सम्मेलन ब्लैक हट। 300 Gb / s के DDOS अटैक से बचे। भाग २

सम्मेलन ब्लैक हट। 300 Gb / s के DDOS अटैक से बचे। भाग 1

इस हमले के बारे में दिलचस्प बात यह थी कि हमने सीधे हमला करने की हिम्मत नहीं की, लेकिन हमारे प्रदाताओं की श्रृंखला के साथ चले गए। उन्होंने CloudFlare के ऊपर स्थित अपस्ट्रीम प्रदाताओं पर हमला करना शुरू कर दिया, और हमले का स्रोत वास्तव में लंदन में था। पहले तो मुझे इस बारे में यकीन नहीं था, लेकिन चूंकि स्पामहाउस लंदन में था, शायद हैकर उन्हें शर्मनाक स्थिति में डालना चाहता था। जैसा कि मैंने कहा, हमले के तकनीकी निरीक्षक लंदन के एक किशोर लग रहे थे, शायद इस तरह से वह अपने हमले के प्रभाव को अधिक प्रभावी ढंग से ट्रैक कर सकते थे। यह स्लाइड बीजीपी ट्रैफिक मार्ग को दिखाती है, जिसमें अधिकतम 30 अगले-हॉप ट्रांजिट नोड्स शामिल थे।



मैंने लंदन के ब्रॉडबैंड प्रदाता के पते के एक्सटेंशन को छिपा दिया, आखिरी हॉप Spamhaus आईपी पते में से एक है, हमारे नेटवर्क में कई थे। आप देखते हैं कि ट्रैफ़िक को कैसे रूट किया गया था, उपरोक्त डेटा से सटीक पथ निर्धारित करना मुश्किल है, लेकिन यह लंदन में हमारे उपकरण को भेजा गया था, जहां हमारे नेटवर्क के सीमा आईपी पते को पारित करने के बाद 17 मिलीसेकंड मिला, जो लंदन में काम करता था।

सबसे पहले, हमलावर ने एक तीर से चिह्नित इस पते पर हमला किया, और चूंकि वितरित डीएनएस का उपयोग यहां किया जाता है, उसने लंदन, एम्सटर्डम और फ्रैंकफर्ट को थोड़ा, संयुक्त राज्य अमेरिका, एशिया और ऑस्ट्रेलिया को थोड़ा मारा। तब हैकर ने महसूस किया कि हमला बिखरा हुआ था और प्रभावी नहीं था, और बुनियादी ढांचे के अतिरिक्त हिस्सों पर रूटिंग चेन पर चढ़ने का फैसला किया। इसलिए, अंतिम IP पते के बाद, वह penultimate IP पते पर चला गया। फिर, यदि आपको पता नहीं है कि इंटरनेट रूटिंग और कनेक्शन कैसे काम करते हैं, तो मैं कहूंगा कि जब मैं अपने नेटवर्क को सीधे दूसरे नेटवर्क से जोड़ता हूं, तो नेटवर्क के बीच सीधे ट्रैफ़िक का आदान-प्रदान होता है। इस विशेष स्थिति में, ट्रैफ़िक स्काई नेटवर्क से हमारे नेटवर्क में प्रवेश करता है, जिसे लंदन इंटरनेट एक्सचेंज या LINX के रूप में जाना जाता है।

हमलावरों ने एक बंदरगाह के रूप में LINX के माध्यम से यातायात के टन को पारित करना शुरू कर दिया। हमारे पास अपेक्षाकृत मामूली क्षमताओं के साथ LINX में एक पोर्ट है, इसलिए यदि आप LINX पोर्ट पर 300 गीगा ट्रैफ़िक भेजते हैं, तो आप हमारे पोर्ट और इस एक्सचेंज के अन्य पोर्ट को ओवरलोड करते हैं। इसलिए हमारे लिए सबसे उचित समाधान इस बंदरगाह के माध्यम से कनेक्शन को गिराना था, जैसे ही हमने देखा कि इस पर हमला हो रहा था, और अन्य तरीकों से इसके चारों ओर "प्रवाहित" ट्रैफिक चल रहा था।

