स्वायत्त प्रणाली संख्या (ASN) द्वारा फ़िल्टर करके DoS / DDoS हमलों के खिलाफ सुरक्षा

परिचय

अपने अंतर्निहित विशेषता के साथ नए साल की छुट्टियों के मद्देनजर - ​​DoS / DDoS हमलों की बढ़ी गतिविधि, मैं एक के बजाय शायद ही कभी इस्तेमाल किया (लेकिन एक ही समय में काफी प्रभावी) तरीके को उठाना चाहता हूं - एक विशिष्ट प्रदाता / डेटा केंद्र के लिए आईपी ब्लॉक के स्वामित्व के आधार पर अवरुद्ध।


इंटरनेट पर और हैबे के संरक्षण के विषय पर बहुत सारे प्रकाशन थे, लेकिन मूल रूप से वे विभिन्न मानदंडों के अनुसार आईपी ग्रुपिंग के आधार पर निम्नलिखित दृष्टिकोणों के लिए नीचे आते हैं:

• व्यक्तिगत आईपी अटैक बॉट्स को ब्लॉक करना
• पूरे सबनेट को ब्लॉक करना जिससे बॉट संबंधित हैं
• पूरे देश / शहरों को ब्लॉक करना जिन पर हमला करने वाले बॉट हैं
• स्पष्ट रूप से अनुमत उन सभी IP पतों को ब्लॉक करें
• एक विशिष्ट एल्गोरिथ्म (विशेष हार्डवेयर के उपयोग सहित) के आधार पर आईपी पतों को अवरुद्ध करना

लेकिन एक ही समय में, आईपी पते को समूहीकृत करने का एक और तरीका (और इसलिए अवरुद्ध) पूरी तरह से सही ढंग से याद नहीं किया जाता है - स्वायत्त प्रणालियों (एएसएन) में उनकी सदस्यता। ASN क्या है? यह आईपी पते का एक समूह है जो किसी एकल प्रदाता या डेटा सेंटर द्वारा परोसा जाता है। परंपरागत रूप से, यह पदानुक्रम का एक उच्च स्तर है, तुरंत नेटवर्क / सबनेट की अवधारणा का पालन करता है, लेकिन एक संगठनात्मक मूल है। उदाहरण के रूप में यैंडेक्स लेते हैं, उनकी स्वायत्त प्रणाली संख्या 13238 है और यह आईपी पते के निम्नलिखित ब्लॉकों का मालिक है: bgp.he.net/AS13238#_prefixes जैसा कि आप देख सकते हैं, इन पतों के लिए एक ASN से संबंधित कोई अन्य पैटर्न नहीं है। यह भी ध्यान देने योग्य है कि ASN दो प्रकारों में आते हैं - 16 बिट (65635 तक) और 32 बिट (2 ^ 32-1 तक)।

लेकिन यह तकनीकी भ्रमण घुसपैठियों से बचाने में कैसे मदद करता है? तथ्य यह है कि प्रदाताओं (आईएसपी और डेटा सेंटर दोनों) की एक विस्तृत सूची है, जो इसे हल्के ढंग से रखने के लिए, अपने नेटवर्क की सुरक्षा का सबसे अच्छा ख्याल नहीं रखते हैं (आउटगोइंग डीडीओएस हमलों को ब्लॉक न करें, शिकायतों का जवाब न दें, आदि) और, परिणामस्वरूप। अक्सर डीडीओएस हमलों के स्रोत हैं। ऐसी स्वायत्त प्रणालियों को अवरुद्ध करना (अस्थायी, निश्चित रूप से) हमलों से बचाने में बहुत मदद कर सकता है। स्वायत्त प्रणालियों पर विस्तृत आँकड़े, जो अक्सर हमलों के स्रोत हैं, वेबसाइट पर पाए जा सकते हैं: stopddos.ru/current (लगभग वास्तविक समय के आँकड़े)

