DDoS सुरक्षा बाजार में क्या और कौन है

मैं 2008 से डिजिटल मार्केट में हूं, और इस दौरान मैंने जूमला (इसे याद रखें?) के वेबसाइटों से संक्रमण को देखा है। आज के इंटरनेट पर इसके मोबाइल-पहले एप्लिकेशन और नेटवर्क से जुड़े लाखों-करोड़ों IoT डिवाइस हैं।
इंटरनेट पर हमले भी इस दौरान अच्छी तरह से विकसित हुए :)
लेकिन DDoS सुरक्षा बाजार और ऑपरेटरों द्वारा हमलों से बचाने के लिए उपयोग की जाने वाली प्रौद्योगिकियां अभी भी काफी बंद हैं।
मैं आपको बताऊंगा कि मैंने उनके बारे में क्या सीखा, वेबसाइटों और इंटरनेट सेवाओं का समर्थन किया जो पिछले कुछ वर्षों से लगातार हमले के अधीन हैं।


नियमित हमले। 350 kq कुल, 52 kq वैध

पहला हमला इंटरनेट के साथ लगभग एक साथ दिखाई दिया। 2000 के दशक के उत्तरार्ध से एक घटना के रूप में DDoS व्यापक हो गया ( देखें www.cloudflare.com/learning/ddos/famous-ddos-attacks )।

2015-2016 के बारे में, लगभग सभी होस्टिंग प्रदाता DDoS हमलों से बचाव में आए, जैसे प्रतिस्पर्धी क्षेत्रों में सबसे प्रमुख साइटें (आईपी साइट्स पर whois eldorado.ru, leroymerlin.ru, tilda.ws, सुरक्षा ऑपरेटरों का नेटवर्क देखें)।

अगर 10-20 साल पहले ज्यादातर हमलों को सर्वर पर ही निरस्त किया जा सकता था ( 90 के दशक से Lenta.ru सिस्टम प्रशासक मैक्सिम मोशकोव की सिफारिशों का मूल्यांकन करें), अब सब कुछ अधिक जटिल है।

पहले, संक्षेप में हमलों के प्रकारों के बारे में।

सुरक्षा ऑपरेटर चुनने के संदर्भ में DDoS के प्रकार

L3 / L4 के हमले (OSI मॉडल)

• बॉटनेट से यूडीपी बाढ़ (कई अनुरोधों को संक्रमित उपकरणों से सीधे हमला सेवा में भेजा जाता है, चैनल सर्वर द्वारा अवरुद्ध होता है);
• डीएनएस / एनटीपी / आदि प्रवर्धन (असुरक्षित डीएनएस / एनटीपी / आदि के लिए कई अनुरोध संक्रमित उपकरणों से भेजे जाते हैं, प्रेषक का पता नकली है, पैकेट का एक बादल हमलावर के चैनल को बाढ़ देता है; यह इसी तरह से आधुनिक इंटरनेट पर सबसे बड़े हमले किए जाते हैं);
• SYN / ACK बाढ़ (कई कनेक्शन अनुरोधों को हमले वाले सर्वर पर भेजा जाता है, कनेक्शन कतार ओवरफ्लो होती है);
• पैकेट विखंडन के साथ हमले, मृत्यु के पिंग, पिंग बाढ़ (Google plz);
• आदि

इन हमलों का उद्देश्य सर्वर के साथ चैनल को "भरना" या नए ट्रैफ़िक प्राप्त करने की इसकी "मार" करना है।
हालांकि SYN / ACK बाढ़ और प्रवर्धन बहुत अलग हैं, कई कंपनियां उनके साथ समान रूप से काम करती हैं। निम्न समूह के हमलों से समस्याएं उत्पन्न होती हैं।

L7 पर हमलों (आवेदन स्तर)

• http बाढ़ (यदि एक वेबसाइट या कुछ http एपीआई पर हमला किया जा रहा है);
• साइट के कमजोर हिस्सों पर हमला (कैश के बिना, साइट पर बहुत भारी भार आदि)।

लक्ष्य सर्वर को "कड़ी मेहनत" करना है, बहुत सारे "जैसे कि वास्तविक अनुरोध" को संसाधित करना और वास्तविक अनुरोधों के लिए संसाधनों के बिना छोड़ दिया जाना है।
हालांकि अन्य हमले हैं, ये सबसे आम हैं।
L7 स्तर पर गंभीर हमले प्रत्येक हमले की परियोजना के लिए एक अनोखे तरीके से बनाए जाते हैं।

2 समूह क्यों?

