Juno Saldırılarına %100 çözüm

yazdıklarından kendin bile ne demek istediğini bilmiyorsun cümlelerin çok komedi ben bu saldırıyı tek komutla ek cihaz kullanmadan networkten uzaklaştırırım iddaa ediyorum hemde varsa denemek isteyen istediği kadar JUNO makinesi ile hazır olduğunda bana haber versin deneyelim ayrıca sen o yazdığın hattı ancak rüyanda görürsün bu yüzden hayal değil gerçeklere bak sağdan soldan öğrendiğin çakma bilgiler ile insanların aklını karıştırmayada devam etme

RANDOM olduğu için bunun kaynağını görmek dediğim gibi imkansız arkadaşım önceki mesajımdada dediğim gibi ancak saldırı çıkışı olduğu firma bunu dikkat ederse görebilir.

ozon diye bir proje vardı halada yanımda duruyor 10gbit iki interface var çatır çatır engelliyor

şimdi sanıyomusunuzki cisco juniper freebsd kullanmadığını?

Şu forumda yıllardır aynı şeyleri, üstelikte yanlış şeyleri tekrarlayıp duran bir çok arkadaşımız var, uzun sürelerdir bu işlerle uğraşan biri olarak lütfen hepiniz bu açıklamamı dikkatlice okuyun ve yazıcıdan çıkartıp evinizin duvarına asın;

A) juno.c juno.c juno.c nedir bu juno.c?
Herkesin salladığı, hatta bu konunun başlığı olan "juno.c saldırısı" diye bir saldırı türü yoktur. juno.c adından da anlaşılabileceği gibi bir ansi-c yazılımının kaynak kod dosyasıdır. Bu yazılımın amacı syn-flood denilen saldırı türünü gerçekleştirmeye yardımcı olmaktır. Yani saldırının türü "syn-flood", saldırıyı gerçeklemeye yarayan yüzmilyonlarca araçtan birisi juno.c dosyasıdır, herhangi biri , "raw ip" paketini düzenleyebilen herhangi bir yazılım dili ile bu saldırıyı gerçekleştirebilir. Umarım artık bu forumda "juno saldırısı" terimi içeren bir yazı yazılmaz.

B) syn-flood nedir?
Bunu anlatmadan önce TCP nedir, nasıl çalışır konusunu açıklamak gerekir. TCP bir protokolün (protokol: bir sistemin nasıl çalışacağına dair kurallar) adıdır ve 3 yönlü handshake (SYN/SYN-ACK/ACK işaretleri) denilen kurallar bütünü ile işler.

Örneklemek gerekirse;
İstemci sunucuya SYN gönderir: 3585 cevap ver tamam
Sunucu istemciye SYN-ACK gönderir: 3585 dinlemede, teyid edin tamam
İstemci sunucuya ACK gönderir: Telsiz kontrol olumlu tamam.

Böylece kurallar bütünü tamamlanıp bir sonraki aşamaya geçilir. İşletim sistemlerinde TCP_BACKLOG denilen bir kuyruk vardır ve bu kuyruk sınırlı bir kuyruktur. Her gönderilen SYN işaretli paket sunucudaki işletim sistemi tarafından algılanır ve tcp_bakclog'a SYN_RECIEVED olarak kayıt edilir daha sonra sunucu, istemciye SYN-ACK işaretli paketi gönderir ve istemciden ACK işaretli paketi alana kadar veya timeout süresi doluncaya kadar tcp_backlogta bu kaydı tutar.

İşte, syn-flood bu kuralları suistimal ederek sınırlı büyüklükteki TCP_BACKLOG'u dolduran ve böylelikle sunucunun daha fazla SYN paketi kabul etmesini engelleyen bir saldırı türüdür. Bu saldırı türü kendi içinde 3'e ayrılır;

1) Doğrudan: Bir makinadan herhangi başka bir değişiklik yapılmaksızın ard arda sürekli SYN paketi yollamak.
2) Spoofed: Bir makinadan, ip header bilgisi değiştirilerek sürekli SYN paketi yollamak.
3) Spoofed Distributed: Birden falza makinadan ip header bilgisi değiştirilerek sürekli SYN paketi yollamak.

