लड़ डीडीओएस आंखें हाईलोड लैब

हाईलोड लैब और क्रिएटर ट्रैफिक फ़िल्टरिंग नेटवर्क अलेक्जेंडर ल्यामिन के निर्माता डीडीओएस हमलों में प्रवृत्तियों और रुझानों के बारे में बात करते हैं। हमने साल की शुरुआत में साक्षात्कार किया था, लेकिन अब तक थोड़ा बदल गया है



DDoS हमले इंटरनेट की भोर में दिखाई दिए। मेरे लिए उनके साथ व्यक्तिगत रूप से 2003 में IT टेरिटरी प्रोजेक्ट के दौरान शुरू हुआ, जब खेल सिर्फ लॉन्च किया गया था। उसके पास एक आक्रामक विज्ञापन अभियान था, जिसके जवाब में प्रतियोगियों के DDoS ने तुरंत उड़ान भरी। सच कहूँ तो, मैं उलझन में था। इस तथ्य के कारण कि कंपनी होस्टिंग सेवाएँ प्रदान करती है, न केवल इस कारण से, बल्कि हमले से लड़ने के लिए नहीं चाहती थी। इसके प्रतिनिधियों ने कहा कि यह उनकी समस्या नहीं थी।

सचमुच रात भर, हमने आवेदन की संरचना को पुनर्निर्मित किया और इसे फिर से बनाया। संसाधन बढ़ गए हैं, लेकिन हमले ने आवेदन स्तर पर काम करना बंद कर दिया है। हमलावरों ने हमले को नेटवर्क स्तर पर स्थानांतरित कर दिया, जिसके परिणामस्वरूप होस्टिंग कंपनी का पूरा नेटवर्क काट दिया गया। फिर वह पहले से ही कुछ करने के लिए अनुरोध के साथ हमारे पास आया। इस सवाल पर "क्या करना है?" जवाब था: "ठीक है, किसी भी तरह से सहमत हैं, आप जानते हैं कि कौन आप पर हमला कर रहा है।" स्वाभाविक रूप से, हम नहीं जानते थे और सहमत नहीं हो सकते थे। और आतंकवादियों से कैसे बातचीत करें?

कंपनी, जो, ऐसा लगता है, ग्राहकों का ध्यान रखना चाहिए, कुछ भी नहीं किया। और इसलिए नहीं कि यह खराब है और होस्टिंग खराब गुणवत्ता की है, बल्कि इसलिए कि वह कुछ नहीं कर सकती थी।

सबसे लोकप्रिय DDoS हमले हैं, ज़ाहिर है, बोटनेट का उपयोग करके आयोजित किए गए हमले। यह वितरित हमले करने का एक सस्ता तरीका है।

किसी हमले की लागत इस बात पर निर्भर करती है कि इसे कैसे लागू किया जाता है। प्रदर्शन करने वाला एक छात्र हो सकता है जो खुद कुछ लिख चुका है और बीयर, या शायद एक संगठित समूह के लिए काम करने के लिए तैयार है।

इस प्रकार के हमले हैं जो आधा मिलियन रूबल या अधिक खर्च करने की अफवाह हो सकते हैं। हम मूल प्रकार के हमलों को अलग करते हैं: पांच हजार बॉट तक, आवेदन स्तर पर संचालन, एक रणनीति। कलाकार के लिए कुछ भी जटिल नहीं है - मुझे WMZ मिला, एक बटन दबाया, बीयर पीने गया। इसकी लागत प्रति दिन $ 30-100 है। लेकिन एक अलग तरह के हमले होते हैं, जब यह स्पष्ट होता है कि टीम काम कर रही है, और यह परिणाम पर 24/7 काम करता है। यदि वह एक परिणाम प्राप्त करने में असमर्थ है, तो वह लगातार हमले के तरीकों को बदल देती है, अपनी रणनीति बदलती है, एक कमजोर स्थान खोजने की कोशिश करती है और टूट जाती है। बेशक, यह प्रति दिन $ 100 से दूर है।

रूस अधिक परिष्कृत हमलों के साथ अन्य देशों के बीच खड़ा है। हमारे हमले कितने जटिल हैं, इससे यूरोपीय हैरान हैं। उदाहरण के लिए, हमें हाल ही में एक कंपनी द्वारा संपर्क किया गया था जो रूसी बाजार में काम करती है, लेकिन इसकी सभी सूचना संरचनाएं प्रमुख यूरोपीय डेटा केंद्रों में से एक में स्थित हैं। जब कंपनी ने हमसे संपर्क किया, तो डेटा सेंटर ने गंभीर समस्याओं का अनुभव किया और यह अनुपलब्ध था। हमने अपने नेटवर्क पर कंपनी प्राप्त करने के लिए तैयार किया और संगरोध उपकरणों को गर्म कर दिया, जिससे कुछ असाधारण की उम्मीद थी, क्योंकि डेटा सेंटर "मर गया" था! जब हमने देखा कि हमारे आश्चर्य क्या था, हालांकि हमला औसत से ऊपर के स्तर पर किया जाता है, यह कुछ विशेष का गठन नहीं करता है।

DDoS को जवाबदेह बनाए रखने के मामलों में विधान बेहद कमजोर है, यही वजह है कि हमलावरों को दोष के साथ कारक लगता है। एक योग्य प्रोग्रामर के लिए, आदेश पर DDoS हमलों का संचालन करना एक बिल्कुल सुरक्षित और लाभदायक व्यवसाय बन जाता है, जिससे आय बाजार में वर्तमान वेतन से दस गुना अधिक हो सकती है।

