(25 मई, कीव) अदृश्य मोर्चे के लड़ाके या थोड़े समय में रैडवेयर का उपयोग करके डीडीओएस के हमलों से बचाव के तरीके के बारे में एक कहानी

पिछले लेख में, मैंने DDoS हमलों के मुख्य विकास की समीक्षा की और रेडवेयर समाधानों की समीक्षा की। एक समीक्षा एक समीक्षा है, लेकिन, एक समाधान की प्रभावशीलता का मुकाबला करने में जाना जाता है।



इतना समय पहले नहीं (कीव में 25 मई के आसपास), भाग्य की मेरी इच्छा से, मिशन डीडीओएस हमलों से राज्य की वेबसाइट की सुरक्षा को व्यवस्थित करने के लिए दो दिनों के भीतर गिर गया।



इस लेख के दो भाग हैं। पहले में, मैं वर्णन करूंगा कि DDoS हमलों से बचाव के लिए चयनित समाधान को कैसे कॉन्फ़िगर किया जाए, और दूसरे में, इसने राज्य की वेबसाइट को कैसे संरक्षित किया।



तो मेरा लेख उन दोनों इंजीनियरों के लिए उपयोगी होगा जो वर्णित समाधान का परीक्षण करने जा रहे हैं, साथ ही उन लोगों के लिए भी हैं जो केवल समाचारों का पालन करते हैं और इस बात में रुचि रखते हैं कि डीडीओएस हमलों से सुरक्षा पहले से कैसे हुई।

DDoS हमलों से सुरक्षा के लिए समाधान

संरक्षण के खिलाफ उपकरणों की पसंद रेडवेयर के निर्माता पर गिर गई, क्योंकि यह खुद को काफी पहले ही साबित कर चुका है।

अपेक्षित हमलों से एक दिन पहले, मुझे प्रदाता की साइट पर जाने की अनुमति दी गई थी, जहां राज्य की वेबसाइट का एक दर्पण था, ताकि मैंने सिस्टम को कॉन्फ़िगर किया।



लोहे के टुकड़े को रैक में बिखेरने के बाद, मैंने प्रबंधन प्रोटोकॉल और आईपी पता सौंपा और इसे कॉन्फ़िगर करने के लिए आगे बढ़ा।



लेकिन सेटअप का वर्णन करने के लिए शुरू करने से पहले, मैं सिस्टम की तैनाती का वर्णन करूंगा।



इस प्रणाली में एक संरक्षित वेब सर्वर, एक रेडवेयर डिफेंसप्रो डिवाइस और एक रेडवेयर एपसॉल्यूट विजन कंट्रोल सिस्टम शामिल था, जिसे ईएसएक्स वर्चुअल मशीन पर तैनात किया गया था।



डिवाइस पोर्ट पुल मोड में काम करते हैं और पूरी तरह से पारदर्शी होते हैं, जो बुनियादी ढांचे में पते को बदलने के बिना आसानी से मौजूदा नेटवर्क में एकीकृत करने की अनुमति देता है।







अपने वेब इंटरफेस को सीधे एक्सेस करके हार्डवेयर को कॉन्फ़िगर करना बहुत असुविधाजनक है, और बड़ा ऋण यह है कि आप वास्तविक समय में वर्तमान हमलों के आंकड़ों को नहीं देख सकते हैं और उन हमलों पर रिपोर्ट भी बना सकते हैं (रिपोर्ट एक अलग सुविधा - सुरक्षा रिपोर्टर द्वारा बनाई गई हैं)। विज़न स्वयं हार्डवेयर को नियंत्रित करता है और एसएनएमपी प्रोटोकॉल के माध्यम से आंकड़े एकत्र करता है। मैंने यातायात प्रबंधन सुरक्षा के लिए SNMP संस्करण 3 स्थापित किया।

पीसी के लिए विज़न क्लाइंट स्थापित करें

ऐसा करने के लिए, वेब के माध्यम से इंस्टॉल किए गए APSolute Vision के आईपी पते पर जाएं, क्लाइंट को स्वयं डाउनलोड करें और इसे इंस्टॉल करें।





अब हम इंस्टॉल किए गए क्लाइंट को लॉन्च करते हैं और हम ऐसी विंडो देखते हैं





हम APSolute Vision सर्वर के लॉगिन, पासवर्ड और आईपी पते को दर्ज करते हैं और इसके इंटरफेस पर पहुंचते हैं।





