DoS (Denial of Service) আক্রমণ মিটিগেট করার নেটওয়ার্ক সিকিউরিটি সমাধান
DoS আক্রমণে আক্রমণকারী একটি টার্গেট সিস্টেম বা নেটওয়ার্ককে অতিরিক্ত ট্রাফিক বা অনুরোধ দিয়ে ওভারলোড করে legit ব্যবহারকারীদের সেবা থেকে বঞ্চিত করে। নিচে DoS প্রতিরোধের দুটি প্রধান নেটওয়ার্ক সিকিউরিটি সমাধান দেওয়া হলো:
১. ইনট্রুশন প্রিভেনশন সিস্টেম (IPS - Intrusion Prevention System)
- কীভাবে কাজ করে: নেটওয়ার্ক ট্রাফিক রিয়েল-টাইমে মনিটর করে সন্দেহজনক প্যাটার্ন (সিঙ্ক ফ্লাড, UDP ফ্লাড, ICMP ফ্লাড) শনাক্ত করে এবং স্বয়ংক্রিয়ভাবে ব্লক করে।
- DoS জন্য কার্যকরতা: সিগনেচার-ভিত্তিক এবং অ্যানোমালি-ভিত্তিক ডিটেকশন ব্যবহার করে পরিচিত ও অপরিচিত DoS আক্রমণ ব্লক করে।
- উদাহরণ: Cisco Firepower, Palo Alto Networks, FortiGate, Snort (Open Source)।
২. রেট লিমিটিং এবং ট্রাফিক শেপিং (Rate Limiting & Traffic Shaping)
- কীভাবে কাজ করে: রাউটার, ফায়ারওয়াল বা লোড ব্যালেন্সারে প্রতি IP/সাবনেট/ইন্টারফেসের জন্য ব্যান্ডউইথ এবং কানেকশন রেট লিমিট সেট করা।
- DoS জন্য কার্যকরতা: একক সোর্স থেকে অতিরিক্ত রিকোয়েস্ট ব্লক করে, বটনেট আক্রমণের প্রভাব কমানো যায়।
- বাস্তবায়ন:
- রাউটারে: `rate-limit input access-group 100 10000000 8000 8000 conform-action transmit exceed-action drop`
- ফায়ারওয়ালে: Connection limit per IP, SYN cookie সক্রিয় করা
- CDN/WAF-এ: Cloudflare, AWS Shield, Akamai-এর রেট লিমিটিং রুল
অন্যান্য সহায়ক সমাধান (বোনাস)
৩. Anycast নেটওয়ার্ক এবং CDN (Content Delivery Network)
- ট্রাফিক একাধিক ডেটা সেন্টারে বিতরণ করে একটি পয়েন্টে ফোকাসড আক্রমণের প্রভাব কমানো।
- Cloudflare, AWS CloudFront, Google Cloud Armor।
৪. ব্ল্যাকহোল রাউটিং / RTBH (Remotely Triggered Black Hole)
- আক্রমণের সময় টার্গেট IP-কে নাল রাউট (null route) করে ট্রাফিক ড্রপ করা। ISP কোঅর্ডিনেশন দরকার।
৫. SYN Cookies এবং TCP স্ট্যাট ফুল ইনসপেকশন
- SYN ফ্লাড আক্রমণ প্রতিরোধে সার্ভার/ফায়ারওয়ালে SYN Cookies সক্রিয় রাখুন।
পিং (Ping) স্ক্যান এবং পোর্ট স্ক্যান মিটিগেশন
- এজ রাউটারে ICMP Echo Request/Reply ব্লক করুন (পিং স্ক্যান রোধে)।
- IPS/IDS ব্যবহার করুন পোর্ট স্ক্যান ডিটেক্ট এবং ব্লক করতে।
- শুধু প্রয়োজনীয় পোর্ট খুলুন (ডিফল্ট ডেনি-অল পলিসি)।
VLAN হপিং আক্রমণ প্রতিরোধ (দুটি কাজ)
- সব অ্যাক্সেস পোর্টে `switchport mode access` এবং `spanning-tree portfast` সেট করুন।
- নেটিভ VLAN ডিফল্ট VLAN ১ থেকে অন্য কোনো Unused VLAN-এ চেঞ্জ করুন।
MAC অ্যাড্রেস টেবিল ওভারফ্লো আক্রমণ প্রতিরোধ
- Port Security সক্রিয় করুন: প্রতি পোর্টে সর্বোচ্চ MAC অ্যাড্রেস লিমিট সেট করুন (যেমন: ১ বা ২)।
- Violation mode: `shutdown` বা `restrict` সেট করুন।
সারসংক্ষেপ: DoS মিটিগেশনের সেরা ২ সমাধান
- IPS (Intrusion Prevention System) - রিয়েল-টাইম ডিটেকশন এবং ব্লকিং
- Rate Limiting / Traffic Shaping - ট্রাফিক নিয়ন্ত্রণ এবং রিসোর্স সুরক্ষা
প্রো টিপ: লেয়ারড সিকিউরিটি (Defense in Depth) अपনান - ISP লেভেল DDoS প্রোটেকশন + এজ ফায়ারওয়াল/आईপিএস + সার্ভার লেভেল SYN Cookies + অ্যাপ্লিকেশন লেভেল রেট লিমিটিং।
