एक नई सेवा के जारी होने से पहले, यह सुनिश्चित करना अच्छा होगा कि यह हमारी अपेक्षाओं के अनुरूप काम करता है और यह उपलब्ध है कि चाहे कितने ग्राहक एक साथ इसका उपयोग करें।

और अगर यह वितरित DoS हमले के खिलाफ आयोजित किया जाता है तो यह सेवा कैसे प्रतिक्रिया देगी? क्या संसाधन संभावित हमलावरों से सुरक्षित है?

संभावित जोखिमों का आकलन करने और सुरक्षा बढ़ाने के लिए, यह स्वतंत्र रूप से उन कार्यों का संचालन करने के लिए समझ में आता है जो DDoS हमले का अनुकरण करते हैं, जबकि बड़े पैमाने पर उपयोग के लिए संसाधन अभी तक लॉन्च नहीं किया गया है।

इस लेख में, हम DNS और HTTP सेवाओं के लिए लोड परीक्षण के आयोजन के अनुभव के बारे में बात करेंगे।

ट्रेनिंग

मॉनिटर किए गए संसाधन पर बड़ी मात्रा में नेटवर्क ट्रैफ़िक को उत्पन्न करने के लिए, आपको कई वर्चुअल मशीनों का उपयोग करने की आवश्यकता है, जिनमें से प्रत्येक सेवा में अधिकतम संख्या में अनुरोध भेजेगा। यदि आपके पास एक शक्तिशाली डेटा सेंटर नहीं है, तो यह एक बादल में अस्थायी रूप से आभासी मशीनों को किराए पर लेने के लिए समझ में आता है। इस विचार की एक विशेषता है: आपको यह सुनिश्चित करने की आवश्यकता है कि बादल क्रॉल नहीं करता है, एक हमलावर के कार्यों के लिए आपकी गतिविधि ले रहा है।

विभिन्न क्लाउड सेवाओं की नीतियों की तुलना करते हुए (किसी ने किसी खाते को बेरहमी से प्रतिबंधित कर दिया है, जिसके कारण, संभवतः उनकी कार्यक्षमता का उपयोग करके लोड परीक्षण के बारे में कार्रवाई की गई थी), हमने अमेज़न वेब सर्विसेज (AWS) पर रोक लगाने का फैसला किया। उनके दस्तावेजों से संकेत मिलता है कि AWS लोड परीक्षण के लिए अनुमति देता है, लेकिन एक विशिष्ट पते पर एक ईमेल भेजकर अनुमोदन मांगता है।

तनाव परीक्षण का हार्मोनाइजेशन

हम एक संदेश भेजते हैं जहाँ हम अपने इरादों के बारे में संक्षेप में बात करते हैं, और हमें एक फॉर्म मिलता है जिसे पूरा किया जाना चाहिए:

Customer ID: Customer Name: Email Address: AWS Account ID load test will be performed from: Does the customer have an NDA? Target Data EC2 Resources: Cloudfront Distribution: API Gateway / Lambda ID: ELB Names: Non-AWS Target: Region (please list all regions in scope for testing): Source Data: IP Addresses: Source Account ID: Regions involved: Testing Parameters: How much traffic do you plan to generate by region during testing? What is your expected peak load from source by region? (ie xx Gbps) What is your expected peak load at destination? (ie xx Gbps) Are you testing traffic outbound from EC2, inbound into EC2, or both? Are you testing traffic outbound (egress) from EC2, inbound (ingress) into EC2, or both: Egress. What is your expected peak load from source by region? (ie xx Gbps) Ingress. What is your expected peak load from source by region? (ie xx Gbps) Start Date: End Date: Finite testing details including timeline of testing: Summary of Test: Testing Timelines by phase including rps, pps, and Gbps: Peak bandwidth for each source IP: Tools Used for each phase of test: Types of testing to be performed for each phase of the request: What criteria/metrics will you monitor to ensure the success of this test? Who is performing the Load Test? (Please provide contact details): Does the tester have an NDA? Testing Security Do you have a way to monitor the data traffic for the duration of the test to verify bandwidth limits do not exceed approved rates? Do you have a way to immediately stop the traffic if we/you discover any issue? 2 Emergency contact names and phone numbers: 

कई बारीकियां हैं:

1. वे हमसे पूछते हैं कि हम कौन "तन" करेंगे। क्या हमें इस पर अधिकार है? हम कहते हैं कि यह हमारा संसाधन है (जाहिरा तौर पर, कोई भी जांच नहीं करता है कि यह ऐसा है) और परीक्षण पूरी तरह से सुसंगत है।

