DDoS (distributed denial of service) हमला किसी सेवा को उसकी क्षमता से अधिक ट्रैफ़िक से भरकर ऑफ़लाइन करने की कोशिश करता है। यहाँ बताया गया है कि ये हमले कैसे काम करते हैं, DDoS सुरक्षा क्या करती है और क्या नहीं कर सकती।
हमलों के तीन प्रकार
- वॉल्यूमेट्रिक हमले नेटवर्क पाइप को ही बेकार ट्रैफ़िक से भर देते हैं, जिसे गीगाबिट प्रति सेकंड में मापा जाता है। उदाहरण हैं UDP फ़्लड और DNS या NTP एम्प्लिफ़िकेशन।
- प्रोटोकॉल हमले कनेक्शन के काम करने के तरीके का दुरुपयोग करते हैं, जैसे SYN फ़्लड जो सर्वर की कनेक्शन टेबल को खत्म कर देते हैं।
- एप्लिकेशन-लेयर हमले CPU और डेटाबेस को थका देने के लिए बहुत सारे वैध दिखने वाले अनुरोध भेजते हैं, जैसे प्रति सेकंड हज़ारों खोज या लॉगिन।
नेटवर्क की भाषा में, पहले दो लेयर 3 और 4 (L3/L4) हमले हैं और आख़िरी लेयर 7 (L7) है।
नेटवर्क-स्तर की सुरक्षा कैसे काम करती है
- आपके IP पते का ट्रैफ़िक पहले प्रदाता के फ़िल्टरिंग हार्डवेयर से गुज़रता है।
- सिस्टम सीखता है कि सामान्य ट्रैफ़िक कैसा दिखता है और विसंगतियों को चिह्नित करता है।
- दुर्भावनापूर्ण पैकेट, जैसे स्पूफ़ किए गए स्रोत या विकृत पैकेट, आपके सर्वर तक पहुँचने से पहले ही गिरा दिए जाते हैं।
- साफ़ ट्रैफ़िक सामान्य रूप से आगे बढ़ता है, आमतौर पर बिना किसी दिखाई देने वाली देरी के।
हमारे प्लेटफ़ॉर्म पर हर VPS में L3/L4 सुरक्षा शामिल है, जो वॉल्यूमेट्रिक और प्रोटोकॉल हमलों को कवर करती है जो अधिकांश आउटेज का कारण बनते हैं।
L3/L4 सुरक्षा क्या नहीं रोकती
Layer 7 फ़्लड असली विज़िटरों जैसे दिखते हैं, इसलिए नेटवर्क फ़िल्टर हमेशा उन्हें अलग नहीं पहचान सकते। इन्हें आप एप्लिकेशन स्तर पर संभालते हैं:
- वेब साइटों के आगे CDN या रिवर्स प्रॉक्सी लगाएँ और आक्रामक ढंग से कैश करें।
- लॉगिन और खोज पेजों के लिए Nginx में रेट लिमिटिंग (
limit_req_zone) इस्तेमाल करें। - बार-बार हमला करने वालों को ब्लॉक करने के लिए fail2ban इस्तेमाल करें।
- जहाँ संभव हो स्थैतिक पेज परोसें; उन्हें पहुँचाने में लगभग कुछ खर्च नहीं होता।
अपना एक्सपोज़र घटाएँ
- अगर आप CDN इस्तेमाल करते हैं तो अपना ओरिजिन IP निजी रखें, और उसे DNS इतिहास या ईमेल हेडर में लीक न होने दें।
- हर वह पोर्ट बंद करें जिसका आप उपयोग नहीं करते।
- सॉफ़्टवेयर अपडेट रखें ताकि हमलावर किसी छोटे बग से उसे क्रैश न कर सकें।
- संसाधनों के उपयोग पर नज़र रखें ताकि आपको परेशानी का जल्दी पता चल जाए।
हमले के दौरान क्या करें
- पुष्टि करें कि यह हमला है: बैंडविड्थ ग्राफ़ और कनेक्शन की गिनती के लिए
ss -sजाँचें। - अपने होस्ट के सपोर्ट से संपर्क करें ताकि वे फ़िल्टरिंग समायोजित कर सकें।
- रेट लिमिट चालू करें या साइट को प्रॉक्सी के पीछे रखें।
- जबरन वसूली की माँगों का भुगतान न करें। भुगतान दोबारा होने वाले हमलों को नहीं रोकता।
अक्सर पूछे जाने वाले प्रश्न
DDoS सुरक्षा क्या करती है?
यह दुर्भावनापूर्ण ट्रैफ़िक की बाढ़ को आपके सर्वर तक पहुँचने से पहले फ़िल्टर कर देती है, ताकि असली विज़िटरों के लिए साइट उपलब्ध रहे।
क्या होस्ट की DDoS सुरक्षा हर हमले को रोक देती है?
नहीं। यह मुख्य रूप से बड़े नेटवर्क फ़्लड संभालती है। सामान्य रिक्वेस्ट जैसे दिखने वाले एप्लिकेशन-लेयर हमलों के लिए आपके अपने सर्वर पर रेट लिमिट, कैशिंग और बॉट नियम चाहिए।
क्या छोटी साइट के लिए DDoS सुरक्षा ज़रूरी है?
छोटी साइटें सीधे निशाने पर कम ही होती हैं, लेकिन स्कैन और फ़्लड में फँस सकती हैं। बुनियादी सुरक्षा और रेट लिमिट सस्ता बीमा हैं।