DDoS के लिए उद्देश्य, एक नियम, धन और सिर्फ व्यक्तिगत शत्रुता के रूप में हैं। हम वास्तव में एक सूचना समाज में रहते हैं। सूचना के प्रसार की गति इसे सीधे प्रभावित करती है। सूचना के स्रोत को अवरुद्ध करके, आप समाज को अपरिवर्तनीय रूप से प्रभावित कर सकते हैं। तदनुसार, DDoS किसी भी सूचना के स्रोत को आवश्यक समय के लिए अवरुद्ध करने का एक प्रभावी साधन है।

एक उदाहरण साइट Slon.ru है। साइट ने काम किया, सब कुछ लोड हो रहा था, लेकिन हमला कम नहीं हुआ। ऐसे हमलों को संयुक्त हमले कहा जाता है। जब वे हमारे पास आए, तो वह पट्टी के लिए एक नेटवर्क स्तर पर नेतृत्व किया गया था। जब हमलावरों ने देखा कि पट्टी भरने से कोई परिणाम नहीं मिलता है, तो एक आवेदन-स्तर का हमला शुरू हुआ। हमले का संचालन करने के लिए इस्तेमाल किए गए बोटनेट में लगभग 200-270 हजार बॉट शामिल थे।

उच्च प्रतिस्पर्धा वाले इंटरनेट व्यवसाय के सबसे संकरे क्षेत्र DDoS हमलों के लिए अतिसंवेदनशील हैं । एक अच्छा उदाहरण वंश द्वितीय समुद्री डाकू क्लोन है। ऐसी सेवाएं आम तौर पर एक अलग कहानी होती हैं, क्योंकि वे विशुद्ध रूप से व्यावसायिक होती हैं। अगर दो बजे सुबह कोई ICQ में आप पर दस्तक देता है, और चार में स्पेलिंग की गलतियाँ करता है, तो माँगें (!) कि आप उसकी तुरंत मदद करें, इसमें कोई शक नहीं है कि वह वही है! वंशज समुद्री डाकू प्रशासक!

वे साइटें जहां यह उम्मीद करना मुश्किल है कि उन्हें DDoS हमलों के अधीन किया गया है। उदाहरण के लिए, हमारे पास ऐसा आंतरिक मेम है - "देवदार बैरल"। एक ऑनलाइन स्टोर, जिस पर आप विश्वास नहीं करेंगे, देवदार बैरल बेचता है, एक गंभीर DDoS हमला हुआ है। यह एक बहुत ही संकीर्ण, अत्यधिक प्रतिस्पर्धी प्रकार की गतिविधि है, जो स्पष्ट रूप से, अच्छा लाभ लाती है।

DDoS का तकनीकी पक्ष

हमें हमलों को वर्गीकृत करने की आवश्यकता क्यों है? समझने के लिए, अपने काम के तंत्र को छाँटने और पर्याप्त मात्रा में प्रतिवाद करने के लिए।

हमारे कार्यशाला के सहयोगी किसी तरह हमलों को वर्गीकृत करने की कोशिश कर रहे हैं। एक साइट पर आप आईसीएमपी स्पूफ, डीएनएस एम्प्लीफिकेशन, टीसीपी एसवाईएन बाढ़, टीसीपी आरएसटी बाढ़ - लोग सूची हमले की तकनीक पा सकते हैं। बहुत सारे डरावने पत्र हैं जो औसत उपयोगकर्ता के लिए कोई मतलब नहीं है। ऐसा वर्गीकरण हमें शोभा नहीं देता।

हम हमलों को बहुत सरल रूप से वर्गीकृत करते हैं: अनुप्रयोगों पर हमला, बैंडविड्थ पर हमले (गति को गीगाबिट्स / एस में मापा जाता है), नेटवर्क के बुनियादी ढांचे पर हमले (गति प्रति सेकंड पैकेट में मापा जाता है), परिवहन परत (टीसीपी / आईपी स्टैक) पर हमले।

लुगदी ही आवेदन स्तरीय है। क्यों? क्योंकि एप्लिकेशन-स्तर के हमलों में अधिकतम लाभ होता है। उत्तोलन हमलावरों के पक्ष में आवश्यक संसाधनों का अनुपात है जो आवेदन के पक्ष में (बचाव पक्ष की ओर) आवश्यक संसाधनों के लिए है।

कुछ औसत ऑनलाइन स्टोर ले लो। आप एक लिंक, एक नियमित लिंक, प्रति सेकंड हिट की एक निश्चित संख्या पा सकते हैं, जो इस स्टोर को पूरी तरह से मार देगा। ऐसे कई अनुप्रयोग हैं, और उन्हें मारने के लिए, कभी-कभी एक बॉटनेट की आवश्यकता नहीं होती है - एक सेल फोन EDGE के साथ भी पर्याप्त है, लेकिन जीपीआरएस के साथ। प्रति सेकंड चार से पांच अनुरोध, और एप्लिकेशन को बहिर्वाह में फेंक दिया जाता है और सर्वर रिबूट होने तक वहां से बाहर नहीं निकल सकता है। यह एप्लिकेशन-स्तरीय हमलों की लोकप्रियता के कारण है।

एक परिवहन परत भी है - टीसीपी / आईपी स्टैक पर लक्षित हमले। इस प्रकार में SYN-बाढ़, RST-बाढ़ या फिन-वे जैसे हमले शामिल हैं - अब गलत कनेक्शन बंद होने के साथ एक फैशनेबल हमला, जो कि, एक प्रोटोकॉल विनिर्देशन भेद्यता का शोषण करता है, कार्यान्वयन नहीं।