समस्या यह थी कि संपार्श्विक क्षति थी जो अन्य LINX बंदरगाहों को प्रभावित करती थी, जिससे कि बड़े इंटरनेट नेटवर्क के अन्य प्रदाताओं को भी समस्याओं का सामना करना पड़ा क्योंकि हमने यातायात को गिरा दिया था। यह बल्कि अप्रिय था, और बाद में हमने उनके साथ काम करके उन्हें अपने नेटवर्क की सुरक्षा करने में मदद की।

हमले ने अस्थायी क्षेत्रीय उल्लंघनों का कारण बना, लेकिन हमारे पास Spamhaus और हमारे अन्य सभी ग्राहकों के लिए ऑनलाइन रहने की क्षमता बनाने के लिए अन्य नोड्स पर यातायात को पुनर्निर्देशित करने का एक अच्छा अवसर था। हमलावरों ने हमारे उच्च-स्तरीय ट्रांजिट प्रदाताओं को भी प्रभावित किया, जो उन लोगों को यातायात का एक पूरा समूह भेजते थे जिनके साथ हमारे पास नेटवर्क सेवाओं के लिए अनुबंध था। उनका लक्ष्य हमारे ग्राहकों को यथासंभव असुविधा का कारण बनाना था, ताकि नेटवर्क के बुनियादी ढांचे के कुछ हिस्से जो सीधे हमारे नेटवर्क से संबंधित नहीं थे, प्रभावित हुए।



यह संभव है कि हमले उच्च स्तर पर पहुंच गए, हालांकि, मेरे पास ऐसे आंकड़े नहीं हैं जो इस बात की पुष्टि करते हों, लेकिन उन्होंने विभिन्न नेटवर्क के मूल में संचालित बुनियादी राउटरों पर हमला किया। वास्तव में, इस हमले ने न केवल हमारे नेटवर्क के लिए, बल्कि उन नेटवर्क के लिए भी काम किया, जो हमें घेरते थे, हम जो प्रदाता थे और जो प्रदाता इन प्रदाताओं का इस्तेमाल करते थे। यह पता चला कि इस हमले की बदौलत हमने अपनी कमजोरियों का ऑडिट किया। बाद में, हम लंदन जैसे विभिन्न इंटरनेट एक्सचेंजों में गए और इस तरह के हमलों का विरोध करने की प्रभावशीलता को बढ़ाने के लिए अपने नेटवर्क को स्थापित करने के संदर्भ में सबसे अच्छा समाधान लागू किया। हमने पाया कि सभी आंतरिक संगठन ट्रैफ़िक को नेटवर्क एज राउटर के माध्यम से रूट नहीं किया जाना चाहिए। इस प्रकार, यदि आप इंटरनेट एक्सचेंजों के नेटवर्क के भीतर इन एक्सचेंजों में से एक पर हमला नहीं करना चाहते हैं, तो इसका आईपी पता इन एक्सचेंजों के माध्यम से रूट नहीं किया जाना चाहिए। आदर्श रूप से, आपको 192.168 का उपयोग करना चाहिए, जो कि अनवेलेबल RFC 1918 पतों में से एक है, जिसे रूट नहीं किया जा सकता है और स्वयं के माध्यम से ट्रैफ़िक पास नहीं किया जा सकता है, अर्थात, ऐसा नेटवर्क जिसे संचालित करने के लिए बाहरी पहुँच की आवश्यकता नहीं है। यह इस तरह के हमले का मुकाबला करने के लिए सबसे अच्छी बात है।