   
   

2. हमें यह निर्दिष्ट करने की आवश्यकता है कि हम प्रत्येक क्षेत्र में कितना ट्रैफ़िक बनाएंगे। पत्राचार के दौरान, हमें पता चलता है कि नेटवर्क ट्रैफ़िक की मात्रा पर प्रत्येक क्षेत्र की अपनी सीमा है। कुल में, उन्हें 645 Gb / s अनुरोध करने की अनुमति है। हम मानते हैं कि हमले के लिए कितना आवश्यक है, और हम आवश्यक मूल्य प्राप्त करने के लिए इस तरह से क्षेत्रों का चयन करते हैं।

   
   

3. यह वर्णन करना आवश्यक है कि किस समय हमला किया जाएगा, यह कितने समय तक चलेगा और इसकी शक्ति कैसे बढ़ेगी। मुक्त रूप में, लेकिन पर्याप्त विस्तार से हम अपनी योजनाओं के बारे में बात करते हैं। हमले को धीरे-धीरे शक्ति में वृद्धि के साथ किया जाता है, इसलिए हम पेंट करते हैं कि परीक्षण के क्या चरण होंगे और उनमें से प्रत्येक पर अधिकतम शक्ति क्या होगी। हमले की तारीख को एक दिन तक छोड़ दिया जा सकता है, दो से तीन सप्ताह की सीमा को इंगित किया जा सकता है।

   
   

4. और असफल होने के बिना, हम यह आश्वस्त करने के लिए अपनी पूरी कोशिश कर रहे हैं कि हम अच्छी तरह से व्यवहार करेंगे, परीक्षण की प्रगति की सावधानीपूर्वक निगरानी करें और आवश्यक होने पर इसे पहले अनुरोध पर रोक दें।

   
   

सबसे अधिक संभावना है, भरे हुए फॉर्म के जवाब में वे कुछ स्पष्टीकरण मांगेंगे, इसलिए हम परीक्षण करते हैं और तब तक जवाब देते हैं जब तक हमें परीक्षण की अनुमति नहीं मिलती।

यदि तुरंत जवाब दिया जाता है तो अनुमोदन प्रक्रिया को पूरा करने में लगभग तीन कार्यदिवस लगते हैं।

अधोसंरचना तैयार करना

अनुमोदन के बाद, हमें परीक्षण के लिए बुनियादी ढांचा तैयार करने की आवश्यकता का सामना करना पड़ रहा है। तथ्य यह है कि जाँच के दौरान हमें तुरंत करने की आवश्यकता होगी:

• एक उदाहरण शामिल करें;

• एक परीक्षण हमले शुरू;

• प्रगति पर आंकड़े इकट्ठा;

• परीक्षण हमले को रोकें;

• आईपी पता बदलें;

• उदाहरण बंद करें।

इंस्टेंस इमेज बनाएं

इंस्टेंस टाइप का चयन करें

सबसे पहले, आइए एक एडब्ल्यूएस छवि बनाएं जिसमें प्रबंधन के लिए आवश्यक उपकरण और स्क्रिप्ट होंगे। पहला कदम यह है कि किस उदाहरण को किराए पर लिया जाए। हम विभिन्न प्रकार के उदाहरणों की विशेषताओं का अध्ययन करते हैं: हम कीमत को देखते हैं, अधिकतम ट्रैफ़िक की मात्रा, सीपीयू पावर (उत्तरार्द्ध महत्वपूर्ण है, क्योंकि ट्रैफ़िक प्रोसेसर पावर द्वारा सब के बाद बनाया गया है), फिर हम वास्तविक प्रदर्शन और अधिकतम अनुरोधों का परीक्षण करते हैं। हमारे अनुमानों के अनुसार, t3.small उदाहरण परीक्षण के लिए सबसे सुविधाजनक हैं, लेकिन यहां हर कोई अपने स्वाद के लिए चुनता है।

उदाहरणों के लक्षण यहां देखे जा सकते हैं । आप यहां उदाहरणों का चयन और तुलना भी कर सकते हैं ।

