाग ले रहे हैं।

मैंने सोचा कि क्या संदेश देना चाहूंगा? अभ्यास से पता चलता है कि रनरेट में DDoS हमले बाकी हिस्सों से आगे हैं। कई यूरोपीय होस्टिंग कंपनियां, सिद्धांत रूप में, रूसी साइटों पर औसत हमलों के लिए भी तैयार नहीं हैं, वास्तव में गंभीर मिसाल का उल्लेख नहीं करना। उसी समय, फ़िल्टरिंग पर स्विच करने में ध्यान देने योग्य समय लगता है। इसलिए, यदि आप RuNet में एक गंभीर घटना की योजना बना रहे हैं, तो आपको अपने घर को जलाने से पहले बीमा का ध्यान रखना चाहिए।