सबसे लोकप्रिय तरीकों में डीएनएस प्रवर्धन शामिल है। एक हैंडशेक के बिना किसी भी आईडीपी आधारित नेटवर्क सेवा को खोजने के लिए पर्याप्त है, एक गलत स्रोत के साथ आकार एन का एक पैकेट भेजें और बदले में एक एन एक्स के के पैकेट प्राप्त करें। इस मामले में, एक वितरित हमले को लागू करने के लिए आपको आईपी पते की एक सूची होनी चाहिए जो इन सेवाओं में से एक है, एक बहुत अच्छी तरह से जुड़ा हुआ है। एक गीगाबिट सर्वर जो पीड़ित के आईपी पते के साथ इन "रिफ्लेक्टर" को पैकेट जारी करेगा। पैकेट पीड़ित के पास जाएगा और उसके थ्रूपुट को शून्य तक कम कर देगा और ऑपरेशन से बाहर कर देगा। यह एक DNS सर्वर है - UDP 53, जहां आप ज़ोन पर एक पुनरावर्ती क्वेरी के रूप में ऐसा काम कर सकते हैं। अपने आप से, यह छोटा है, लेकिन इसका जवाब लंबा होगा। K हमले के गुणांक को और बढ़ाने के लिए, ये सर्वरों को कुछ बड़े नकली डोमेन ज़ोन के साथ "फीड" करने के लिए पर्याप्त है। उन्हें दोबारा प्राप्त करना, एक नकली शिकार पते के साथ, आप कई बार K बढ़ा सकते हैं। दूसरा विकल्प NTP है, एक समय सिंक्रनाइज़ेशन प्रोटोकॉल जिसमें खराब कॉन्फ़िगर सर्वर के साथ इस तरह की कमजोरियां भी हैं।

एक SYN बाढ़ हमला टीसीपी प्रोटोकॉल के साथ एक साथ दिखाई दिया। मेरी राय में, 1982 में, मैं उनसे पहली बार मिला था। अजीब तरह से पर्याप्त है, यह आज तक प्रभावी है। इतिहास एक सर्पिल में विकसित होता है। प्रति सेकंड एक सौ से पांच सौ SYN प्रश्न, निश्चित रूप से, एक चरण लंबा चला गया है। वर्तमान में, पर्याप्त प्रसंस्करण शक्ति के साथ, आप आसानी से प्रति सेकंड 10 मिलियन पैकेट का आंकड़ा पार कर सकते हैं।

कनेक्शन अनुरोध के साथ एक पैकेट भेजने के समय, साथी को एक अनुक्रम संख्या उत्पन्न करनी चाहिए (और इसके लिए गणना की आवश्यकता होती है, क्योंकि यह एक यादृच्छिक, क्रिप्टोग्राफ़िक संख्या होनी चाहिए) और इसके स्टैक में एक विशिष्ट रिकॉर्ड बनाएं। इसके लिए संसाधनों, संसाधनों और एक बार फिर संसाधनों की आवश्यकता होती है। एक पैकेट भेजने के लिए, इसके ट्रैफ़िक को जनरेट करने के लिए, सर्वर साइड पर की जाने वाली क्रियाओं की तुलना में बहुत कम संसाधनों की आवश्यकता होती है। हमें हमले का कंधा मिला।

समस्या प्रोटोकॉल में ही मौजूद है, इसके विनिर्देश में। जब टीसीपी / आईपी स्टैक विकसित किया जा रहा था, तो किसी ने नहीं सोचा था कि नोड्स की संख्या के संदर्भ में इंटरनेट इस तरह के पैमाने पर बढ़ेगा, इतनी गति तक पहुंच जाएगा और, महत्वपूर्ण रूप से, खुद के माध्यम से इतना पैसा पंप करेगा।

ऐसे हमले हैं जो बोटनेट का उपयोग नहीं करते हैं। परावर्तन तंत्र का उपयोग करके एक वितरित आक्रमण भी किया जा सकता है। शैली के क्लासिक्स प्रतिबिंब और शक्ति में वृद्धि के साथ डीएनएस प्रवर्धन हमले हैं।

इंफ्रास्ट्रक्चर पर हमले नेटवर्क इंफ्रास्ट्रक्चर के आसपास होने वाली हर चीज को प्रभावित करते हैं: प्रोटोकॉल और उपकरण स्वयं, यदि प्रबंधन मॉड्यूल का ओपन आईपी एड्रेस है।

नेटवर्क-स्तरीय हमले क्या हैं? बस 56 जीबीपीएस की एक पट्टी भरें - इसे क्लस्टररी सॉर्ट कहा जाता है। यह आखिरी उपाय है जब कुछ और मदद नहीं करता है। इस तरह के हमले बहुत ही महंगे और विनाशकारी होते हैं, न केवल पीड़ित के लिए, बल्कि हर किसी के लिए जो "पास में खड़ा है।" एक नियम के रूप में, वे दो या तीन दिनों से अधिक समय तक नहीं रह सकते हैं, क्योंकि वे हमले के स्रोतों में भी समस्याएं पैदा करना शुरू कर देते हैं - वे नेटवर्क जहां से इसे किया जाता है।

