रूनेट डीडीओएस हमलों का अवलोकन: आदिम के पक्ष में 9: 1

संगोष्ठी पर रिपोर्ट "DDoS हमलों और उनके खिलाफ रक्षा" (RIGF, 14 मई 2012, मास्को)

अध्यक्ष: आर्टेम गावरिचेनकोव , जो कि क्रेटर ट्रैफिक फ़िल्टरिंग नेटवर्क के प्रमुख डेवलपर हैं
विषय: 2011-2012 में DDoS हमले: प्रकृति और रुझान

हम पिछले डेढ़ साल में DDoS हमलों की समीक्षा करते हैं और इस बारे में बात करते हैं कि किससे डरना चाहिए और क्या नहीं। आइए, तुच्छ आंकड़ों के साथ शुरू करते हैं, जिनमें से डेटा एचएलएल ग्राहक आधार पर आधारित है: दुर्भाग्य से, किसी भी कंपनी के पास एक सर्वव्यापी आंख नहीं है। तो, 2011-2012 के लिए। हमने 2,500 से अधिक DDoS हमलों को देखा है।

हारने वालों के लिए समय नहीं

ICMP / UDP / SYN / ACK की बाढ़ केवल 18% है। औसत हमले की शक्ति 300 एमबीपीएस है। 1 से अधिक Gbit / s में 40 घटनाएं हुईं। जुलाई 2011 में ऑनलाइन चुंबकीय खिलौने की दुकान पर उच्चतम कुल बैंडविड्थ हमला यातायात - 56 जीबी / एस दर्ज किया गया था। हमले को आंशिक रूप से हमारे डोमेन पर लक्षित किया गया था, यह विश्वास करने का कारण है कि हमलावरों ने नेटवर्क पर हमले के ट्रैफ़िक को "स्मियर" करते हुए, कुलर को नीचे लाने की कोशिश की।

प्रति बैंड DDoS हमलों की संख्या लगातार कम हो रही है। और सभी क्योंकि अधिकांश मध्य-स्तरीय होस्टिंग प्रदाता उनके लिए तैयार हो गए हैं। छोटे हमलों का आसानी से मुकाबला किया जा सकता है, जबकि शक्तिशाली लंबे समय तक नहीं रह सकते हैं, क्योंकि बैकबोन प्रदाता भी उनसे जुड़ी समस्याओं का अनुभव करना शुरू कर देते हैं।

चैंपियन!

अपराधी परिवहन और अनुप्रयोग स्तर (82%) के उच्च-स्तरीय हमलों को पसंद करते हैं । वे स्थापित टीसीपी कनेक्शन के भीतर सर्वर संसाधनों की थकावट पर भरोसा करते हैं, इसलिए हमले में शामिल आईपी पते की संख्या महत्वपूर्ण है। आवेदन पर बुद्धिमान हमले इस बात से कम नहीं हैं कि एक सुरक्षा रणनीति के साथ, आपको कुछ नुकसान होने की संभावना है, भले ही दुखी, वैध उपयोगकर्ताओं का हिस्सा।

लेयर 7 हमलों के कम से कम 50% एक एकल URI में "व्यापक" हैं, केवल 10% बुद्धिमान हमले । पहला मास रोबोट जिसमें HTTP और जावास्क्रिप्ट के साथ एक अच्छी तरह से लिखित नेटवर्क स्टैक था और साइट को सही ढंग से नेविगेट किया गया था, मिनरबोट था, जिसने जर्मन और रूसी ई-कॉमर्स साइटों पर आखिरी बार हमला किया था। पूर्ण वेब ब्राउज़र क्षमताओं (टीसीपी, एचटीटीपी / 1.1, जेएस) के साथ बॉट की संख्या लगातार बढ़ रही है, खासकर महंगे कस्टम हमलों में। यह संभावना है कि उद्योग DDoS हमलों को करने के लिए पूर्ण-ब्राउज़र का उपयोग करने की ओर बढ़ रहा है।



हम एक और अप्रिय प्रवृत्ति पर ध्यान देते हैं - बॉटनेट के मालिकों ने सहयोग करना शुरू कर दिया। वर्ष के दौरान, Qrator ने अलग-अलग हमले रणनीतियों के साथ कई बोटनेट द्वारा एक साथ किए गए 4 हमलों का पता लगाया। मॉस्को के इको (3 बॉटनेट) और हब्राह्र (4-5) के साथ हाई-प्रोफाइल मामलों को याद करें।