आइए देखें कि एपीसॉल्ट विजन के माध्यम से इसे नियंत्रित करने के लिए रेडवेयर डिवाइस को कैसे जोड़ा जाता है।













अब जब डिफेंसप्रो जोड़ा गया है, तो आपको इसे कॉन्फ़िगर करने की आवश्यकता है।

डिवाइस सेटअप मोड में प्रवेश करने के लिए, आपको पहले इसे लॉक करना होगा। यह इस तरह किया जाता है।





अब आप स्वयं हार्डवेयर को कॉन्फ़िगर कर सकते हैं।

समायोजन

1. सबसे पहले आपको हार्डवेयर ग्रंथि को अद्यतन करने की आवश्यकता है:

• फर्मवेयर

• हमला विवरण फ़ाइल

• हमले पर हस्ताक्षर



फर्मवेयर:



आरंभ करने के लिए, अपने पीसी पर भागीदार पोर्टल से हमारे हार्डवेयर के मॉडल के लिए फर्मवेयर डाउनलोड करें। लेकिन पोर्टल को छोड़ने के लिए जल्दी मत करो। फर्मवेयर को डिवाइस द्वारा सफलतापूर्वक स्वीकार किए जाने के लिए, पासवर्ड उत्पन्न करना अभी भी आवश्यक है। उसी पोर्टल पर, "पासवर्ड जेनरेटर" देखें, इसके लिए जाएं और, हार्डवेयर प्लेटफ़ॉर्म सेट करें, फर्मवेयर संस्करण जिसे हम इंस्टॉल करना चाहते हैं, और ड्रॉप-डाउन सूची से मैक पते, पासवर्ड उत्पन्न करें और इसे सहेजें (उदाहरण के लिए, नोटपैड में)।



अगला, टैब पर जाएं "निगरानी" -> "सॉफ्टवेयर संस्करण प्रबंधित करें"





यहां हमें एक पासवर्ड की आवश्यकता थी।

हमला विवरण फ़ाइल

अब हम हमलों के विवरण की फाइल को अपडेट करेंगे जो लोहे के टुकड़े का उपयोग करेगा। हम इसे उसी सहयोगी साइट से शिप करते हैं। और मैंने सभी रेडवेयर उपकरणों के लिए फाइल ली।



"एसेट मैनेजमेंट" पर जाएं और नीचे दिए गए हमले के विवरण फ़ाइल के लिए अपडेट बटन ढूंढें।

हस्ताक्षर

फिर से, साथी साइट से हस्ताक्षर के साथ फाइल डाउनलोड करें। होम पेज पर इसका लिंक दिया गया है।

डाउनलोड करने के बाद, "मॉनिटरिंग" टैब पर जाएं और डिफेंसप्रो पर हमलों के हस्ताक्षर अपडेट करें।

सुरक्षा नीतियां

1. पहले आपको उन आवश्यक कार्यों को सक्षम करने की आवश्यकता है जिन्हें हम सुरक्षा के लिए उपयोग करना चाहते हैं।

राज्य की वेबसाइट पर हमलों के लिए प्रभावी प्रतिरोध सुनिश्चित करने के लिए, मैं सुविधाओं को अधिकतम करने के लिए चालू करता हूं:

• हस्ताक्षर संरक्षण

• DoS शील्ड

• बीडीओएस संरक्षण (व्यवहार DoS)

• बीडीओएस प्रारंभिक अवरोधक

• एंटी-स्कैनिंग

• SYN बाढ़ सुरक्षा

• HTTP बाढ़ सुरक्षा

• पैकेट अनोमली



यह वेब सर्वर की सुरक्षा के लिए पर्याप्त होगा।



मुझे प्रत्येक टिक का विस्तार से वर्णन करने की कोई इच्छा नहीं है। यह सब डिफेंसप्रो यूजर गाइड में पाया जा सकता है। लेकिन मैं सुरक्षा कार्यों की व्याख्या खुद करूंगा।



हस्ताक्षर संरक्षण



हस्ताक्षर अनुप्रयोगों, सामान्य वायरस, ट्रोजन, स्पाईवेयर, वर्म्स और DoS में ज्ञात कमजोरियों से रक्षा करते हैं।

