آمار حملات DDoS در سال ۱۳۹۴

با توجه به پایان سال ۱۳۹۴ تصمیم بر این گرفتیم که گزارش آمار حملات DDoS به شبکه های سنترال هاستینگ را طی سال گذشته منتشر کنیم.
طبق مقالات سایت های معتبر امنیتی بین المللی پیش بینی می شد که در شروع سال میلادی ۲۰۱۶ ( زمستان ۱۳۹۴) شاهد افزایش حملات DDoS خواهیم بود ؛ اما این سیر صعودی حملات بر روی وب سایت های فارسی زبان برای ما نیز کمی عجیب بود.

مطالب گذشته:
سال جدید با دنیای جدید هکر و انتظار افزایش جنگ های مجازی
افزایش حملات DDoS در ماه آخر میلادی
بازگشت جوخه مارمولک (Lizard Squad)
انجام حملات DDoS با سرویس های ابری

در زمستان ۹۴ رکورد بزرگترین حملات به سرور های سنترال هاستینگ از زمان فعالیت ثبت شد؛ بزرگترین حمله به حجم ۱۱۴گیگابیت بر ثانیه و حدود ۹٫۸۰۰٫۰۰۰ پکت در ثانیه رخ داد و حدود یک ساعت به طول انجامید.
این حمله به قدری بزرگ محسوب می شود که واقعا می توان آن را به عنوان یک رکود در بین سایت های ایرانی ثبت کرد. این حجم حمله حدود ۱/۳ پهنای باند کل کشور است!

log2016-1

علاوه بر حمله فوق؛ حملات زیادی نیز با حجم ها و pps های بالا رخ داد که ما مجبور به ارتقا DDoS Protection شبکه برای جلوگیری از این حملات شده ایم.

همچنین علاوه بر افزایش فدرت حملات؛ شاهد افزایش کمی حملات نیز بوده ایم؛ ما در سال ۱۳۹۴ بالغ بر ۱۰۰۰۰ حمله DDoS را شناسایی کرده ایم. تصویر زیر نشان دهنده تعداد حملات DDoS در سال ۱۳۹۴ بر روی سرویس های سنترال هاستینگ است.

Book1

 

نکته: آمار حملات لایه ۷ – HTTP در نمودار فوق حدودی می باشد و امکان ارائه آمار دقیق به دلیل مسایل فنی وجود نداشته ؛ این رقم یک حداقل است که بر اساس لاگ ها و شواهد به دست آمده است.

این حملات با شروع سال جدید میلادی در زمستان ۹۴ به اوج خود رسید که گمان می رود به دلیل در دسترس قرار گرفتن ابزار های جدید و بوتر های کارامد تر است؛ همچنین با توجه به افزایش قدرت حملات UDP  پیشبینی می شود یک باگ جدید در سرویس دهندگان اینترنت توسط هکر ها کشف شده باشد که هنوز پتچ نشده است.
در سال ۲۰۱۲ وجود باگ در DNS سرور های شرکت ها و ISP های بزرگ منجر به استفاده ابزاری از آن سرور ها برای حملات بزرگ DDoS  می شد؛ به طوری که رکود بزرگترین حملات در آن سال شکست و تقریبا هیچ راه حلی برای این حملات وجود نداشت اما گروهی تصمیم به ایجاد پروژه ای عظیم گرفتند و نام آن را Open Resolver Project گذاشتند که در قالب تاسیس سایتی شروع به فعالیت کرد؛( جهت نمایش سایت اینجا کلیک کنید).همانطور که مشخص است وظیفه این سایت شناسایی و معرفی  DNS resolvers های باز بود که مورد سو استفاده قرار می گرفتند؛به مرور زمان این سایت به هدف نهایی خود رسید؛ افراد و شرکت هایی که مسئول این سرور ها بودند توسط این سایت و گزارش های کاربران متوجه وجود باگ های خود شدند آنها را برطرف نمودند و بعد از مدتی به صورت چشم گیری این حملات کاهش یافت اما آیا امکان دارد یک باگ جدید دوباره امنیت اینترنت را به خطر بی اندازد؟ احتمال اینکه یک باگ جدید دوباره شبکه ها و سرور ها را تهدید کند همیشه وجود دارد.

