* আন * -প্রমাণিকৃত অনুরোধগুলিকে সীমাবদ্ধ রাখার হার

Question

বলুন আমাদের লোড ব্যালেন্সার রয়েছে যা রেট সীমাবদ্ধ করে। রেট সীমাবদ্ধতা লগ-ইন করা ব্যবহারকারীদের জন্য বেশ সোজা বলে মনে হচ্ছে - কেবল JWT দেখুন এবং ব্যবহারকারীর জন্য শেষ 10 সেকেন্ডে কতগুলি অনুরোধ রয়েছে তা দেখতে মেমরির একটি ইন-মেমরি ডেটা-স্টোর ব্যবহার করুন।

যাইহোক, অ-লগ-ইন (অচিহ্নিত) ব্যবহারকারীদের সম্পর্কে কী? আমরা নিশ্চিতভাবে জানি না যে তারা বা কোথায় অনুরোধটি আসছিল ঠিক তাই সেই অনুরোধগুলি সহজেই হার-সীমাবদ্ধ করতে পারে না বা ..?

এডাব্লুএস এবং অন্যান্য হোস্টিং প্ল্যাটফর্মগুলিতে কি এর অন্তর্নির্মিত সমাধানগুলি কি আমাদের উদ্বিগ্ন হওয়া দরকার? মনে হচ্ছে লগ-ব্যবহারকারীদের ম্যানুয়ালি আমাদের রেট-সীমাবদ্ধ যুক্তি পরিচালনা করতে হবে তবে লগ-ইন না করা ব্যবহারকারীদের কী হবে?

আমার অনুমান / আশা এই যে হোস্টিং প্ল্যাটফর্মগুলিতে অ-অনুমোদনপ্রাপ্ত অনুরোধগুলি রেট-সীমাবদ্ধ করার জন্য কিছু বিল্ট-ইন মেকানিজম থাকতে পারে, দয়া করে আমাদের সকলকে জানান।

Comments

এই পৃষ্ঠাটি কখনও লগ-ইন করা ব্যবহারকারীদের উল্লেখ করে না। বস্তুত, কৌশল বর্ণনা সেখানে পাসওয়ার্ড উপর বলপূর্বক হামলার প্রশমন, যা ব্যবহারকারীদের লগইন নেই বোঝা বলে উল্লেখ করা হয়।

— রবার্ট হার্ভে

আপনি রেট সীমাবদ্ধতা কেন ব্যবহার করতে চান? এটি কি পরিষেবা অস্বীকারের বিরুদ্ধে লড়াই করার জন্য, ব্যবহারকারীদের তাদের প্রদানের পরিকল্পনাকে ছাড়িয়ে যাওয়ার, অন্য কিছু? ব্যবহারের ক্ষেত্রে আপনি কার্যকরভাবে ব্যবহার করতে পারেন এমন পদ্ধতিগুলিকে প্রভাবিত করে।

— বার্ট ভ্যান ইনজেন শেহেনো

এই প্রশ্নটি সিকিউরিটি.স্ট্যাকেক্সেঞ্জ

— ডটকমের

উপরের সবগুলি সম্পর্কে @ বার্টওয়ানআইগেনচেনাও?

আপনার দুটি আলাদা হারের সীমা কেন থাকবে? আপনি কি বিভিন্ন বাধা / বৈশিষ্ট্য সহ কোনও সাজানোর "পরিকল্পনা" বিক্রয় করছেন?

— লাইভ

Answer 1

যাইহোক, অ-লগ-ইন (অচিহ্নিত) ব্যবহারকারীদের সম্পর্কে কী? আমরা নিশ্চিতভাবে জানি না যে তারা বা কোথায় অনুরোধটি আসছিল ঠিক তাই সেই অনুরোধগুলি সহজেই হার-সীমাবদ্ধ করতে পারে না বা ..?

আপনি নিতে পারেন এমন বেশ কয়েকটি পন্থা রয়েছে। একটি হ'ল আপনার যুক্তিযুক্ত নির্ভরযোগ্য উত্স শনাক্তকারী প্রয়োজন, উদাহরণস্বরূপ আইপি ঠিকানা। আপনি আইপি ঠিকানার মাধ্যমে সীমাটি রেট করতে পারেন, যাতে একক আপস করা মেশিনে আক্রমণ সীমিত হয়ে যায়। এটি একটি দুর্দান্ত সরল পদ্ধতি, তবে একটি অসুবিধা আছে যে বৃহত নেটওয়ার্ক সরবরাহকারীরা কেবল নাটের পিছনে থাকা খুব বেশি সংখ্যক ব্যবহারকারীকে আড়াল করতে কেবল একক বহির্গামী আইপি ঠিকানাগুলি ব্যবহার করতে পারে।

