it-swarm-id.com

Bagaimana cara mensimulasikan serangan DDoS dari Internet?

Gagasan di balik tes keamanan mudah. Anda ingin tahu apa yang bisa dilakukan seorang peretas - Anda menyewa seorang pakar keamanan yang bertindak seperti peretas untuk mengetahui sejauh mana ia bisa. Anda ingin tahu apa yang bisa dilakukan admin jahat - pakar keamanan Anda mendapat hak istimewa admin dan melakukan pekerjaannya seperti itu.

Saya menyadari bahwa ada cara lain dan mungkin lebih baik untuk melakukan audit, tetapi ini adalah pendekatan umum yang berfungsi. Sayangnya itu menjadi sulit ketika ancamannya bukan satu orang atau tim peretas, tetapi jaringan bot terdistribusi yang mem-spam Anda dengan permintaan yang kurang lebih cerdas. Bagaimana Anda bisa menguji skenario seperti itu? Katakanlah saya memiliki infrastruktur saya siap dan saya yakin bahwa sistem saya dapat menahan sejumlah tekanan dari serangan DDoS. Sekarang saya ingin memverifikasi harapan saya dan melakukan tes DDoS dari Internet.

Di mana saya bisa mendapatkan simulator DDoS secara legal? Saya tidak ingin membeli sumber daya dari bot-net ilegal dan saya hanya ingin bekerja dengan para ahli di bidang ini. Apakah ada perusahaan yang melakukan tes seperti itu untuk Anda atau Anda dapat setidaknya menyewa sistem yang cukup kuat untuk mensimulasikan serangan DDoS? Saya mengetahui masalah hukum seperti memberi tahu semua pihak yang terlibat seperti penyedia dan sejenisnya - pertanyaan ini difokuskan pada bagaimana tes semacam itu dapat dilakukan. Saya juga tidak mencari daftar perusahaan yang dapat melakukan itu, saya tertarik apa yang mutakhir dalam bidang ini dan layanan mana yang tersedia di pasar.

22
Demento

Saya pikir Anda mencari penggunaan packet generator dan sejumlah sistem yang menghasilkan paket agar sesuai dengan beban yang Anda cari. Gunakan alamat IP acak yang valid untuk alamat sumber paket dan Anda akan merasa terganggu ketika tiba saatnya untuk menyaring.

Anda dapat melakukan semua itu tanpa pernah mengirim sedikit pun melalui tautan ISP Anda. Jika Anda mendapatkan DDOS sedemikian rupa sehingga bandwidth dimaksimalkan daripada layanan, maka ISP Anda harus menghentikan lalu lintas sebelum mencapai tautan Anda.

17
Jeff Ferland

Anda tidak mencari perusahaan yang dapat melakukannya, tetapi tertarik pada layanan apa yang tersedia? Bisakah Anda mengklarifikasi?

Apa yang Anda benar-benar minta adalah pengujian beban dalam kasus khusus ini. Berapa banyak pengguna (mengakses sebanyak mungkin) yang dapat ditahan server? Pada ambang berapa semua itu omong kosong? Pada dasarnya Anda mulai dari sejumlah kecil "pengguna" dan kenaikan sampai situs menyerah.

Setiap kali kami menjalankan tes seperti ini, kami menggunakan agen pengujian beban Visual Studio yang dihosting di Amazon yang memberi kami gagasan yang cukup bagus tentang sistem yang akan merespons. Tentu saja ada banyak alternatif untuk Visual Studio - hanya itu yang kami gunakan.

3
Steve

Saya telah melakukan pengujian beban pada aplikasi voip, termasuk mensimulasikan DDoS, tanpa pernah melewati lalu lintas apa pun di luar lab uji.

Jawaban lain menyebutkan paket generator. Anda dapat membeli atau menyewa peralatan untuk melakukan ini (mis. Smartbits), atau Anda dapat menulis kode untuk menghasilkan lalu lintas yang Anda butuhkan. Penguji beban web orang miskin sesederhana kotak linux (atau beberapa di antaranya) dengan sekelompok antarmuka jaringan yang berbeda yang dikonfigurasi (untuk mensimulasikan berbagai sumber lalu lintas) dan beberapa skrip curl (atau lainnya) untuk membuka aplikasi web Anda. Anda bisa mendapatkan secanggih yang Anda inginkan - generator paket Anda bisa menjadi aplikasi multithreaded yang memancarkan paket mentah (lihat libnet ) untuk memvariasikan sumber dan jenis paket. Tambahkan beban dengan menambahkan kotak (atau, jika kotak Anda terikat bandwidth bukan terikat CPU, tambahkan NIC).

2
bstpierre

Ada dua jenis strategi perlindungan DDoS, dan masing-masing merespons secara berbeda terhadap berbagai jenis muatan. Jadi, Anda perlu membuat tes Anda realistis untuk jenis lalu lintas yang ingin Anda jaga.

Kapasitas luar biasa
Salah satu mekanisme pertahanan adalah hanya memiliki kapasitas lebih dari penyerang Anda. Ini sangat sederhana dan sangat kuat, tetapi juga sangat mahal. Untuk menguji sistem jenis ini, Anda bisa menggunakan generator beban lama karena Anda hanya menguji kemampuan server Anda untuk menahan beban lalu lintas yang padat.

Identifikasi dan lepas
Mekanisme populer lainnya adalah mengidentifikasi lalu lintas DDoS dan mencegahnya mencapai server Anda. Ini lebih mudah, lebih murah, dan jauh lebih rapuh daripada yang di atas. Pengujian dalam hal ini berarti menguji baik jumlah lalu lintas yang dapat diperiksa dan dijatuhkan, dan juga kualitas teknik pemeriksaan. Untuk menguji ini, Anda perlu menemukan beberapa nyata perangkat lunak DDoS untuk diuji terhadap (google Gootkit ddos system misalnya untuk menemukan beberapa kode). Kemudian sewalah beberapa lusin server virtual untuk sementara waktu dari berbagai penyedia cloud dan jalankan serangan Anda. Semakin banyak sistem DDoS yang Anda uji, semakin baik Anda dapat memercayai tindakan pencegahan Anda.

1
tylerl

Beberapa ISP menawarkan ini sebagai bagian dari kemampuan pengujian beban mereka. Perusahaan perlindungan DDoS juga cenderung memberikan uji beban sebagai layanan.

1
Rory Alsop