उस स्वायत्त प्रणाली संख्या का निर्धारण जिससे आईपी पता संबंधित है

जिस आईपी पते / नेटवर्क का स्वायत्त प्रणाली का निर्धारण कैसे किया जाता है? यह बहुत सरल है। यदि आईपी पता यूरोप में है (और इसलिए RIPE अधिकार क्षेत्र में), तो आप कमांड का उपयोग कर सकते हैं: whois ip_address / network। आइए Yandex पर प्रयास करें:

whois 93.158.146.0 

हम ORIGIN क्षेत्र पर ध्यान आकर्षित करते हैं, यह सिर्फ स्वायत्त प्रणाली की संख्या को इंगित करता है।



यदि आईपी पते किसी अन्य आरआईआर (AFRINIC, LACNIC, आदि) से संबंधित हैं, तो उनके लिए मार्ग ऑब्जेक्ट की कोई अवधारणा नहीं है और यहां सबसे सार्वभौमिक सलाह जो मैं दे सकता हूं, वह एक विशेष सेवा का उपयोग करना है जो आपको आईपी पते को एएसएन नंबर: www में बदलने की अनुमति देता है । team-cymru.org/Services/ip-to-asn.html

CymRu की सेवा के बारे में और अधिक उल्लेखनीय बात यह है कि इस ऑपरेशन को कंसोल से स्वचालित करने और कॉल करने की क्षमता है, जो आपके द्वारा उपयोग किए जाने पर बहुत उपयोगी होगी (जब वास्तविक हमलों से बचाव, स्वचालित ट्रैफ़िक विश्लेषक, पैटर्न और विसंगतियों की खोज करने के लिए फ़ाइलों को लॉग करें) संदर्भ विशिष्ट ASN।

ठीक है, मान लीजिए, इस स्तर पर, हमें एक ASN (आमतौर पर, निश्चित रूप से, कुछ से कुछ दर्जन तक) मिला, जिसमें से हमला होता है, अगला चरण यह जांचना है कि यह किसके लिए और किस उद्देश्य से है, ताकि गलती से अपने आप को काट न सकें। ग्राहकों, यह तूफान इलेक्ट्रिक, bgp.he.net/ASXXXX की एक सेवा के माध्यम से किया जा सकता है, जहां XXXX के बजाय आपको पता लगाया गया स्वायत्त सिस्टम नंबर डालना होगा।

/ से एक विशिष्ट ASN के लिए यातायात अवरुद्ध

लेकिन हम एक विशिष्ट ASN से आने वाले ट्रैफ़िक को कैसे रोकते हैं? किसी भी बैकबोन प्रदाता के पास यह फ़ंक्शन, डेटा सेंटर या टेलीकॉम ऑपरेटर होता है (और इसे बीजीपी प्रोटोकॉल का उपयोग करके लागू किया जाता है), लेकिन अंतिम उपयोगकर्ता के लिए यह फ़ंक्शन प्राप्त करना लगभग असंभव है। इसलिए, हम चतुर एएसएन से ट्रैफिक में कटौती करने के लिए डेबियन व्हीज़ी और आईपीटेबल्स पैकेट फ़िल्टर का उपयोग करेंगे।



बेशक, एक मानक समाधान जो आपको शैली में कुछ करने की अनुमति देगा:

 iptables -I INPUT -p tcp --dport 80 -m asn --asn-number 11222 -j DROP 

यह अभी तक मौजूद नहीं है, इसलिए हमें सुधार करना होगा!

दो अलग-अलग दृष्टिकोण तुरंत दिमाग में आते हैं - ipset और जियोइप (हाँ, आपके पास एक प्रश्न होगा - इसका सवाल के साथ क्या करना है, लेकिन बाद में और अधिक)। ipset आपको आईपी पते के एक सेट या आईपी नेटवर्क के एक सेट से संबंधित यातायात को अवरुद्ध करने की अनुमति देता है, जो सिद्धांत रूप में हमें सूट करता है। लेकिन यह विशेष रूप से लचीला नहीं है और मुझे यकीन नहीं है कि लिनक्स कर्नेल पर्याप्त होगा यदि हम बनाते हैं, कहते हैं, स्वायत्त प्रणालियों के लिए 120 हैश की जरूरत है और इस तरह के हैश का प्रबंधन बहुत, बहुत समस्याग्रस्त होगा।