सीमा अनुरोध

आपको पहले से सोचने की आवश्यकता है कि परीक्षण में कितने उदाहरण भाग लेंगे। तथ्य यह है कि अमेज़ॅन प्रत्येक क्षेत्र के लिए उदाहरणों की संख्या पर अपनी सीमा प्रदान करता है। यदि आपको लग रहा है कि आपको डिफ़ॉल्ट रूप से उपलब्ध अधिक उदाहरणों की आवश्यकता होगी, तो आपको जल्द से जल्द सीमा में वृद्धि का अनुरोध करना चाहिए। ऐसा करने के लिए, सहायता अनुभाग पर जाएं, सेवा प्रकार की वृद्धि की कॉल बनाएं। अनुरोध के लिए प्रसंस्करण का समय अलग हो सकता है: अगले दिन कोई जवाब देता है, अनुरोध के रूप में कई संस्थाएं प्रदान करता है, कोई कहता है कि वह एन उदाहरणों से अधिक नहीं चलने देगा। ऐसे क्षेत्र थे जिन्होंने लगभग एक महीने के अनुरोध पर प्रतिक्रिया दी।

प्रदर्शन ट्यूनिंग

अगला, आपको एक उदाहरण छवि बनाने की आवश्यकता है जिसे परीक्षण के दौरान लॉन्च किया जाएगा। ऐसा करने के लिए, हम चयनित प्रकार के उदाहरण को चालू करते हैं, उस पर सभी सेटिंग्स बनाते हैं, फिर एक छवि के रूप में जो कुछ हुआ है उसे बचाएं (क्रिया मेनू में, जहां आप उदाहरण को सक्षम कर सकते हैं, साथ ही छवि बनाने के लिए कार्यक्षमता भी बना सकते हैं)।

हमें प्रत्येक उदाहरण से अधिकतम आउटगोइंग ट्रैफ़िक प्राप्त करने की आवश्यकता है, इसलिए पहले हम उदाहरण पर अपने कार्य के लिए नेटवर्क और मेमोरी सेटिंग्स का अनुकूलन करते हैं।

ऐसा करने के लिए, /etc/sysctl.conf फ़ाइल में सेटिंग करें:

• स्थानीय बंदरगाहों की सीमा बढ़ाएँ और फ़ाइनल_विट राज्य में सॉकेट्स द्वारा खर्च किए गए समय को कम करें:

 net.ipv4.ip_local_port_range = 1024-65535 ( : 32768-61000) net.ipv4.tcp_fin_timeout = 10 ( : 60) 

स्थानीय पोर्ट रेंज यह निर्धारित करती है कि एक विशिष्ट आईपी से एक मेजबान अधिकतम कितनी आउटगोइंग सॉकेट्स बना सकता है।

डिफ़ॉल्ट सेटिंग (61,000-32,768) के साथ, 28,233 सॉकेट प्राप्त होते हैं। नई सेटिंग्स के साथ - 64 500।

Fin_timeout न्यूनतम समय को परिभाषित करता है कि आउटगोइंग सॉकेट्स FIN_WAIT स्थिति में हो सकता है।

यदि डिफ़ॉल्ट मान निर्दिष्ट किए जाते हैं, तो सिस्टम प्रति सेकंड (61,000-32,768) / 60 = 470 सॉकेट से अधिक नहीं प्रदान कर सकता है।

Port_range को बढ़ाकर और fin_time को घटाकर, हम अधिक आउटगोइंग कनेक्शन उत्पन्न करने के लिए सिस्टम की क्षमता को प्रभावित कर सकते हैं।

जब हम निःशुल्क समाप्त होते हैं, तो हमें TIME_WAIT स्थिति में सॉकेट का पुन: उपयोग करें:

 net.ipv4.tcp_tw_reuse = 1 

उपरोक्त विकल्प सेट करना (जो डिफ़ॉल्ट रूप से अक्षम है) पहले से ही पूर्ण किए गए कनेक्शनों के "निष्क्रिय" के नुकसान को कम करने में मदद करता है।

इस लेख में TIME_WAIT के बारे में बहुत विस्तृत वर्णन किया गया है।

काम करने के लिए ऊपर tcp_tw_reuse विकल्प के लिए tcp_timestamps विकल्प चालू करें:

 net.ipv4.tcp_timestamps = 1 –   `tcp_timestamps`     tcp_tw_reuse 

• अन्य विकल्प:

 net.ipv4.tcp_max_tw_buckets = 720000 –       TIME_WAIT net.ipv4.tcp_keepalive_time = 600 –  - keepalive- net.ipv4.tcp_keepalive_probes = 3 –   keepalive- net.ipv4.tcp_keepalive_intvl = 10 –     keepalive- net.ipv4.tcp_window_scaling = 1 –   TCP- net.ipv4.tcp_mem = 8192 131072 196304 –     TCP- net.ipv4.udp_mem = 8192 131072 196304 –     udp- net.ipv4.tcp_slow_start_after_idle=0 –  Slow-Start Restart net.core.wmem_default = 31457280 –         net.core.wmem_max = 33554432 –        net.core.somaxconn = 65535 –        net.core.netdev_max_backlog = 65535 –          vm.swappiness = 30 –    vm.dirty_ratio = 50 –     50 %  vm.pagecache = 90 –     