क्योंकि बहुत से ऐसे हैं जो जानते हैं कि एल 3 / एल 4 स्तर पर हमलों को कैसे हराया जाए, लेकिन या तो आवेदन स्तर (एल 7) पर बिल्कुल भी सुरक्षा नहीं लेते हैं, या उनके साथ व्यवहार करते समय विकल्पों की तुलना में कमजोर है।

डीडीओएस सुरक्षा के लिए बाजार में कौन है

(मेरा व्यक्तिगत रूप)

L3 / L4 सुरक्षा

प्रवर्धन के साथ हमलों को रोकने के लिए (सर्वर के चैनल को "अवरुद्ध"), पर्याप्त व्यापक चैनल हैं (कई सुरक्षा सेवाएँ रूस में सबसे प्रमुख बैकबोन प्रदाताओं से जुड़ती हैं और 1 से अधिक की सैद्धांतिक क्षमता वाले चैनल हैं)। मत भूलो कि प्रवर्धन के साथ बहुत दुर्लभ हमले एक घंटे से अधिक समय तक रहते हैं। यदि आप Spamhaus हैं और हर कोई आपको पसंद नहीं करता है - हाँ, आप उपयोग किए गए विश्व बॉटनेट के आगे जीवित रहने के जोखिम पर भी, कई दिनों तक चैनल डालने की कोशिश कर सकते हैं। यदि आपके पास बस एक ऑनलाइन स्टोर है, भले ही वह mvideo.ru हो - कई दिनों के लिए 1 Tbit, तो आप बहुत जल्द देखेंगे (मुझे आशा है)।

SYN / ACK बाढ़, पैकेट विखंडन के साथ हमलों को पीछे हटाने के लिए, ऐसे हमलों का पता लगाने और अवरुद्ध करने के लिए उपकरण या सॉफ्टवेयर सिस्टम की आवश्यकता होती है।

इस तरह के उपकरण कई (आर्बर, सिस्को, हुआवेई के पास सॉफ्टवेयर सॉल्यूशन, वंगार्ड सॉफ्टवेयर इंप्लीमेंटेशन आदि) हैं, कई बैकबोन ऑपरेटर इसे पहले ही इंस्टॉल कर चुके हैं और डीडीओएस प्रोटेक्शन सर्विसेज बेच चुके हैं (मुझे पता है कि रोस्टेलकॉम, मेगफॉन, टीटीके, एमटीएस वास्तव में, सभी बड़े प्रदाताओं के लिए, होस्टर्स अपने ला-प्रोटेक्शन OVH.com, Hetzner.de के साथ ऐसा ही करते हैं, ihor.ru में सुरक्षा का सामना करना पड़ा)। कुछ कंपनियां अपने सॉफ़्टवेयर समाधान विकसित कर रही हैं (DPDK जैसी तकनीकें आपको एक भौतिक x86 मशीन पर दसियों गीगाबिट्स को संभालने की अनुमति देती हैं)।

जाने-माने खिलाड़ियों में से, L3 / L4 DDoS कमोबेश सभी को खदेड़ने में कारगर है। मैं यह नहीं कहने जा रहा हूं कि किसके पास अधिकतम चैनल क्षमता है (यह अंदरूनी जानकारी है), लेकिन आमतौर पर यह इतना महत्वपूर्ण नहीं है, और एकमात्र अंतर यह है कि संरक्षण कितनी जल्दी काम करता है (परियोजना के डाउनटाइम के कुछ मिनटों के बाद, जैसे हेज़नर में)।

