Go achomair: An DDoS nó ionsaí haceála atá ann, feictear sin ar na rianta. Cruthaíonn DDoS an-chuid iarratas agus déanann sé an suíomh gréasáin mall nó dodhéanta a bhaint amach, ach ní athraíonn sé rud ar bith. Ní theastaíonn ó exploit ach cúpla iarratas go minic agus fágann sé comhaid, cuntais, próisis nó naisc nua. Cinneann an aicmiú ceart an gcaithfidh tú ualach a chosc nó teagmhas a chuimsiú.
An difríocht i bhfocail shimplí
Tá ionsaí DDoS (Distributed Denial of Service) cosúil le slua a bhacann bealach isteach siopa. Ní thagann aon duine isteach, ach ní ghoidtear aon rud sa siopa. Is é an sprioc do shuíomh gréasáin nó do fhreastalaí a ró-ualú, ionas nach dtagann fíorchliaint tríd a thuilleadh.
Is exploit briseadh isteach trí dhoras oscailte. Baineann an t-ionsaitheoir leas as laige, mar shampla i PHP, sa CMS nó in eisínteacht, chun cód a rith ar do fhreastalaí. Is féidir sin a tharlú go ciúin, gan go dtéann an suíomh gréasáin níos moille. Ritheann na hiarmhairtí ó leathanaigh turscair go goid sonraí go tógáil an fhreastalaí.
Don bhainistíocht tá an difríocht cinntitheach: is fadhb infhaighteachta é DDoS a chríochnaíonn leis an ionsaí. Is teagmhas slándála é exploit rathúil a fhanann go dtí go n-aimsítear, go nglantar agus go ndoiciméadaítear é.
DDoS nó ionsaí haceála: comharthaí i gcomparáid
Cabhraíonn an tábla seo a leanas leis an gcéad aicmiú. Ní chuireann sé anailís ina ionad, ach léiríonn sé cá bhfuil ar cheart duit féachaint ar dtús.
| Saintréith | Níos dóchúla DDoS | Níos dóchúla exploit nó briseadh isteach |
|---|---|---|
| Infhaighteacht | mall nó as feidhm | normálta go minic |
| Iarratais sa logchomhad | an-chuid, aonfhoirmeach go minic | cúpla iarratas spriocdhírithe |
| Comhaid | gan athrú | comhaid PHP nua nó athraithe |
| Cuntais | gan athrú | riarthóirí nua, focail fhaire athraithe |
| Próisis | freastalaí gréasáin agus PHP ar lánualach | próisis anaithnide, mianadóireacht, seoladh turscair |
| Líonra | an-chuid trácht isteach | naisc amach neamhghnácha |
| Tar éis an deiridh | gach rud mar a bhí | fanann rianta |
Aire le forluí: is féidir le scanadh mais le haghaidh bearna cuma DDoS bheag a bheith air. Bhí sé sin le háireamh timpeall ar PHP2Shell, nuair a bhí ionsaitheoirí ag cuardach freastalaithe leochaileacha. Is féidir le hualach ard a chiallú freisin go bhfuil duine ag iarraidh briseadh isteach faoi láthair.
Chéad seiceálacha ar an bhfreastalaí
Ní athraíonn na horduithe seo a leanas aon rud sa chóras agus tugann siad forbhreathnú tapa. Má tá amhras ort faoi bhriseadh isteach, sábháil na logaí sula ndéanann tú idirghabhálacha móra.
# Ualach agus am rite
uptime
# Naisc go hachomair agus na contrapháirtithe is minice
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head
# Seoltaí cliaint is minice sa logchomhad rochtana (oiriúnaigh an cosán)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20
# Comhaid PHP a athraíodh sna 7 lá seo caite
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Próisis leis an ualach CPU is airde
ps aux --sort=-%cpu | head -15
Sa bhforbhreathnú naisc, taispeánann an ceathrú colún an contrapháirtí. Léiríonn a lán naisc ó chúpla seoladh nó méadú go dtí iolrach den ghnáthluach ró-ualú. Léiríonn comhaid PHP nua i bhfillteáin uaslódála nó taisce, próisis faoi úsáideoir an fhreastalaí gréasáin le hainmneacha coimhthíocha nó naisc amach chuig cinn scríbe anaithnide briseadh isteach níos dóchúla. Gheobhaidh tú liosta mionsonraithe ag Comharthaí comprometeacha tar éis PHP2Shell.
Cén fáth a bhféadfadh ualach ard a bheith ina chleas diúltaithe
Tarlaíonn sé go gcruthaíonn ionsaitheoirí ró-ualú agus iad ag briseadh isteach go spriocdhírithe ag an am céanna. Bíonn an fhoireann gnóthach le hinfhaighteacht ansin, agus téann na fíorrianta ar strae i dtorann an loga. Dá bhrí sin: fiú má tá DDoS soiléir, seiceáil comhaid, cuntais agus naisc amach tar éis a dheiridh.
I gcás PHP2Shell, tá de bhreis ann nach bhfuil aon Indicators of Compromise deimhnithe foilsithe de réir php.net agus na gcuideachtaí slándála. Bunaítear an bhrath ar anailís iompair. Ba cheart freastalaí a bhí gan phaiste le linn na tréimhse scanta ó lár Dheireadh Fómhair a sheiceáil dá bhrí sin beag beann ar an ualach a breathnaíodh.