ऐसी अन्य चीजें हैं जो आप कर सकते हैं, जैसे कि नेक्स्ट हॉप सेल्फ रूटिंग आंतरिक रूप से, यह सुनिश्चित करने के लिए कि नेटवर्क के भीतर संचरण के लिए इरादा यातायात बाहर से आने वाले पैकेट का उपयोग नहीं करेगा। आपको न केवल अपने नेटवर्क के लिए ऐसा करना चाहिए, बल्कि अपस्ट्रीम प्रदाताओं को भी ऐसा करने के लिए राजी करना चाहिए।

एक और उपयोगी बात है - एक विशिष्ट आईपी पते के लिए सीमा फ़िल्टरिंग, हमारे आवेदन के संचालन की समझ पर आधारित है। उदाहरण के लिए, हमारा एप्लिकेशन विभिन्न प्रोटोकॉल के साथ काम करता है, और यदि हम एक यूडीपी पैकेट देखते हैं जो हमारे DNS सर्वर के लिए अभिप्रेत नहीं है, तो यह कुछ गलत है।

तब से, हमने अपने नेटवर्क को इस तरह से खंडित किया है कि वेब सर्वरों के लिए आईपी पते DNS सर्वरों के लिए आईपी पते से अलग हैं, और हम अपने अपस्ट्रीम प्रदाताओं से इस विशेष आईपी पते पर आने वाले सभी यूडीपी ट्रैफ़िक को बस ब्लॉक करने के लिए कह सकते हैं। हमारे नेटवर्क खंड की सुरक्षा सुनिश्चित करने के लिए। पतों के इस पृथक्करण ने हमें उच्च-स्तरीय यातायात के अधिक आक्रामक फ़िल्टरिंग का संचालन करने की अनुमति दी।

BGP फ्लोस्पेक फ़िल्टर हमारा सच्चा दोस्त है, यह प्रोटोकॉल है जो सिस्को ने प्रस्तावित किया है। इस तथ्य के बावजूद कि इसमें कीड़े हैं, हम इस प्रोटोकॉल का उपयोग करते हैं और पसंद करते हैं कि पारगमन प्रदाता भी इसका उपयोग करते हैं, क्योंकि यह हमारे नियमों को दूरस्थ नेटवर्क नोड्स में स्थानांतरित करने की अनुमति देता है जो हमारे मार्गों को प्रभावित करते हैं। यह आपको इस तरह के हमले का तुरंत जवाब देने की अनुमति देता है।

थ्री-टीयर लेयर आर्किटेक्चर विशेष उल्लेख के योग्य है, और मैं जीटीटी से इसके रचनाकारों के लिए अपनी गहरी कृतज्ञता व्यक्त करना चाहता हूं, जिन्होंने अपने नेटवर्क को विशेष रूप से हमलों के लिए प्रतिरोधी बनाने के लिए जबरदस्त काम किया है। जैसे ही उन्होंने इस हमले की चोटियों को देखा, उन्होंने जल्दी से अपने नेटवर्क की सीमाओं से भी यातायात को हरा दिया। क्या आपने कभी सोचा है कि टियर -1, लेयर 3 या एनटीटी प्रदाता होना कितना अच्छा है? उनके सभी काम एक ठोस सप्ताहांत हैं, क्योंकि फ़र्स्ट-टीयर प्रदाता कनेक्शन के लिए किसी को भुगतान नहीं करते हैं, और इसका मतलब यह भी है कि वे किसी को भी ट्रांसफर नहीं कर सकते हैं। जैसा कि हमने अपने नेटवर्क के सेगमेंट को डिस्कनेक्ट करके हमले को अवरुद्ध करना शुरू कर दिया था, यह प्रभाव बहुत कम संख्या में टियर -1 प्रदाताओं पर केंद्रित था, जो हमले के केंद्र में थे, और उनके नेटवर्क के अंदर एक "ब्लैक होल" बना था, जिसमें सभी ट्रैफ़िक भाग गए, क्योंकि यह कहीं नहीं जाना था । इसलिए यह कई प्रथम श्रेणी के प्रदाताओं के लिए एक कठिन परीक्षा थी।