सवाल यह है कि यह गुणात्मक रूप से कैसे किया जाता है: सबसे हानिकारक यातायात वाले देशों से यातायात को अवरुद्ध करके प्रवर्धन के साथ एक हमले को रद्द किया जा सकता है, या आप केवल वास्तव में अनावश्यक यातायात को त्याग सकते हैं।

लेकिन एक ही समय में, मेरे अनुभव के आधार पर, रूसी बाजार में सभी गंभीर खिलाड़ी बिना किसी समस्या के सामना कर सकते हैं: क्रेटर, डीडीओएस-गार्ड, कैस्परस्की, जी-कोर लैब्स (पूर्व में स्काईपार्कसीडीएन), सर्विसपाइप, स्टॉर्मवॉल, वोक्सिलिटी, आदि।

रूस में कंपनियां क्लाउडफ़ेयर के अपवाद के साथ शायद ही कभी विदेशी सुरक्षा ऑपरेटरों के साथ काम करती हैं। मैं अलग से Cloudflare के बारे में लिखूंगा।

मैंने सहकर्मियों के अनुसार, रोस्टेलकॉम, मेगफॉन, टीटीके, बीलाइन जैसे ऑपरेटरों से सुरक्षा का सामना नहीं किया, वे उच्च गुणवत्ता के साथ ये सेवाएं प्रदान करते हैं, लेकिन जिस समय उनके पास अनुभव की कमी होती है: कभी-कभी आपको सुरक्षा ऑपरेटर के समर्थन के माध्यम से कुछ कसने की आवश्यकता होती है।
कुछ ऑपरेटरों की एक अलग सेवा है "L3 / L4 स्तर पर हमलों के खिलाफ सुरक्षा", या "चैनलों की सुरक्षा", यह सभी स्तरों पर सुरक्षा की तुलना में बहुत सस्ता है।



ये बेहतर L3 / L4 सुरक्षा से रिपोर्टें हैं जो मुझे नियमित रूप से प्राप्त हुईं, होस्टिंग प्रदाता प्रणाली का समर्थन करते हुए।

L7 सुरक्षा (आवेदन स्तर)

L7 स्तर (अनुप्रयोग स्तर) पर हमले इकाइयों को लगातार और कुशलता से हरा सकते हैं।
मेरे पास वास्तविक बड़ा पर्याप्त अनुभव है

• Qrator.net;
• DDoS-गार्ड;
• जी-कोर लैब्स;
• Kaspersky।

वे शुद्ध यातायात के प्रत्येक मेगाबिट के लिए शुल्क लेते हैं, एक मेगाबिट की लागत लगभग कई हजार रूबल है। यदि आपके पास कम से कम 100 एमबीपीएस शुद्ध यातायात है - ओह। संरक्षण बहुत महंगा होगा। मैं निम्नलिखित लेखों में बता सकता हूं कि सुरक्षा चैनलों की क्षमता पर बहुत अच्छी तरह से बचाने के लिए अनुप्रयोगों को कैसे डिज़ाइन किया जाए।

असली "पहाड़ी का राजा" Qrator.net है, बाकी कुछ उनके पीछे हैं। मेरे व्यवहार में Qrator ही हैं जो झूठी सकारात्मकता के करीब शून्य प्रतिशत देते हैं, लेकिन साथ ही साथ वे बाजार के अन्य खिलाड़ियों की तुलना में कई गुना अधिक महंगे हैं।

अन्य ऑपरेटरों में उच्च-गुणवत्ता और स्थिर सुरक्षा है। कई सेवाओं का हम समर्थन करते हैं (देश में बहुत प्रसिद्ध सहित!) DDoS-Guard, G-Core Labs द्वारा संरक्षित हैं, और परिणाम से काफी खुश हैं, मैं उनकी सिफारिश कर सकता हूं।


