सम्मेलन ब्लैक हट। 300 Gb / s के DDOS अटैक से बचे। भाग 1

मेरा नाम मैथ्यू प्रिंस है, मैं CloudFlare के सह-संस्थापकों और सीईओ में से एक हूं। यह मत सोचो कि मैं एनएसए के निदेशक के रूप में दिलचस्प होगा, लेकिन कम से कम मैं कम विवादास्पद बनने की कोशिश करूंगा। दरअसल, मैं कानून का निजी प्रोफेसर हूं, इसलिए मैं संविधान पढ़ता हूं और इस विषय पर लंबी चर्चा शुरू कर सकता हूं। किसी दिन हम इस पर विस्तार से चर्चा करेंगे, मुझे आशा है कि मैं आपको उन मुकदमों की कहानी बता सकता हूं जो हम वर्तमान में संयुक्त राज्य अमेरिका की सरकार के खिलाफ कर रहे हैं ताकि कुछ चीजें हो सकें, क्योंकि यह पूरी तरह से बकवास है।



मैं आपको एक कम दिलचस्प, लेकिन नाटकीय कहानी बताऊंगा जो 18 से 25 मार्च तक हुई थी, जब हमारे ग्राहकों में से एक को डीडीओएस का गंभीर दौरा पड़ा था। मैं CloudFlare के बारे में ज्यादा बात नहीं करूंगा, अगर आप हमारी सेवा के बारे में जानना चाहते हैं, तो साइट पर जाएं। लेकिन जब हमारे मुवक्किल पर हमला किया गया, तो यह उस तरह की घटना थी, जिसके बारे में पत्रकार लिखना पसंद करते हैं, और यह हमला लगातार 4 दिनों तक न्यूयॉर्क टाइम्स द्वारा कवर किया गया था। यह वास्तव में शक्तिशाली हमला था, इसलिए मैं इसके बारे में बात करना चाहता हूं।

तो, Spamhaus नामक एक गैर-लाभकारी संगठन है जो स्पैमर्स और उनकी गतिविधियों को ट्रैक करता है। मैं इन लोगों को बहुत पहले से जानता हूं, 2006-2007 से, जब कथित इलिनोइस स्पैमर ने उन पर मुकदमा दायर किया था। तब इस संगठन के संस्थापक स्टीव लिनफोर्ड ने मुझे बुलाया और पूछा कि क्या मैं उनके मुक्त वकील के रूप में कार्य कर सकता हूं। मैंने जवाब दिया कि मैं एक निजी वकील हुआ करता था, जिसका मतलब है कि मैंने कक्षा में छात्रों को पढ़ाया है, लेकिन मैंने कभी अदालत में बात नहीं की। मुझे बहुत जल्दी उनके लिए एक असली वकील मिल गया, जिन्होंने जल्द ही उन्हें स्थिति को "हल" करने में मदद की, इसलिए मुझे पता है कि स्पामॉस एक बहुत ही सभ्य संगठन है, वे काफी खुले तौर पर काम करते हैं।



कई संगठन हमारे ग्राहक हैं, लेकिन वे अपनी समस्याओं के बारे में खुलकर बात करना पसंद नहीं करते हैं, लेकिन Spamhaus के लोग इतने बंद नहीं हैं, और जब उन पर हमला किया गया, तो उन्होंने हमें बुलाया और कहा: "अरे, हम आपको हमारी कहानी बता सकते हैं!" तो यह एक कहानी है स्पामॉस पर हुए हमले के बारे में और जब उन्हें नीचे लाया गया तो पर्दे के पीछे क्या हुआ।

मैंने इस कहानी को 3 भागों में तोड़ दिया। पहले हमले की प्रकृति है, यह क्या है और इसके पीछे कौन है। यदि आप इसके बारे में अधिक जानना चाहते हैं, तो डेफकॉन पर आएं, जहां मैं अगले सप्ताह बोलने जा रहा हूं।