यह एक कारण है कि आपने हमले के बाद पहले सोमवार को बनाई गई ओपन रिज़ॉल्वर परियोजना को देखा। नाइलर के लोग वास्तव में एक तकनीक प्रेमी टीम हैं और उन्होंने हमारी बहुत मदद की। उन्होंने हमें समझ के साथ व्यवहार किया, और न केवल कहा: "यहाँ से चले जाओ, तुम हमारे लिए बहुत सारी समस्याएं खड़ी करते हो।" इसलिए, हमने ऐसे व्यावहारिक कदम विकसित किए हैं जो आप सुनिश्चित कर सकते हैं कि आपके नेटवर्क सुरक्षित हैं।



ये चार सिफारिशें हैं, जिनमें से पहली मूर्खतापूर्ण लगती है, लेकिन स्पष्ट है: पहले सुनिश्चित करें कि आप समस्या का हिस्सा नहीं हैं! मुझे लगता है कि हाल के वर्षों में कई लोगों ने आपको यह बताया है। बस कम से कम एक सेकंड के लिए रुकें और जांचें कि ये दो घटक आपके नेटवर्क पर नहीं चल रहे हैं।

पहला खुला रिज़ॉल्वर है। यदि वे कंपनी के आईपी पते के स्थान पर हैं, यदि आपके ग्राहक उनका उपयोग करते हैं, तो आपको उन्हें अवरुद्ध करने या यातायात की गति को सीमित करने की आवश्यकता है। रिज़ॉल्वर को कॉन्फ़िगर करना और भी बेहतर है ताकि वे केवल आपके नेटवर्क से सीधे आने वाले ट्रैफ़िक को स्वीकार करें।



इस स्लाइड पर, आप ट्रेवर पोट द्वारा लिखित द रजिस्टर पर मेरा पसंदीदा लेख देखते हैं। इसे कहा जाता है "एक आईटी पेशेवर को पहचानना: कैसे मैंने सबसे बड़े DDoS हमले में मदद की।"



ट्रेवर लिखते हैं: “मुझे लगा कि मैं सब कुछ ठीक कर रहा हूँ। लेकिन यह पता चला कि मेरे पास एक खुली रिवाल्वर थी, और मैंने ट्रैफिक लॉग के माध्यम से देखा कि कैसे स्पैमरहाउस ने अनुरोध किया। " मुझे पता है कि बहुत बड़े नेटवर्क के संचालन के लिए जिम्मेदार लोग हैं जिनके पास DNS रिज़ॉल्वर खुले हैं। ऐसा करने से, आप उपरोक्त समस्या के निर्माण में योगदान करते हैं, इसलिए मैं आपसे शाब्दिक रूप से एक पल बिताने और उनसे छुटकारा पाने के लिए कहता हूं।

दूसरा, सुनिश्चित करें कि आप BCP38 का उपयोग कर रहे हैं। IBall नेटवर्क के लोगों ने बहुत अच्छा काम किया है, लेकिन यहां बड़े नेटवर्क उपलब्ध कराने वाले कई लोगों का मानना ​​है कि अगर वे बाहरी पहुंच की अनुमति नहीं देते हैं तो नेटवर्क बंद हो जाता है।



हालाँकि, मान लीजिए कि आपके नेटवर्क पर आपके पास एक समझौता किया हुआ वर्डप्रेस सर्वर है जो आपके नेटवर्क के लिए खराब स्रोत पैकेज की शुरुआत नहीं कर सकता है, और यह बाकी इंटरनेट के लिए एक बड़ी समस्या का कारण होगा।

समस्या खुले रिज़ॉल्वर की है, ये 28 मिलियन रिज़ॉल्वर हैं, जिनकी संख्या हर हफ्ते बढ़ रही है। हम संयुक्त प्रयासों से ही इस समस्या को हरा सकते हैं। आपको अपने बॉर्डर राउटर पर झंडे सेट करने होंगे जो यह सुनिश्चित करते हैं कि वे केवल आपके नेटवर्क के भीतर विश्वसनीय स्रोतों से पैकेट प्राप्त करें। यदि आप ऐसा करते हैं, तो हमलावरों को इस भेद्यता का फायदा उठाने का अवसर से इनकार करते हैं। कठिनाई बड़ी समझौता मशीनों की खोज करना है जो नेटवर्क पर काम करती हैं और जो स्पूफिंग की अनुमति देती हैं।