Leagan eile is ea ríomhphoist chiaptha ina ndéantar bagairt ar ionsaí DDoS mura n-íoctar. Coinnigh teachtaireachtaí den sórt sin, ná híoc gan comhordú le saineolaithe agus smaoinigh ar thuairisc chuig an Zentrale Ansprechstelle Cybercrime (ZAC, pointe teagmhála lárnach na Gearmáine don chiberchoireacht). Cuir do sholáthraí óstála ar an eolas ag an am céanna, ionas gur féidir bearta cosanta a ullmhú. Conas a mheasúnaíonn tú na logaí chuige sin, tá sé sa treoir Logaí an fhreastalaí gréasáin a anailísiú tar éis ionsaithe.
An rud ba cheart duit a dhéanamh sna chéad uaireanta
Má tá amhras ort faoi DDoS:
- Cuir an soláthraí óstála nó an ionad sonraí ar an eolas; is minic a bhíonn scagairí os comhair an fhreastalaí ann.
- Gníomhachtaigh nó déan seirbhís chosanta roimhe nó WAF le paistiú fíorúil níos déine.
- Socraigh rate-limits san fhreastalaí gréasáin agus cosain leathanaigh chostasacha ar nós cuardaigh nó ciseán siopadóireachta go háirithe.
- Coinnigh logaí, ionas gur féidir an t-ionsaí a rianú níos déanaí.
Má tá amhras ort faoi bhriseadh isteach:
- Ná scrios rud ar bith agus ná hathshuiteáil an freastalaí sula bhfuil logaí agus comhaid lena mbaineann sábháilte.
- Nuashonraigh PHP go leagan ceartaithe agus atosaigh gach oibrí, mura ndearnadh sin go fóill.
- Mura féidir an nuashonrú a dhéanamh láithreach, tóg an suíomh gréasáin den líonra go sealadach, mar a mholann an BSI.
- Athnuaigh dintiúir ó ghléas glan, ní ón bhfreastalaí a d'fhéadfadh a bheith buailte.
- Iarr seiceáil an bhféadfadh sonraí pearsanta a bheith buailte; ansin d'fhéadfadh teorainneacha ama tuairiscithe a bheith ag rith.
Sa dá chás cabhraíonn nóta gearr oibiachtúil don soláthraí óstála agus do sholáthraithe seirbhíse: ó cathain atá an fhadhb ann, cé na suíomhanna gréasáin atá buailte, cad a thug tú faoi deara agus cad atá athraithe cheana. Taifead freisin cé a rinne cén cinneadh. Sábhálann an amlíne seo am san anailís agus tá sé luachmhar níos déanaí d'árachas, do chosaint sonraí agus d'iarobair inmheánach. Mura bhfuil sé soiléir an bhfuil ionsaí ann ar chor ar bith, láimhseáil an cás mar theagmhas mar réamhchúram go dtí go gcruthaítear a mhalairt.
Conas a chabhraíonn PHP SOS go nithiúil?
- Aicmímid an cás go cianda ar bhonn ualaigh, logaí, comhad agus nasc agus insímid duit cad is dóichí atá os do chomhair.
- Le ró-ualú, cuirimid scagairí, rate-limits agus rialacha cosanta roimhe i bhfeidhm go dtí go laghdaíonn an t-ionsaí.
- Má tá amhras faoi bhriseadh isteach, glacaimid orainn an Incident Response struchtúrtha: sábháil, cuimsiú, cúis a aimsiú, glanadh.
- Ag an deireadh doiciméadaímid cad a tharla agus cé na bearta a cuireadh i bhfeidhm, go dtí go gcríochnaítear an teagmhas.
Ceisteanna coitianta
An féidir le hionsaí DDoS sonraí a ghoid?
Díríonn ionsaí DDoS glan ar infhaighteacht, ní ar shonraí. Ní athraíonn sé comhaid agus ní léann sé bunachair sonraí. Is féidir leis tarlú ag an am céanna le hiarracht briste isteach, dá bhrí sin is fiú féachaint ar chomhaid agus cuntais mar sin féin.
Conas a aithním gur haceáladh mo shuíomh gréasáin?
Is leideanna tipiciúla comhaid PHP nua nó athraithe, cuntais riarthóra anaithnide, atreoruithe chuig suíomhanna coimhthíocha, naisc amach gan choinne agus próisis nach n-oireann do d'fheidhmchlár. Ní fianaise é comhartha aonair, is comhartha tromchúiseach roinnt le chéile.
An gcabhraíonn CDN nó WAF in aghaidh an dá chineál ionsaithe?
In aghaidh ionsaithe bunaithe ar mhéid, cabhraíonn seirbhís roimhe go maith de ghnáth. In aghaidh exploits ní oibríonn rialacha ach má aithníonn siad an patrún. Maidir le PHP2Shell, tugann Cloudflare féin le fios nach leor rialacha atá bunaithe ar shonraí na n-iarratas amháin.
An gcaithfidh mé ionsaí DDoS a thuairisciú?
Braitheann sé ar an gcás aonair agus ar do thionscal. Gan rochtain ar shonraí pearsanta ní bhaineann an dualgas tuairiscithe GDPR le cás de ghnáth, ach d'fhéadfadh dualgais ar leith tionscail a bheith ann. Soiléirigh é sin le d'oifigeach cosanta sonraí nó le dlíodóir.