Download to read offline
Uploaded byOntico
Защищаемость от DDoS на этапе проектирования системы / Рамиль Хантимиров (StormWall)
Документ посвящен защищаемости систем от DDoS-атак на этапе проектирования, приводя примеры как неэффективной, так и эффективной архитектуры. Основные рекомендации касаются минимизации информации для атакующего, максимизации информации для защитника, обеспечения надежности сервиса под атакой и возможности фильтрации атак. Также обсуждаются стратегии резервирования и устойчивости системы к атакам разного характера.
More Related Content
Similar to Защищаемость от DDoS на этапе проектирования системы / Рамиль Хантимиров (StormWall)
Защищаемость от DDoS на этапе проектирования системы / Рамиль Хантимиров (StormWall)
- 1.
- 2. Плохой пример (онлайн-игра) - Протокол – UDP -Сайт и сервис – на одном IP - Сайт не работает без игровой базы - Игровой сервис легко нагрузить - Работоспособность сервиса зависит от DNS J IP 1.2.3.4 Сайт UDP-Сервис (slow) СУБД (MySQL) DNS Точка отказа для
- 3. Хороший пример (сервис такси) IP 1.2.3.4 Сайт Этап I IP1.2.4.5 Сервер аутентификации (fast) Этап II IP 1.2.5.6 IP 1.2.7.8 IP 1.2.6.7 Сервис такси (критичный) Не подряд, только после аутентификации
- 4.
- 5. Определения Эффективность защиты от DDoS – отношение времени, когда негативные последствия атаки не отражаются на доступности сервиса, к общему времени атаки в данный промежуток времени Защищаемость (protectability) -способность сервиса быть эффективно защищенным от DDoS-атак с минимальными затратами ресурсов
- 6.
- 7.
- 8. Сервер аутентификации (fast) Атакующий ? IP 1.2.5.6 IP 1.2.7.8 IP1.2.6.7 1 2 3 Пользователь
- 9.
- 10.
- 11. Задача I. Рекомендации • Нет авторизации – неизвестны и объекты атаки •Атакующий не должен узнать о том, что атака успешна • Не забудьте про защиту от взлома
- 12.
- 14.
- 15.
- 17.
- 18. Задача III. Рекомендации • По возможности используйте TCP • Используете UDP? Как будете отличать легитимного клиента от нелегитимного? •Убедитесь, что DDoS-защитник знает, как фильтровать атаку и имеет метод фильтрации
- 19.
- 21.
- 22. IP 1.2.3.4 Сайт IP 1.2.4.5 Сервер аутентификации (TCP) IP1.2.6.7 Основной сервис (UDP) - Блок всего UDP - Блок всех TCP SYN+ACK - Блок всего UDP - Блок всех TCP SYN+ACK - Разрешить доступ только после авторизации на сайте - Блок амплификации UDP Правила Firewall/ACLТип сервиса
- 23. Задача IV. Рекомендации • Позаботьтесь о доступности сервиса без атаки • Точки отказа, зависимость компонентов друг от друга •Резервирование • Обеспечьте устойчивость системы к слабым атакам • На уровне сети • На уровне ОС • На уровне приложения • Разнесите разные функции на разные адреса (и сообщите это защитнику)
- 24.
- 25. Задачи по повышению защищаемости Предоставить как можно меньше информации атакующему Предоставить как можно больше информации DDoS-защитнику Обеспечить понятные возможности фильтрации атаки Обеспечить надежность сервиса под атакой • Число возможностей скрыть атакуемый объект • Число путей проверки работоспособности •Безопасность (защищенность от взлома)
- 26.
- 27.
- 28. Задачи по повышению защищаемости Предоставить как можно меньше информации атакующему Предоставить как можно больше информации DDoS-защитнику Обеспечить понятные возможности фильтрации атаки Обеспечить надежность сервиса под атакой • Резервирование на уровне приложения • Устойчивость к слабым атакам •Выделение разных функций на разные IP-адреса для снижения числа векторов атак • Зависимость компонентов системы друг от друга и способность работать автономно
- 29.