हमलों Qrator द्वारा repelled

अभी भी छोटे-छोटे संचालकों जैसे क्लाउड-shield.ru, ddosa.net आदि के साथ अनुभव है। मैं निश्चित रूप से इसकी अनुशंसा नहीं कर सकता, क्योंकि अनुभव बहुत बड़ा नहीं है, मैं उनके काम के सिद्धांतों के बारे में बात करूंगा। सुरक्षा की लागत अक्सर बड़े खिलाड़ियों की तुलना में परिमाण के 1-2 क्रम कम होती है। एक नियम के रूप में, वे बड़े खिलाड़ियों में से एक से आंशिक रक्षा सेवा (एल 3 / एल 4) खरीदते हैं + उच्च स्तर पर हमलों के खिलाफ अपनी रक्षा करते हैं। यह काफी प्रभावी हो सकता है + आप कम पैसे में अच्छी सेवा प्राप्त कर सकते हैं, लेकिन ये अभी भी एक छोटे कर्मचारी वाली छोटी कंपनियां हैं, कृपया विचार करें।

CloudFlare

CloudFlare एक अलग घटना है। यह पहले से ही एक बड़ी कंपनी है, जिसकी लागत कई बिलियन डॉलर है, उनके ग्राहक दुनिया में आधे ट्रैफ़िक जनरेटर हैं, और DDoS सुरक्षा सेवा केवल उनकी सेवाओं में सबसे प्रसिद्ध है। हम ट्रैफ़िक प्रॉक्सी सेवा के रूप में DNS होस्टिंग, CDN के लिए भी लगातार उनका उपयोग करते हैं।

ऐसी साइट / सेवा के लिए जिसमें जटिल हमले नहीं होते हैं, Cloudflare काफी ठीक है, लेकिन गंभीर हमलों के साथ (जब वे चैनल को "न केवल भरने", बल्कि कई प्रकार के हमलों को जोड़ते हैं), $ 200 के लिए उनकी व्यवसाय योजना ने हमें कभी नहीं बचाया, लेकिन उनके बारे में बात नहीं की रूस के लिए उद्यम सुरक्षा का कोई मतलब नहीं है, यह अन्य खिलाड़ियों की ओर मुड़ने के लिए सस्ता और अधिक प्रभावी है।
ऐसा क्यों? मुझे लगता है कि बड़े पैमाने पर लगभग मुफ्त सेवा को बहुत उच्च गुणवत्ता बनाना मुश्किल है।
वैसे, बहुत से रूसी भाषी इंजीनियर CF में काम करते हैं :)

विदेशी सुरक्षा संचालक

मुझे एक बार Dragonara.net (एक बार दुनिया में सबसे बड़ा सुरक्षा ऑपरेटर) के साथ वास्तविक अनुभव था, जो अब मौजूद नहीं है।
आधुनिक ऑपरेटरों के बारे में Habré पर पहले से ही बहुत सारे लेख हैं, मैं सिर्फ नवीनतम समीक्षा के लिए एक लिंक दूंगा: habr.com/en/post/350384
निश्चित रूप से उनमें से बहुत अच्छे हैं यदि परियोजना रूसी बाजार के उद्देश्य से नहीं है, लेकिन रूस में उनके साथ समस्याएं हैं।
पहला - प्रभावी संरक्षण डिफेंडर के जितना संभव हो उतना करीब होना चाहिए और स्थानीय विशेषताओं को ध्यान में रखना चाहिए (अकेले रूस में, दूसरा चीन में, तीसरा दक्षिण अमेरिका में)।
दूसरा कारण: वास्तव में कठिन और महंगा कार्य L7 स्तर पर सुरक्षा है। और हां, यह सभी के लिए महंगा है, सिद्धांत रूप में, दुनिया में कई कंपनियां अच्छी एल 7 सुरक्षा नहीं बनाती हैं, और रूसी सेवाएं अक्सर बस प्रतियोगिता जीतती हैं।

L7 स्तर पर हमलों को दोहराने में कठिनाई क्या है?

