हाल ही में REG.RU ने कंपनी के साथ मिलकर DDoS गार्ड को DDoS हमलों के खिलाफ एक स्वत: सुरक्षा प्रदान की । संरक्षण स्वचालित रूप से काम करता है और 100 से अधिक Gbit / s की गति के साथ एक हमले का सामना करने में सक्षम है, जो सर्वर और साइटों को डिस्कनेक्ट करने से बचता है, और, परिणामस्वरूप, ग्राहकों और मुनाफे को खो देता है।

DDoS हमलों का मुकाबला करने की समस्या अपवाद के बिना सभी होस्टिंग प्रदाताओं का सामना करती है। लड़ाई के क्लासिक तरीके हमले वाली साइट की अस्थायी दुर्गमता का सुझाव देते हैं, लेकिन REG.RU और DDoS गार्ड इस समस्या का समाधान खोजने में सक्षम थे। लेकिन पहले बातें पहले।

DDoS हमले से निपटने के तरीके

वर्तमान में, DDoS हमलों से बचाव के लिए कई दृष्टिकोण हैं:

पहला दृष्टिकोण विक्रेता उपकरण (आर्बर, सिस्को, जुनिपर और अन्य) का उपयोग है। एक नियम के रूप में, इस दृष्टिकोण का उपयोग तब किया जाता है जब कंपनी के पास सूचना सुरक्षा के बढ़ते स्तर के कारण इन कार्यों को आउटसोर्स करने का अवसर नहीं होता है।

इस मामले में, हम ट्रैफ़िक को फ़िल्टर करने के लिए तैयार हार्डवेयर समाधान का उपयोग करने के बारे में बात कर रहे हैं। नेटवर्क के प्रवेश द्वार पर, एक हार्डवेयर फ़ायरवॉल स्थापित किया गया है जो आने वाले ट्रैफ़िक को फ़िल्टर करता है। यह एक निश्चित संख्या में बुनियादी नियमों का उपयोग करता है जिसके द्वारा यह निर्धारित करता है कि आगे ट्रैफ़िक पास करना है या नहीं।

इस दृष्टिकोण का मुख्य लाभ यह है कि उपकरण का आधिकारिक प्रमाणन है और कुछ प्रकार के हमलों का सामना करने की गारंटी है। हार्डवेयर समाधान के लिए विनिर्देश अधिकतम हमले की मात्रा को इंगित करता है और, अगर हमले की शक्ति घोषित मूल्यों से अधिक नहीं होती है, तो सभी इंटरनेट संसाधन सामान्य रूप से कार्य करेंगे।

इस दृष्टिकोण के विपक्ष:
• उपस्थिति का केवल एक बिंदु उपलब्ध है;
• पट्टी में सुरक्षा छत उपकरण के अपलिंक से आने वाले चैनल द्वारा सीमित है;
• संसाधन थकावट के हमलों से निपटने के दौरान अपेक्षाकृत कम शक्ति, जो मार्गों को गतिशील रूप से कॉन्फ़िगर करने और लोड वितरित करने में मुश्किल या असंभव बनाता है;
• पेशेवर समाधान की कीमत पांच अंकों की मात्रा (10 जीबी / एस पर सुरक्षा के लिए) से शुरू होती है।

दूसरा दृष्टिकोण एक वितरित फ़िल्टरिंग नेटवर्क का उपयोग है। यह दृष्टिकोण उद्योग के नेताओं द्वारा उपयोग किया जाता है और सबसे आशाजनक दिखता है।

इस पद्धति का सार यह है कि हमले को उस स्थान पर जितना संभव हो उतना करीब ले जाना है। यह आपको नेटवर्क इन्फ्रास्ट्रक्चर का जानबूझकर उपयोग करने और एक बिंदु से दूसरे तक दुर्भावनापूर्ण ट्रैफ़िक वितरित करने की अनुमति नहीं देता है, लेकिन इसे तुरंत ब्लॉक कर देता है। एक वितरित DDoS हमले के मामले में, जब कई देशों में यातायात उत्पन्न होता है, तो इसे इष्टतम मार्गों के साथ उपस्थिति (पीओपी) के निकटतम बिंदुओं पर पुनर्निर्देशित किया जाएगा, इसे फ़िल्टर्ड किया जाएगा और केवल वैध, उपयोगी यातायात गंतव्य तक पहुंच जाएगा।

ऐसे रक्षा संगठन का सबसे महत्वपूर्ण लाभ अविश्वसनीय लचीलापन है। इसके लिए धन्यवाद, आप वास्तविक समय में फ़िल्टरों की मौजूदगी और फ़िल्टर के साथ ट्रैफ़िक को संतुलित कर सकते हैं, उन्हें वर्तमान DDoS अटैक तकनीकों से बचाने के लिए सेट कर सकते हैं, जिन्हें लगातार संशोधित और आधुनिक बनाया जा रहा है। हाल ही में, हमलावर बहुत आविष्कारशील हो गए हैं - अक्सर वैध यातायात को केवल सुरक्षा के क्षेत्र में विशिष्ट अनुभव के साथ एक हमलावर से अलग किया जा सकता है।

DDoS गार्ड कैसे काम करता है

वर्तमान में, DDoS-Guard के पास 200 Gbit / s की कुल क्षमता वाला एक वितरित नेटवर्क है, जो आपको आने वाले ट्रैफ़िक स्ट्रीम की मज़बूती से और जल्दी से जांच करने की अनुमति देता है।

मुख्य नेटवर्क नोड्स:
- एम्स्टर्डम, नीदरलैंड;
- फ्रैंकफर्ट, जर्मनी;
- कीव, यूक्रेन;
- मॉस्को, रूस।

