गलत, गलत, गलत! डीडीओएस शमन के तरीके

हेबर, यह एम्स्टर्डम में RIPE77 में CTO Qrator Labs Tyoma ximaera Gavrichenkova के प्रदर्शन का एक प्रतिलेखन है। हम अर्थ को बनाए रखते हुए इसका नाम रूसी में अनुवाद नहीं कर सकते थे, और इसलिए अंग्रेजी बोलने वाले बाजार में प्रवेश करने में हैबर की मदद करने का फैसला किया और सब कुछ छोड़ दिया

यह मेरे पसंदीदा बैंड में से एक उद्धरण है। डेपेक मोड का डेव गाहन जीवित सबूत है कि आप 5 मिनट में 65 बार "गलत" शब्द कह सकते हैं और अभी भी रॉक स्टार बने हुए हैं। आइए देखें कि क्या मैं सफल हूं।



क्या आप जानते हैं कि लोग सिर्फ भूगोल से प्यार करते हैं?



ये सब, आप जानते हैं, ट्रेंडी मैप्स और वास्तुशिल्प योजनाएं।

शायद यह मुख्य कारण है, स्टैकएक्सचेंज सुरक्षा अनुभाग को पढ़ते हुए, मैं लगातार साइबर हमलों को रोकने के लिए एक ही दृष्टिकोण पर ठोकर खाता हूं।



मान लीजिए, हम एक कंपनी के रूप में, स्पेनिश इनक्विजिशन, पीए , चीनी उपयोगकर्ताओं की अपेक्षा नहीं करते हैं। हम केवल उनके आईपी पते से पहुँच को प्रतिबंधित क्यों नहीं करते? हम अंत में फेसबुक नहीं हैं, और हमारी सेवाएं सीमित क्षेत्रों में ही उपलब्ध हैं। और, वास्तव में, चीन में फेसबुक भी उपलब्ध नहीं है, हमें चिंता क्यों करनी चाहिए?



सूचना प्रौद्योगिकी की दुनिया के बाहर, एक समान तकनीक को कभी-कभी रेडलाइनिंग कहा जाता है। इस घटना का सार इस प्रकार है।

मान लीजिए आप एक टैक्सी बेड़े या पिज़्ज़ेरिया के निदेशक हैं। आपने कुछ आंकड़े जमा किए हैं कि शहर के कुछ क्षेत्रों में आपके कूरियर को लूट लिया जा सकता है, या यह अत्यधिक संभावना है कि आपकी कार खरोंच हो जाएगी। ठीक है, आप सभी कर्मचारियों को इकट्ठा करते हैं, शहर के नक्शे पर एक मोटी लाल रेखा खींचते हैं और घोषणा करते हैं कि आप लाल सीमा के बाहर कोई और सेवा प्रदान नहीं करते हैं। (ज्यादातर अमेरिकी शहरों की संरचनात्मक विशेषताओं के कारण, यह, जातीय आधार पर सेवाओं के इनकार के लगभग बराबर है और एक बड़ी समस्या माना जाता है।)

हम आईपी पते के साथ भी ऐसा कर सकते हैं, है ना? कोई भी IP पता किसी भी देश का होता है, इसलिए, IETF और RIPE द्वारा बनाए गए एक आधिकारिक डेटाबेस में प्रत्येक IP पते के आवंटन की पुष्टि होती है।

गलत!



यदि हम खुद को केवल तकनीकी पहलुओं तक ही सीमित रखते हैं, तो, फिलहाल, पहली बात जो दिमाग में आती है, वह यह है कि जियोबेस वाणिज्यिक कंपनियों के व्यावसायिक उत्पाद हैं, जिनमें से प्रत्येक अपने आप में डेटा एकत्र करता है, अक्सर पूरी तरह से स्पष्ट नहीं, तरीके। इस तरह के उत्पादों का उपयोग सांख्यिकीय या अन्य अध्ययनों के लिए किया जा सकता है, हालांकि, इस तरह के उत्पाद के आधार पर एक उत्पादन सेवा के व्यापक दर्शकों को प्रदान करना अनगिनत कारणों से एक पूर्ण मूर्खता है।