बोटनेट्स का उपयोग करते हुए बुनियादी हमले, जिनमें लगभग 200 बॉट हैं और कुछ भी नहीं कर सकते हैं, लेकिन रूट प्राप्त करते हैं, सिद्धांत रूप में, एक अच्छी तरह से लिखित संसाधन के लिए समस्या नहीं होनी चाहिए।

DDoS सुरक्षा के बारे में

आप किसी भी हमले से अपनी रक्षा कर सकते हैं। हमें इसमें कोई संदेह नहीं है।

आमतौर पर, जब एक क्लाइंट पर DDoS का हमला शुरू होता है, तो होस्टर को इसे बंद करने से ज्यादा चालाक नहीं लगता है, क्योंकि यह डर है कि अन्य ग्राहक भी गिर जाएंगे।

जब कोई ग्राहक हमारे पास आता है, तो हम समझाते हैं कि उसे DNS को हमारे आईपी पते पर ट्रांसलेट करना होगा (जो हम उसे देते हैं)। इसके अलावा, पहले से ही नेटवर्क पर सामने आने वाले क्लाइंट के प्रत्यक्ष आईपी पर हमले से बचने के लिए, आपको कम से कम इसे बदलना होगा, और इस आईपी को अधिकतम रूप से बदलना होगा - और इसके अलावा iptables या फ़ायरवॉल सेटिंग्स का उपयोग करते हुए हमारे अलावा सभी आईपी पते छिपाएं।

जैसे ही DNS को फिर से बनाया जाता है, फ़िल्टरिंग शुरू हो जाती है। और फिर मजेदार हिस्सा होता है - फ़िल्टर प्रशिक्षण। आमतौर पर हम अपने लिए बार निर्धारित करते हैं: हमले के दो घंटे बाद, ग्राहक के संसाधन को काम करना शुरू कर देना चाहिए। और सामान्य तौर पर, हम इसे खड़ा करते हैं।

हमारी Qrator सेवा की सुरक्षा प्रणाली कई गणितीय निर्माणों पर आधारित है। यैंडेक्स आमतौर पर सवाल का जवाब कैसे देता है "आपकी खोज कैसे व्यवस्थित है?" हाँ, सरल! हम पाठ, टोकन, डिवाइडर लेते हैं, इंडेक्स, रैंक का निर्माण करते हैं। हमारे पास एक ही चीज है, केवल हम ट्रैफ़िक का विश्लेषण और फ़िल्टर करने की समस्या को हल करते हैं। बहुत सारे लोग उसके फैसले में व्यस्त हैं।

व्यवहार विश्लेषण सबसे प्रभावी यातायात फ़िल्टरिंग विधियों में से एक है। हम साइट को संक्रमण वृक्ष मानते हैं। पेड़ के नोड्स में पृष्ठ हैं, और किनारों में हम संक्रमण की संभावना और संक्रमण में देरी करते हैं। यह सरल तथ्य पर आधारित है कि रोबोट और लोग वेब पेजों को अलग-अलग तरीकों से देखते हैं। जब प्रशिक्षण के लिए पर्याप्त समय होता है, तो लोग इन बदलावों - पथों में कुछ मुहरों को "रौंद" देते हैं। सभी आगंतुक जो उनसे बाहर आते हैं, वे एक डिग्री या दूसरे, रोबोट के साथ हैं। सब कुछ सरल लगने लगा है। दूसरी ओर, यदि आप यह पता लगाते हैं कि प्रसंस्करण के लिए कितनी मेमोरी और कंप्यूटिंग संसाधनों की आवश्यकता होगी, तो आपको एहसास होगा कि, शायद, वर्तमान कंप्यूटिंग शक्ति के साथ यह इतना सरल नहीं है।

यदि कोई ग्राहक हमारे पास पहले से ही हमले के तहत आता है, तो हमले पर प्रशिक्षण ... असंभव नहीं है, लेकिन मुश्किल है। अक्सर इसके लिए एक इंजीनियर द्वारा निगरानी की आवश्यकता होती है। यही कारण है कि हम हमले के तहत कनेक्ट करने के लिए कुछ अतिरिक्त शुल्क लेने के लिए मजबूर हैं।

हम DDoS हमले से पहले अपने नेटवर्क से जुड़ने की सलाह देते हैं। बेशक, हम हमले के तहत प्रशिक्षण के समय को कम करने की कोशिश करते हैं। हमारे पास एक सप्ताह तक नहीं है, सिस्को गार्ड की तरह (यह हमारा लोहे का प्रतियोगी है, जिसे बंद कर दिया गया है), लेकिन केवल कुछ घंटे।

जो कोई भी कहता है कि झूठे सकारात्मक के पास शून्य है वह एक क्वैक है। गलत सकारात्मक (जब वैध आगंतुकों को ब्लैकलिस्ट किया जाता है), दुर्भाग्य से, अपरिहार्य हैं। यदि केवल इसलिए कि समीपताएं हैं, तो NAT हैं, बस ऐसे लोग हैं जो सामान्य उपयोगकर्ताओं की तरह व्यवहार नहीं करते हैं। एक क्लासिक उदाहरण साइट प्रशासक हैं। व्यवस्थापक सर्वर को 30, 40 और यहां तक ​​कि 100 उपयोगकर्ताओं के रूप में लोड कर सकता है।