दूसरा भाग यह है कि हमले को रोकने के लिए क्या किया जाना चाहिए, एक नेटवर्क कैसे बनाया जाए जो वास्तव में इसके लिए सक्षम हो। यह महान खुफिया या अविश्वसनीय सॉफ्टवेयर के बारे में एक कहानी नहीं है, यह वास्तव में एक स्मार्ट नेटवर्क के निर्माण की कहानी है।

अंतिम भाग वह है जो आप इस प्रकार के हमले को रोकने के लिए अपने नेटवर्क पर कर सकते हैं। मैं वादा करता हूं कि भाषण का परिणाम CloudFlare सेवा को सबसे सुरक्षित के रूप में उपयोग करने के लिए प्रचार नहीं करेगा, इसके बजाय, मैं आपको उन्नत चीजों के बारे में बताऊंगा, अगर ऐसा किया जाता है, तो आप इस तरह के DDoS हमलों के लिए कम असुरक्षित हो जाएंगे।

इसलिए, सोमवार, 18 मार्च को, हमें एक स्पैममॉस स्वयंसेवकों में से एक का फोन आया, जिसने हमें हमले की सूचना दी। यह उस समय उनकी साइट जैसा दिखता था - हमलावरों ने इसे "ऑफ़लाइन" स्थिति में लाया, इसे इंटरनेट से प्रभावी ढंग से डिस्कनेक्ट कर दिया।



मीडिया ने बाद में लिखा कि यह हमला किसी फेन द्वारा किया गया था, जो नीदरलैंड में कहीं बंकर में रहता है। यह आदमी इस कार्रवाई का वास्तविक सर्जक नहीं था, शायद वह सिर्फ एक था जो न्यूयॉर्क टाइम्स को एक साक्षात्कार देने के लिए तैयार है। बल्कि, हमले का असली मास्टरमाइंड यह है कि लंदन का 15 वर्षीय किशोर जो अब गिरफ्त में है, लेकिन प्रेस इस बारे में उपद्रव नहीं करता है।

03/23/2013 के एक लेख में, न्यूयॉर्क टाइम्स ने लिखा है कि स्पैम कंपनी के जवाब में डेनमार्क की कंपनी साइबरबंकर द्वारा हमले को स्पैमिंग के लिए ब्लैकलिस्ट करने के लिए किया गया था। साइबरबंकर का मुख्यालय वास्तव में एक परित्यक्त नाटो बंकर (नोट अनुवादक) में स्थित था।

सबसे अधिक संभावना है, कार्रवाई का कारण यह तथ्य था कि स्पामॉस ने किसी को स्पैमर घोषित किया था। यह संगठन बहुत अच्छा करता है, लेकिन ऐसा होता है कि वे किसी की पूंछ को चुटकी लेते हैं, और इस मामले में, नाराज पक्ष प्रतिशोधी उपाय करता है, इस मामले में, यह एक हमले का आयोजन करता है। Spamhaus तकनीकी रूप से कई विभिन्न प्रकार के हमलों को पीछे हटाने के लिए पर्याप्त है, लेकिन इस मामले में एक विशाल समूह झटका उनके DNS बुनियादी ढांचे पर गिर गया और बस साइट को नेटवर्क से बाहर खटखटाया। यह किसी भी संगठन के लिए हो सकता है, और वे इसे रोकना चाहते थे। वे जानते थे कि हम ऐसे हमलों को रोकने में मदद कर रहे हैं, इसलिए उन्होंने हमारी ओर रुख किया।