हमले की स्क्रिप्ट का परीक्षण करें

1. डीएनएस हमला

परीक्षण का एक मुख्य कार्य DNS सर्वरों के प्रदर्शन का मूल्यांकन करना है। अर्थात्, DNS सर्वर किसी साइट की गलती सहिष्णुता की अड़चन बन सकते हैं, क्योंकि DNS के साथ समस्या होने पर भी सबसे स्थिर सेवा अनुपलब्ध है। DNS सर्वर पर लोड बनाने के लिए, हम कई अलग-अलग DNS क्वेरी उत्पन्न करेंगे। अनुरोध मान्य होना चाहिए और DNS सर्वर से सबसे बड़ी संभव और सबसे लंबी प्रतिक्रिया की आवश्यकता होगी।

DNSPerf उपयोगिता ऐसे ट्रैफ़िक को उत्पन्न करने के लिए उपयुक्त है।

DNSPerf एक सरल, लचीला और मुक्त DNS प्रदर्शन परीक्षण उपकरण है। यह मुख्य रूप से आधिकारिक DNS सर्वर के लिए डिज़ाइन किया गया है, लेकिन इसका उपयोग कैशिंग सर्वर के प्रदर्शन को मापने के लिए भी किया जा सकता है।

हमारे मामले में, आधिकारिक DNS सर्वर लोड किए गए हैं जो एक क्षेत्र - example.com की सेवा करते हैं।

DNSPerf के लिए, हम पहले dns_queries.txt अनुरोधों के साथ एक फ़ाइल तैयार करते हैं (मुख्य रूप से DNS सर्वर से प्रतिक्रिया का समय और आकार बढ़ाने के लिए कोई भी):

 #dns_queries.txt example.com ANY www.example.com ANY test.example.com ANY static.example.com ANY example.com  www.example.com  test.example.com MX 

उपयोगिता चलाने का उदाहरण:

 dnsperf -s TARGET_IP -d dns_queries.txt -c 100 -n 100 -s =  IP- -d =      .   – stdin -c =   .         -n =  «»   . 

2. आईसीएमपी पर हमला

परीक्षण का अगला चरण बड़ी संख्या में आईसीएमपी यातायात के प्रतिरोध का आकलन करना है। चूंकि, तकनीकी कारणों से, सर्वर को अक्सर पिंग-रिक्वेस्ट का जवाब देने में सक्षम होने की आवश्यकता होती है, पिंग-अनुरोधों का उपयोग करके डीडीओएस हमले की संभावना होती है। ping-to-death की संभावना को बाहर करने वाली सेटिंग्स को निर्दिष्ट करने के अलावा, आपको यह सुनिश्चित करने की आवश्यकता है कि सर्वर आईसीएमपी लोड के लिए प्रतिरोधी हैं। इस तरह के भार को बनाने के लिए, प्रसिद्ध hping3 उपयोगिता का उपयोग करना बेहतर होता है, जो आपको अनुरोधों की संख्या, भावनाओं के बीच के अंतराल, साथ ही पैकेट के आकार को समायोजित करने की अनुमति देता है।

उपयोगिता चलाने का उदाहरण:

 hping3 -i u1000 -d 1500 -c 100000 -1 TARGET_IP -i u100 =     (uX for X microseconds) -d 1500 =    -c 1000000 =     -1 =  ICMP 

3. HTTP पर हमला

अब हम तनाव प्रतिरोध की सेवा की मुख्य कार्यक्षमता - HTTP (एस) के प्रसंस्करण की जाँच करते हैं। HTTP ट्रैफ़िक उत्पन्न करने के लिए सबसे लचीला और आसान उपकरण है। घेराबंदी एक ओपन-सोर्स मल्टी-थ्रेडेड उपयोगिता है जिसे वेब संसाधन के प्रदर्शन का परीक्षण करने के लिए डिज़ाइन किया गया है।