एक आईपी पते की "स्वामित्व" की अवधारणा बिल्कुल भी मौजूद नहीं है। एक आईपी पता एक फोन नंबर नहीं है, एक क्षेत्रीय रजिस्ट्रार उन्हें संपत्ति में स्थानांतरित नहीं करता है, जो स्पष्ट रूप से इसकी नीतियों में लिखा गया है। अगर दुनिया में कोई संस्था है, जिसे IP "संबंधित" कहती है, तो वह IANA है , देश या कंपनी नहीं।

साइड नोट के रूप में, कॉपीराइट (आपके) कॉपीराइट की सुरक्षा की प्रक्रिया कई बार जटिल हो गई है।



बेशक, इसमें से कुछ (हालांकि बिना मतलब के सभी) आईपीवी 6 के आगमन के साथ बेहतर हो सकते हैं। हालाँकि, अब हम DDoS हमलों के बारे में बात कर रहे हैं; सच IPv6 DDoS का युग अभी तक नहीं आया है और जैसा कि हम अनुभव प्राप्त करते हैं, पूरी तरह से विभिन्न परिस्थितियां उत्पन्न हो सकती हैं। सामान्य तौर पर, इसके बारे में सोचना अभी भी जल्दबाजी होगी।

लेकिन DDoS पर वापस लौटना: क्या होगा अगर हम यह सुनिश्चित करने के लिए जानते हैं कि दूर का पक्ष कुछ स्पष्ट रूप से दुर्भावनापूर्ण है?



हमारा सेटअप: 40G ट्रैफ़िक, सबसे अधिक संभावना DNS ट्रैफ़िक, क्योंकि यह पोर्ट 53 से आता है।

जैसा कि हम जानते हैं, यह व्यवहार DNS प्रवर्धन DDoS हमलों के लिए विशिष्ट है। प्रवर्धन के हमलों में एक कमजोर सर्वर का उपयोग होता है, आप जानते हैं ... ट्रैफ़िक बढ़ाएं, और उनमें स्रोत आईपी पता वही कमजोर सर्वर होगा।



क्या होगा अगर हम इन कमजोर सर्वरों तक पहुंच को प्रतिबंधित करने के लिए जो भी तकनीक का उपयोग करते हैं? इन सभी DNS रिफ्लेक्टरों को अंतत: पैच कर दिया जाए ताकि वे एक खतरा बन जाएं, है ना?

नहीं, ऐसे नहीं!



यह एक वास्तविक कहानी है। वर्णित घटनाएं मिनेसोटा में 1987 में हुईं । बचे लोगों के अनुरोध पर, सभी नामों को बदल दिया गया था। मृतकों के सम्मान के लिए, बाकी की घटनाओं को ठीक उसी तरह प्रदर्शित किया गया जैसा कि वे हुए थे।

कंपनी को DNS ट्रैफ़िक की आमने-सामने की गीगाबाइट्स प्राप्त हुईं और उनके साथ ब्लैक लिस्टेड IP पतों का उपयोग करने का निर्णय लिया गया।

दो घंटे के बाद, हमलावरों ने किसी तरह इस पर ध्यान दिया और तुरंत हमले के पैटर्न को बदल दिया। इससे पहले कि वे प्रवर्धन हमलों का संचालन करने की क्षमता नकली स्रोत आईपी पते के साथ पैकेट उत्पन्न करने की उनकी क्षमता पर आधारित थी, इसलिए उन्होंने ऐसा करना जारी रखा, लेकिन थोड़े अलग तरीके से।



उन्होंने यूडीपी ट्रैफिक के साथ सीधे स्रोत पोर्ट 53 और पूरे आईपीवी 4 एड्रेस पूल से नकली आईपी पते के साथ पीड़ित को बाढ़ करना शुरू कर दिया। कंपनी द्वारा उपयोग की गई नेटफ्लो स्क्रिप्ट ने फैसला किया कि प्रवर्धन हमला जारी था और स्रोतों पर प्रतिबंध लगाना शुरू कर दिया।