इसलिए, 18 मार्च से 21 मार्च तक, जिसे हम "टैंटलाइजिंग हमलों" कहते हैं। इस तरह के हमले हमारी रोटी की तरह हैं, साप्ताहिक हमारे पास कई समान हमले हैं। आपको उनके पैमाने का अंदाजा लगाने के लिए, मैं कहूंगा कि पिछले हफ्ते हमने अपने ग्राहकों पर 162 हमले दर्ज किए, और हमने उन्हें काफी सफलतापूर्वक रोका। ये DoS हमले 10 से 80 गीगाबिट प्रति सेकंड की दर से होते हैं। कुछ संगठनों के लिए, जैसे वित्तीय वाले, ऐसी तीव्रता के साथ होने वाले हमले खतरनाक हो सकते हैं। इसलिए, पिछले साल, कुछ वित्तीय संस्थानों को 60-80 जीबी / एस की तीव्रता के साथ DoS के हमलों का सामना करना पड़ा, हालांकि, मैं दोहराता हूं - ये काफी आम हमले हैं जो हमारे लिए परिचित हैं, और ब्लैकहैट सम्मेलन में उल्लेख के लायक कुछ भी नहीं है।

एक और बात जो ध्यान दी जानी चाहिए कि DoS के हमले सभी समान नहीं हैं, हमले की मात्रा, यानी साइट पर हमला करने वाले पैकेटों की संख्या का बहुत महत्व है। आज के बारे में हम जो भी बात करते हैं वह स्तर 3 हमलों को संदर्भित करता है, अर्थात, ओएसआई मॉडल की नेटवर्क परत पर हमले। यह विशुद्ध रूप से एक वॉल्यूम हमला है। लेकिन यह 7 वें, आवेदन स्तर का सबसे खराब, बहुत बुरा हमला नहीं है, जो इतना बड़ा नहीं है, लेकिन विशिष्ट अनुप्रयोगों के लिए बहुत अधिक समस्याएं पैदा करता है। लेकिन आज मैं उन हमलों पर चर्चा नहीं करने जा रहा हूं जिनके लिए विशेष सॉफ्टवेयर की आवश्यकता होती है।

यही बात स्तर 4 DoS के हमलों पर भी लागू होती है, जब हमलावर छोटी मात्रा के Syn पैकेट का उपयोग करता है, जिससे पीड़ित को काफी नुकसान होता है, क्योंकि उसका ऑपरेटिंग सिस्टम इन अनुरोधों का सामना करने में असमर्थ होता है।

हमारे मामले में, हमला पूरी तरह से एक बड़ी मात्रा पर आधारित है, जो आपको स्तर 3 पर नष्ट करने की कोशिश करता है, आपको नेटवर्क से बाहर खदेड़ता है और यातायात के साथ बंदरगाह को ओवररेट करता है। बुधवार, 20 मार्च को, हमारे नेटवर्क के बंदरगाहों में से एक पर हमला किया गया था, या बल्कि, बंदरगाहों का एक सेट, जिसमें से एक पर स्पामहॉस साइट "बैठी" थी।



यह स्लाइड प्रॉक्सी कैश दिखाती है, ब्लू लाइन हमारे नेटवर्क से आने वाला ट्रैफ़िक है, और ग्रीन एरिया आने वाला ट्रैफ़िक है। अनुसूची के अंत में उच्च शिखर वह हमला है जो पूरी तरह से स्पामहॉस पर गिर गया और हमारे नेटवर्क को नीचे लाया। हमारा नेटवर्क शांति से 75 जीबी / एस के हमलों को रोक देता है, क्योंकि यह यातायात के ऐसे मात्रा को "पचाने" के लिए डिज़ाइन किया गया है।

हालाँकि, 20 मार्च के हमले के दौरान, 100 Gbit / s की DoS तीव्रता वाली छत तक पहुँच गया था। यह एक असाधारण मामले की तरह लग रहा था, क्योंकि यदि आप एक मूल राउटर खरीदते या बनाते हैं, तो आप सिस्को या जुनिपर जैसे किसी व्यक्ति के साथ संवाद करते हैं, और सबसे अच्छे और सबसे बड़े "बॉक्स" जो आप उनसे खरीद सकते हैं, में 100 गीगाबाइट की क्षमता वाला एक पोर्ट है। सैद्धांतिक रूप से, आप कई 100-गीगाबिट बंदरगाहों का उपयोग कर सकते हैं और उन्हें एक एकल इंटरफ़ेस के माध्यम से पारित कर सकते हैं, लेकिन डीओएस हमलों की छत आमतौर पर निर्दिष्ट मात्रा से अधिक नहीं होती है।