लड़ते रहो - अंत तक

जनवरी से दिसंबर 2011 तक, अधिकतम हमले की अवधि 486 घंटे थी। वह कैसा था? सीआईएस और बाल्टिक देशों के एक बोटनेट ने देवदार बैरल के एक ऑनलाइन स्टोर पर हमला किया। पहले तीन दिनों में, उन्होंने रक्षा के माध्यम से तोड़ने की कोशिश की, लेकिन निराश थे, कहीं और पैसा कमाने के लिए चले गए। लेकिन जैसे ही हमने आईपी एड्रेस को अनब्लॉक करना शुरू किया, वह तुरंत लौट आया। हमलावर ने दो या तीन बॉट रखे, और जैसे ही अनुरोध पारित हुआ, उसने एक और 5,000 कहा। इस मोड में, बॉटनेट हमेशा के लिए कार्य कर सकता है, न्यूनतम संसाधनों के साथ कई साइटों पर हमले करता है।

जब मैं बड़ी हो जाऊंगी तो मैं मजबूत हो जाऊंगी

4 दिसंबर, 2011 को यह पता चला कि हर कोई बोटनेट संसाधनों की परवाह नहीं करता है। DDoS हमले की अधिकतम अवधि 1228 घंटे तक पहुंच गई । यदि slon.ru संरक्षण में नहीं था, तो यह 2 महीने झूठ होगा। कुछ घंटों के भीतर, 200 हजार से अधिक बॉट मुख्य रूप से दक्षिण और दक्षिण पूर्व एशिया के देशों से साइट पर आए। इस प्रकार, हमले ने क्रेटर के इतिहास में एक और रिकॉर्ड स्थापित किया - बॉटनेट का आकार। और यद्यपि यह पहले से ही कोई परिणाम नहीं लाया था, फिर भी हमलावर ने ट्रैफ़िक बनाए रखा, और बहुत सारे बॉट थे। लेकिन सबसे दिलचस्प यह है कि, सबसे अधिक संभावना है, लगभग 182,000 कारों के आकार वाला यह एक ही बॉटनेट 6 मई, 2012 को slon.ru और tvrain.ru पर वापस आ गया, और "दिसंबर" और "मे" स्टॉप लिस्ट का चौराहा लगभग 500 आईपी था। यूआरएल। छह महीने के लिए, सौ हजार कारों के एक जोड़े का एक बोटनेट लगभग पूरी तरह से अपडेट किया गया है - या वास्तव में यह कई गुना अधिक है।

वैसे, 4 दिसंबर, 2011 को हुए हमलों के दौरान, हमें उम्मीद थी कि बॉटनेट्स इंटरसेक्ट करेंगे: आखिरकार, उन्होंने विचारधारा में मीडिया को समान रूप से तोड़ दिया। हालांकि, कोई चौराहा नजर नहीं आया। लेकिन मई में, हमने स्पष्ट रूप से देखा कि कैसे एक बॉटनेट ने रूसी और अर्मेनियाई मीडिया दोनों के खिलाफ काम किया।

मुझे आजादी दो, मुझे आग दो

बोटनेट समन्वय बढ़ रहा है। तेजी से, हम एक बोटनेट के साथ काम नहीं कर रहे हैं जिसमें एक एकल नियंत्रण केंद्र है जो भारी भार के तहत काम नहीं कर सकता है, लेकिन एक सहकर्मी से सहकर्मी नेटवर्क के साथ। इसलिए, हमले के स्रोत का पता लगाना लगातार मुश्किल होता जा रहा है, खासकर गैर-तकनीकी प्रकृति के सुराग के अभाव में। DDoS हमले के आयोजकों को पकड़ना लगभग असंभव है।