यदि आप वर्डप्रेस पर जानवर के बल के हमलों को देखते हैं, और वहां अन्य हमले हैं, उदाहरण के लिए, बॉटनेट नेटवर्क का उपयोग करना, तो आपके लिए यह अनुमान लगाना मुश्किल होगा कि इसका कारण स्पूफिंग का उपयोग करने की क्षमता है।

एक और सिफारिश सही मायने में विश्वसनीय प्रोटोकॉल का उपयोग करना है। आप कह सकते हैं: "अरे, मुझे यह आईपी पता मिला है और मैं यूडीपी का उपयोग करके सेवा शुरू करता हूं, और सेवा आईसीएमपी के माध्यम से टीसीपी और अन्य ट्रैफ़िक का उपयोग कर रही है, और मैं इन सभी प्रोटोकॉल को एक ही आईपी से जोड़ दूंगा।" मैं आपको चेतावनी देना चाहता हूं कि यदि कोई समस्या उत्पन्न होती है जो इस प्रकार के हमले के लिए लचीले ढंग से प्रतिक्रिया करने की आपकी क्षमता को सीमित करती है, खासकर जब से आप आसानी से नेटवर्क को विभाजित कर सकते हैं ताकि प्रत्येक प्रोटोकॉल अपने आईपी पते पर काम करे। सबसे अच्छा अगर आप अपस्ट्रीम ट्रैफ़िक फ़िल्टर कर सकते हैं। इनमें से किसी भी हमले का उद्देश्य आपके नेटवर्क के भीतर ट्रैफ़िक को रोकना नहीं है, बल्कि इसे संभव के रूप में ट्रैफ़िक स्रोत के नज़दीक रोकना है, इसलिए, प्रत्येक व्यक्ति को प्रत्येक IP को निर्देशित UDP ट्रैफ़िक को ब्लॉक करने का अवसर देकर, चयनित पते को छोड़कर, आप हमले की सतह को महत्वपूर्ण रूप से कम कर देंगे। जिसका उपयोग हमलावर द्वारा किया जा सकता है।

इस प्रकार, अपस्ट्रीम प्रदाताओं के साथ बातचीत करते समय व्यक्तिगत आईपी के लिए अलग-अलग प्रोटोकॉल प्रभावी ढंग से काम करते हैं। आप उनसे केवल यह सवाल पूछें: "अरे, क्या आप इस प्रकार के फ़िल्टरिंग को लागू कर सकते हैं?" वैसे, कारणों में से एक है कि हम, आपूर्तिकर्ताओं के रूप में, फ्लॉस्पेक का समर्थन करते हैं, हम उन्हें सही तरीके से पूछ सकते हैं: "दोस्तों, क्या आप फ्लॉस्पेक का समर्थन करते हैं?", और यदि वे "हां" का जवाब देते हैं, तो बातचीत खत्म हो गई है, और हम अपने स्वयं के फ़िल्टर नेटवर्क के किनारे पर तैनात कर सकते हैं जितनी जल्दी हम चाहते हैं।