संयोग से, xtables GeoIP मॉड्यूल का अध्ययन करने की प्रक्रिया में, यह मेरे लिए हुआ कि यह निर्धारित करने के लिए एक ही एल्गोरिदम के बारे में उपयोग करता है कि क्या एक नेटवर्क एक निश्चित देश से संबंधित है, जिसे हमें यह निर्धारित करने की आवश्यकता है कि क्या यह एक विशिष्ट स्वायत्त प्रणाली से संबंधित है। इसके अलावा, xtables Geoip के लेखक की कई आकर्षक टिप्पणियाँ हैं, जिसे देखते हुए वह जिस दृष्टिकोण का उपयोग करता है वह अधिक इष्टतम है: xtables-addons.sourceforge.net/geoip.php

तो, चलो पहले इकट्ठा करें और xtables जियोइप मॉड्यूल को स्थापित करें और उसके बाद हम एएसएन द्वारा अवरुद्ध - प्रारंभिक समस्या को हल करने के लिए इसे एकजुट करेंगे।

Xtables GeoIP स्थापित करें

इस तरह के बहुत सारे निर्देश थे, वे काफी संक्षिप्त हैं, इसलिए मैं खुद को यहां एक पूरा निर्देश देने की अनुमति दूंगा।
आवश्यक पैकेज स्थापित करें:

 apt-get install xtables-addons-common xtables-addons-source 

डेबियन व्हीज़ी ने Xtables के साथ बहुत काम किया है और अब Xtables पैकेज से काम करने वाले मॉड्यूल प्राप्त करने के लिए कोई अतिरिक्त इशारे करने की आवश्यकता नहीं है। इसके अलावा, डीकेएमएस फ्रेमवर्क के उपयोग के कारण, कर्नेल को अपडेट / प्रतिस्थापित करते समय मॉड्यूल को मैन्युअल रूप से फिर से इकट्ठा करने की आवश्यकता नहीं है - सिस्टम यह सब स्वचालित रूप से हल करेगा।

अब जियोआईपी कैसे काम करता है इसके बारे में कुछ शब्द। यह एक नहीं बल्कि चालाक (मेरे विचार से) दृष्टिकोण का उपयोग करता है, जब किसी निश्चित देश से संबंधित आईपी नेटवर्क की सूची बाइनरी प्रारूप में दी जाती है, सर्वर की फाइल सिस्टम में संग्रहीत होती है और इस देश को प्रभावित करने वाले iptables कमांड को मेमोरी में लोड किया जाता है। यह आपको उच्च गति सुनिश्चित करने और स्मृति को बचाने की अनुमति देता है, क्योंकि दुनिया में सभी नेटवर्क के आईपी पते का पूरा सेट लगभग 500 मेगाबाइट को असम्पीडित रूप में लेता है।

Xtables GeoIP के लिए, MaxMind वेबसाइट से लिए गए नेटवर्क-कंट्री मैपिंग डेटाबेस का उपयोग किया जाता है, लेकिन जियोआईपी को मैन्युअल रूप से डाउनलोड करने और उस प्रारूप में बदलने के लिए आवश्यक है जिसे xtables कर्नेल मॉड्यूल स्वीकार करेगा।
आइए जाने:

 cd /tmp /usr/lib/xtables-addons/xt_geoip_dl 

इस ऑपरेशन के बाद, CSV एक्सटेंशन वाली दो फाइलें वर्तमान फ़ोल्डर में मिलेंगी, जिसमें क्रमशः IPv6 और IPv4 प्रोटोकॉल के लिए IP नेटवर्क की सूची है, जो दर्शाता है कि वे किन देशों से संबंधित हैं।
अब हमें इन फाइलों को बाइनरी फॉर्मेट में बदलने की जरूरत है:

 mkdir -p /usr/share/xt_geoip /usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip *.csv 

रूपांतरण प्रक्रिया के दौरान, हम कई दिलचस्प सूचना संदेश देखेंगे, उदाहरण के लिए, प्रत्येक देश के लिए आईपी v4 / v6 रेंज की संख्या:

