Cvk2012.org पर बादल बनाम क्लीवर, या DDoS के क्रॉनिकल हमले

Habrahabr पर हाईलोड लैब ब्लॉग को अक्सर अपडेट किया जाता है - दिलचस्प DDoS हमले, जिसके उदाहरण पर हर कोई कुछ सीख सकता है, कुछ ही हैं, और आप पाठकों को अंतहीन सफलता की कहानियों से परेशान नहीं करना चाहते हैं। सभी अधिक मूल्यवान वास्तव में मनोरंजक मिसाल हैं, जिनमें निस्संदेह विपक्षी समन्वय परिषद की केंद्रीय चुनाव समिति की वेबसाइटों पर हमला शामिल है।

Qrator ट्रैफिक फ़िल्टरिंग नेटवर्क लॉगबुक के पिछले मुद्दों में (अनिवार्य विज्ञापन लिंक http://qrator.net/ ) है, हमने पाया कि रनेट में गंभीर घटनाओं की प्रत्याशा में अग्रिम में हमलों के खिलाफ सुरक्षा का ध्यान रखना बेहतर है। आज मैं आपको बताऊंगा कि आप इस आवश्यकता को कैसे पूरा कर सकते हैं, यहां तक ​​कि कार्यस्थल व्यवस्थापक पर अपने आप को नींद की एक जोड़ी कमा सकते हैं।

प्रागितिहास

सीवीके कर्मचारियों ने सभी शैक्षणिक गंभीरता के साथ मतदान प्रणाली के सामने की दोष सहिष्णुता की समस्या का सामना किया और अपने सभी अंडे एक टोकरी में डालना शुरू नहीं किया। वोटिंग सिस्टम के थूथन को Microsoft Azure क्लाउड पर होस्ट किया गया था , जिसे Windows- आधारित अनुप्रयोगों के लिए अनुशंसित किया जाता है। उसी समय, डोमेन इलेक्शन .cvk2012.org को वर्णित घटनाओं से लगभग एक महीने पहले Qrator में पंजीकृत किया गया था और यह सभी समय निवारक संरक्षण के तहत था, जिसने प्रशिक्षण के लिए आवश्यक आधार को जमा करने की अनुमति दी थी। इन सभी ने यह उम्मीद करना संभव बना दिया कि विपक्ष की साइटों की दक्षता के मामले में वैकल्पिक सप्ताहांत कई पिछली रैलियों की तरह शांत और समस्या-मुक्त होगा।

18 अक्टूबर

गुरुवार को पहली घंटी बजी। इस समय तक, मतदाता पंजीकरण स्थल पर कम-शक्ति का हमला 3 दिनों से चल रहा था, लेकिन उस समय इसने पहली बार समस्याएं पैदा की थीं। हमले की योजना विशिष्ट जेएस LOIC है : माना जाता है कि स्थिर होस्टिंग पर एक ECMAScript कोड वाला एक पेज होता है, जो हर 200 ms पर हमले वाली सेवा के URL से छद्म छवि को अपडेट करता है। अप्रैल में , इसी तरह की एक योजना का उपयोग Vkontakte सेवा द्वारा antigate.com साइट को "चेतावनी" देने के लिए किया गया था। इस मामले में, पहली बार हमला करने वाली स्क्रिप्ट नरकोटेक.नारोड.वन वेबसाइट पर स्थित थी, जबकि यांडेक्स सर्वर ने हमले में भाग नहीं लिया था - स्क्रिप्ट को ब्राउज़र में निष्पादित किया गया था। इस साइट को बाद में ब्लॉक कर दिया गया था।



यह पता चला कि कुछ शर्तों के तहत हमलावर कोड डेटाबेस के लिए गंभीर समस्याएं पैदा करता है। चूंकि डीबीएमएस के साथ फ्रंटेंड संचार को अनुकूलित करने के लिए कोई समय नहीं बचा था, और साइट में आने वाले सभी अनुरोधों के इतिहास का विश्लेषण करने के लिए प्रदर्शन का मार्जिन नहीं था, क्यूरेटर तकनीकी सहायता के साथ परामर्श करने के बाद, ग्राहक ने फ़िल्टर सिस्टम के साथ आवेदन को बारीकी से एकीकृत करने का फैसला किया, इसे डेटाबेस अनुरोध की जटिलता पर प्रतिक्रिया प्रदान करते हुए; ।



इस प्रकार, साइट को शनिवार तक प्रतिकूलता से बचाया गया था।

20 अक्टूबर

शनिवार की रात को, हमलावरों ने अपना ध्यान Microsoft Azure - Elect.democratia2.ru पर स्थित मतदान स्थल पर लगाया। क्लाउड ने काम करना जारी रखा, लेकिन कहीं और स्थित एक पोलिंग सर्वर को एक लक्षित LOIC हमले द्वारा सफलतापूर्वक मार डाला गया था - इस बार cvkhello.do.am से । सबसे पहले, विकास टीम ने वास्तुकला को बदलकर दुर्भाग्य को दूर करने की कोशिश की, फिर कैप्चा पेश किया, लेकिन आधी रात को वोटिंग साइट को Qrator संरक्षण में रखा गया ... HTTPS के बिना - वे जल्दी में इसके बारे में भूल गए। जब Qrator ने SSL का उपयोग किया, इसके अलावा, वैध उपयोगकर्ताओं के व्यवहार के संचित इतिहास की कमी ने इसे प्रभावित किया।