हालांकि बहुत समय पहले हमने इंटरनेट मीडिया पर एक हमले का स्रोत नहीं पाया था और अपने आईपी पते को संसाधन के मालिक को स्थानांतरित कर दिया था (जो बदले में, इसे कानून प्रवर्तन एजेंसियों को स्थानांतरित कर दिया था)। हमलावर ने पहले एक बोटनेट का इस्तेमाल किया, लेकिन उस समय जब साइट को संरक्षित किया गया था, उसने अन्य संसाधनों को आकर्षित किया, जिसमें अनाम प्रॉक्सी की सूची भी शामिल थी। उनमें से कुछ इतने गुमनाम नहीं थे और HTTP हैडर एक्स-फॉरवर्ड-फॉर डाल दिया, जो वास्तव में, हमलावर सर्वर का आईपी पता था। सुंदर तुच्छ, लेकिन यह पता चला है कि हर कोई इसके बारे में नहीं सोचता है। गलती की संभावना कम है: व्यक्तिगत प्रदर्शन संभावित कलाकार के लिए पाए गए थे।

और अगर तुम गिर जाओ, उठो, एह एह

महीनों से DDoS हमलों के वितरण के बारे में बोलते हुए, हम ध्यान दें कि जून से सितंबर तक, अपराधी अपनी गतिविधि कम कर देते हैं। सप्ताह के दिनों में, उनके प्रयासों को सप्ताहांत में लगभग कुछ गिरावट के साथ समान रूप से वितरित किया जाता है। लेकिन, एक नियम के रूप में, स्ट्रिप पर सबसे शक्तिशाली हमलों का सप्ताहांत होता है। इसका क्या कारण है? यदि, उदाहरण के लिए, 56 Gbit / s का हमला मंगलवार को होता है, तो यह आशा करने का कोई कारण है कि निकट भविष्य में रीढ़ में से कोई एक प्रतिक्रिया करेगा और हम उससे सहमत हो सकते हैं। सप्ताहांत पर, बड़े प्रदाताओं के तकनीकी समर्थन भी अक्सर कार्यदिवसों की तुलना में कम काम नहीं करते हैं।

लेकिन यह गुलाब का कोई बिस्तर नहीं है

अब तक, रूस को एडीएसएल द्वारा बचाया गया है: प्रवेश द्वार बड़ा है, निकास छोटा है। इसलिए, पट्टी पर कई हमले नहीं होते हैं। लेकिन ऐसी डरावनी कहानी के बारे में मत भूलना IXPs के काम के रूप में, जो हर संभव तरीके से उनके द्वारा प्राप्त दुर्व्यवहार अनुरोधों को अनदेखा करते हैं। यह कैसा दिखता है? हमारे ग्राहकों में से एक पर एक बड़ा हमला शुरू होता है, जो उन कुछ साइटों के लिए समस्या पैदा करता है जिन पर हम स्थित हैं। और हम देखते हैं कि कबाड़ यातायात कुछ इंटरनेट एक्सचेंज से आता है। आदेश में एक बार फिर से नेटवर्क को संतुलित नहीं करने के लिए, हम पहले उन्हें एक विनम्र ओपस लिखते हैं जैसे "ICMP बाढ़ की एक अच्छी मात्रा आपके ग्राहकों में से एक से आ रही है, यह गलत है, इसे छाँटें।"

"आज हमने आपके एक्सचेंज से (और इस समय यह अभी तक बंद नहीं हुआ है) के कई Gbps का सामना किया।
यह स्पूफ स्रोत पते के साथ आईसीएमपी ट्रैफिक है।
हमारा सुझाव यह है कि आपका एक ग्राहक अन्य एसेस से * ^ # $ ^ * - IX "से जुड़े आईपी का उपयोग करता है।"

हमें जो उत्तर मिलता है वह कुछ इस तरह है: “तकनीकी रूप से, हम कुछ नहीं कर सकते। सामान्य तौर पर, हम ग्राहक को एक सेवा प्रदान करते हैं, वह हमें पैसे देता है, हो सकता है कि आप उसे अशक्त मार्ग पर जाने दें? "

"* ^ # $ ^ * - IX केवल L2 एक्सचेंज फैब्रिक का संचालन करता है। हम ख़ुद के मुद्दों को रूट करने में शामिल नहीं हैं। कृपया अपने अपस्ट्रीम (ओं) को इसकी जांच करने के लिए एक्सचेंज पर अपने संबंधित साथियों से संपर्क करने के लिए कहें।
एक विचार यह है कि आप सीमा पर एक अशक्त मार्ग जोड़ सकते हैं? "