 759 IPv6 ranges for RU Russian Federation 5401 IPv4 ranges for RU Russian Federation 

सब कुछ, हम काम करने के लिए तैयार हैं, हम आने वाले ट्रैफ़िक को काटने की कोशिश करेंगे, उदाहरण के लिए, जिम्बाब्वे से:

 iptables -I INPUT -p tcp --dport 80 -m geoip --src-cc ZW -j DROP 

जिस क्षण हम यह कमांड देते हैं, फ़ाइल /usr/share/xt_geoip/LE/ZW.iv4, जिसमें IP देशों की सूची होती है, को फ़ाइल सिस्टम से लिया जाएगा और कर्नेल में लोड किया जाएगा।

ध्यान दो दोस्तों! किसी भी स्थिति में NEVER-YES के उत्पादन में इसका उपयोग न करें। यह सबसे अच्छा अभ्यास है, जैसा कि आप इंटरनेट पर नहीं कर सकते। यह केवल अस्थायी रूप से किया जा सकता है, उदाहरण के लिए, डीडीओएस / डीओएस के हमलों के सक्रिय विरोध के मामले में या सिर्फ यह गणना करने के लिए कि प्रत्येक देश से कितना ट्रैफ़िक जाता है। हमेशा ध्यान रखें कि जियोआईपी डेटाबेस की प्रासंगिकता वांछित होने के लिए बहुत कुछ छोड़ देती है और आपके प्रमुख ग्राहक न्यूयॉर्क (जो निश्चित रूप से, आपके संसाधन तक पहुंच से वंचित हैं) को आपके द्वारा जिम्बाब्वे से प्रतिबंधित किया जा सकता है।

MaxMind प्रारूप में ASN के स्वामित्व वाले नेटवर्क पर एक डेटाबेस बनाना।

हमारे जीवन को यथासंभव सरल बनाने के लिए, आइए उसी प्रारूप में एक नेटवर्क-एएसएन मैपिंग बेस बनाने का प्रयास करें जिसमें मैक्समाइंड नेटवर्क-कंट्री मैपिंग डेटा संग्रहीत करता है। इस दृष्टिकोण के साथ, हम बिना किसी बदलाव के xt_geoip_build स्क्रिप्ट का उपयोग कर सकते हैं।

एक समान आधार कैसे बनाएं? सबसे पहले, हमें इंटरनेट राउटिंग टेबल के वर्तमान फिंगरप्रिंट की आवश्यकता होगी, क्योंकि हर मिनट में एक विशेष ASN के नेटवर्क के जुड़ाव की जानकारी होती है और इसलिए हमेशा अप-टू-डेट डेटाबेस होना संभव नहीं है। यह प्रिंट कहां से मिलेगा? यह हमेशा अप-टू-डेट MRT TABLE DUMP V2 प्रारूप में Routevievs.org: ark.routeviews.org/bgpdata पर है ।

लेकिन इस प्रारूप के साथ एक छोटी सी समस्या है - इसका विश्लेषण करना बहुत मुश्किल है और इसलिए हमें RIPE द्वारा विकसित एक कनवर्टर की आवश्यकता है जिसे BgpDump कहा जाता है: bitbucket.org/ripencc/bgpdump/wiki/Home
दुर्भाग्य से, डेबियन रिपॉजिटरी में ऐसा कोई कनवर्टर नहीं है और हमें इसे स्रोत कोड से संकलित करना होगा, यह काफी तुच्छ है, मैं नीचे दिए गए निर्देश देता हूं:

 apt-get install -y libbz2-dev cd /usr/src wget http://www.ris.ripe.net/source/bgpdump/libbgpdump-1.4.99.13.tgz tar -xf libbgpdump-1.4.99.13.tgz cd libbgpdump-1.4.99.13 ./configure --prefix=/opt/libbgpdump mkdir /opt/libbgpdump make mv bgpdump /opt/libbgpdump 

लेकिन जो डेटा फॉर्मेट BgpDump जेनरेट करता है, वह MaxMind फॉर्मेट से मेल नहीं खाता है, और हमें एक और कन्वर्टर (सौभाग्य से, बहुत सरल) की आवश्यकता है जिसे हमने पर्ल में लागू किया है, आप इसे प्राप्त कर सकते हैं: raw.github.com/FastiPSEestiOu/xt_asn/ मास्टर / bgp_table_to_text.pl , फिर इसे /opt/bgp_table_to_text.pl पर डालें और निष्पादन ध्वज (chmod + x) सेट करें।