Her üçünüde inceleyelim:
1) Doğrudan saldırıda ne olur?
Saldırgan kendi ip adresi ile mağdur makinaya sürekli SYN paketi gönderir, mağdur da TCP kurallarına göre saldırgana aynı miktarda SYN-ACK gönderir elbette saldırganda buna ACK ile aynı miktarda yanıt verir. Bu durumda kimin çıkış hızı fazla ise o kazanır.
2) Spoofed saldırıda ne olur?
İşte bu yöntem en sık kullanılan synflood saldırısıdır (evet juno.c bunu yapar) Saldırgan her zamanki gibi mağdur makinaya sürekli SYN paketi gönderir ancak bu sefer ip adresini değiştirir. Böylelikle mağdur cevap olarak gönderdiği SYN-ACK işaretli paketi değiştirilmiş ip adresine gönderir ve dolayısı ile beklediği ACK paketini alamaz ve tcp_backlog kuyruğunda da belirli bir süre boyunca kalır. Saldırgan çok fazla spoofed syn paket gönderdiğinde, sonuçta tcp_backlog dolar ve mağdurun artık başka bir bağlantı kuracak yeri kalmamıştır.
3)Spoofed Distributed saldırıda ne olur?
spoofed syn floodda ne oluyorsa aynısı olur ancak bu sefer paketler bir değil birden fazla saldırgandan gelmektedir. Böylece saldırganın ağ trafiğinde bir yükselme gözlenmez ve ISP lerin dikkatini çekmez.

C) Nasıl korunurum?

İşletim sistemi düzeyinde yapılabilecekler;
1) syn_cookie: Adındanda anlaşılabileceği gibi bu bir cookie dir, etkinleştirildiğinde, SYN paketi sunucu tarafından alındıktan sonra SYN-ACK ile beraber bir cookie gönderilir ve bağlantı tcp_backloga yazılmaz. Eğer karşıda gerçek ip adresine sahip gerçek bir istemci varsa ACK ile beraber bu cookieyi gönderir ve bağlantı prosedürleri bu cookie ye göre devam ettirilir. Böylelikle spoofed saldırıların önüne geçilmeye çalışılır. Bu yöntem istisnasız her firewallda kullanılır.
2) tcp_backlog alanını genişletmek
3) timeout süresini düşürmek

Transport layer düzeyinde yapılabilecekler;
1) Sunucunun önüne bir tane daha sunucu veya bir firewall koyarak, SYN işaretli paketler öndeki sunucuya kontrol ettirilebilir. Öndeki sunucu arkadakinin yerine SYN-ACK gönderir ve eğer ACK alırsa SYN+ACK gönderek arkadaki tcp_backlog un tıkanmasını engeller. Böylelikle sizin sunucunuzun kaynakları tükeneceğine öndekinin kaynakları tükenir. AMA bu işlem normal istemcilerin bağlantı sürelerini uzatır.
2) Gene aynı yapıda ama kontrol mekanizması değiştirilerek, SYN paketi doğrudan arkadaki sunucuya geçirilir ve arkadaki sunucudan alınan SYN-ACK'ın hemen ardından öndeki sunucu arkadakine sahte bir ACK paketi yollar, böylelikle bağlantı süresi uzamaz. SYN paketi saldırgandan gelmediyse, işler normaldeki gibi ilerler ama eğer paket spoofed bir ipden geldiyse öndeki makina, arkadakine RST işaretli bir paket gönderir ve arkadaki bağlantıyı sonlandır. Çok beğendiğiniz sürekli sorduğunuz alsammı almasammı karar veremediğiniz donanımsal firewallarda bu yöntem kullanır.
Syn-flood saldırılarına karşı bunlardan başka etkili herhangi bir korunma yöntemi YOKTUR.

D) Bunu biz yapamaz mıyız, cisco bilmemne almamıza gerek var mı? iptables dandik midir?
Yok, yapabilirsiniz hiç bir farkı olmaz ayrıca iptables dandik değildir, çok başarılı bir uygulamadır -elbette bilenler faydalanabilir- ki zaten eli yüzü düzgün başka bir alternatifide yoktur, alanında neredeyse tektir, o yüzden iptablesa dandik diyenler herhalde hiç linux kullanmamış olacaklar...