कुछ समय बाद, टॉम, हमारे नेटवर्क इंजीनियरों में से एक, ने मुझे फोन किया और कहा कि हमले की तीव्रता बढ़ गई थी। वह सीमा से बाहर निकल सकता है, इसलिए मैंने पूछा कि वह कितना बढ़ गया, यह सोचकर कि हम थोड़ी अधिकता के बारे में बात कर रहे हैं। अगली स्लाइड में 24-25 मार्च को हुए नए हमलों की तीव्रता को दिखाया गया है।



ग्राफ सार्वभौमिक समन्वित समय यूटीसी को दिखाता है, मैं सैन फ्रांसिस्को में रहता हूं, हमारे पास उस समय एक और 23 वां था, इसलिए आप कल्पना कर सकते हैं कि 23 मार्च को मेरा रात का खाना कैसा था। उन्होंने मुझे फोन किया और कहा कि हमला 100 गिगाबिट्स की सीमा को पार कर गया, लेकिन हमने नहीं सोचा था कि बहुत जल्द हम ऐसा कुछ देख सकते हैं! अचानक, हमारे आने वाले नेटवर्क और नेटवर्क इंजीनियरों में से एक के 4 कॉल थे कि अब हमारे पास 300 जीबी / एस से अधिक की तीव्रता के साथ ट्रैफ़िक है, जो हमारे नेटवर्क की क्षमताओं की सीमा तक पहुंचता है।

ग्राफ से पता चलता है कि मार्च 24-25 के दौरान, हमले की दर 90 Gb / s तक गिर गई और 300 Gb / s तक बढ़ गई, जिससे हमारे एक प्रदाता के आने वाले यातायात को सेवा देने से इनकार कर दिया गया, जिसका नेटवर्क बैंडविड्थ पूरी तरह से समाप्त हो गया था।

सवाल यह है कि कैसे? एक हैकर ने ऐसा करने का प्रबंधन कैसे किया अगर यह ज्ञात हो कि उपकरण की छत 100 गीगाबिट्स है? लंदन के इस 15 वर्षीय किशोर ने इस तरह के एक अभूतपूर्व हमले का प्रबंधन कैसे किया?

मीडिया सहित कई लोगों ने गलत राय व्यक्त की कि इस तरह के हमले के लिए बॉटनेट की जरूरत होती है। लेकिन इस विशेष मामले में, बॉटनेट नेटवर्क से कोई वास्तविक यातायात नहीं था। अन्य लोगों ने कहा कि बेनामी ने ऐसा किया क्योंकि इस समुदाय में बहुत सारे लोग हैं जो समन्वित हैं और एक निश्चित प्रकार के हमलों को लागू करने के लिए मिलकर काम कर सकते हैं। नहीं, यह नहीं है। हमले को 3, संभवतः 4 लोगों द्वारा अंजाम दिया गया था, जिनमें से एक वास्तविक तकनीकी मास्टरमाइंड था, लेकिन संसाधनों और कलाकारों के मामले में बहुत सीमित था।

कई लोगों ने सोचा कि इस तरह के हमले के लिए उत्कृष्ट तकनीकी कौशल की आवश्यकता है। मैं कहूंगा कि मैंने उस कोड को देखा जिसने इस हमले को उकसाया, यह सी में लगभग 50 लाइनें हैं, हेडर शामिल नहीं हैं जो आमतौर पर इस तरह के शोषण में शामिल होते हैं, इसलिए यह बहुत कम जानकारी है।

