FLOD सिस्टम

रक्षा की पहली पंक्ति

एक अनुकूली दो-चरणीय लेयर 4 वॉल्यूमेट्रिक DDoS शमन गेटवे।

लेखक: Abdullah Armiyao

परियोजना: व्यवहारिक ट्रैफ़िक विश्लेषण का उपयोग करते हुए निकट वास्तविक समय लेयर 4 वॉल्यूमेट्रिक DDoS शमन के लिए अनुकूली दो-चरणीय रूपरेखा

यह क्या करता है

अधिकांश DDoS शमन निश्चित थ्रेशोल्ड का उपयोग करता है: जो भी कुछ हार्डकोडेड पैकेट प्रति सेकंड से अधिक भेज रहा हो, उसे ब्लॉक कर देना। यह दोनों दिशाओं में विफल होता है। व्यस्त अवधि के दौरान वैध ट्रैफ़िक बढ़ जाता है और असली उपयोगकर्ता ब्लॉक हो जाते हैं, या कोई हमलावर सीमा से ठीक नीचे रहकर निकल जाता है।

FLOD सीखता है कि आपका सामान्य ट्रैफ़िक कैसा दिखता है और अपनी पहचान सीमाओं को उससे मेल खाने के लिए समायोजित करता है। यह DDoS बाढ़ को फ्लैश क्राउड, एक वैध उछाल से अलग करता है, बिना किसी के द्वारा थ्रेशोल्ड को हाथ से समायोजित किए।

यह ट्रैफ़िक स्रोत और संरक्षित होस्ट के बीच एक गेटवे पर इनलाइन बैठता है, और कर्नेल में आपत्तिजनक स्रोतों को ड्रॉप या थ्रॉटल करता है।

डैशबोर्ड उन पतों को हमलावरों के रूप में नामित करता है जिन्हें उसने ब्लॉक किया, ताकि जो व्यक्ति नेटवर्क लेआउट पहले से नहीं जानता वह बता सके कि कौन से प्रेषक शत्रुतापूर्ण थे। थ्रॉटल किए गए पतों को अलग से सूचीबद्ध किया जाता है, क्योंकि थ्रॉटलिंग का उपयोग एहतियात के रूप में भी किया जाता है और यह एक साथ पूरे समूहों पर लागू होती है।

यह कैसे बनाया गया है

चरण 1 पैकेट पथ पर एक Rust सेंसर है। यह संरक्षित होस्ट की ओर जाने वाले प्रत्येक पैकेट को कैप्चर करता है, छोटी विंडो में दर और स्रोत विविधता की गणना करता है, और उनकी तुलना उस बेसलाइन से करता है जिसे वह स्वयं बनाए रखता है। यह केवल अंकगणित करता है, इसलिए यह ट्रैफ़िक के रास्ते से हटकर रहता है।

चरण 2 एक Python सेवा है। यह प्रति विंडो एक बार चरण 1 से एक सारांश प्राप्त करती है, उसे Random Forest से वर्गीकृत करती है, और ipset तथा iptables के माध्यम से कर्नेल-स्तरीय प्रवर्तन जारी करती है। एक Isolation Forest हर विंडो पर इसके साथ-साथ चलता है, ऐसे ट्रैफ़िक को चिह्नित करता है जो किसी भी मॉडल ने जो सीखा है उससे भिन्न है, जिसे प्रवर्तन चलाने के बजाय एक अलग Anomalous स्थिति के रूप में सामने लाया जाता है। चरण 2 वेब डैशबोर्ड भी प्रदान करता है।

दोनों एक Unix डोमेन सॉकेट द्वारा जुड़े हुए हैं।

दायरा

FLOD केवल पैकेट हेडर से दिखाई देने वाली लेयर 4 वॉल्यूमेट्रिक बाढ़ पर काम करता है: दर, स्रोत IP एन्ट्रॉपी, प्रोटोकॉल मिश्रण, और ट्रैफ़िक अपने सबसे व्यस्त स्रोत पर कितना केंद्रित है। व्यवहार में इसका मतलब है वे बाढ़ें जो दोनों उच्च मात्रा में और केंद्रित हैं, जो असली पतों के एक सीमित समूह से आ रही हैं।

एक चीज़ स्पष्ट रूप से दायरे से बाहर है, और एक को आंशिक रूप से संबोधित किया गया है:

एप्लिकेशन लेयर हमले। कोई भी अनुरोध सामग्री पार्स नहीं की जाती, इसलिए कम और धीमी अनुरोध बाढ़ें तथा कनेक्शन थकावट उससे बाहर हैं जो एक केवल-हेडर फ़ीचर सेट देख सकता है।

यादृच्छिक स्रोत स्पूफ़िंग। प्रति पैकेट एक नया स्रोत पता जाली बनाना एन्ट्रॉपी को कम करने के बजाय बढ़ाता है, जिससे वह संकेत उलट जाता है जिसे पता-आधारित फ़ीचर खोजते हैं। स्रोत पोर्ट एन्ट्रॉपी, TTL विचरण, और TCP SYN फ़िंगरप्रिंट विविधता पता जालसाज़ी के अधीन अपरिवर्तनीय हैं और इस पहचान अंध-बिंदु को बंद कर देते हैं, लेकिन स्पूफ़ किए गए बाढ़ का पता लगाना उसे रोकने से अधिक संकीर्ण समस्या है: जाली पते को ब्लॉक करना अभी भी उस व्यक्ति को दंडित करता है जो वास्तव में उसका मालिक है, इसलिए इस वर्ग के विरुद्ध सुरक्षित प्रवर्तन अभी भी खुला है। देखें Detection और Explainer।