तीसरी सिफारिश एसीएल के बुनियादी ढाँचे को लागू करना है, यानी एक्सेस कंट्रोल लिस्ट का इस्तेमाल। मेरा मतलब है, एक पैकेज आपके आंतरिक नेटवर्क के लिए नियत नहीं किया जा सकता है यदि इसका स्रोत इस आंतरिक नेटवर्क से संबंधित नहीं है। यदि कोई पैकेट आपके नेटवर्क से आता है या आपके नेटवर्क को एज राउटर से प्रवेश करता है, तो यह आपके आंतरिक नेटवर्क के बुनियादी ढांचे के माध्यम से "यात्रा" नहीं करना चाहिए। इस प्रावधान को लागू करने के कई तरीके हैं। आप कुछ IP पते को नेटवर्क सीमाओं तक पहुँचने से रोकने के लिए फ़िल्टरिंग लागू कर सकते हैं, आप कुछ आंतरिक पतों तक पहुँच को रोकने के लिए Next Hop Self रूटिंग का उपयोग कर सकते हैं, आप यह सुनिश्चित करने के लिए नेटवर्क के अंदर RFC 1918 प्रोटोकॉल का उपयोग कर सकते हैं कि आपके आंतरिक IP नहीं हैं बाहरी दुनिया से संबोधित करने के लिए उपयोग किया जाता है।



यह वास्तव में एक अतिरिक्त सिरदर्द ला सकता है, क्योंकि यह आपको राउटर की सेटिंग्स की जांच करने के लिए मजबूर करता है, वास्तव में वीपीएन नेटवर्क का उपयोग करने के बजाय इसका उपयोग करने का नाटक करता है, और इसी तरह। ये सबसे लोकप्रिय समाधान नहीं हैं, लेकिन यदि इन्हें लागू नहीं किया जाता है, तो हमलावर आपके नेटवर्क पर गौर कर सकता है और अपने व्यक्तिगत सेगमेंट को भी नुकसान पहुंचा सकता है।

चौथी सिफारिश यह है कि आपको अपने अपस्ट्रीम ट्रैफिक को अच्छी तरह से जानना चाहिए। मैं एक बार फिर इस बात पर जोर देना चाहता हूं कि इस हमले में जटिल अनुप्रयोगों या सिंट-पैकेज का उपयोग नहीं किया गया था, यह सिर्फ एक भारी क्लब वाला एक गुफा था। एक तरह से, आपके पास बुरे आदमी की तुलना में अधिक पारगमन होना चाहिए। यह 300 Gbps ट्रैफ़िक उत्पन्न कर सकता है, और मुझे यकीन है कि इनमें से कुछ ही ऐसे ट्रैफ़िक के साथ नेटवर्क का दावा कर सकते हैं। इसका मतलब यह है कि आपके पास एक दोस्त होना चाहिए, जिसके पास बहुत अधिक निवर्तमान ट्रैफ़िक है, और, उसे सहयोग के लिए आकर्षित करते हुए, आप इस तरह के हमले से अपनी पीठ को ढंकते हैं। हम आउटगोइंग ट्रैफ़िक के बारे में बहुत चयनात्मक हैं जिसके साथ हम समय में इस तरह के हमले को नोटिस करने में सक्षम होने के लिए काम करते हैं।

दूसरे दिन, मैंने एक प्रमुख ट्रांजिट प्रदाता के मुख्य तकनीकी अधिकारी के साथ बात की और उससे पूछा कि क्या वह मुझे ट्रांजिट बेचने जा रहा है, जिस पर उसने जवाब दिया - नहीं, दोस्तों, इससे आपको ग्राहकों के रूप में केवल एक अतिरिक्त सिरदर्द मिलेगा।

हालांकि, हम ऐसे ट्रैफ़िक की तलाश करते हैं और यहां तक ​​कि प्रदाताओं को हमारे द्वारा उपयोग की जाने वाली पारगमन फीस का भुगतान करते हैं, क्योंकि जब इस तरह के हमले होते हैं, तो हम उन्हें कॉल करने में सक्षम होना चाहते हैं और हमले के परिणामों को कम करने के लिए मदद मांगते हैं। आपको 3-4-5 टेराबाइट्स के थ्रूपुट के साथ नेटवर्क बनाने की आवश्यकता नहीं है, यदि आप पार्टनर नेटवर्क के बीच चरम ट्रैफ़िक को वितरित कर सकते हैं।