सिर्फ एक सेकंड में, मैं आपको दिखाऊंगा कि इस तरह के हमले को कैसे शुरू किया जाए। इसके लिए वास्तव में क्या आवश्यक है, खुले DNS क्लाइंट या DNS- रिसॉल्वर की सूची है, बाद में मैं आपको बताऊंगा कि यह क्या है। दूसरी चीज जो आपको चाहिए वह है कुछ सर्वर, या सिर्फ कम बिजली के कंप्यूटर, नेटवर्क में काम करना जो स्रोत आईपी के प्रतिस्थापन की अनुमति देते हैं।



किसी हमले को अंजाम देने के लिए ये मुख्य घटक हैं, और यदि आपके पास ये दो चीजें हैं, जैसा कि यह पता चला है, यहां तक ​​कि बहुत कम मात्रा में, तो आप एक बहुत, बहुत बड़े हमले का शुभारंभ कर सकते हैं। अब तक, इस तरह के हमलों को कमजोर करने वाले कुछ भी नहीं बदले हैं, और यह थोड़ा डरावना है।

खुले DNS रिज़ॉल्वर के बारे में बात करते हैं। DNS इंटरनेट के लिए एक छोटा सा खाली पेज है, यह एक कैशिंग सिस्टम है जो सर्वर को भेजे गए अनुरोधों का जवाब देना संभव बनाता है।

एक अनुचित रूप से कॉन्फ़िगर किया गया DNS रिज़ॉल्वर, जिसे एक ओपन DNS रिज़ॉल्वर भी कहा जाता है, यह पूछे जाने वाले प्रश्नों के उत्तर देता है कि यह कौन पूछ रहा है। यह "असंतुष्ट" DNS रिज़ॉल्वर किसी को भी इसका जवाब देता है जो इसके लिए पूछता है। यह बिना किसी प्रतिबंध के काम करता है। इसके पास अनुरोधों की संख्या पर कोई प्रतिबंध नहीं है, न ही किससे अनुरोध प्राप्त करना है।

आप पूछ सकते हैं: “Google के बारे में क्या? आखिरकार, वह एक खुले DNS रिज़ॉल्वर का उपयोग करता है! " हालाँकि, Google जैसे संगठन रिसोल्वर को संबोधित किए गए अनुरोधों की संख्या को सीमित करने के लिए बहुत कुछ करते हैं ताकि आक्रमणों को शुरू करना कठिन हो; वे उन प्रतिक्रियाओं के आकार को सीमित कर देते हैं जो वे अनुरोध पर प्रदान करते हैं। अभी पिछले हफ्ते, बिंद के लोगों ने एक नए विस्तार की घोषणा की, जो हमें अनुरोधों के लिए गति सीमा निर्धारित करने की अनुमति देता है, जो कि वास्तव में हम लंबे समय से गायब हैं। क्योंकि जो चीज सबसे ज्यादा डराती है, वह यह है कि हमलों के लिए, आधिकारिक ओपन डीएनएस सर्वर तेजी से उपयोग किए जा रहे हैं।

किसी भी हमले के दौरान, हैकर किसी भी तरह से इसे मजबूत करना चाहता है, उदाहरण के लिए, बॉटनेट का उपयोग करके। यदि मेरे पास स्वयं के बहुत कम संसाधन हैं, तो मैं अतिरिक्त संसाधनों को बनाने के लिए उनका उपयोग करने का प्रयास करता हूं। एक ब्लैकहैट सम्मेलन में, यह कहा गया था कि DDoS एक पूरी तरह से असममित हमला है, क्योंकि एक छोटा आदमी बड़ी समस्याएं पैदा कर सकता है, और DNS रिज़ॉल्वर खोलना स्पष्ट रूप से यह प्रदर्शित करता है।

यह स्लाइड विंडोज टर्मिनल या कंसोल के माध्यम से एक हमले को शुरू करने के लिए प्रमुख कमांड को दिखाती है।