E) Neden herkes donanımsal firewall ları ile gurur duyuyor peki?
Büyük trafik yönetenlerin alma sebepleri, filtreleme işlemlerini hızlıca yapabilmekten başka bir şey değil, çünkü firewalla gelen her paket her seferinde ve tek tek bütün yazılı kurallardan geçer, donanımsal firewalların içerisindeki yazılımlarda kendilerine özgü kural kontrol algoritmaları bulunur ve bu firewalların içerisinde kullanılan materyaller (chiptir odur budur) yüksek trafik için imal edilmiştir. Bir donanımsal firewallı bir yazılımsal firewalldan ayrıldığı nokta işte bu algoritmalardır (materyalleri sağladığınız sürece) Linux ile ilgili konuşmak gerekirse, iptables ın kural kontrol mekanizması lineerdir, yani doğrusal dır, yani her paketi her kuralda herhangi bir algoritma uygulamaksızın tek tek dener, işte bu yüzden girişi 1000 megabit olan ve 100 tane kuralı (300-500 olur normalde) bulunan bir networkü iptables ile yönetemezsiniz. Hiç mi olmaz peki? Elbette olur, iptables kural kontrolu için lineer olmayan bir algoritma kullanırsa neden olmasın (-ki var ama henüz emekleme aşamasında). ANCAK 20-30 megabiti olan kıllı megalomanlar neden alır diye sorarsanız "param var - işi bimiyorum verdim - mutlu oldum aldım kralım" şemasına göre hareket ederler diyebilirim.

Umarım hepiniz için faydalı olur, özellikle bu konuyu açan arkadaş için...

Açıklamanız için teşekkürler. İptables e dandik diyen benim ancak her saldırı için bunu demedim juno.c ile yapılan syn flood için kastettim. Tamam dediğiniz uygulamalarla ve iptables ile sunucunun bu isteklerden etkilenmemesi sağlanabilir. Fakat konuda baştan beri söylediğim juno.c nin çalıştırıldığı sunucunun çıkış trafiğinin büyük bir kısmını işgal edip karşı sunucuyada bu trafiği iletmesidir.

Örneğin eğer verimerkezi çıkışlarda juno.c için yada buna benzer bir agresif çıkış için engelleyici bir kural koymamışsa 100 mbit hattı olan bir makinadan anlık 50-80 mbit çıkış yaparsınız karşı sunucuda bu trafiği görür. Türkiyede sunucuların ortalama hatları 3-5 mbit iken böyle bir saldırıdan ancak dediğiniz gibi sunucunun önüne koyulacak ikinci bir sunucu yada donanımsal araçlarla sağlanabilir ancak unuttuğunuz şey gelen trafiktir çünkü kaynağı belli olmayan bir trafiği network içinde yok edemessiniz. Hattı bol olan yurtdışı lokasyon bir verimerkeziyse ve gelen saldırının boyutuda yüksek rakamlara çıkmadıysa verimerkezinin umrunda olmaz zaten iptableslede sunucunun etkilenmemesini sağlarsanız hiç problem olmaz. Ama siz fark etmeseniz bile sunucu önünde saldıran sunucudan trafik akışı geldiğini bilirsiniz.

Örneğin ismini vermek istemediğim bir verimerkezinde iken 2 gün boyunca juno.c kaynaklı bir atak aldık ancak verimerkezi firewall yazılımına juno.c için kural eklemişti ve bu saldırı asla sunucuyu etkilemiyordu ancak işin arka planında 2 gün boyunca 90 mbit istek geldiği bize verimerkezi tarafından bildirildi. Ve gelen isteğin 101 mbit olması halinde sunucuya erişimimizin kesileceğide söylendi.

Yani kısacası juno.c önlemek sadece iptables yada sunucu önündeki bir donanımla engellemek imkansızdır. Bunun yanında birde saldırı boyutundan fazla kullanılabilecek hat gereklidir.

Bilgileriniz için teşekkür ediyorum. Fakat bunu dediğim gibi ek bir donanımsal firewall kullanmadan IPTABLES ve birkaç script ile engelliyoruz.

İmkansız diye birşey yoktur. Bilgi, donanım, yaratıcılık ve kabiliyet vardır. Önemli olan araştırma ve çalışmaktır boş sözler yetersiz icraat önemlidir.Hala aksini iddia ediyorsan benle temasa geç sana IP vericem saldır istersen o daha önce yazdığın 100000000001 GBit ile hodri meydan.

Merak etme elimde imkan olsa zaten 1 hafta kapatırım sunucunu. Hemde engellerim dediğin juno ile.

Boş konuşma icraat yap boş konuşuyorsun kaparmış sen kepenkleri kaparsın ancak