त्वरित शुरुआत

git clone https://github.com/DevInBlack001/ddos-reduction-system.git
cd ddos-reduction-system
sudo bash scripts/install.sh --interface <IFACE> --victim-ips <IP1>,<IP2>

sudo systemctl enable --now ddos-stage2
sudo systemctl enable --now ddos-stage1

इंस्टॉलर चरण 1 को बनाता है, फिर चरण 2 के कोड और वर्चुअल वातावरण को /opt/flod/stage2 (root के स्वामित्व वाला) में कॉपी करता है और वहाँ प्रशासनिक खाता सेट करता है, क्योंकि चरण 2 root के रूप में चलता है और उसे चेकआउट से कुछ भी निष्पादित नहीं करना चाहिए जिसमें एक अपरिविलेज्ड खाता अभी भी लिख सकता है। परिवर्तनशील स्थिति, डेटाबेस, JSON कॉन्फ़िग, प्रशिक्षित मॉडल, /var/lib/flod में रहते हैं। चेकआउट स्वयं यहाँ से केवल एक स्रोत है; scripts/install.sh या scripts/update.sh को दोबारा चलाना इंस्टॉल की गई प्रति को उससे ताज़ा करता है। कारण के लिए देखें Security।

डैशबोर्ड पोर्ट 8000 पर है, इंस्टॉलर का स्व-हस्ताक्षरित प्रमाणपत्र लगने के बाद HTTPS पर। पूर्ण निर्देश, जिसमें वह नेटवर्क लेआउट भी शामिल है जिस पर यह निर्भर करता है, wiki में हैं।

इंस्टॉलर जब संभव हो तो eBPF बिल्ड टूलचेन भी सेट करता है, जो आपके वितरण द्वारा भेजे जाने वाले किसी भी LLVM से मेल खाता है। वह भाग वैकल्पिक है: इसके बिना भी सेंसर libpcap पर बनता और चलता है।

सेंसर के दो कैप्चर बैकएंड हैं। libpcap डिफ़ॉल्ट है और कहीं भी काम करता है। टूलचेन मौजूद होने पर, --capture-mode kernel ड्राइवर पथ में XDP और TC के माध्यम से पैकेट गिनता है, प्रति पैकेट के बजाय प्रति विंडो एक बार यूज़र स्पेस को जगाता है। पहचान दोनों तरह से समान रहती है।

पहचान ट्यूनिंग अनुमान के बजाय मापी जाती है। scripts/calibrate.py सेंसर के अपने लॉग को पढ़ता है, सामान्य ट्रैफ़िक का नमूना लेता है, और पता लगाता है कि आपके नेटवर्क पर विसंगति सीमाएँ कहाँ होनी चाहिए।

बिना कुछ इंस्टॉल किए इसे आज़माने के लिए, इसे वर्किंग कॉपी से चलाएँ:

sudo bash scripts/run.sh

यह अपने लिए आवश्यक प्रत्येक मान के लिए पूछता है, हर एक के लिए एक डिफ़ॉल्ट प्रदान करता है, और पूछता है कि चरण 2 भी शुरू करना है या नहीं। बिना पूछे सब कुछ स्वीकार करने के लिए --defaults जोड़ें।

टेस्ट सूट चलाने के लिए:

scripts/test.sh

दस्तावेज़ीकरण

Wiki, सिस्टम चलाने के लिए:

docs/, इसे समझने या बदलने के लिए:

CONTRIBUTING.md विकास सेटअप और परंपराओं को कवर करता है। SECURITY.md भेद्यताओं की रिपोर्टिंग को कवर करता है।

लेखकत्व

यह परियोजना मेरी अपनी है। अवधारणा, वास्तुकला, दो-चरणीय डिज़ाइन, पहचान दृष्टिकोण, प्रवर्तन नीति, फ़ीचर सेट, और सभी संस्करणों में प्रत्येक कार्यात्मक निर्णय मुझसे उत्पन्न हुए। मैंने इसे नेटवर्क सुरक्षा, सांख्यिकीय पहचान, और सिस्टम प्रोग्रामिंग में एक सीखने के अभ्यास के रूप में बनाया, और मैंने इसके डिज़ाइन और विकास का पूरे समय निर्देशन किया।

मैंने कार्यान्वयन के दौरान एक कोडिंग सहायक के रूप में AI का उपयोग किया, जो मेरे विनिर्देशों के अनुसार कोड लिखता और रीफ़ैक्टर करता था और डिज़ाइन व्यापार-बंदों पर काम करते समय एक विचार-मंच के रूप में कार्य करता था। क्या बनाना है, क्यों, और सिस्टम को कैसे व्यवहार करना चाहिए, इसके निर्णय मेरे थे।

स्थिति

एक व्यक्तिगत, ओपन सोर्स परियोजना, और एक कार्यशील सिस्टम, लेकिन ऐसा नहीं जो उस शत्रुतापूर्ण परीक्षण से गुज़रा हो जिसकी एक उत्पादन सुरक्षा उत्पाद को आवश्यकता होती है। इसे किसी लैब नेटवर्क पर या ऐसी जगह तैनात करें जहाँ आप इसे गलत होने का जोखिम उठा सकें।

लाइसेंस

देखें LICENSE।