معرفی حمله SYN Flood

حملات SYN flood یکی از شایع ترین حملات DDoS در لایه ۴ شبکه مدل OSI که مثل حمله ACK و دیگر حملات TCP مبتنی بر یک اتصال TCP است که یک اتصال TCP طبق مطالب گذشته دارای سه مرحله است:

اول کلاینت یک بسته SYN به سرور می فرستد.
دوم سرور یک بسته SYN ACK به کلاینت  می فرستد.
سوم کلاینت یک بسته ACK به سرور می فرستد.

هنگامی که این سه مرحله به اتمام برسد یک ارتباط مشروع و قانونی بین سرور و کلاینت برقرار می شود که می توانند به تبادل اطلاعات بپردازند. تمامی سرور ها دارای محدودیت در کانکشن های باز می باشند که این محدودیت می تواند به دلایلی همچون محدودیت های سخت افزاری و یا پیکربندی تنظیمات سرور باشد.

در یک حمله SYN flood که اکثرا با آی پی های جعلی انجام می شود مرحله اول اتصال انجام می شود؛ یعنی درخواست SYN ارسال می شود ولی مرحله دوم اتصال انجام نمی شود و سرور در انتظار تکمیل ارتباط می ماند و به نوعی کانکشن نیمه باز می ماند، اگر میزان کانکشن های نیمه باز افزایش یابد محدودیت کانکشن ها تمام می شود و هیچ جای خالی برای ایحاد یک کانکشن جدید بین سرور و کاربران واقعی آنها نمی ماند و به اصطلاح سرور DOWN می شود.

در مثال زیر پکت های ارسالی به سرور فرضی با آی پی ۱۰٫۱۰۰٫۱۰۱٫۱۰۲ را مشاهده می کند که تحت حمله SYN flood  قرار گرفته است:

به خواندن ادامه دهید

معرفی حمله TCP ACK Flood

در راستای معرفی و واشکافی حملات DDoS ؛ امروز قصد داریم به بررسی حمله TCP ACK Flood بپردازیم؛ این حمله بخشی از یک اتصال TCP به حساب می آید.
معمولا در یک اتصال TCP سه مرحله داریم در معرفی حملات HTTP Flood آنها را توضیح داده ایم :

اول کلاینت یک بسته SYN به سرور می فرستد.
دوم سرور یک بسته SYN ACK به کلاینت  می فرستد.
سوم کلاینت یک بسته ACK به سرور می فرستد.

این مراحل با اصطلاح three-way handshake نیز شناخته می شود.

یک حمله ACK Flood شامل یک دسته کامل از بسته های TCP به همراه بیت ACK  فعال بر روی آن است. این نوع از حمله دارای  تفاوت هایی در مقایسه با SYN flood است.

اول به شما نشان می دهیم که لاگ یک حمله ACK Flood به چه صورت است ؛ در لاگ زیر یک حمله بر روی آی پی فرضی ۱۰٫۱۰۰٫۱۰۱٫۱۰۲  و پورت ۸۰ بر روی انجام است.

[.] در اینجا به معنی یک پکت TCP است.

به خواندن ادامه دهید

کلودفلر (CloudFlare) واقعا یک آنتی دیداس است؟

قبل از شروع مطلب شاید بپرسید که کلا سرویس کلودفلر چیست؟ با کلیک بر روی لینک می توانید به مطلب قبلی که در خصوص کلودفلر نوشته ایم دسترسی پیدا کنید. همانطور که در این مطلب اشاره شده کلودفلر یکی از سرویس های خوب و محبوب  CDN به حساب می آید ( CDN چیست؟ ) .