फ़िल्टरिंग प्रणाली के प्रशिक्षण के बाद, रविवार रात, 21 अक्टूबर को चुनाव .democratia2.ru का काम बहाल कर दिया गया।

मेडी (uCoz का एक कर्मचारी) से मिली जानकारी के अनुसार, वेबसाइट cvkhello.do.am दो दिनों तक चली। साइट को सबसे बड़े यूक्रेनी केबल प्रदाताओं में से एक आईपी पते के साथ पंजीकृत किया गया था।

21 अक्टूबर

बेशक, एज़्योर का तत्काल परित्याग और कोड में बड़े पैमाने पर परिवर्तन नहीं हो सकता है लेकिन साइट के समग्र प्रदर्शन को नकारात्मक रूप से प्रभावित कर सकता है। और रविवार को, हमलावर अंततः LOIC के साथ उपयोग करने के लिए आए, एशियाई और यूरोपीय देशों के आईपी पते के साथ एक पूर्ण बॉटनेट। हमले में शामिल बॉट की कुल संख्या एनएटी को छोड़कर 130 हजार से थोड़ा अधिक थी। इसने सभी को एक साथ कई संभावित संदिग्ध आईपी पते को ब्लॉक करने की आवश्यकता के लिए प्रेरित किया, जिससे उन्हें एक-एक करके साइट पर जाने और उनमें से प्रत्येक के व्यवहार इतिहास का व्यक्तिगत रूप से विश्लेषण करने की अनुमति मिली। शाम के समय, जब संरक्षित साइट के प्रदर्शन में आने वाली अड़चनों को समाप्त कर दिया गया था, तो साइट तक पहुंच सभी वैध उपयोगकर्ताओं को दी गई थी।

शुष्क तकनीकी हमले का विवरण

• हमला प्रकार: संयुक्त, SYN बाढ़ + आवेदन स्तर पर हमला (botnet + LOIC)
• पीक SYN बाढ़ क्षमता: 150 हजार पैकेट / एस
• पीक एप्लीकेशन लेवल अटैक पावर: 3.8 हजार HTTP अनुरोध / एस
• हमले में शामिल आईपी पतों की संख्या: लगभग 135 हजार

नैतिक?

• क्लाउड एप्लिकेशन आर्किटेक्चर सभी बीमारियों के लिए रामबाण नहीं है। परिस्थितियों के अनुकूल सेट के साथ भी, आप स्थानिक यातायात के पूर्ण प्रसंस्करण के लिए क्लाउड द्वारा खर्च किए गए संसाधनों के लिए एक बहु-मूल्यवान बिल का सामना कर रहे हैं। कम आशावादी पूर्वानुमान - स्थिरता और प्रदर्शन के साथ गंभीर समस्याएं और, परिणामस्वरूप, सबसे महत्वपूर्ण क्षण में डाउनटाइम।
• कोई अत्यधिक लोड किए गए एप्लिकेशन को लोड परीक्षण से छुटकारा नहीं दिया जा सकता है। न तो क्लाउड में होस्टिंग, न ही सर्वर प्लेटफॉर्म और फ्रेमवर्क की प्रतिष्ठा, और न ही पहले से खरीदे गए गीगाबिट चैनल, स्क्रिप्ट में अड़चन की अनुपस्थिति की गारंटी, डेटाबेस स्कीमा में, और क्वेरी प्रोसेसिंग लॉजिक में। एक लोड किए गए एप्लिकेशन के प्रदर्शन में थोड़ा अंतर होना चाहिए और गणना या मानक भार के कम से कम 115% का सामना करना होगा - केवल यह न्यूनतम झूठी सकारात्मक के साथ उच्च गुणवत्ता वाले फ़िल्टरिंग को सुनिश्चित करेगा।
• वैसे, प्रदर्शन के बारे में। यदि आपका सर्वर अक्सर एक सेकंड से अधिक समय तक उत्तर के बारे में सोचता है, तो यह बहुत अधिक संभावना है कि आपके पास बड़ी समस्याएं हैं जिन्हें सिस्टम के उत्पादन से पहले हल करने की आवश्यकता है!
• यदि साइट अब बाहर से सुलभ नहीं है, तो शांत रहें और शांत रूप से अपनी क्षमताओं का आकलन करें। उत्पादन पर एक साइट को गर्म करने से एक छिद्र बंद हो सकता है, लेकिन यह तीन नए खोल देगा और आपके रास्ते वापस काट देगा। सभी उपलब्ध बचाव अवसरों पर विचार करें और कीमत और गुणवत्ता के मामले में उनसे सर्वश्रेष्ठ चुनें।
• मैं दोहराता हूं: जितनी जल्दी आपका आवेदन सुरक्षित होगा, उतना ही खाली समय आपके और आपके सिस्टम प्रशासकों के लिए काम करने, आराम करने और अपने आदर्शों के लिए लड़ने के लिए रहेगा।