ये शक्तिशाली DDoS सुरक्षा वाली कंपनियां नहीं हैं, उन्हें समस्या का सामना करने के लिए वास्तव में अपना काम करने के लिए नीयर आर्किटेक्चर का उपयोग करने की आवश्यकता है। अपने नेटवर्क की सीमाओं का विस्तार करने के लिए उनके साथ मिलकर काम करें। एक नेटवर्क कॉन्फ़िगरेशन नीति का उपयोग करें जो आपको उनके नेटवर्क की सीमा में शामिल होने की अनुमति देता है, और यदि आप सक्षम नेटवर्क प्रदाता हैं, तो प्रदाता ऐसा करने के लिए तैयार हैं। 300 गीगाबाइट हमले के बारे में यह पूरी कहानी है, आपके सवालों के जवाब देने के लिए हमारे पास लगभग 10 मिनट बाकी हैं।



यदि आप एक प्रश्न पूछने के लिए लाइन में खड़े होने के लिए सहमत हैं तो मैं आपसे एक माइक्रोफोन का उपयोग करने के लिए कहता हूं। एक और नवाचार जो मैं इसके बारे में कहना भूल गया: ब्लैकहाट के आयोजक स्पीकर के साथ प्रतिक्रिया करना चाहते हैं, और यदि आप बाहर से अपने बैज को "हल्का" करते हैं, तो वे आपकी जानकारी को एनएसए में स्थानांतरित कर देंगे और प्रतिक्रिया भी प्राप्त करेंगे। मैंने पहले भाग के बारे में मजाक किया, लेकिन रिश्तेदार दूसरा सच है - आप प्रतिक्रिया का उपयोग कर सकते हैं, इसलिए आप मुझे एक बेवकूफ कह सकते हैं और आम तौर पर कोई भी प्रश्न पूछ सकते हैं।

प्रश्न: UDP और 53 के अलावा, क्या प्रवर्धन प्रोटोकॉल, आपने CloudFlare को चलाने के दौरान सामना किया है?

उत्तर: आप पूछते हैं, क्या उन उल्लेखों के अलावा अन्य प्रवर्धन प्रोटोकॉल थे? हम अभी भी अच्छे पुराने Smurf हमले के प्रदर्शन में ICMP के उपयोग को देख रहे हैं, लेकिन मैंने जिस हमले के बारे में आपको बताया, उसके पैमाने के मुकाबले कुछ भी नहीं है। इसलिए अगले साल हम स्पष्ट रूप से जोर देंगे कि लोग खुले रिज़ॉल्वर का उपयोग न करें, लेकिन एक वैध, अधिकृत DNS सर्वर का उपयोग करें। अपने नेटवर्क को शुरू करने के लिए CloudFlare, Bind या UltraDNS का उपयोग करें, और यदि आप उन सभी डोमेन को सूचीबद्ध कर सकते हैं जिनके लिए अधिकृत सर्वर जिम्मेदार है, ऐसे डोमेन खोजें जिनके पास नामों की बहुत बड़ी सूची है, तो आप अपने नेटवर्क की सुरक्षा कर सकते हैं, क्योंकि ऐसा सर्वर आवश्यक होने पर सीमित कर सकता है यातायात की गति। हमने इस समाधान के कार्यान्वयन के लिए बहुत समय समर्पित किया है, और मुझे यह बताने में खुशी होगी कि जो वास्तव में रुचि रखते हैं।

प्रश्न: इस हमले में बॉटनेट का इस्तेमाल नहीं किया गया था, लेकिन क्या आप संसाधनों की सिफारिश कर सकते हैं जिससे यह पता लगाना संभव हो सके कि क्या बड़े नेटवर्क जिन्हें आप नियंत्रित करते हैं, वे डीडीओएस हमले को अंजाम देने के लिए बॉटनेट का उपयोग कर रहे हैं?