اما همانطور که در سایت کلودفلر هم می بینید و یا احتمالا شنیده اید؛ کلودفلر (CloudFlare) به عنوان یک سرویس آنتی دیداس نیز شناخته شده است و جالب تر این است که این سرویس به صورت رایگان نیز ارائه می شود! اما چگونه ممکن است در زمانی که شرکت های بزرگی همچون incapsula, blacklotus, prolexic, arbornetworks, staminus و …. سرویس های دیداس پروتکشن (آنتی دیداس)  خود را با قیمت های چند هزار دلاری ارائه می دهند؛ کلودفلر (CloudFlare)  این سرویس را به صورت رایگان ارائه دهد؟

در مرحله اول باید بدانیم یک حمله DDoS دقیقا چیست؟

حقیقت ماجرا این است که کلودفلر (CloudFlare) ممکن است در بعضی مواقع جلوی حملات DDoS – دیداس را بگیرد اما در واقع نحوه عملکرد آن را شبیه هیچ یکی از سرویس های آنتی دیداس شرکت های بالا نیست و اگر قرار باشد یک تعریف کلی از یک سرویس آنتی دیداس با توجه به مجموعه سرویس های شرکت های بزرگ در این زمینه داشته باشیم کلودفلر در پلن های رایگان و حتی ۲۰۰دلاری خود هیچ سرویس آنتی دیداسی ارائه نمی دهد!

کلود فلر یک سرویس برای میزبانی شما نیست؛یعنی شما نمی توانید یک سرور از کلودفلر بخرید و سرویس خود را راه اندازی کنید! شما فقط این امکان را دارید تا از نیم سرور های کلودفلر برای تغییرIP  رکورد A به سرور های آنها استفاده نمایید و این سرویس به نوعی یک رابط بین سرور شما و کاربرانتان فقط بر روی پورت ۸۰ و ۴۴۳ خواهد بود.

در حقیقت IP سرور شما مخفی می شود( که با محافظت شدن تفاوت دارد) در این روش اگر هکر (شخصی که قصد انجام حملات دیداس بر روی سرور شما را دارد) اگر بتواند به هر دلیلی IP سرور اصلی شما را به دست بیاورد می تواند به حملات خود بدون مشکل ادامه دهد چون مخفی کردن یک آی پی به این راحتی هم نیست!

مورد بعدی محدودیتی است که برای شما پیش می آید؛ اگر قصد داشته باشید به هر دلیلی از پورت های دیگر سرور برای سرویس های خود استفاده نمایید کلودفلر هیچ کنترلی بر روی آن نخواهد داشت و به راحتی می تواند باعث لو رفتن IP و انجام حملات شود یعنی در حقیقت سرویس هایتان مبتنی بر دامین است و هیچ سرویس مبتنی بر IP نخواهید توانست ارائه دهید.
این موارد در خصوص حملات لایه ۴ و ۳ شبکه می باشد ؛ اما در خصوص حملات لایه۷ که ترافیک شما بر خلاف سرویس های مبتنی بر IP ؛ از طریق دامین انجام می شود و به عبارتی از سرویس رابطه ای کلودفلر (CloudFlare) استفاده می کند به چه صورت است؟ ترافیک به صورت Real Time آنالیز و بررسی می شوند و حملات مهار می شوند؟ خیر !

حقیقت این است در سرویس های رایگان که هیچ، حتی در سرویس ۲۰۰ دلاری ماهیانه کلودفلر نیز حملات لایه ۷ بلاک و مهار نمی شوند و مستقیم بدون هیچ پروسس و هیچ فایروالی به سرورتان می رسند و می توانند برایتان به راحتی مشکل ساز شوند!