DNSPerf की तरह, घेराबंदी आपको सर्वर को दिए गए वर्चुअल उपयोगकर्ताओं से अनुरोधों के साथ लोड करने की अनुमति देती है (उपयोगकर्ता का उत्सर्जन एक अलग पोर्ट का उपयोग करके किया जाता है), साथ ही साथ अनुरोधों के पूर्वनिर्धारित सेट का उपयोग करें। यह बहुत सुविधाजनक है, क्योंकि आप परीक्षण में सबसे अधिक संसाधन-गहन प्रश्नों को शामिल कर सकते हैं।

उपयोगिता चलाने का उदाहरण:

 siege -b -c 100 -f test_urls.txt -b =   ( benchmark) -c =   .         -f =    

सामग्री प्रारूप test_urls.txt :

 http://example.com/site/login POST login=username&password=test http://example.com/site/client POST useragent=Mozilla&version=123&date=24May http://example.com/site/order POST user=username&company=ooo&phone=812345678 

जैसा कि आप देख सकते हैं, मुख्य रूप से POST अनुरोधों का उपयोग करके परीक्षण किए गए थे जो सर्वर साइड पर प्रसंस्करण की आवश्यकता होती है और अन्य प्रकार के अनुरोधों की तुलना में संसाधनों की सबसे बड़ी संख्या पर कब्जा करते हैं।

कोई भी विकल्प IP स्पूफिंग का उपयोग नहीं करता है, क्योंकि अमेज़न इसकी अनुमति नहीं देता है। पैकेज में जो भी src_IP निर्दिष्ट किया गया है, उसे उदाहरण से बाहर निकलने पर सही में बदल दिया जाएगा।

सभी उत्पन्न अनुरोध वैध होना चाहिए - अमेज़ॅन की डीडीओएस नीति बहुत सख्त होने के साथ-साथ निवर्तमान यातायात की कोई लहर नहीं है। यहां तक ​​कि एक समन्वित तनाव परीक्षण में तकनीकी सहायता के साथ संवाद करने में कम से कम कुछ दिन लगते हैं, और पहले "दुर्भावनापूर्ण" कार्यों के दौरान हमें उस बंदरगाह का प्रतिबंध प्राप्त होता है जहां से ट्रैफ़िक निकला था, और जिसे तुरंत समझाया जाना चाहिए।

हमलों का शुभारंभ करने के लिए लिपियों

दूरस्थ परीक्षण प्रबंधन के लिए, हम bash स्क्रिप्ट तैयार करेंगे (dns.sh, ping.sh, http.sh) जो वांछित प्रकार के हमले का शुभारंभ करते हैं, और पेलोड फाइलें (test_urls.txt, valid_dns_queries.txt)।

जब हम यह सब एडब्ल्यूएस छवि पर अपलोड करते हैं (जिससे सभी उदाहरण बन जाएंगे), तो प्रत्येक परीक्षा को निम्नलिखित प्रारूप की कमांड का उपयोग करके दूरस्थ रूप से चलाया जा सकता है:

 ssh instance-amazon 'sudo <stress-script>.sh start <params> &>>stress.log &' 

आवश्यक प्रकार की स्क्रिप्ट को स्ट्रेस- script.sh के रूप में निर्दिष्ट किया गया है, और परम इसी अनुरूप पैरामीटर हैं। Stress.log फ़ाइल में, हम चल रहे उपयोगिता के आउटपुट को ट्रैक करेंगे। सुविधा के लिए, हम विभिन्न उपयोगिताओं के लिए विभिन्न लॉग का उपयोग करेंगे: dns.log, ping.log, http.log।

उदाहरण dns.sh स्क्रिप्ट:

 #!/bin/bash if [[ ! "$1" =~ ^(start|stop|status)$ ]]; then echo "nothing to do: need argument for stop,start or status" exit 1 fi if [[ "$1" = "start" ]]; then shift dnsperf $@ fi if [[ "$1" = "stop" ]]; then kill $(pidof dnsperf) fi if [[ "$1" = "status" ]]; then if [[ ! "$(pidof dnsperf)" = "" ]]; then echo "dnperf is running with PID $(pidof dnsperf)" ps aux | grep dnsperf else echo "dnsperf is not running" fi fi 

जैसा कि कोड से देखा जा सकता है, स्क्रिप्ट को शुरू और बंद किया जा सकता है, साथ ही साथ स्थिति की जांच करें (चल रहा है / नहीं चल रहा है)।