यह कमांड पीसीसीडब्ल्यू नेटवर्क पर चलने वाले सार्वजनिक डीएनएस रिसॉल्वर 63.217.84.76 से 2 बजे शुरू किया गया था। यदि आप यह अनुरोध भेजते हैं, तो सर्वर आपको जवाब देगा।

diganY सिर्फ एक DNS क्वेरी है जो किसी भी NS, isc डोमेन नाम की खोज शुरू करती है। org का अर्थ है कि वे आपको हर संभव प्रकार का DNS रिकॉर्ड दिखाना चाहते हैं, इसलिए उनकी DNS फ़ाइल बहुत बड़ी है, इसके बाद रिज़ॉल्वर IP पता और edns = 0 ध्वज है, जो कहता है: “मुझे सब कुछ दे दो, जिसमें dns.sec और कई अन्य शामिल हैं झंडे के प्रकार, जिन्हें आप डिफ़ॉल्ट रूप से प्राप्त नहीं कर सकते हैं। Notcp फ्लैग एक महत्वपूर्ण तत्व है क्योंकि यह रिज़ॉल्वर को डेटा का आदान-प्रदान करने के लिए टीसीपी का उपयोग नहीं करने के लिए कहता है, लेकिन उन सभी को यूडीपी पर आगे बढ़ाने के लिए, और bufsize बफर आकार को 4096 पर सेट करता है, अर्थात, बहुत "बोल्ड" पैकेट भेजने के लिए बफर को यथासंभव बड़ा बनाने का प्रयास करें।

तो, आप आकार में 64 बाइट्स के इस प्यारे छोटे अनुरोध को चलाते हैं और जवाब में स्क्रीन पर जो चल रहा है उसे प्राप्त करते हैं। यही है, 64-बाइट अनुरोध पर, आपको आकार में 3363 बाइट्स की प्रतिक्रिया मिलती है।



इसलिए, यदि आप एक खुले DNS रिज़ॉल्वर को खोजने का प्रबंधन करते हैं, तो आप इसे 64 बाइट भेजते हैं और 3300 बाइट्स से बड़ी प्रतिक्रिया प्राप्त करते हैं। यही मेरा मतलब है जब मैं कहता हूं कि आप बड़ी समस्या पैदा करने के लिए छोटे संसाधनों का उपयोग कर सकते हैं। इस मामले में, हमें x50 के ऑर्डर का एक अटैक गेन मिलता है।

हालांकि, प्रवर्धन डिफ़ॉल्ट रूप से काम नहीं करता है, और अगर मैं एक बड़ी प्रतिक्रिया प्राप्त करने के लिए एक छोटा सा अनुरोध भेजता हूं, तो मैं बस डीडीओएस हमले को खुद को भेजता हूं। इसलिए, इस तरह के हमले के लिए दूसरा अनिवार्य घटक एक नेटवर्क है जो स्रोत आईपी पते को खराब करने की अनुमति देता है।

यही है, मैं यह दिखावा करने की कोशिश करता हूं कि एक DNS क्वेरी को आईपी पते से भेजा गया था जिसमें से इसे नहीं भेजा गया था। मैं डीएनएस रिसॉल्वर को एक संदेश भेजता हूं, और चूंकि यूडीपी एक हैंडशेक के बिना "बर्न एंड भूल" प्रोटोकॉल है, अनुरोध प्राप्त करने के बाद, यह केवल उस व्यक्ति को एक प्रतिक्रिया भेजता है जो इसे प्रेषक मानता है।

सुव्यवस्थित नेटवर्क इसे अनुमति नहीं देते हैं, वे पैकेट को आईपी पते से आने की अनुमति नहीं देते हैं जो इस नेटवर्क से संबंधित नहीं हैं - ये BCP38 की सिफारिशें हैं। नेटवर्क बनाते समय, इन सिफारिशों को अधिकांश इंटरनेट प्रदाताओं द्वारा पालन किया जाना चाहिए, लेकिन ऐसे नेटवर्क हैं जो इस नियम की उपेक्षा करते हैं।