मौजूदा टोपोलॉजी आपको मध्यवर्ती ऑपरेटरों पर अत्यधिक भार पैदा किए बिना आत्मविश्वास से यातायात के बड़े संस्करणों को प्राप्त करने की अनुमति देता है, रूस और यूक्रेन में स्थानीय यातायात की प्रक्रिया करता है और उपलब्ध आने वाले बैंड का विस्तार करने के लिए महत्वपूर्ण भंडार रखता है। निरंतर वृद्धि की अवधारणा के बाद, कंपनी पहले से ही उत्तरी अमेरिका और दक्षिण पूर्व एशिया में उपस्थिति और यातायात निकासी नोड्स के अतिरिक्त बिंदु डिजाइन कर रही है।

नेटवर्क आर्किटेक्चर को तीन स्वतंत्र रूप से अनावश्यक परतों में DDoS हमलों से संबंधित संभावित खतरों और जोखिमों को ध्यान में रखकर बनाया गया है:

- रूटिंग परत:
मुख्य कार्य यातायात के बड़े संस्करणों का विश्वसनीय मार्ग है, जिससे अधिकतम नेटवर्क के साथ कनेक्टिविटी सुनिश्चित होती है।

इस स्तर पर विश्वसनीय और उत्पादक राउटर का उपयोग किया जाता है। प्रत्येक ट्रैफिक प्रोसेसिंग नोड की अधिकतम डिजाइन क्षमता 1400 Gbit / s है, 100GbE पोर्ट पर स्विच किए बिना तेजी से विस्तार की संभावना है और बाहरी नेटवर्क के साथ कनेक्टिविटी की मौजूदा टोपोलॉजी को बदलकर 440 Gbit / s है।

- निरर्थक बैच प्रसंस्करण क्लस्टर (बैच प्रसंस्करण परत):

मुख्य कार्य अल्ट्राहैग पैकेट लोड और प्रत्येक बिंदु पर उपस्थिति के 100-200 Gbit / s के कुल आवक प्रवाह की शर्तों के तहत OSI मॉडल के स्तर 3-4 पर यातायात सत्यापन वितरित किया जाता है।

इस परत में कई (2-5, उपस्थिति के बिंदु पर निर्भर करते हुए) परस्पर निरर्थक उपकरण होते हैं जो DPI विधियों का उपयोग करके पैकेट ट्रैफ़िक की जाँच करते हैं। उपयोग किए गए एल्गोरिदम को सीधे DDoS गार्ड इंजीनियरों द्वारा विकसित किया गया था।

इस तथ्य पर विशेष ध्यान देना आवश्यक है कि ट्रैफ़िक सत्यापन और अंतिम उपभोक्ता के लिए मार्ग सीधे प्राप्त बिंदु पर होता है, जो देरी को कम कर देता है और अतिरिक्त आरक्षण क्षमताएं बनाता है।

- निरर्थक अनुप्रयोग-स्तरीय अनुरोध प्रसंस्करण क्लस्टर (आवेदन परत):
मुख्य कार्य OSI मॉडल - HTTP, HTTP, DNS, SMTP इत्यादि के स्तर 5+ के अनुरोधों की जाँच के लिए विधियों का कार्यान्वयन है। यहां, HTTP ट्रैफ़िक का डिक्रिप्शन, सत्यापन और एन्क्रिप्शन होता है।

परत बैच प्रसंस्करण और मार्ग की परवाह किए बिना आरक्षित है और सभी नोड्स पूरी तरह से विफल होने तक कार्य क्षमता नहीं खोते हैं।

चैनल लोडिंग ग्राफ़ के रूप में सफलतापूर्वक निरस्त किए गए हमलों के उदाहरण:

REG.RU और DDoS गार्ड के BGP एकीकरण के बारे में कुछ शब्द

REG.RU पहले रूसी होस्टिंग प्रदाता है जो मुफ्त और स्वचालित मोड में DDoS सुरक्षा सेवाएँ प्रदान करता है।

तकनीकी दृष्टिकोण से, REG.RU ग्राहकों की सुरक्षा इस प्रकार है:
• REG.RU एक पता जगह आवंटित करता है जिसमें जोखिम भरे ग्राहक जमा होते हैं।
• बैकबोन ऑपरेटरों के साथ मूल बीजीपी सत्र होने के बावजूद, REG.RU इसके अलावा DDoS गार्ड के साथ बीजीपी सत्रों की स्थापना करता है और, हमले के मामले में, एक नेटवर्क की घोषणा करता है जिसे सुरक्षा की आवश्यकता होती है।
• भविष्य में, REG.RU में जाने वाला सभी ट्रैफ़िक फ़िल्टर के कैस्केड से होकर गुजरता है और फ़िल्टर्ड रूप में वितरित किया जाता है।
• डीडीओएस गार्ड की ओर से, सुरक्षा वास्तविक समय में लगातार काम करती है, जबकि सभी कचरा यातायात पूरी तरह से स्वचालित मोड में अवरुद्ध है।
• इष्टतम मार्गों पर यातायात वितरण अंत उपयोगकर्ता के लिए कम विलंबता सुनिश्चित करता है।

अब, REG.RU और DDoS गार्ड के बीच साझेदारी के ढांचे में, जैसे हमलों के खिलाफ सुरक्षा
आईसीएमपी बाढ़, टीसीपी SYN बाढ़, टीसीपी-विकृत, यूडीपी बाढ़, डीएनएस क्वेरी बाढ़। निकट भविष्य में, HTTP / HTTPS बाढ़ हमलों के खिलाफ सुरक्षा के लिए समर्थन की योजना बनाई गई है।