डिफ़ॉल्ट रूप से, इस प्रकार की सुरक्षा सक्षम है। और इसे चालू करना होगा। लेकिन सभी एक ही, पूर्ण निश्चितता के लिए, यह जांचना आवश्यक है, क्योंकि वे कहते हैं, "बेहतर है कि यह अति से अधिक हो।"



दोस ढाल

यह फ़ंक्शन शून्य-दिन की बाढ़ से बचाता है, जिसमें SYN बाढ़, टीसीपी बाढ़, UDP बाढ़, ICMP और IGMP बाढ़ शामिल हैं।



BDoS सुरक्षा

एक बहुत ही महत्वपूर्ण विशेषता। वह लोहे के टुकड़े को प्रशिक्षित करने और सामान्य यातायात व्यवहार के गठन के लिए जिम्मेदार है।



डिफेंसप्रो फीचर यह है कि, प्रशिक्षण के बाद, DDoS हमले की शुरुआत में (एक असली वाला, जो अभी तक किसी के लिए अज्ञात है, जिसमें कोई हस्ताक्षर नहीं हैं, सामान्य SYN फ्लड और HTTP फ्लड नहीं), लोहे का टुकड़ा यातायात में असामान्य वृद्धि की निगरानी करता है और जब ट्रैफिक सीमाएं पार हो जाती हैं, तो सामान्य ट्रैफिक व्यवहार - हमले की उपस्थिति के लिए विश्लेषण करना शुरू करता है। संदिग्ध यातायात का अनुसूचित पता लगाने - 10 एमएस। इसके अलावा, डिवाइस संदिग्ध ट्रैफ़िक का विश्लेषण करने के लिए शुरू होता है और, जब किसी हमले के बारे में फैसला जारी किया जाता है, तो यह वास्तविक समय में एक हस्ताक्षर बनाता है जो ऐसे ट्रैफ़िक को रोकता है। विनियमित हस्ताक्षर पीढ़ी और अवरुद्ध समय 8 एमएस है। इस प्रकार, डीडीओएस हमले के एक नए प्रकार का अवरोध 18 एमएस में होता है।



डिफ़ॉल्ट डिफेंसप्रो ट्रेनिंग समय एक सप्ताह है। लेकिन, कार्य की तात्कालिकता की स्थितियों में, मैंने इसे 1 दिन के लिए निर्धारित किया।





BDoS प्रारंभिक अवरोधक

यह फ़ंक्शन, BDoS फ़ंक्शन के भाग के रूप में, समाधान के लिए एक बहुत अच्छा जोड़ है। वह हमले के ट्रैफ़िक को जल्दी से रोकने के लिए ज़िम्मेदार है, इससे पहले कि यह डिवाइस द्वारा संदिग्ध के रूप में चिह्नित हो। इस मामले में हमले को अवरुद्ध करना 10 एमएस तक अंतराल में होगा (यही वजह है कि इसे अर्ली ब्लॉकिंग कहा जाता है)।

इस फ़ंक्शन का सार यह है कि यह सामान्य स्वरूपण के लिए पैकेटों की जांच करता है। और अगर वह देखती है कि हेडर गलत तरीके से किसी विशेष प्रोटोकॉल में रखे गए हैं, तो वह ऐसे ट्रैफ़िक को रोकना शुरू कर देती है। आप उसी उपयोगकर्ता मार्गदर्शिका में इस फ़ंक्शन के बारे में अधिक जानकारी प्राप्त कर सकते हैं।



विरोधी स्कैन

यह फ़ंक्शन स्व-प्रसार कीड़े, क्षैतिज और ऊर्ध्वाधर टीसीपी और यूडीपी स्कैन और पिंग्स से बचाता है।



SYN बाढ़ सुरक्षा

यहां कुछ भी जटिल नहीं है। कनेक्शन सीमा SYN बाढ़ से बचाता है।



HTTP बाढ़ सुरक्षा

साइट पर एक नया, अभी तक अज्ञात HTTP बाढ़ को रोकता है।



पैकेट विसंगति

असामान्य रूप से स्वरूपित पैकेट के खिलाफ सुरक्षा करता है।



2. एक बार आवश्यक सुरक्षा सुविधाएँ सक्रिय हो जाने के बाद, यह एक सुरक्षित सर्वर घोषित करने और सुरक्षा नीतियों को लिखने का काम शुरू करने का समय है।