اما در عوض کلودفلر سیستم Under Attack را در اختیار کاربران می گذارد که در این روش در هنگام باز شدن سایت یک لودینگ ۵ ثانیه ای به نمایش در می آید و سپس کاربر به سایت اصلی شما هدایت می شود!  ممکن است افرادی مایل نباشند در اول سایتشان چنین لودینگی ظاهر شود یا به دلایل تکنیکی و سئو و…. وجود یک لودینگ اجباری در اول سایت جالب نباشد. اما اگر این روش یک راه حل صد در صد برای جلوگیری از حملات باشد شاید نتوان از آن چشم پوشی کرد! بیایید ببینیم در این لودینگ چه اتفاقی می افتد؟

اگر در سورس این لودینگ دقت کنید  یک form جهت پاس کردن یکسری مقادیر مشاهده می کنید:

مقادیر این فرم توسط یک پروسس جاوا اسکریپتی تکمیل می گردند:

CloudFlare solver script

و زمان پست می توانید مقادیر ارسالی را در هیدر ببینید:

CloudFlare DDoS challenge-response

اگر مقادیر ارسال شده توسط پست با سشن ذخیره شده در سرور کلود فلر یکسان بود یک کوکی منحصر به فرد ایجاد می شود. این کوکی تا زمانی که فعال باشد دیگر این لودینگ برای کاربر نمایش داده نخواهد شد؛ یعنی با استفاده از این کوکی کاربران مستقیم وارد سایت می شوند.

پس در این پروسس ساده باید دو عامل جاوا اسکریپت و کوکی فعال باشد که در همه مرورگر ها فعال است اما بات نت ها این امکان را نداشتند( البته در زمان قدیم تر) یعنی اکثر بات نت ها با ارسال دستورات GET یا POST  سعی در حملات لایه ۷ داشتند که امکان پاس کردن این لودینگ و رفتن به سایت هدف را نداشتند و در حقیقت هیچ پروسس پیشرفته ای برای شناسایی حملات در کار نیست! هر کس جاوا را پاس کرد به راحتی وارد سایت می شود و پاس نکرد در پشت لودینگ می ماند.

اما در حال حاضر به راحتی امکان پاس کردن این مرحله و ورود به سایت توسط روبات ها و بات نت ها امکان پذیر است.ویروس in32/DoS.OutFlare.A یکی از مدرن ترین برنامه هایی است که برای بایپس کردن این پروسس کلود فلر استفاده شده است.

cloudflare-scrape نیز  برنامه ای است که به زبان Python نشوته شده است که با استفاده از Node.js می تواند به راحتی کلود فلر را بایپس کند ( دور بزند ).

بنابر مطالب گفته شده نباید از کلودفلر همانند یک سرویس آنتی دیداس واقعی انتظار داشته باشید؛ هر چند در خصوص برخی حملات لایه ۷ ممکن است کاربرد داشته باشد و یا IP شما را مخفی کند.

ویدیو

Live Visitor-نمایش آنلاین بازدید و حملات به سایت شما

Live Visitor یک ماژول اختصاصی در پنل مدیریتی سرویس های سنترال هاستینگ است که علاوه بر نمایش ‘زنده’ بازدید های یک وب سایت؛ کلیه حملاتی که از طریق هکر ها در حال انجام است نیز قابل مشاهده است.
Live Visitor  به فایروال نرم افزاری سرویس ها متصل است و کلیه حملات لایه ۷ بر روی یک وب سایت که توسط فایروال بلاک می شوند را نیز در همان لحظه می توان در آن مشاهده کرد.حملاتی همچون:
» DDoS
» Brute Force
» SQL Injection-SQLi
» Local File Inclusion-LFI
» Cross-Site Scripting-XSS
» Remote File Inclusion-RFI
این ماژول برای کاربران هاستینگ و هم کاربران کلود پروتکشن در دسترس است.