इसलिए, यदि हमारे पास दो आवश्यक सामग्री हैं, तो चूंकि यूडीपी हैंडशेक का उपयोग नहीं करता है, आप अनुरोध स्रोत के आईपी पते को आसानी से बदल सकते हैं। स्पामॉस पर हमला करने के लिए, स्लाइड पर दिखाए गए विशिष्ट डीएनएस का उपयोग किया गया था, और यह आश्वासन कि कनेक्शन यूडीपी के माध्यम से है, जिसे किसी भी हैंडशेक की आवश्यकता नहीं है। फिर दुनिया भर में स्थित इन सभी खुले DNS रिज़ॉल्वर की प्रतिक्रियाओं को आपके या किसी अन्य लक्ष्य नेटवर्क पर वापस भेज दिया जाता है।



इन DDoS हमलों के माध्यमिक प्रभाव ग्राहक सहायता में परिलक्षित होते हैं, क्योंकि इस हमले में सैकड़ों हजारों डीएनएस सर्वर शामिल हैं। उनके उपयोगकर्ता हमलावर पते पर पथ को 190.93.243.93 तक ट्रैक करते हैं, जिसमें से कई टन पैकेट आते हैं जो उनके बुनियादी ढांचे पर एक झटका लगाते हैं, और आपको गुस्से में कॉल करने के लिए बमबारी करना शुरू कर देते हैं, जैसे कि "आप नहीं जानते कि आप क्या कर रहे हैं, आपको नहीं पता है कि एक सामान्य नेटवर्क, अपने कंप्यूटर कैसे शुरू करें। हैक किया गया, आपने मुझ पर हमला करने की हिम्मत कैसे की! " और पसंद है। और आपको उन्हें बहुत विनम्रता से समझाना चाहिए कि यह वही है जो वास्तव में आप पर हमला कर रहे हैं, लेकिन वे खुद से पीड़ित हैं क्योंकि उन्होंने अपने DNS रिज़ॉल्वर को सही ढंग से कॉन्फ़िगर नहीं किया है, प्रश्नों के उत्तर वापस जाते हैं, और यह सब अंततः आपको प्रभावित करता है। खुद को।

वास्तव में, यह लोगों को अपने नेटवर्क को "क्लीन" करने का तरीका सिखाने का एक अवसर है, और यह इस तरह के हमलों का सकारात्मक पहलू है, क्योंकि लोग महसूस नहीं करते हैं कि खुले DNS सर्वरों के अनुचित कॉन्फ़िगरेशन के कारण यह हर समय होता है, केवल एक छोटे पैमाने पर। और केवल जब हमलों की तीव्रता काफी बढ़ जाती है, तो वे इस पर ध्यान देना शुरू करते हैं।

मुझे लगता है कि आप सभी स्मर्फ के रूप में पुराने प्रकार के हमलों से परिचित हैं, जहां आप राउटर के माध्यम से राउटर के लिए आईसीएमपी प्रसारण अनुरोधों का उपयोग करते हैं और स्रोत स्पूफिंग का उपयोग करते हैं, जिसके परिणामस्वरूप कंप्यूटर आपके स्पूफिंग, क्लॉगिंग चैनलों के शिकार का जवाब देते हैं।

अच्छी खबर यह है कि रूटिंग उद्योग ने इस हमले से बहुत प्रभावी ढंग से निपटना सीख लिया है। वे अभी भी पाए जाते हैं, लेकिन स्मर्फ का हमला शुरू करना काफी मुश्किल है। हालांकि, सामान्य तौर पर, DNS प्रतिबिंब प्रतिक्रिया हमलों को व्यवस्थित करना बहुत आसान है।