अब हमारे पास मैक्सिमइंड प्रारूप में ASN नेटवर्क बेस बनाने के लिए सॉफ्टवेयर का एक पूरा सेट है। संपूर्ण कार्य को कार्यान्वित करने के लिए, कई bash कमांड की आवश्यकता होती है:

 rm -f /opt/bgp/asn.csv mkdir /opt/bgp # http://phpsuxx.blogspot.com/2011/12/full-bgp.html yesterday_date=$(date --date='1 days ago' '+%Y.%m') yesterday_date_with_day=$(date --date='1 days ago' '+%Y%m%d') # get routing data for yesterday at 5 o'clock wget http://archive.routeviews.org/bgpdata/${yesterday_date}/RIBS/rib.${yesterday_date_with_day}.0600.bz2 -O /opt/bgp/rib.bz2 #  ,       "" (25   i7 2600) /opt/libbgpdump/bgpdump /opt/bgp/rib.bz2 | /opt/bgp_table_to_text.pl > /opt/bgp/asn.csv 

उसके बाद, हम उसी योजना के अनुसार परिवर्तित करते हैं जैसे कि मैक्स माइंड जियोआईपी डेटा:

 /usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip /opt/bgp/asn.csv 

कमांड के काम के परिणामस्वरूप, लगभग 100 हजार फाइलें (प्रत्येक ASN के लिए 2) / usr / शेयर / xt_geoip / LE / फ़ोल्डर में बनाई जाएंगी और उन्हें कर्नेल फ़िल्टरिंग मॉड्यूल में लोड करने के लिए उपयोग किया जाएगा।

यह निर्धारित करने के लिए कि किसी IP एक विशिष्ट ASN का है, इसका उपयोग करने के लिए इसे संशोधित करने के लिए xtables जियोइप को संशोधित करना

यदि हम ASW संख्या के साथ iptables कमांड में ZW देश का नाम बदलने का प्रयास करते हैं, उदाहरण के लिए, 11222, तो हमें त्रुटि मिलेगी:

 geoip: invalid country code '11222' 

क्या करें? Xt_geoip के अंदर देखें। जियोआईपी कैसे काम करता है, इसके बारे में कुछ शब्द यहां दिए गए हैं - इसमें iptables (यूजर्स) के लिए एक प्लगइन है, जो नियमों को कर्नेल और कर्नेल मॉड्यूल (कर्नेल स्पेस, क्रमशः) में लोड करता है। कोड द्वारा त्वरित खोज के बाद, हम पाते हैं कि ISO3166 प्रारूप में देश कोड एक अहस्ताक्षरित 16-बिट संख्या के प्रारूप में संग्रहीत है, जो 65535 तक की संख्या को संग्रहीत कर सकता है।

जैसा कि हमने पहले उल्लेख किया है, एएसएन प्रारूप को वर्तमान में 32-बिट अपनाया गया है, इसलिए / से 32-बिट एएसएन (उदाहरण के लिए, 190111) से ट्रैफ़िक को फ़िल्टर करने के लिए थोड़े सुधार की आवश्यकता होगी - आपको पहले 65 हजार में एक मुफ्त एएसएन खोजने की आवश्यकता होगी (उदाहरण के लिए, वर्तमान में मुफ़्त ASN 170) और द्विआधारी प्रारूप में नेटवर्क की सूची को उसमें स्थानांतरित करें (mv /usr/share/xt_geoip/LE/190111.iv4 /usr/share/xt_geoip/LE/170.iv4), लेकिन यह भूलकर कि ASN नंबर का उपयोग नहीं किया गया है "की जगह"।

इस तरह की हैक पूरी तरह से काम करेगी भले ही आपको दुनिया के सभी ASN के साथ काम करने की आवश्यकता हो! आज उनकी कुल संख्या ~ 46000 है और 16-बिट अहस्ताक्षरित संख्या के क्रमपरिवर्तन को देखते हुए आसानी से गलत हो सकता है। यदि, लेख पढ़ने के समय, एएसएन 65 हजार से अधिक हो जाता है, तो आपको जियोआईपी मॉड्यूल के कोर को पैच करना होगा, लेकिन यह काफी सरल होगा - आपको पूर्ण इंट के साथ शॉर्ट इंट को बदलने की आवश्यकता होगी या यहां तक ​​कि लंबे (64 बिट एएसएन दिखाई देंगे?)।