2.1। सुरक्षा ऑब्जेक्ट (सर्वर) "वर्ग" -> "नेटवर्क" अनुभाग में घोषित किया गया है







2.2। नेटवर्क सुरक्षा में घोषित सुरक्षा नीति







और फिर हम अपनी नीति को भरना शुरू करते हैं







हम नीति का नाम सेट करते हैं, स्रोत नेटवर्क कोई भी हो, गंतव्य नेटवर्क हमारा पहले से घोषित सर्वर है।



पोर्ट ग्रुप - यहाँ हम एक नया पोर्ट ग्रुप बनाते हैं, जिसमें हम अपने इंटरफ़ेस को इंगित करते हैं जो इंटरनेट पर दिखता है।

मेरा यह G1 इंटरफ़ेस है।



दिशा, अर्थात दिशा, का अर्थ है कि निर्दिष्ट नीति द्वारा किस दिशा में यातायात का निरीक्षण किया जाएगा। विकल्प वन वे और टू वे हैं।



एक ही रास्ता - केवल आने वाला यातायात।



दो तरह - भीतर और बाहर दोनों। रेडवेयर शब्दावली में, इसे "स्मार्ट लाइन" कहा जाता है।



अब हम पॉलिसी को भरने के लिए सीधे आगे बढ़ते हैं।



डिफेंसप्रो में एक नीति में पहले से सक्रिय सुरक्षा कार्यों के प्रोफाइल शामिल हैं।



प्रोफाइल नियमों से बने होते हैं।

लेख में मैं पूरी तरह से इस बात की पूरी प्रक्रिया का वर्णन नहीं करूंगा कि मैंने सुरक्षा नीति कैसे भरी, क्योंकि इससे पाठक का काफी समय और समय लगेगा। इसलिए, मैं केवल एक सुरक्षा फ़ंक्शन और परिणामी नीति की रूपरेखा निर्धारित करने पर एक उदाहरण दिखाऊंगा।



उदाहरण के लिए, बीडीओएस को सबसे महत्वपूर्ण में से एक के रूप में लें।











पहली स्थापना के लिए, सभी बक्से की जांच करने की सिफारिश की गई है।

हम चैनल की आने वाली और बाहर जाने की गति को भी निर्धारित करते हैं, जो बिना असफल हुए, डिफेंसप्रो इंटरफेस से जुड़ा है।

और यह भी एक आवश्यक पैरामीटर घोषित आवक और जावक गति में प्रोटोकॉल का प्रतिशत निर्धारित करना है। चूंकि हम केवल इन प्रतिशतों को मान सकते हैं, यह सुनिश्चित करने के लिए जानने के बिना, हम एक डिफ़ॉल्ट कोटा निर्धारित कर सकते हैं, जो डिवाइस द्वारा ही निर्धारित किया जाता है।

मैं पैकेट ट्रेस को टिक करने की भी सलाह देता हूं ताकि हमले के दौरान और डिवाइस को हमलावरों के आईपी पते याद रहें।







"ठीक है" पर क्लिक करें।



BDoS के लिए, केवल सुरक्षा प्रोफ़ाइल सेट है। लेकिन अन्य सुरक्षा सुविधाओं में प्रोफाइल शामिल हैं जो नियमों में शामिल हैं।

उदाहरण के लिए, कनेक्शन सीमा सुरक्षा सुविधा लें।





अब आपको सुरक्षा नियमों के साथ प्रोफ़ाइल को भरने की आवश्यकता है।















इस प्रकार, कई नियमों को एक प्रोफ़ाइल में जोड़ा जा सकता है और बाद में एक सुरक्षा नीति में लागू किया जा सकता है।

इसी तरह, हम अपनी पॉलिसी को अन्य सुरक्षा प्रोफाइल से भरते हैं।







मैं हस्ताक्षर संरक्षण समारोह पर भी ध्यान देना चाहूंगा। मैंने यहां ऑल-डॉस-शील्ड चुना, यानी डेटाबेस में आने वाले सभी हस्ताक्षरों के साथ आने वाले ट्रैफिक का मिलान करें, इस प्रकार अपने आप को यथासंभव सुरक्षित रखें। लेकिन इसका माइनस है - अधिक सीपीयू लोड। यदि आप जानते हैं कि आपको किस एप्लिकेशन को सुरक्षा की आवश्यकता है, तो उनके साथ आने वाले ट्रैफ़िक की तुलना करने के लिए बस हस्ताक्षर के आवश्यक सेट का चयन करें।