আপনি গ্রহণ করতে পারেন সীমাবদ্ধ করার জন্য অন্য পদ্ধতির জন্য কোনও অনাকাঙ্খিত অনুরোধের জন্য কাজের প্রমাণ প্রয়োজন । আপনার সার্ভারটি একটি চ্যালেঞ্জ কোড জারি করেছে যে কোনও ক্লায়েন্টকে অননুমোদিত অনুরোধ করা (যেমন লগইন অনুরোধগুলি) অনুরোধটি প্রক্রিয়া করার আগে একটি সংস্থান নিবিড় প্রতিক্রিয়া গণনা করতে হবে। এই ধারণার একটি সাধারণ প্রয়োগের জন্য ক্লায়েন্টদের আংশিক হ্যাশ বিপর্যয় গণনা করা প্রয়োজন।

Comments

আমি দেখতে ব্যর্থ, কীভাবে "কাজের প্রমাণ" ডস আক্রমণ থেকে রোধ করতে পারে? ক্লায়েন্ট চ্যালেঞ্জ উপেক্ষা এবং ব্যর্থতা আপ অনুরোধ প্রেরণ করা চালিয়ে যেতে পারে। চ্যালেঞ্জটি পরিচালনা করে এমন কোনও তৃতীয় প্রক্রিয়া রয়েছে?

— লাইভ

@ লাইভ পাউ একটি কেন্দ্রীয় ডাটাবেসে সংযুক্ত না করে নির্ভরযোগ্যভাবে জারি করা এবং বিতরণ করা যেতে পারে, যেখানে বেশিরভাগ অন্যান্য রেট সীমাবদ্ধকরণের ব্যর্থতা ব্যর্থ হয়। এটি আক্রমণকারীর জন্য আক্রমণটির ব্যয় বাড়িয়ে তোলে, কারণ আপনার প্রতিরক্ষা তৈরি করা এবং লোড ফ্যাক্টর বৃদ্ধি করা আপনার পক্ষে এবং বৈধ ব্যবহারকারীর পক্ষে আক্রমণকারীর আক্রমণ আক্রমণ করার চেয়ে সস্তা। এটি সিস্টেমে আক্রমণ করার জন্য একটি অর্থনৈতিক বিচ্ছিন্নতা তৈরি করে, কারণ এটি কার্যকরভাবে আক্রমণাত্মক প্ল্যাটফর্ম হিসাবে ব্যবহার করার জন্য স্বল্প শক্তিযুক্ত ডিভাইসগুলি (যেমন আপোসড মুদ্রকগুলি, আইওটি, রাউটারগুলি) বাদ দেয়।

— মিথ্যা রায়ান

Answer 2

কোনও অনুরোধ প্রমাণীকৃত ব্যবহারকারীর কাছ থেকে বা বেনামে ব্যবহারকারীর কাছ থেকে এসেছে কিনা তা জানতে, আপনাকে অবশ্যই অনুরোধটি প্রক্রিয়া করতে হবে (তবুও দ্রুত)। এর অর্থ এখনও আপনার অ্যাপ্লিকেশনটি পরিষেবা আক্রমণকে অস্বীকার করার পক্ষে ঝুঁকির মধ্যে রয়েছে।

আপনার প্রতি সেকেন্ডে সামগ্রিক অনুরোধগুলি যাচাই করা উচিত এবং যদি একটি নির্দিষ্ট নম্বর অতিক্রম করা হয়, তবে আপনি কেবল বাকীটিকে উপেক্ষা করবেন। স্বাভাবিক ক্রিয়াকলাপের সময় সমস্যা না হওয়ার জন্য এই সংখ্যাটি যথেষ্ট পরিমাণে হওয়া উচিত, তবে এই ধরনের আক্রমণ থেকে রক্ষা করা উচিত।

এছাড়াও, একটি সাধারণ নিয়ম হিসাবে, আপনার সম্ভবত ধরে নেওয়া উচিত নয় যে কোনও আক্রমণ কোনও প্রামাণিক ব্যবহারকারীর কাছ থেকে আসে নি, কমপক্ষে কীভাবে ডস আক্রমণের বিষয়ে উদ্বেগ প্রকাশ করে for একটি দুর্বল পাসওয়ার্ড সহজেই কাউকে কোনও পুরানো ব্যবহারকারীর পরিচয় অনুমান করতে দেয়। সুতরাং ধরুন আপনি যদি এই ধরনের একটি চেক করতে পারেন তবে আপনার (মানব) ব্যবহারকারীদের কখনও এই জাতীয় হারের জন্য অনুরোধ করা উচিত নয় কেবল আপনার অনেক ব্যক্তিগত ব্যবহারকারী রয়েছে বলেই প্রতিরোধ না করে।