हमें सिस्को गार्ड के साथ एक शिकायत थी: जब आप एक हमले वाली सेवा को इससे जोड़ते हैं, तो इस बात की परवाह किए बिना कि वहां एक इंजीनियर है या नहीं, पहले दिन सेवा इस तरह से काम करती है कि यह बेहतर होगा अगर यह बिल्कुल भी काम नहीं करता है। इससे यह स्पष्ट हो गया कि अनुप्रयोग प्रोटोकॉल के शब्दार्थ को समझे बिना आवेदन स्तर पर DDoS हमलों से रक्षा करना असंभव है। व्यवहार विश्लेषण के रूप में शब्दार्थ विश्लेषण की आवश्यकता होती है।

हम स्पष्ट रूप से समझते हैं कि "सिल्वर बुलेट" नहीं है: जो कुछ परिस्थितियों में अच्छी तरह से काम करेगा वह दूसरों में काम नहीं करेगा। Qrator क्लासिफायर एल्गोरिदम का एक जटिल समूह है जो मतदान प्रणाली बनाता है। हम उपकरण विकसित करने और उन्हें जोड़ने की कोशिश कर रहे हैं और उम्मीद है कि निकट भविष्य में हमें कुछ अन्य प्रभावी तरीके मिलेंगे। कुछ विचार पहले से हैं।

10 मिलियन जीबी की सफाई करने में सक्षम आर्बर से लगभग एक मिलियन डॉलर की लागत आएगी । साथ ही एक व्यक्ति, प्लस चैनल क्षमता ... एक ही समय में, हमलों को एक महीने और डेढ़ के लगभग 10 Gbit / s से अधिक गति से देखा जाता है।

हम दो प्रकार के बैंडों को भेद करते हैं: सक्रिय और निष्क्रिय। सक्रिय लेन में, आप किसी भी टीसीपी कनेक्शन को समाप्त और विश्लेषण कर सकते हैं और उस पर निर्णय ले सकते हैं। एक निष्क्रिय बैंड एक बैंड है जिसके लिए आपको थोड़ा मुखौटा सेट करने की आवश्यकता होती है जिसके द्वारा ट्रैफ़िक में कटौती की जाएगी। इस प्रकार, वहाँ कुछ बौद्धिक नहीं काटा जा सकता है। यदि हम सक्रिय लेन के बारे में बात करते हैं, तो हमारे लगभग सभी ट्रैफिक प्रदाता, यदि आवश्यक हो, तो एक विशिष्ट पते से यूडीपी को ब्लॉक करें, एक विशिष्ट हस्ताक्षर के अनुसार सभी आईसीएमपी या आईसीएमपी। इस पट्टी पर, हम चुपचाप 57 Gbps रहते थे। हमें यकीन है कि हम और अधिक जी सकते हैं। इस तरह के हमलों से कोई समस्या नहीं होती है, सिवाय इस बैंड के भुगतान की आवश्यकता के, यानी हम निष्क्रिय बैंड के लिए 100 से अधिक Gbps के आंकड़े के बारे में बात कर रहे हैं। जैसा कि रूसी बाजार पर DDoS हमलों के साथ स्थिति से होता है, यह काफी पर्याप्त है।

खरीदे गए आर्बर के ऊपर Qrator (एक सेवा के रूप में) का लाभ यह है कि हमारा समाधान एक बिंदु समाधान नहीं है। नेटवर्क BGP-AnyCast पर बनाया गया है, हम विशेष रूप से ट्रंक ऑपरेटरों को स्थापित करने के लिए चुनते हैं। हम केवल सार्वजनिक विनिमय पर रोक नहीं लगाते क्योंकि यह सेवा की गुणवत्ता की गारंटी नहीं देता है। नेटवर्क हमारे अपने मॉडलिंग एल्गोरिदम के लिए धन्यवाद विकसित कर रहा है। हम इसे बनाते हैं ताकि नेटवर्क तत्वों पर लोड को कम या ज्यादा समान रूप से वितरित करना संभव हो।

उपस्थिति के बिंदु के अंदर, सिस्टम भी स्केलेबल है। एक बिंदु हार्डवेयर का एक टुकड़ा नहीं है, उनमें से कई हैं। संगरोध उपकरण है कि कुछ हमलों पर भूमि।

हमने एक मॉडल बनाया है जो गणितीय रूप से गणना करने की अनुमति देता है कि कुछ बीजीपी घोषणाएं दिखाई देने पर इंटरनेट पर ट्रैफ़िक कैसे वितरित किया जाएगा। यह हमें सामंजस्यपूर्ण रूप से विकसित करने और एक नेटवर्क बनाने की अनुमति देता है जो वास्तव में नोड्स में संतुलित हो सकता है।

हम एक टेलीकॉम ऑपरेटर से बंधे नहीं हैं और उन सभी ऑपरेटरों के बीच जोखिम वितरित करने का प्रयास करते हैं जिनके साथ हम काम करते हैं।

हमने लंबे समय तक टीसीपी / आईपी स्टैक का पता लगाने की कोशिश की, फ्री बीएसडी और लिनक्स को देखा, और आखिरकार इस निष्कर्ष पर पहुंचे कि हमें इसकी वर्तमान स्थिति में स्टैक पसंद नहीं था। हमारे पास टीसीपी / आईपी का अपना हल्का संस्करण है, जो वर्तमान अल्पकालिक प्रोटोकॉल, तेज टीसीपी कनेक्शन पर बहुत अच्छा व्यवहार करता है।