चूँकि आप पूरे आईपीवी 4 पता स्थान को कुछ ही घंटों में अनुमान लगा सकते हैं, जैसा कि आप अनुमान लगा सकते हैं, नेटवर्क उपकरण को मेमोरी से बाहर चलाने और पूरी तरह से बंद करने में काफी समय लगा।

इस स्थिति को बढ़ाने के लिए, हमलावरों ने इस देश में सबसे लोकप्रिय और बड़े ब्रॉडबैंड प्रदाताओं के अंतिम-उपयोगकर्ता उपसर्गों को छाँटकर शुरू किया, इसलिए सेवा से पूरी तरह इनकार करने से बहुत पहले साइट आगंतुकों के लिए दुर्गम थी।



एक पाठ निम्नानुसार है: यदि आपने हमले के स्रोत के आईपी पते को सत्यापित नहीं किया है तो स्वचालित रूप से ब्लैकलिस्ट उत्पन्न न करें। विशेष रूप से जब प्रवर्धन / प्रतिबिंब जैसे हमलों से निपटते हैं। उन्हें लग ही नहीं सकता कि वे वास्तव में क्या हैं।

उसके बाद भी सवाल बना हुआ है।



क्या होगा अगर हम कम से कम इस तथ्य की पुष्टि करते हैं कि एक दुर्भावनापूर्ण एम्पलीफायर वास्तव में दूरस्थ संसाधन पर स्थित है? आइए इंटरनेट को स्कैन करें और सभी संभावित एम्पलीफायरों के साथ आईपी पते एकत्र करें। फिर, अगर हम पैकेज के स्रोत क्षेत्र में उनमें से किसी को देखते हैं, तो हम उन्हें बस रोकते हैं - वे एम्पलीफायरों वैसे भी हैं, है ना?

क्या लगता है? ऐसे नहीं!



कई कारण हैं, जिनमें से प्रत्येक का तर्क है कि ऐसा कभी नहीं किया जाना चाहिए। पूरे इंटरनेट पर लाखों संभावित एम्पलीफायरों हैं, और एक बार फिर से आईपी पते की एक अत्यधिक संख्या को अवरुद्ध करके आपको बहुत आसानी से धोखा दिया जा सकता है। IPv6 इंटरनेट आमतौर पर स्कैन करना इतना आसान नहीं है।

लेकिन यहां वास्तव में जो मजेदार है वह यह है कि ऐसी स्थिति में न केवल झूठी सकारात्मक, बल्कि झूठी नकारात्मक प्रतिक्रियाएं बढ़ने की संभावना बढ़ जाती है। क्या धन्यवाद?



अन्य नेटवर्कों पर रेडलाइनिंग!

लोग नेटवर्क स्कैनर से नफरत करते हैं। वे उन्हें ब्लॉक करते हैं, क्योंकि उनके ग्लैमरस आईडीएस उपकरण सीधे खतरे के रूप में स्कैनर को चिह्नित करते हैं। वे एक लाख अलग-अलग तरीकों से स्कैनर को ब्लॉक करते हैं, और एक हमलावर के पास एम्पलीफायरों तक पहुंच हो सकती है जिसके साथ आप कुछ भी नहीं कर सकते। कोई भी पहले से नहीं पूछेगा कि आपका स्कैनर कितना नरम और शराबी है। आईडीएस के पास "अच्छा बाहरी स्कैनर" जैसी कोई अवधारणा नहीं है।



यहाँ प्रमुख निष्कर्ष दिए गए हैं:

• यह सुनिश्चित किए बिना ब्लैक लिस्ट का उपयोग करने की कोशिश न करें कि दूरस्थ पक्ष नकली नहीं है;
• जहां यह नहीं किया जा सकता है या जहां बेहतर समाधान है, वहां ब्लैक लिस्ट का उपयोग न करें;
• अंत में, इंटरनेट को उन तरीकों से तोड़ना बंद करें जो इसके लिए डिज़ाइन नहीं किए गए हैं!

और याद रखें: एक जटिल निर्णय आमतौर पर एक साधारण से बेहतर होता है, क्योंकि साधारण निर्णय जटिल परिणाम होते हैं।