सभी एप्लिकेशन अद्वितीय हैं, और आपको ट्रैफ़िक की अनुमति देने की आवश्यकता है जो उनके लिए उपयोगी है और हानिकारक ट्रैफ़िक को रोकते हैं। यह हमेशा संभव नहीं है कि बोट्स को असमान रूप से धोया जाए, इसलिए आपको ट्रैफ़िक शुद्धि के लिए वास्तव में बहुत सारे डिग्री का उपयोग करना होगा।

एक बार नग्नेक्स-टेस्टुसी मॉड्यूल पर्याप्त था , और अब यह बड़ी संख्या में हमलों को पीछे हटाने के लिए पर्याप्त है। जब मैंने होस्टिंग उद्योग में काम किया था, तो मेरा L7 संरक्षण सिर्फ नगनेक्स-टेस्टकॉकी पर बनाया गया था। वैसे, Beget.ru, Netangels.ru, FastVPS.ru में एक समान प्रणाली थी।

काश, हमलों और अधिक कठिन हो गया है। testcookie JS के आधार पर बॉट के लिए चेक का उपयोग करता है, और कई आधुनिक बॉट उन्हें सफलतापूर्वक पास कर सकते हैं।

बॉटनेट पर हमला करना भी अद्वितीय है, और आपको प्रत्येक बड़े बॉटनेट की विशेषताओं पर विचार करने की आवश्यकता है।
प्रवर्धन, बोटनेट से सीधी बाढ़, विभिन्न देशों से यातायात को फ़िल्टर करना (विभिन्न देशों के लिए अलग-अलग फ़िल्टरिंग), SYN / ACK बाढ़, पैकेट विखंडन, ICMP, http बाढ़, जबकि एप्लिकेशन / http स्तर पर आप विभिन्न हमलों की असीमित संख्या के साथ आ सकते हैं।

कुल मिलाकर, चैनलों के संरक्षण के स्तर पर, ट्रैफ़िक की सफाई के लिए विशेष उपकरण, विशेष सॉफ़्टवेयर, प्रत्येक क्लाइंट के लिए अतिरिक्त फ़िल्टरिंग सेटिंग्स, दसियों और सैकड़ों फ़िल्टरिंग स्तर हो सकते हैं।

इसे ठीक से प्रबंधित करने और विभिन्न उपयोगकर्ताओं के लिए फ़िल्टरिंग सेटिंग्स को सही ढंग से ट्यून करने के लिए, आपको बहुत सारे अनुभव और योग्य कर्मियों की आवश्यकता होती है। यहां तक ​​कि एक प्रमुख ऑपरेटर जिसने सुरक्षा सेवाएं प्रदान करने का फैसला किया है, वह "पैसे पर एक समस्या नहीं डाल सकता है": अनुभव झूठे साइटों और वैध यातायात पर झूठी सकारात्मकता प्राप्त करना होगा।

सुरक्षा ऑपरेटर के लिए, "हिट डीडीओएस" बटन नहीं है, बड़ी संख्या में उपकरण हैं, आपको उनका उपयोग करने में सक्षम होने की आवश्यकता है।

और एक और बोनस उदाहरण।


600 एमबीपीएस की क्षमता वाले हमले के दौरान बिना सुरक्षा के सर्वर को होस्टर द्वारा अवरुद्ध कर दिया गया था
(यातायात का "नुकसान" ध्यान देने योग्य नहीं है, क्योंकि केवल 1 साइट पर हमला किया गया था, इसे थोड़ी देर के लिए सर्वर से हटा दिया गया था और एक घंटे के भीतर ताला जारी किया गया था)।

एक ही सर्वर संरक्षित है। एक दिन के हमले के बाद हमलावरों ने आत्मसमर्पण कर दिया। हमला अपने आप में सबसे मजबूत नहीं था।

L3 / L4 हमले और उनके खिलाफ संरक्षण अधिक तुच्छ हैं, मुख्य रूप से वे चैनल मोटाई, एल्गोरिदम का पता लगाने और फ़िल्टर करने के लिए निर्भर हैं।

L7 के हमले अधिक जटिल और मूल हैं, वे हमलावर अनुप्रयोग, हमलावरों की क्षमताओं और कल्पना पर निर्भर करते हैं। उनसे संरक्षण के लिए महान ज्ञान और अनुभव की आवश्यकता होती है, और परिणाम तुरंत नहीं हो सकता है और न ही एक सौ प्रतिशत। जब तक Google सुरक्षा के लिए एक और तंत्रिका नेटवर्क के साथ नहीं आया।