Comments

আমি মনে করি আপনি আইপি ঠিকানা ব্যবহার করতে পারেন এবং প্রত্যেকের জন্য একটি উচ্চ হারের সীমা নির্ধারণ করতে পারেন। আমার ধারণা, একটি ভাল অর্কেস্ট্রেটেড ডস আক্রমণ হাজার হাজার আইপি ঠিকানা ব্যবহার করতে পারে? হয়তো আরো? আইডিডি ... আমি সচেতন যে একই আইপি ঠিকানাটি একাধিক বিভিন্ন ক্লায়েন্টের জন্য ব্যবহার করা যেতে পারে, তবে আমি বলব যে এটির একই ব্যবহারকারী ঠিক আছে, এমন দৃ strong় সম্ভাবনা রয়েছে?

— আলেকজান্ডার মিলস

@ আলেকজান্ডারমিলস ওয়েল ধরুন আপনি সিদ্ধান্ত নিয়েছেন অ্যালগরিটিহম একই আইপি ঠিকানা থেকে একাধিক অনুরোধের জন্য পরীক্ষা করবে। হাজার হাজার লোক থাকলেও তাদের 1000 এরও বেশি অনুরোধের জন্য পুনরাবৃত্তি করা হবে। আপনার সার্ভার কোনও প্রদত্ত আইপি ঠিকানা থেকে প্রথম অনুরোধটি লগ করে এবং বন্যা শুরু হয়ে যায় .. আপনার সার্ভারটি ইতিমধ্যে অনুরোধের সাথে ব্যাকলগ হয়ে গেছে .. আপনি একই আইপি থেকে দ্বিতীয় পুনরাবৃত্তি পাওয়ার জন্য যথেষ্ট অনুরোধগুলিও প্রক্রিয়া করতে পারবেন না (এটি এখনও বৈধ অনুরোধ হতে পারে দ্য ওয়ে)। এটি ডস আক্রমণগুলির বিরুদ্ধে সুরক্ষা দেয় যেখানে কেবল একই আইপি ব্যবহৃত হয়। কিছু হলে দুটোই ব্যবহার করা ভাল। : পি

— নীল

Answer 3

ক্লাউডফ্লেয়ারের অন্যতম প্রধান অফার হল আপনার এপিআই / ওয়েব সার্ভারের জন্য বুদ্ধিমান প্রক্সি সরবরাহ করে পরিষেবা আক্রমণ অস্বীকারের বিরুদ্ধে সুরক্ষা। প্রাথমিক পরিষেবা নিখরচায়; তারা অন্যান্য সম্পর্কিত পরিষেবাদি যেমন সিডিএন পরিষেবা এবং লোড ব্যালেন্সিং থেকে অর্থোপার্জন করে। তারা আরও পরিশীলিত এবং নিয়ন্ত্রনযোগ্য হার সীমাবদ্ধকরণ পরিষেবাগুলি সরবরাহ করে, বর্তমানে প্রতি 10 কে ভাল অনুরোধের জন্য .05 মার্কিন ডলার (প্রত্যাখাত অনুরোধগুলির জন্য কোনও চার্জ নেই), তবে আপনাকে একাধিক বৈশ্বিক নিয়ম পাওয়ার জন্য অর্থপ্রদানের পরিকল্পনায় আপগ্রেড করতে হবে।

আপনি আপনার ডোমেনের নাম সার্ভারগুলিতে যতক্ষণ নিয়ন্ত্রণ রাখতে পারেন ততক্ষণ আপনি এইডাব্লুএস বা অন্য কোনও প্ল্যাটফর্মের সাথে ক্লাউডফ্লেয়ারের পরিষেবাটি ব্যবহার করতে পারেন (যেমন আপনি নিজের ডোমেনের জন্য নিবন্ধিত নাম সার্ভারগুলি পরিবর্তন করতে পারেন)।