हम उसे अशक्त मार्ग पर जाने देंगे, लेकिन फिर वह इस IX के माध्यम से हमारे पास नहीं आएगा, लेकिन उदाहरण के लिए रोस्टेलकॉम के माध्यम से। इससे कोई मतलब नहीं है। हम इस तथ्य के बारे में काफी समय से बात कर रहे हैं कि प्रदाताओं, IXP और ISP में किसी प्रकार की चेतना होनी चाहिए , ऐसी चीजों के साथ काम करने की इच्छा। लेकिन, दुर्भाग्य से, जबकि हम वास्तव में इसे नहीं देखते हैं।

अपनी लड़ाई चुनना

हमलावरों के लक्ष्यों के बारे में बात करें। पारंपरिक वित्त, राजनीति, सामाजिक विरोध, डेटा चोरी, बॉटनेट सेल्फ-प्रमोशन, के लिए एक नया लक्ष्य जोड़ा गया है - बिटकॉइन की जबरन वसूली। अपराधी बिटकॉइन्स में एक निश्चित राशि की मांग करते हुए एक पत्र भेजते हैं, और अवज्ञा के मामले में वे एक बड़े DDoS हमले की धमकी देते हैं। और, एक नियम के रूप में, पीड़ित की निष्क्रियता वास्तव में आवेदन पर एक बौद्धिक हमले के साथ है। सभी को शायद पहले से ही स्कूली बच्चों के पत्र "श्रृंखला से $ 1,000 यैंडेक्स पर स्थानांतरित करें। या आपकी साइट दो सप्ताह के लिए डाउन हो जाएगी।" यह समान है, लेकिन गुणात्मक रूप से नए स्तर पर है, और यह पहले से ही डर होना चाहिए। और चूंकि बिटकॉइन भुगतान का एक आधिकारिक साधन नहीं है, इसलिए इस मामले में जबरन वसूली के लिए आकर्षित करना व्यावहारिक रूप से असंभव है।

हर देश, हमारे चारों तरफ

अंत में, हम सभी को याद दिलाना चाहते हैं कि आपको विकसित करने के लिए 6-7 Gbit / s के हमले की आवश्यकता नहीं है। एक आवेदन पर लक्षित हमला, यहां तक ​​कि एक छोटे बॉटनेट के साथ, खतरनाक है। 2010 तक, रूसी वेब अनुप्रयोगों के लिए DDoS हमलों के खिलाफ लड़ाई विदेशी यातायात को अवरुद्ध करने के लिए थी। आज कोई भी किसी भी क्षेत्र में भू-संदर्भित बॉट खरीद सकता है। हाँ, रूसी बॉटनेट कई नहीं हैं, लेकिन वे हैं।

आक्टंग!

हम एक और महत्वपूर्ण बिंदु पर ध्यान केंद्रित करते हैं। यदि 5,000 बॉट्स का एक हमला आवेदन में आया और यह "हाइबरनेशन में चला गया", इसका मतलब यह नहीं है कि हमलावर के पास स्टॉक में अतिरिक्त बॉट नहीं थे। जैसे ही संसाधन एक छोटे लोड के तहत नहीं जुड़ता है, एक नियम के रूप में, हमले की शक्ति में वृद्धि 1-2 बार होती है, और दस गुना वृद्धि होती है। इसलिए, गर्मियों में एक स्लेज तैयार करें। और याद रखें कि DDoS हमले की स्थिति में, आपको एक टूटी हुई जगह के लिए भुगतान करना होगा। यदि आप आमतौर पर 2-3 मेगाबिट्स के लिए प्रदाता का भुगतान करते हैं, तो घटना के बाद, पांच शून्य तक के खाते के लिए तैयार रहें। सहमत हूं, यह शर्म की बात होगी।

सुंदर खेल में आनन्द मनाते हैं

DDoS के 90% हमले काफी आदिम, अबाध खेल हैं। "मेहमानों" की संख्यात्मक श्रेष्ठता घबराहट का कारण नहीं है। पलायन एक अच्छी रणनीति नहीं है। आगे की ट्रेन, एक तंग रक्षा का निर्माण, रणनीति के साथ अपने आप को हाथ, सुधार। अपने नियम से खेलें। अंत में, खेल आपके क्षेत्र में जाता है।