ICMP और HTTP परीक्षणों के लिए लिपियों को एक ही तरीके से बनाया गया है, क्रमशः hping3 और घेराबंदी शुरू करते हुए, पैरामीटर स्ट्रिंग को तर्क के माध्यम से पारित किया जाता है।

आदेशों के उदाहरण:

 ssh instance-amazon 'sudo dns.sh start -s TARGET_IP -d valid_dns_queries.txt -c 1 -n 100 &>>dns.log &' ssh instance-amazon 'sudo ping.sh start -i u1000 -d 1500 -c 100000 -1 TARGET_IP &>>ping.log &' ssh instance-amazon 'sudo http.sh start -b -c 100 -f test_urls.txt &>> http.log &' 

मॉनिटरिंग स्क्रिप्ट

आउटगोइंग ट्रैफ़िक और परीक्षण अवसंरचना की स्थिति का मूल्यांकन करने के लिए, हमें एक निगरानी उपकरण की आवश्यकता है। सरलता और संसाधन बचत के कारणों के लिए, हम iptables का उपयोग करते हैं। ऐसा करने के लिए, हम एक स्क्रिप्ट लिखेंगे जो भेजे गए एमबी की संख्या को गिनता है, और इसे एडब्ल्यूएस छवि पर डाल देता है:

 #iptables.sh sudo iptables -N TRAFFIC_OUT sudo iptables -A TRAFFIC_OUT -p tcp sudo iptables -A TRAFFIC_OUT -p udp sudo iptables -A TRAFFIC_OUT -p icmp sudo iptables -A OUTPUT -j TRAFFIC_OUT sudo iptables-save 

स्क्रिप्ट एक नई श्रृंखला TRAFFIC_OUT बनाता है और आवश्यक प्रोटोकॉल के लिए इसमें फिल्टर जोड़ता है: tcp, udp, icmp।

TRAFFIC_OUT के लिए अग्रेषित पैकेट को OUTPUT श्रृंखला में जोड़ा जाता है।

हस्तांतरित डेटा की मात्रा कमांड द्वारा पाई जा सकती है:

 # iptables -L TRAFFIC_OUT -v -n -x | tail -n 3 | awk '{print $2/1024/1024,"Mb\t\t\t",$3}' : 2.2 Mb tcp 4.4 Mb udp 3.2 Mb icmp 

स्क्रिप्ट को सेवा के रूप में स्थापित करें। ऐसा करने के लिए, एक निगरानी। सेवा फ़ाइल बनाएं और इसे हमारी छवि के /etc/systemd/system निर्देशिका में स्थानांतरित करें:

 # /etc/systemd/system/monitoring.service [Unit] After=network.target [Service] ExecStart=/usr/local/bin/monitoring.sh [Install] WantedBy=default.target 

अब आप सेवा को स्टार्टअप से जोड़ सकते हैं:

 systemctl enable monitoring.service systemctl start monitoring.service 

उदाहरण प्रबंधन

अब हम रिमोट (यथासंभव स्वचालित) इंस्टेंस प्रबंधन से निपटते हैं।

इन उद्देश्यों के लिए, आप AWS CLI तंत्र - कंसोल प्रबंधन का उपयोग कर सकते हैं।

एक गुप्त कुंजी (एक्सेस कुंजी (एक्सेस कुंजी आईडी और गुप्त एक्सेस कुंजी)) बनाएं और कंसोल को कॉन्फ़िगर करें।

अब हमारे पास खाते की सभी सुविधाओं तक पहुंच है।

AWS के साथ काम करने की ख़ासियत यह है कि सभी क्रियाएं एक विशिष्ट क्षेत्र के लिए की जाती हैं और यदि कई क्षेत्र शामिल हैं तो उन्हें दोहराया जाना चाहिए।

हमारे द्वारा बनाई गई छवि से एक नया उदाहरण बनाने के लिए (हम मानते हैं कि एक सार्वजनिक अमी-आईडी है जो हम स्क्रिप्ट में उपयोग करते हैं), हम निम्नलिखित करेंगे:

• SSH कुंजी बनाएं और उसे AWS में जोड़ें:

 yes n |ssh-keygen -q -t rsa -f $KEYNAME -m pem -N "" > /dev/null chmod 400 $KEYNAME aws ec2 import-key-pair --region $REGION --key-name $KEYNAME --public-key-material file:///$(pwd)/$KEYNAME.pub 