दो-अक्षर वाले देश कोड के बजाय ASN का उपयोग करना संभव बनाने के लिए, हम कोड को थोड़ा पैच करेंगे। अर्थात्, हम उस ब्लॉक के बारे में बताएंगे जिसमें चेक बनाया गया है ताकि निर्दिष्ट iptables तर्क "देश" बिलकुल दो अक्षर का आईएसओ देश कोड हो:

 //if (strlen(cc) != 2) /* Country must be 2 chars long according // to the ISO3166 standard */ // xtables_error(PARAMETER_PROBLEM, // "geoip: invalid country code '%s'", cc); // Verification will fail if chars aren't uppercased. // Make sure they are.. //for (i = 0; i < 2; i++) // if (isalnum(cc[i]) != 0) // cc[i] = toupper(cc[i]); // else // xtables_error(PARAMETER_PROBLEM, // "geoip: invalid country code '%s'", cc); 

और उसके बाद, हम दो 8-बिट वर्णों के पैकिंग कोड को 16-बिट संख्या में एक कोड के साथ बदलते हैं, जो स्ट्रिंग से केवल 16-बिट संख्या को पढ़ता है और इसे संग्रहीत करता है:

 //cc_int16 = (cc[0] << 8) | cc[1]; // Convert 16 bit unsinged integer (up to 65535) sscanf(cc, "%d", &cc_int16); 

आपको देश के आंतरिक संख्यात्मक प्रतिनिधित्व (16 बिट संख्या) का उपयोग करके देश कोड प्रदर्शित करने वाले कोड को भी बदलना होगा, अब हम केवल रूपांतरण के बिना संख्या प्रदर्शित करते हैं:

 -printf("%s%c%c", i ? "," : "", COUNTRY(info->cc[i])); +printf("%sxas%d", i ? "," : "", info->cc[i]); 

इस मामले में, मैंने अपने आप को एक्सन के साथ बदलने की अनुमति दी, क्योंकि कुछ मामलों में (32 बिट एएसएन) यह एक वास्तविक एएसएन संख्या (लेकिन एक वाइल्डकार्ड) नहीं है और मैं इस पर जोर देना चाहता था।

अंतिम पैच फ़ाइल हमारे GitHub रिपॉजिटरी में यहां देखी जा सकती है: raw.github.com/FastVPSEestiOu/xt_asn/3e3eebe8b2136d148fe71adc818a656c363ada2/libxt_geoip_patched.c

अब बात छोटी है, हमें xtables-addons-common पैकेज संकलित करने की आवश्यकता है (बस इसमें iptables के लिए एक्सटेंशन मॉड्यूल, जो उपयोगकर्ता स्थान में काम करता है, रखा गया है) को इस पैच को लागू करके:

 cd /usr/src apt-get install -y dpkg-dev devscripts build-essential fakeroot apt-get source xtables-addons-common apt-get build-dep -y xtables-addons-common cd xtables-addons-1.42 #     wget https://raw.github.com/FastVPSEestiOu/xt_asn/3e3eebe8b2136d148fe71adc1218a656c363ada2/libxt_geoip_patched.c -Oextensions/libxt_geoip.c dpkg-source --commit  "Patch for xtables geoip - ASN resolver" debuild -us -uc 

अब पैच पैकेज स्थापित करें:

 dpkg -i /usr/src/xtables-addons-common_1.42-2_amd64.deb 

और उसके बाद, आप ipables रूल्स में 16 बिट ASN नंबरों का उपयोग कर सकते हैं:

 iptables -I INPUT -p tcp --dport 80 -m geoip --dst-cc 11222 -j DROP 

अब आप एक अन्य प्रकार के हमले को पीछे हटाने के लिए तैयार हैं! इसके अलावा, इसी तरह के तरीकों का उपयोग वैध यातायात का विश्लेषण करने के लिए किया जा सकता है जो आपके सर्वर पर जाता है :)

दोस्तो! अगले साल आपको शुभकामनाएँ और कम DDoS हमलों, आपके FastVPS!