हम इस तथ्य को नहीं छिपाते हैं कि फ़िल्टरिंग नोड लिनक्स चला रहा है। लिंकस एक कंटेनर है जिसमें मंच का प्रबंधन किया जाता है और व्यवहार विश्लेषण के लिए आवश्यक गणितीय परिवर्तन किए जाते हैं। टीसीपी स्टैक का एक महत्वपूर्ण हिस्सा टीसीपी कार्ड में ही रहता है, इसलिए, वास्तव में, हमें ऐसी अच्छी गति / पैकेट प्रसंस्करण संकेतक मिले। हमारे फ़िल्टरिंग नोड्स में से एक 6 Gbps ट्रैफ़िक को शॉवेल करने में सक्षम है।

आप बुनियादी हमलों से अपनी रक्षा कर सकते हैं। ऐसा करने के लिए, आपके पास समर्पित होस्टिंग, साथ ही साथ मॉड्यूल और वेब सर्वर के आपके संस्करण को संकलित करने की क्षमता होनी चाहिए। इस विषय पर बहुत सारे लेख लिखे गए हैं, और मैं शायद आपको 2008 के मेरे लेख का संदर्भ दूंगा (आप इसे ब्लॉग पर highloadlab.ru पर पा सकते हैं)। यह पहले लेखों में से एक है जिसमें यह आसानी से बताया गया है कि इसे क्या और कैसे करना है। मैं यह भी सलाह देता हूं कि आप "प्रैक्टिकल गाइड टू सर्वाइविंग डीडीओएस" की प्रस्तुति से परिचित हों, जिसे हमने 2009 में हाईलोड ++ में दिखाया था।

हमने हैबे पर लेख लिखने की कोशिश की और एक उद्योग सम्मेलन में बताया कि आधार स्तर के हमलों से स्वतंत्र रूप से कैसे बचाव किया जाए। लेकिन, दुर्भाग्य से, इसका कोई प्रभाव नहीं पड़ा।

बॉटनेट के बारे में

DDoS एक बॉटनेट को मुद्रीकृत करने के तरीकों में से एक है, लेकिन किसी भी तरह से सबसे अधिक लाभदायक नहीं है। अभी भी स्पैम, धोखाधड़ी, विज्ञापन क्लिक आदि हैं।

मैंने एक बहुत पुरानी प्रस्तुति के लिए स्लाइड पर बॉटनेट गुणों को सूचीबद्ध किया है । जब मैंने वह स्लाइड बनाई, तो यह मुझे बिल्कुल सही लगा:

• लालच। एक बोटनेट प्रति यूनिट समय के अनुसार जितना संभव हो उतना नुकसान करने की कोशिश करता है।
• Defectiveness। बॉटनेट ब्राउज़र नहीं है। यह किसी प्रकार का HTTP स्टैक है जिसे वर्म में बनाया गया है। , , JS- .
• . — , , . , .
• . «».
• .

कुछ साल पहले, पहली बार हमने एक धीमा बॉटनेट देखा जो लालची नहीं था ... उसने हर पांच मिनट में एक बिल्कुल वैध अनुरोध किया। हम आश्चर्यचकित थे, लेकिन एक ही समय में बॉटनेट, 75 हजार बॉट की संख्या, अभी भी समस्याएं पैदा कर रही थीं। यह फ़िल्टर करने का प्रयास करें।

अब ऊपर सूचीबद्ध सभी वस्तुओं में, केवल एक ही बचा है - बॉटनेट की स्व-संरक्षण की इच्छा। बोटनेट लंबे समय से लालची नहीं हैं, बेवकूफ नहीं हैं और दोषपूर्ण नहीं हैं। अब हम जावा स्क्रिप्ट, रीडायरेक्ट, कुकीज़ के साथ पूर्ण-विकसित न्यूनतम वेब ब्राउज़र से निपट रहे हैं।

20,000 वें बॉटनेट के सदस्यों को कमांड वितरित करना, यह देखते हुए कि बॉट कनेक्शन का सर्जक है, सबसे तुच्छ कार्य नहीं है।एक नियम के रूप में, हमारे आश्चर्य के लिए नियंत्रण पैनल, एक ही लैम्प स्टैक (लिनक्स, अपाचे एचटीटीपी सर्वर, माईएसक्यूएल और पीएचपी) पर लिखे गए हैं। 2010 तक, पीड़ित के संसाधन की दिशा में पांच-हजार बॉटनेट की तैनाती में 30-40 मिनट लगते थे।

2010 में, पी 2 पी का उपयोग करके बॉटनेट प्रबंधन का आयोजन किया जाने लगा। लोगों ने केवल सुपरफास्ट कमांड देना शुरू किया: पांच से छह मिनट के भीतर, 10-20 हजार बॉट के साथ एक बॉटनेट अपने अंदर कमांड को फैला सकता है और संसाधन पर तैनात कर सकता है।

बोटनेट उपयोगकर्ताओं के व्यवहार का सही-सही पता लगाने की कोशिश करता है ताकि उनके पता लगाने और छानने में दिक्कत हो, बॉटनेट के शरीर पर प्रकाश डाला और उसे अवरुद्ध किया।

उदाहरण के लिए, इतने लंबे समय से पहले मिनरबॉट बॉटनेट की गतिविधि में कोई उछाल नहीं था कि बिटकॉइन खनन कर रहा है।यह एक रेफरल के बिना कवर पेजों पर आता है, बेतरतीब ढंग से लिंक का अनुसरण करता है और वास्तव में सिस्को और आर्बर जैसे समाधानों के लिए समस्याएं पैदा करता है। वे माइनरबोट को फ़िल्टर करने में सक्षम नहीं हैं, क्योंकि इसमें कोई भी दोष नहीं है जो इन समाधानों का पता लगाने के उद्देश्य से है।