• SSH के माध्यम से मशीन तक पहुँच की अनुमति देने वाला एक सुरक्षा-समूह बनाएँ। अन्यथा, आने वाले SSH कनेक्शन को अस्वीकार कर दिया जाएगा:

 SECURITY="ssh-group" aws ec2 create-security-group --region $REGION --group-name $SECURITY --description "Just ssh. Nothing more" IP_RANGE="0.0.0.0/24" aws ec2 authorize-security-group-ingress --region $REGION --group-name $SECURITY --protocol tcp --port 22 --cidr $IP_RANGE 

• पहले से बनाई गई कुंजी और सुरक्षा-समूह के साथ एक उदाहरण बनाएं और छवि आईडी निर्दिष्ट करें। एक समय में निर्मित उदाहरणों की संख्या मनमानी हो सकती है:

 IMG='ami-0d0eaed20348a3389' NUM=1 aws ec2 run-instances --region $REGION --image-id $IMG --count $NUM --instance-type t2.micro --key-name $KEYNAME --security-groups default $SECURITY > instances.json 

• मशीन शुरू होने तक प्रतीक्षा करें। इसमें कुछ समय लगता है: पहले हमें सफलता की प्रतिक्रिया मिलती है (उदाहरण के लिए)। लेकिन उस समय मशीन सिर्फ बनाई गई थी, लेकिन अभी तक शुरू नहीं हुई है (उदाहरण के लिए, इसे अभी तक एक आईपी पता नहीं सौंपा गया है)। लॉन्च पूरा होने के लिए इंतजार करना आवश्यक है (आमतौर पर इसके लिए एक मिनट पर्याप्त है)।

यदि आप आईपी एड्रेस जानते हैं तो आप एसएसएच के माध्यम से जुड़ सकते हैं। बस उन मशीनों की एक सूची का अनुरोध करें जो वर्तमान में चल रही हैं। उनके मापदंडों में हम PublicDnsName या PublicIpAddress पाते हैं।

 aws ec2 describe-instances --region 

इसके बाद, हम SSH कमांड को निष्पादित करते हैं, जो ऊपर बनाई गई SSH कुंजी को दर्शाता है:

 ssh -I $KEYNAME -oStrictHostKeyChecking=no ubuntu''+ins_dns echo''O'' 

एसएसएच-कमांड आपको हमले को नियंत्रित करने और हमले की स्थिति के बारे में सभी जानकारी प्राप्त करने की अनुमति देते हैं, क्योंकि हमने सभी आवश्यक स्क्रिप्ट और टूल के साथ उदाहरण प्रदान किए हैं।

आपको यह समझने की आवश्यकता है कि सेवा हमलों से इनकार करने के खिलाफ अधिकांश बचाव आईपी पते को रोकते हैं जिससे कई अनुरोध प्राप्त होते हैं। इसलिए, हमले की शक्ति को बनाए रखने के लिए वर्चुअल मशीनों के आईपी पते लगातार बदलते रहना चाहिए।

प्रत्येक बार मशीन शुरू होने पर AWS एक नया IP पता प्रदान करता है। इसलिए, आईपी को बदलने के लिए, आपको मशीन को फिर से चालू करने की आवश्यकता है (इसे हटाने की कोई आवश्यकता नहीं है!)।

बंद करने और हटाने के बीच का अंतर यह है कि हम अलग-अलग सिग्नल भेजते हैं। बंद करना - बंद करना, समाप्त करना - बंद करना और तुरंत हटाना।

उदाहरण के आने वाले ट्रैफ़िक पर नज़र रखने के लिए, हम निम्न कमांड का उपयोग इंस्टेंस आईडी के साथ करते हैं: ट्रैफ़िक माप कब शुरू होता है, कब समाप्त होता है, किस अवधि के लिए मानों को सारांशित किया जाता है:

 aws cloudwatch get-metric-statistics --region REGION --namespace AWS/EC2 \ --statistics Sum --metric-name NetworkIn --start-time $STARTTIME --end-time $FINISHTIME --period $PERIOD --dimensions Name=InstanceId,Value=$INCTANCEID 

सेवा उपलब्धता की निगरानी

इसके अतिरिक्त, एक हमले का संचालन करने के लिए, आपको यह देखना होगा कि हम जिस सेवा का परीक्षण कर रहे हैं वह जीवित है या नहीं।

हम सरल "पिंग" स्क्रिप्ट बनाते हैं और चलाते हैं जो लक्ष्य बंदरगाहों की उपलब्धता (हमारे मामले में 53 और 80) की निगरानी करता है।