سرور مجازی آنتی دیداس

در مرحله اول باید بگوییم سرور مجازی چیست؟ و آیا سرور مجازی آنتی دیداس وجود دارد و اگر دارد چگونه است؟
همانطور که می دانید سرور های مجازی یا همان VPS ها ؛ ماشین های مجازی مجزا هستند که همگی بر روی یک سرور فیزیکی راه اندازی می شوند و از نظر سطح دسترسی و محیط کاری شبیه به یک سرور فیزیکی اختصاصی هستند.
اما سرور مجازی یا VPS آنتی دیداس به چه صورت است؟ جهت پاسخ به این سوال اول باید اطلاعات دقیقی در خصوص حملات DDoS داشته باشید.

سرور مجازی آنتی دیداس

سرور مجازی آنتی دیداس

به صورت کلی ما با دو نوع حملات لایه ۴ شبکه . لایه ۷(نرم افزاری) روبرو هستیم؛ مسلما برای محافظت از سرور باید از فایروال های اختصاصی و قدرتمندی استفاده کرد تا سرور مجازی را از حملات DDoS امن نگه داشت؛ البته هر چند سرور مجازی به صورت آنتی دیداس فروخته می شود اما باید در نظر داشت این فایروال ها برای محافظت از حملات در لایه ۴ شبکه که عمدتا به صورت TCP یا UDP  و … می باشد کاربرد دارد و اگر سرور مجازی به صورت مدیریت نشده فروخته شود ؛ یعنی به اصطلاح کانفیگ نشده باشد؛ هر چند دارای فایروال آنتی دیداس می باشد اما در برابر حملات لایه ۷( نرم افزاری) ممکن است آسیب پذیر باشد؛برای جلوگیری از حملات لایه ۷ باید در سرور مجازی با استفاده از فایروال و کانفیگ مناسب این نوع حملات را مهار کرد؛ حملات دیداس لایه ۷ نسبت به حملات لایه ۴ دارای اهمیت کمتری می باشد و هیچ وقت به صورت دراز مدت  نمی تواند مشکل ساز باشد اما  با این حال نباید دست کم گرفته شود؛

خطر افزایش بات نت های ایرانی

در مقدمه باید بدانیم بات نت چیست؟

بات‌نت‌ها شبکه‌هایی هستند که با در اختیار گرفتن مجموعه‌ای از کامپیوترها که بات(bot) نامیده می‌شوند، تشکیل می‌شوند. این شبکه‌ها توسط یک و یا چند مهاجم که botmasters نامیده می‌شوند، با هدف انجام فعالیت‌های مخرب کنترل می‌گردند. به عبارت بهتر هکر ها – اتکر ها با انتشار ویروس ها و برنامه های مخرب به صورت غیر قانونی و بدون اطلاع صاحب کامپیوتر  کنترل آن را در دست میگیرند و با استفاده از مجموعه ای از این کامپیوتر ها درخواست های جعلی زیادی را به سمت سرور یا سایت قربانی ارسال می کنند که به انجام یک حمله DDoS منجر می شود.

توضیحات کامل تر را در اینجا بخوانید

همانطور که می دانید بات نت ها یکی از قوی ترین ابزار ها در حملات سایبری می باشد؛ از ژاپن گرفته تا چین و آمریکا ؛ هر کدام به دنبال روش های جلوگیری و مقاوم سازی در برابر حملات DDoS می باشند. دیتا سنتر های DDoS Protection که اکثرا با حمایت های مالی دولتی در کشور های مختلف از جمله آمریکا راه اندازی می شوند بهترین روش برای محافظت از شبکه ها و سایت های حساس و مهم و تجاری می باشند.

اما ایران در این خصوص چه اقدامی انجام داده است؟ سرور ها و شبکه های داخل ایران تا چه اندازه در مقابل حملات سنگین DDoS مقاوم هستند؟

به خواندن ادامه دهید

سنترال هاستینگ در مقابل چه حملاتی مقاوم است؟

یکی از اهداف تیم ما به ارمغان آوردن امنیت هر چه بیشتر کاربران در مقابل حملات می باشد. اما شاید برایتان سوالی ایجاد شود که چه نوع حملاتی؟