बोटनेट भी पारस्‍परिक होना बंद हो गए हैं - क्षेत्र द्वारा डाउनलोड आसानी से बेचे जाते हैं। पहली बार हमने इसे 2009 में देखा था, जब 1,500 "बॉटनेट" हमारे लिए आया था, और सब कुछ साफ सीआईएस है।

"सोते हुए बॉटनेट" क्या हम एक नहीं बल्कि फैशनेबल हमले कहते हैं।बॉटनेट को पता चलता है कि यह सब फ़िल्टर्ड है, एक कमांड जारी करता है और केंद्रीय रूप से हमले को रोकता है। उसके बाद, बॉटनेट का यादृच्छिक सदस्य परीक्षण अनुरोध भेजता है, फ़िल्टर बंद होने की प्रतीक्षा करता है। जैसे ही यह बंद होता है, हमला तीन से पांच मिनट के भीतर पूरा हो जाता है। यह खतरनाक है क्योंकि इस तरह के हमले अनिश्चित काल तक रह सकते हैं - यह किसी भी संसाधनों का उपभोग नहीं करता है, बोटवूड के दृष्टिकोण से।

अलग-अलग बॉटनेट एक-दूसरे से महान हैं। हमले की तकनीक लगातार बदल रही है।

करोड़पति बॉटनेट के साथ, एक बहुत ही दिलचस्प स्थिति देखी जाती है।पिछले कुछ वर्षों में, जो लोग अपना बॉटनेट प्राप्त करना चाहते हैं, उनकी संख्या में काफी वृद्धि हुई है। एक सरल प्रयोग: एक ईमानदार IP पते पर Windows XP SP1 को रखें। जब तक आप वेब ब्राउज़र को नहीं खोलेंगे, तब तक वह उस पर "भूमि" से पहले कितनी देर तक जीवित रहेगा? अधिकतम पाँच मिनट। कई टीमें हैं जो बॉटनेट के शरीर को बढ़ाने के लिए संघर्ष करती हैं, और कमजोर सिस्टम की आपूर्ति बेहद सीमित है। तदनुसार, बोटनेट की संख्या बढ़ रही है, लेकिन उनका आकार धीरे-धीरे लेकिन निश्चित रूप से घट रहा है। बॉटनेट्स पहले से ही इंटरसेक्ट करना शुरू कर रहे हैं, यानी एक कंप्यूटर एक साथ कई बॉटनेट का सदस्य है।

लाखों कंप्यूटरों के लिए बोटनेट कम से कम होते जा रहे हैं। उनके पास बिल्कुल जेडी हैं। :)

हमारे पास इंजीनियर को बोटनेट कोड को उलटने की क्षमता नहीं है, क्योंकि हमारे पास उसके शरीर को हटाने के लिए प्रशासनिक क्षमता नहीं है और सबसे महत्वपूर्ण बात यह है कि हमारे पास अपने स्वयं के विशेषज्ञ नहीं हैं जो विंडोज सिस्टम के लिए इंजीनियर कोड को उल्टा कर सकते हैं।

हाईलोड लैब के बारे में

DDoS हमलों में शामिल होने का विचार हमारे साथ मास्को स्टेट यूनिवर्सिटी में आया। हमने देखा कि कैसे सरकारी संसाधनों के बाहरी संसाधनों की स्थिरता और एक पूरे के रूप में रूस में वेब अनुप्रयोगों की स्थिरता है। यह स्पष्ट हो गया कि हमारी सेवाओं की मांग बढ़ने की संभावना है। सब के बाद, एक गिर ऑनलाइन स्टोर केवल उसके मालिक की समस्या है, लेकिन एक गिर गया कर निरीक्षण पूरे देश की समस्या है।

अनुसंधान शुरू करें - यह मेरी व्यक्तिगत पहल थी। विश्वविद्यालय ने बुनियादी ढांचा प्रदान किया, मैंने अपने पैसे से उपकरण खरीदे।

2008 में, हमारे पास एक विचार था।2009 में, उत्पाद का एक बीटा संस्करण दिखाई दिया, जिसे हमने 2010 के अधिकांश के लिए खुले बीटा में परीक्षण किया। हमने अपनी साइट पर संकट में किसी भी परियोजना की मेजबानी की। यह स्पष्ट हो गया कि सीमित विश्वविद्यालय के बुनियादी ढांचे के साथ भी हम इस कार्य को अच्छी तरह से कर रहे हैं। उदाहरण के लिए, हमने समाचार पत्र Vedomosti की मदद की। यह बहुत अच्छा था। :)

हमें व्यावसायीकरण की आवश्यकता से संकेत दिया गया था: जून 2010 में, जब विश्वविद्यालय नेटवर्क की अधिकतम क्षमता 10 जीबी थी, तो 12.5 जीबी का एक हमला हम पर हुआ। हमले से पता चला कि फिल्टर मुकाबला कर रहे हैं, और हम आसानी से एक अधिक शक्तिशाली हमले को दूर कर सकते हैं, लेकिन हमें चैनल क्षमताओं की आवश्यकता है। यह एक मूल्यवान और महंगा संसाधन है, लेकिन मैं या तो खोना नहीं चाहता ... हमारे पास अपने स्वयं के कुछ संचित धन थे, जिसके लिए चैनल क्षमता खरीदी गई थी। अतिरिक्त उपकरण भी खरीदे गए।