कार्रवाई मुझे ब्लॉक और रिपोर्ट चुननी थी।

सामान्य तौर पर, इसे शुरू में फॉरवर्ड सेट करने की सिफारिश की जाती है, ताकि वैध यातायात को अवरुद्ध न किया जा सके। लेकिन, चूंकि मेरे पास बहुत कम समय था, मैंने तुरंत ब्लॉक लिया।



पॉलिसी तैयार होने के बाद, आपको इसे डिवाइस पर लागू करने की आवश्यकता है







सब कुछ, हमारा सर्वर नेटवर्क हमलों से सुरक्षित है।



3. अब 7 वें स्तर की कमजोरियों के उद्देश्य से होने वाले हमलों से इसे बचाना आवश्यक है

ऐसा करने के लिए, "सर्वर सुरक्षा" टैब पर जाएं और उसी तरह से स्तर 7 के हमलों के खिलाफ सुरक्षा नीति बनाएं











वह सब है। हम पॉलिसी को सक्रिय करते हैं और हमारा सर्वर सुरक्षित रहता है।

हमले से सुरक्षा

इसलिए वह दिन आया जब हमलों की आशंका थी। रात में लगभग 00:30 बजे, सर्वर में कमजोरियों के लिए पहला स्कैन शुरू हुआ। मध्य रात्रि में, छोटे HTTP बाढ़ देखे गए।



स्तर 7 हमलों के खिलाफ सर्वर सुरक्षा नीति द्वारा इन हमलों को सफलतापूर्वक रद्द कर दिया गया था।



9:00 बजे, कमजोर टीसीपी SYN और HTTP बाढ़ कमजोरियों के लिए स्कैनिंग के साथ शुरू हुई।



ये वे हमले हैं जो राज्य की वेबसाइट पर गए थे।







यह ग्राफिक मोड APSolute Vision में कैसे दिखता है







बाढ़ 15:00 तक चली और फिर सब कुछ शांत हो गया। 19:30 से पहले की अवधि में, सहकर्मियों की ओर से चुटकुले शुरू हुए कि हमलावरों ने हमले के लिए शुल्क का पहला हिस्सा प्राप्त किया और पहले से ही नशे में थे।



लेकिन 19:30 पर उसी टीसीपी SYN और HTTP बाढ़ की शुरुआत हुई जिसमें कमजोरियों और DDoS के लिए सर्वर को स्कैन किया गया।







मेगाबिट्स में







और प्रति पैकेट किलो में







ग्राफ दिखाता है कि आईपी किन हमलों से आ रहा है:













हमले की दूसरी लहर पर, डिफेंसप्रो डिवाइस ने पहले ही ट्रैफ़िक में विषम वृद्धि के विश्लेषण के आधार पर एक हस्ताक्षर का निर्माण किया है।











ऐसे हमले के दौरान सीपीयू का उपयोग:







20:30 के आसपास, हमला इस स्तर तक गिर गया:







और इस स्तर पर हमला 23:30 तक रहा।

23:30 बजे हम स्पष्ट रूप से देखते हैं कि भुगतान किए गए हमले का समय कैसे समाप्त हुआ:











और हम्सटर सोने चले गए।

इसके बाद, 23:30 और अगले दिन के दौरान, डिफेंसप्रो पर अवरुद्ध होने वाली कमजोरियों के लिए राज्य की वेबसाइट के निरंतर और छोटे स्कैन रखे गए थे।

---

इस प्रकार, लेख के अंत में एक रेखा खींचना, मैं दो अपेक्षाकृत मध्यम के साथ अपेक्षित हमलों के दिन को चिह्नित करना चाहता हूं और इतने लंबे डीडीओएस नहीं है कि रडवेअर डिफेंसप्रो सफलतापूर्वक सफलतापूर्वक समाप्त हो गया। प्रोसेसर को लोड करके, हम देखते हैं कि यह काफी अधिक हमलों का सामना कर सकता है। लेकिन हमने यह जांचने के लिए DDoS का आयोजन नहीं किया कि लोहे का कितना टुकड़ा पर्याप्त था।

---

एमयूके-सेवा - सभी प्रकार की आईटी मरम्मत: वारंटी, गैर-वारंटी मरम्मत, स्पेयर पार्ट्स की बिक्री, अनुबंध सेवा