تخصص عمده ما در خصوص حملات DDoS می باشد که البته DDoS دسته بندی های متفاوتی دارد که به دو دسته اصلی لایه ۷ (نرم افزاری) و لایه ۴ و ۳ تحت شبکه می باشد.

central-ddos-cloud

برخی از حملات DDoS که سنترال هاستینگ شما را در مقابل آنها مقاوم می کند:

TCP RESET TCP FIN  TCP SYN + ACK
TCP Fragment TCP ACK + PSH TCP ACK
HTTP URL GET/POST Floods  SYN Floods Against SSL Protocols TCP, UDP & ICMP Floods
SSL Renegotiation Attacks Malformed SSL Attacks Malformed HTTP Header Attacks
IGMP SIP Request Floods SSL Exhaustion
Spoofing / Non-Spoofed Connection Flood Brute Force
DNS Cache Poisoning Attacks Ping of Death Mixed SYN + UDP or ICMP + UDP flood
Reflected ICMP and UDP Smurf DNS Amplification
Slowloris/Pyloris and Pucodex Blackenergy, Darkness, YoYoDDoS, etc… Teardrop
Zero-day DDoS attacks Voluntary Botnets Sockstress and ApacheKiller
Custom Attacks – Unique to your service Application Attacks HOIC, LOIC, etc…

 

افزایش امنیت وب سایت با کلود پروتکشن

از گوشی موبایل گرفته تا خودرو شخصی , خانه , لپ تاپ و تقریبا هر چیز دیگری بدون داشتن امنیت ارزشی نخواهد داشت و باید همیشه نگران سرقت  یا از دست دادن اطلاعات آنها باشید!

وب سایت ها نیز یکی از مهمترین و با ارزش ترین دارایی های وبمستران محسوب می شوند که باید به هر نحو ممکن از آن و اطلاعات آن محافظت کرد ,در این پست فایروالی به شما معرفی خواهد شد که امنیت وب سایت شما را در مقابل حملات هکرها فراهم می کند , این فایروال که “کلود پروتکشن” نام گرفته است قابل استفاده برای تمامی وب سایت هایی می باشد که از هاست اشتراکی, سرور مجازی و یا سرور اختصاصی استفاده می کنند.

کلود پروتکشن وب سایت شما را در برابر چه حملاتی ایمن می کند:

وقتی شما از کلود پروتکشن استفاده می کنید IP سایت شما مخفی خواهد شد بنابراین در قدم اول هویت سروری که در آن میزبانی می شوید از دسترس هکرها پنهان می شود و دسترسی به سرور و تست نفوذ بر روی سرور عملا غیر ممکن خواهد شد.

محافظت از وب سایت با کلود پروتکشن

محافظت از وب سایت با کلود پروتکشن

محافظت در برابر حملات DDoS

حملات DDoS (به فارسی: دیداس) که به آن حملات تکذیب سرور میگویند باعث کندی سرعت سرور و یا حتی از کار افتادن آن شود که در هاست های اشتراکی منجر به مسدود سازی هاست خواهد شد.( توضیحات بیشتر: حملات DDoS چیست؟ ).
کلودپروتکشن وب سایت شما را در مقابل حملات DDoS در لایه ۷ ( مثل حملات HTTP ) و همچنین لایه ۴ ( حملات TCP و UDP ) محافظت خواهد کرد.

به خواندن ادامه دهید

هاست آنتی دیداس

اگر وب سایت شما زیر حملات دیداس قرار گرفته است و یا می خواهید از حملات دیداس پیشگیری کنید مطمئنا نیاز به یک هاست دارید که در مقابل دیداس مقاوم باشد . البته با جستجوی “هاست آنتی دیداس” به نتایج زیادی برخواهید خورد این نتایج پراکنده در انتخاب هاست مناسب و امن شما را دچار تردید خواهد کرد.

آنتی دیداس

آنتی دیداس

ما در این مطلب قصد داریم شما را برای انتخاب اگاهانه راهنمایی کنیم!

به خواندن ادامه دهید