ये हमले कितने आम हैं? अगली स्लाइड में ओपन रिज़ॉल्वर प्रोजेक्ट को दर्शाया गया है, जो एक काफी क्रांतिकारी उत्पाद है। यहां मौजूद लोगों में से कई ने लंबे समय से तर्क दिया है कि क्या यह नेटवर्क पर इंटरनेट पर चलने वाले सभी खुले DNS रिज़ॉल्वर की सूची प्रकाशित करने लायक है। तथ्य यह है कि इस सूची का उपयोग "अच्छे लोगों" दोनों द्वारा किया जा सकता है ताकि वे क्लाइंट को गलत तरीके से कॉन्फ़िगर किए गए नेटवर्क और "बुरे लोगों" द्वारा इंगित कर सकें, जो इसका उपयोग DoS हमलों को व्यवस्थित करने के लिए कर सकते हैं।



यह कोई संयोग नहीं है कि सप्ताहांत के बाद, सोमवार को यह परियोजना शुरू की गई, जिसके दौरान हमने इस सभी नरक को समाप्त कर दिया। इस प्रकार, सबसे बड़े प्रथम-स्तर के इंटरनेट प्रदाता यह सुनिश्चित करने में सक्षम थे कि "बुरे लोगों" के पास यह सूची लंबे समय तक थी और इसलिए आपको खुले सर्वर से छुटकारा पाकर इसकी सफाई शुरू करने की आवश्यकता है। इस साइट के लिए धन्यवाद, आप अपने आईपी पते की सीमा में प्रवेश कर सकते हैं और जांच सकते हैं कि आपके नेटवर्क में डीएनएस रिसोल्वर हैं या नहीं। इस प्रकार, यदि PCCW ऐसा करता है, तो समस्या होने से पहले वे नेटवर्क को साफ़ कर सकते हैं। हमने इस परियोजना की भूमिका को कवर करने के लिए मीडिया को शामिल किया है, ताकि सभी प्रदाताओं को इस सूची के बारे में पता चल जाएगा, क्योंकि इंटरनेट पर उपयोग किए जाने वाले खुले DNS रिज़ॉल्वर की संख्या 28 मिलियन है। , 30, 40 50 , , , 21 , .



, – , . MIT, . , , 25% .



2013 , BCP 38 . , , IP-, . , 2002 , , – !

, - . , , , , China Telecom. DNS- . , , . , .

, Spamhaus. 24 309 / 28 . , , 300 / . , , , , Spamhous . , . , ? – 0,1% , ! 1%, 300-, 3- . 10% DNS-, 30- . , 3 , , 30- , . .



, , 3 , , , 5 7 . -, . 3 , .

25 , 287 / 72 . – 31154, . – .

, 1 , , . 5 7 , 3 , IP-, 9 /, 0,1% DNS-. 300 / DDoS-.

, , , , , .

, , . , - , , , , .

– , , , . , , , , , .

, , , , . , . , , 23 CloudFlare, 50. X-.



, , , . Anycast BGP DNS, Anycast. HTTP-, . , – , .

Anycast, . , Anycast , . , 23 - , IP-, , Spamhous. , 300 / , - , - 13 / .



समस्या यह है कि हमलावर गणितीय गणना भी कर सकता है और हमले को सीधे हमारे नेटवर्क के किनारे पर पुनर्निर्देशित कर सकता है। यह थोड़ा बेवकूफ विचार है, परिणामस्वरूप, हमलावर को लाभ का विपरीत प्रभाव मिल सकता है। अर्थात्, अपनी सतह को बढ़ाकर हमले को मजबूत करने के बजाय, वह इस सतह को कम करने और हमले की तीव्रता को कम करने के लिए मजबूर है।

29:00 मिनट।

सम्मेलन ब्लैक हट। 300 Gb / s के DDOS अटैक से बचे। भाग २


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps जब तक वसंत मुक्त नहीं हो जाता है जब तक कि आधे साल के लिए भुगतान नहीं किया जाता है, आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg कैसे बनाएँ के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?