उत्तर: यह इस बात पर निर्भर करता है कि आप कहाँ स्थित हैं - उदाहरण के लिए, आप संगठनों में ऐसे उपकरणों की खोज कर सकते हैं जो बॉटनेट के व्यवहार की निगरानी करते हैं और वह पाते हैं जो आपकी आवश्यकताओं के अनुरूप है। यदि आपको एक ओपन सोर्स प्रोजेक्ट की आवश्यकता है, तो मैं हनीपोट को सलाह देता हूं, जो कुछ साल पहले दिखाई दिया था। इसके साथ, हम प्रभावी रूप से वैश्विक बोटनेट नेटवर्क के एक महत्वपूर्ण हिस्से की निगरानी करते हैं, आप अपने आईपी पते की सीमा निर्दिष्ट कर सकते हैं और यह दिखाएगा कि क्या वहां दुर्भावनापूर्ण नेटवर्क हैं। यह ऐसी कई परियोजनाओं में से एक है। आप बस अपने नेटवर्क पर होने वाले असामान्य ट्रैफ़िक के पैटर्न की तलाश कर सकते हैं, इसलिए यदि आप ट्रैफ़िक के गीगाबिट देखते हैं जो समान IP पते पर जाते हैं, और कोई उचित कारण नहीं है कि यह किसी निश्चित समय पर हो रहा है, तो यह ट्रैफ़िक संभवतः आता है वेब सर्वर से नहीं, बल्कि बॉटनेट नेटवर्क से। इससे आपको संदेह होना चाहिए।

प्रश्न: Google के पास सबसे लोकप्रिय ओपन डीएनएस रिज़ॉल्वर है, क्या आपको नहीं लगता कि यह समस्या पैदा कर सकता है?

उत्तर: उन्होंने यातायात को सीमित करने के लिए बहुत काम किया, और इसे सत्यापित करने का सबसे अच्छा तरीका उसी समान अनुरोध का उपयोग करना है जैसा कि मैंने आपको एक उदाहरण के रूप में दिया था, और पीसीसीडब्ल्यू नेटवर्क आईपी पते को 888 के साथ बदल दिया। वर्तमान में इनमें से कोई भी केवल एक ही काम भेज सकता है। कई बार, इसे दोहराने से काम नहीं चलेगा। . , – UDP, , , , .

: , BGP Flowspec, , , , , , BGP Flowspec?

: , BGP Flowspec, - Cisco, . , , , . , Flowspec , . , Juniper, Flowspec. , 12 Cisco .

: Flowspec CloudFlare?

: , . , , Flowspec. , . , Flowspec, , . , , upstream-.



: CloudFlare, . , - , . , : «, »?

: , , . , , , , . , DDoS- , , 300 / . , Akamai, . , , «», , . , , .
, , , , . , , , . , , Akamai, Amazon, CloudFlare, Google, , , . , , ?

: , BC38, , DNSSec…

: , DNSSec!

: , , DNSSec, , ?

: . , DNSSec , . ? . , , – DNSSec , . , DNSSec, , , DNS-, .

DNSSec, , , , DNSSec. , Cloudflare, DNS, , . DNS- .

: upstream- ? .



: , , , upstream-. , . CloudFlare , , .

, , , - . , DNS DDoS: , , , .

प्रश्न: क्या ऐसा हो सकता है कि आप अपने ग्राहकों को DDoS के हमले के कारण अत्यधिक यातायात का भुगतान करने के लिए अपने खर्चों को स्थानांतरित कर दें, इस निर्णय को इस तथ्य से प्रेरित करते हुए कि उन्हें आपसे बहुत अधिक धन की आवश्यकता है?

उत्तर: आप कम आंकते हैं कि हमारे पास बैंक में कितने पैसे हैं!

आप सभी का शुक्रिया, मुझे आप लोगों से दूसरी जगह बात करने में खुशी होगी और अब इस मंच को अगले स्पीकर के लिए तैयार करने का समय आ गया है।


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps जब तक वसंत मुक्त नहीं हो जाता है जब तक कि आधे साल के लिए भुगतान नहीं किया जाता है, आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg कैसे बनाएँ के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?