ফ্লাড গার্ড (Flood Guards): নেটওয়ার্ক সিকিউরিটিতে DoS/DDoS প্রতিরক্ষার কী রোল?
**Flood Guards** হলো নেটওয়ার্ক ডিভাইস (রাউটার, স্যুইচ, ফায়ারওয়াল, লোড ব্যালেন্সার) বা সফটওয়্যার ফিচার যা **ফ্লাডিং আট্যাক (DoS/DDoS)** —যেমন SYN Flood, UDP Flood, ICMP Flood, HTTP Flood— প্রতিরোধ বা মিটিগেট করতে ডিজাইন করা। এটি নেটওয়ার্ক সিকিউরিটির **Availability (CIA Triad)** স্তম্ভের অংশ।
ফ্লাড গার্ড কোন সিকিউরিটি উপাদানlerle সম্পর্কিত/ইন্টিগ্রেটেড?
| নেটওয়ার্ক সিকিউরিটি উপাদান | ফ্লাড গার্ডের সাথে সম্পর্ক/ইন্টিগ্রেশন |
|---|---|
| Firewall (Next-Gen / Statefull) | প্রাইমারি ইমপ্লিমেন্টেশন পয়েন্ট। SYN Cookie, Connection Limiting, Rate Limiting, DoS Protection Profiles (Palo Alto, FortiGate, Check Point) এम्बেডেড থাকে। |
| Intrusion Prevention System (IPS/IDS) | Anomaly-based Detection (Threshold-based, Behavioral) দিয়ে ফ্লাড ডিটেক্ট করে এবং ব্লকিং রুল ট্রিগার করে। |
| Router / Layer 3 Switch | ACL, uRPF (Unicast Reverse Path Forwarding), RTBH (Remotely Triggered Black Hole), FlowSpec (BGP) দিয়ে অ্যাপস্ট্রিমে ব্লক। |
| Load Balancer / ADC (Application Delivery Controller) | Layer 7 Flood Protection: HTTP Rate Limiting, Connection Pooling, SSL Offloading, WAF Integration (F5, Citrix ADC, A10, Azure Front Door, AWS ALB/WAF)。—— |
| DDoS Mitigation Appliance / Cloud Scrubbing Center | Dedicated Hardware (Arbor/NETSCOUT, Radware, Corero) বা Cloud Service (Cloudflare, Akamai, AWS Shield Advanced, Azure DDoS Protection) — Volumetric Attack Absorb করে। |
| Switch Port Security / Storm Control | Broadcast/Multicast/Unicast Storm Control (pps/kbps Threshold) → Port Shutdown/Rate Limit। |
| Web Application Firewall (WAF) | Layer 7 Flood: HTTP/HTTPS Request Rate Limiting, Bot Management, API Abuse Protection। |
| DNS Server / Resolver | Response Rate Limiting (RRL), DNS Cookie, Anycast Distribution — Amplification/Reflection Attack Mitigation। |
| SIEM / SOAR | Log Correlation, Alerting, Automated Response (Block IP at Firewall, Quarantine Host)。—— |
| Network Detection & Response (NDR) | Encrypted Traffic Analysis (JA3), Behavioral Anomaly Detection for Low-and-Slow Attacks। |
প্রধান Flood Attack টাইপ এবং সংশ্লিষ্ট Guard Mechanism
| Attack Type | Layer | Mechanism | Guard / Mitigation |
|---|---|---|---|
| SYN Flood | L4 (TCP) | TCP 3-way Handshake पूरा না করে SYN প্যাকেট ফ্লাড | SYN Cookies, SYN Proxy, Half-Open Connection Timeout Reduction, Rate Limit SYN/s |
| ACK/RST/FIN Flood | L4 | Invalid TCP Flags ফ্লাড | Stateful Inspection (Invalid State Drop), Rate Limiting |
| UDP Flood | L4 | Random Port-এ UDP Packet ফ্লাড (ICMP Unreachable Generate করে) | UDP Rate Limiting, Port Block (Unused), Anycast Distribution |
| ICMP Flood (Ping Flood) | L3 | ICMP Echo Request ফ্লাড | ICMP Rate Limiting, ICMP Block (Selective) |
| DNS Amplification / NTP Amplification | L7/UDP | Open Resolver ব্যবহার করে রিফ্লেকশন/অ্যাম্প্লিফিকেশন | RRL (Response Rate Limiting), DNSSEC, Disable Open Recursion, Anycast |
| HTTP/HTTPS Flood (Layer 7) | L7 | Legitimate-looking Request Flood (GET/POST) | WAF Rate Limiting, Challenge (JS/CAPTCHA), Bot Detection, Connection Pooling |
| SSL/TLS Exhaustion | L4/L7 | Handshake Initiate করে Ressource Exhaust | SSL Offload, Session Resumption, Rate Limit Handshakes, Client Cert Auth |
| Slowloris / Slow Read | L7 | Low-and-Slow: Partial Headers/Body পাঠায় Connection Hold | Timeout Tuning, Request Body Limits, Reverse Proxy Buffering, WAF |
ফ্লাড গার্ড কনফিগারেশন বেস্ট প্র্যাকটিস
- Baseline Traffic Profile বানান: Normal Peak Traffic (pps, bps, cps) জানুন → Threshold সেট করুন (Baseline × 2-3x)。——
- Multi-Layer Defense: Edge Router (RTBH/FlowSpec) → Perimeter Firewall (DoS Profile) → Load Balancer/WAF (L7 Rate Limit) → App Level (Rate Limiting Middleware)。——
- Whitelist Critical Partners/Services: Known Good IPs (Payment Gateway, Partner API) Rate Limit থেকে বাদ দিন।
- Action Selection: **Drop / Reset / Tarpit / Challenge (CAPTCHA/JS)** — Blocking বদলে Challenge बेटার UX দেয়।
- Logging & Alerting:/syslog/SIEM-এ লগ পাঠান → SOAR Playbook Trigger (Auto-block at Edge)。——
- Regular Testing: Authorized DDoS Simulation (Red Button Test, Cloudflare/Akamai/Arbor Testing Programs) — Quarterly/Annually।
সাম্প্রতিক উন্নতি: AI/ML-Based Flood Detection
- Behavioral Baseline + Anomaly Detection: Static Threshold বদলে Dynamic Threshold (Seasonality, Trend Aware)。——
- Encrypted Traffic Analysis (ETA): TLS Fingerprinting (JA3/JA4) দিয়ে ম্যালিশিয়াস ক্লায়েন্ট চিহ্নিতকরণ পেলোড ডিক্রিপ্ট ছাড়া।
- Intent-Based Mitigation: Policy-as-Code (Terraform/Open Policy Agent) দিয়ে অটোমেটেড রুল ডিপ্লয়মেন্ট আটাক টাইমে।
উপসংহার: ফ্লাড গার্ড একক ডিভাইস বা ফিচার নয়—এটি **নেটওয়ার্ক সিকিউরিটি স্ট্যাকের একাধিক লেয়ার (Router, Firewall, IPS, LB/WAF, Switch, Cloud Scrubbing, SIEM/SOAR)তে বিতরণকৃত একটি ক্যাপাবিলিটি সেট**। এটি **Availability** নিশ্চিত করার জন্য ডিজাইন করা **DoS/DDoS Mitigation Controls**-এর সমষ্টি। আধুনিক আর্কিটেকচারে **Cloud-based Scrubbing + On-prem Edge Protection + Application-Layer Rate Limiting** — এই ত্রি-স্তরীয় পদ্ধতিই সবচেয়ে কার্যকর।