नमूना पायथन कोड जो उपलब्धता की जाँच को स्वचालित करता है:

 def http(url): cmd = ['curl', '-w', '"%{time_total}"', '-o', '/dev/null', '-s', url] result = check_output(cmd).decode('utf-8') result = float(json.loads(result)) return result * 1000000 def dns(ip, domain): cmd = ['dig', 'any', '@'+ip, domain ] result = check_output(cmd).decode('utf-8') result = int(result.split('Query time:')[1].split('msec')[0]) return result 

प्राप्त जानकारी एक लॉग फ़ाइल में संग्रहीत की जाती है, जिसके आधार पर, हमले के परिणामों के आधार पर, संसाधन उपलब्धता के ग्राफ का निर्माण करना संभव होगा।

परीक्षण के दौरान, "पिंग" लॉग को लगातार जांचना आवश्यक है ताकि संसाधन को पूरी तरह से और अपरिवर्तनीय रूप से मार न सकें। जैसे ही महत्वपूर्ण गिरावट दिखाई देती है और अनुरोध की प्रतिक्रिया में बहुत अधिक समय लगता है, हमले को रोकना चाहिए।

यदि मंदी सुस्त है, और हमले की शक्ति अधिकतम स्थापित हो गई है, तो यह एक या दो मिनट इंतजार करने के लिए समझ में आता है, और यदि सेवा बिना किसी रुकावट के काम करना जारी रखती है, तो चेक को सफल माना जाता है।

वित्तीय मुद्दा

यह परीक्षण के संगठन से संबंधित एक और मुद्दे पर चर्चा करने योग्य है - इस पूरे आयोजन की लागत।

अमेज़ॅन विस्तृत मूल्य निर्धारण की जानकारी प्रदान करता है, लेकिन आपको यह समझने की आवश्यकता है कि आपको लगभग हर चीज के लिए भुगतान करना होगा। फिर भी, कई गणनाओं की उपेक्षा की जा सकती है। सबसे पहले, यह यातायात की लागत की गणना करने के लायक है (यह क्षेत्र पर निर्भर करता है और जानकारी की कुल राशि प्रेषित की जाएगी) और किराए पर देने की लागत (प्रति मिनट भुगतान)। ये आइटम पूरे हमले की लागत का लगभग 99% बनाते हैं।

इसलिए, हमले की लागत की गणना प्रत्येक मामले में अलग-अलग की जाती है, जो [शत्रुता के पैमाने] अधिकतम आक्रमण शक्ति और नियोजित लॉन्च की संख्या पर निर्भर करता है।

गणना के सरलीकरण के दृष्टिकोण से, अमेज़ॅन खाते का उपयोग करना बेहतर है, जो एक साल पहले से अधिक पंजीकृत नहीं था। फिर संचालन का हिस्सा मुक्त हो जाएगा। मुफ्त उपयोग सीमा के बारे में अधिक जानकारी यहाँ पढ़ें।

लोड परीक्षण के संचालन की लागत की गणना को स्पष्ट करने के लिए, मान लें कि हम DNS सर्वर की स्थिरता को 10 जीबी / एस के लोड की जांच करना चाहते हैं।

हम जानते हैं कि मुंबई में लॉन्च किए गए उपकरण और t3.small उदाहरण की क्षमताएँ आपको एक रनिंग इंस्टेंस से 500 एमबी / एस जारी करने की अनुमति देती हैं। एक इकाई को किराए पर लेने की कीमत $ 0.0224 प्रति घंटे है, ट्रैफ़िक के लिए - 1 जीबी के लिए $ 0.01093। यही है, हमले के शिखर का अर्थ है 20 संस्थाओं का एक साथ संचालन।

हम धीरे-धीरे हमले की शक्ति बढ़ाएंगे, इसके लिए हम पहले एक इकाई शुरू करते हैं, फिर प्रत्येक 60 एस में एक और जोड़ते हैं।

लागत की गणना करने का फार्मूला इस प्रकार है:

 60  * (   ) + 60  * 0,5 /c * (  ) =       60 . 1 * (    ) + 2 * (    ) + ... + 20 * (    ) =    

यह पता चला है कि एक DNS सर्वर के लिए 10 Gb / s की क्षमता के साथ एक हमले की लागत लगभग $ 70 है। ध्यान दें कि यह एक मोटा अनुमान है, क्योंकि यातायात की मात्रा का सटीक अनुमान नहीं लगाया जा सकता है। . , – , .

. .