हम लॉन्च के साथ भाग्यशाली थे - हमारे पास एक अद्भुत तनाव परीक्षण था। अर्थात्, 1 सितंबर को, योजना के अनुसार, मैंने अभी अंतिम प्रविष्टि बिंदु निर्धारित किया था, और 2 सितंबर को, हब्रेब्र 6 Gbps के हमले के तहत हमारे पास आया। हमें एक मुफ्त तनाव परीक्षण मिला।

ट्रैफ़िक हमारे मुख्य व्यय मदों में से एक है।यह सिर्फ एक बहुत नहीं है, लेकिन बहुत खर्च किया जाता है।

कंपनी कई दिशाओं में काम करती है: हम उनके निर्माण के मुद्दों पर आदेश देने और सलाह देने के लिए अत्यधिक भरी हुई वेब एप्लिकेशन विकसित करते हैं। दूसरी दिशा, हमारे लिए सबसे होनहार, सबसे गतिशील रूप से विकसित हो रहा है, हमारा "बॉक्सिंग" उत्पाद है, क्रेटर ट्रैफ़िक फ़िल्टर सिस्टम। हम उसमें निवेश करते हैं जो हम कमाते हैं।

फिलहाल, हमारी कंपनी में 12 लोग काम करते हैं। गैर-तकनीकी कर्मचारियों में आठ इंजीनियर और चार अन्य कर्मचारी शामिल हैं। उनमें से दो मास्को से स्वतंत्र हैं। वर्ष की शुरुआत में, अगर सब कुछ ठीक हो जाता है, तो हम कंपनी को दो और इंजीनियरों को आमंत्रित करना चाहते हैं। यांडेक्स की तरह, हम गणितज्ञों की तलाश कर रहे हैं जो डेटा के साथ काम कर सकते हैं (संरचित और खराब संरचित)।

दुर्भाग्य से, हम रिवर्स इंजीनियरिंग नहीं करते हैं, लेकिन हम देखते हैं कि प्रत्येक हमले के अपने हस्ताक्षर और तर्क हैं।

हम लगभग डेढ़ साल से हैं। यह एक आसान समय नहीं था। कुछ क्षणों में यह आर्थिक और नैतिक रूप से बहुत मुश्किल था। लेकिन इस समय के दौरान हमें पता चला कि सेवा के संचालन के दौरान क्या समस्याएं आती हैं, हमने समझा कि टैरिफ स्टैक कैसे बनाया जाए। चूंकि सेवा नई है, इसलिए किसी को नहीं पता कि इसे कैसे बेचना है। बाजार के सभी प्रस्तावों में कुछ खामियां हैं।

हाईलोड लैब लाभदायक है। इस साल हमने गंभीर तकनीकी बदलाव किए - हमारे विशेष नेटवर्क प्रोसेसर का एक नया संस्करण विकसित किया - और सभी इच्छुक कंपनियों के साथ सक्रिय रूप से विकसित साझेदारी: होस्टिंग कंपनियां, टेलीकॉम।

हमारा एक लक्ष्य छोटे व्यवसायों के लिए सुरक्षा प्रदान करना है। यह सबसे असुरक्षित परत है। कई कंपनियां DDoS हमलों के खिलाफ सुरक्षा के लिए 50-100 हजार के बीच शुल्क लेती हैं, और यदि कोई छोटा व्यवसाय इतना भुगतान करता है, तो यह दिवालिया हो जाएगा। छोटे व्यवसायों के लिए, हमारे पास एक विशेष टैरिफ है - 5000 रूबल। लेकिन इसका मतलब यह नहीं है कि कम कीमतों पर हम बदतर काम करते हैं। हमारे सभी टैरिफ एक ही प्रणाली का उपयोग करते हैं, फ़िल्टरिंग गुणवत्ता हर जगह समान है।

हम बेहद अपोलिटिकल हैं। चुनाव के दौरान, हमारे क्लाइंट्स एलीफेंट, न्यू टाइम्स, golos.org, Ekho Moskvy, नोवाया गजेता, सेंट पीटर्सबर्ग, फोर्ब्स, पब्लिक पोस्ट, विडम्बोस्ती थे ... सामान्य तौर पर, हमने अपने विंग के तहत विपक्ष को लिया। लेकिन बहुत खुशी के साथ भी हम उसी सीईसी के साथ काम करेंगे। लेकिन सीईसी हमारे पास नहीं आया।

हमारे लिए एकमात्र मानदंड यह है कि संसाधन को सभी कानूनों का पालन करना चाहिए। हम मूल रूप से पायरेटेड सामग्री वाली साइटों के साथ शामिल होते हैं, जिनमें नाज़ी या पोर्नोग्राफ़िक ओरिएंटेशन होता है, फार्मास्यूटिकल पार्टनर्स और अन्य ऑनलाइन गंदगी के साथ।

हमने सोचा कि यदि हम एक ऐसी प्रणाली बना सकते हैं जिसका निर्माण और संचालन उस हमले को करने की तुलना में सस्ता होगा जो इस प्रणाली को मार सकता है, तो हम हमले के आर्थिक कंधे को खत्म कर देंगे। एक हमला लाभहीन होगा। इसके आधार पर, हमने अपने समाधान के विकास की विचारधारा का निर्माण किया।


सबसे पहले हैकर पत्रिका में 02/2012 से प्रकाशित।

जारी करने के लिए जारी करें

हैकर की सदस्यता लें

• 1 999 पी। पेपर विकल्प के 12 नंबरों के लिए
• 1249 आरयूआर iOS / iPad की वार्षिक सदस्यता के लिए (Android रिलीज़ जल्द ही आ रहा है!)
• एंड्रॉइड पर हैकर