আপনি লগ-ইন করা ব্যবহারকারীদের বিভিন্ন ইউআরএলকে নির্দেশ করে বেনামে এবং লগ-ইন করা ব্যবহারকারীদের জন্য পৃথক হার সীমা সরবরাহ করতে পারেন। উদাহরণস্বরূপ, আপনি সর্বদা প্রমাণীকরণের প্রয়োজন হয় এবং একটি আলাদা হারের সীমা থাকে এমন একটি এন্ডপয়েন্ট তৈরি করতে আপনার সমস্ত বেনামে উপলভ্য ইউআরএল পাথগুলি '/ u' দিয়ে সহজেই উপসর্গ করতে পারেন।

নোট করুন যে ক্লাউডফ্লেয়ারের হার সীমাবদ্ধকরণ (বেনামে থাকা ব্যবহারকারীদের জন্য সীমাবদ্ধ সমস্ত বাণিজ্যিক হারের মতো) এর আইপি ঠিকানার মাধ্যমে ক্লায়েন্টকে সংজ্ঞায়িত করে। এটি বাণিজ্যিক ভিপিএন বা টর ব্যবহার করে এমন লোকদের সমস্যার কারণ হতে পারে, যেহেতু তারা যুক্ত গোপনীয়তার জন্য 1 আইপি ঠিকানার পিছনে বিপুল সংখ্যক ক্লায়েন্টকে আড়াল করে।

Answer 4

এডাব্লুএসে, অ্যাডাব্লুএস শিল্ড এবং এডাব্লুএস ডাব্লুএফ সম্পর্কিত সম্পর্কিত পরিষেবা রয়েছে । এগুলি মূলত ডিডোএস আক্রমণ প্রতিরোধ করার উদ্দেশ্যে তৈরি হয়েছে তবে আইপি অ্যাড্রেসের ভিত্তিতে রেট-সীমাবদ্ধকরণের জন্য সমর্থনও সরবরাহ করে।

ডাব্লুএএফ -তে ধারণাটিকে রেট-বেসড বিধি বলা হয় । ব্রুটে-ফোর্স ভিত্তিক লগইন প্রচেষ্টা প্রতিরোধ করা মূল ঘোষণায় ব্যবহারের ক্ষেত্রে হিসাবে উল্লেখ করা হয় :

এই নতুন নিয়মের ধরণ গ্রাহক ওয়েবসাইট এবং এপিআইগুলিকে ওয়েব-লেয়ার ডিডোএস আক্রমণ, ব্রুট ফোর্স লগইন প্রচেষ্টা এবং খারাপ বটসের মতো হুমকি থেকে রক্ষা করে। যখন কোনও ক্লায়েন্টের ওয়েব অনুরোধগুলি একটি নির্দিষ্ট কনফিগারযোগ্য থ্রেশহোল্ডকে অতিক্রম করে তখন রেট ভিত্তিক বিধিগুলি স্বয়ংক্রিয়ভাবে ট্রিগার হয়।

অন্যান্য মেঘ সরবরাহকারীদের অনুরূপ অফার থাকা উচিত। এখানে, একটি সারণী তুলনা: গুগল ক্লাউড আর্মার বনাম এডাব্লুএস ডাব্লুএফএফ বনাম ক্লাউডফ্লেয়ার ডাব্লুএফএফ ।

আপনি ইতিমধ্যে Nginx ব্যবহার করছেন, অন্তর্নির্মিত আইপি ভিত্তিক হার-সীমাবদ্ধতা ব্যবহার করা সহজ বিকল্পও হতে পারে। মডিউলটিকে ngx_http_limit_req_module বলা হয় । এই ব্লগ পোস্টটি এটি কীভাবে ব্যবহার করা যায় তা বর্ণনা করে।

দয়া করে নোট করুন আইপি ভিত্তিক হার সীমাবদ্ধতা তুলনামূলক সহজ ধারণা তবে এটি নিখুঁত নয়:

• আইপি ঠিকানাগুলি ভাগ করা হতে পারে (একই অফিসে কাজ করা লোক) মিথ্যা ইতিবাচক দিকে পরিচালিত করে
• কোনও আক্রমণকারীর একাধিক আইপি অ্যাড্রেসে সহজেই অ্যাক্সেস থাকতে পারে এবং সীমাগুলি বাইপাস করতে তাদের ব্যবহার করা হয় (ব্রেস্ট-ফোর্স লগইন আক্রমণ বিতরণ করা হয়)

সাধারণভাবে, আইপি অ্যাড্রেসগুলি একটি ভাল শুরু। তবে যদি আপনার আরও শক্তিশালী সুরক্ষা প্রয়োজন হয় তবে আপনার সেরা পছন্দগুলি আপনার থ্রেড মডেলের উপর নির্ভর করবে (আপনি কী ধরণের আক্রমণ প্রতিরোধ করতে চান)।