WACS: АнтиБот - блокировка по IP-адресам (общий стоп-лист)!

В процессе тестирования имели счастье попасть в блок два хостера, не мелких. Теперь оба этих хостера следят за своим трафиком, заключили отдельные договоры с этими хостерами и теперь они получают уведомления о попадании их IP в стоп-лист. По каждому случаю разбираются, по результатам проверок отписываются нам и мы удаляем IP из баз данных.
Если по хорошему - то законодатель правильно предусмотрел порядок ответственности за действия нарушающие работу информационных систем - первой несет ответственность сторона, предоставившая техническую возможность совершения противоправных действий, то есть провайдеры и хостеры. Когда нам позвонили из Дом.РУ по поводу 100+ заблоченных IP-ков, я скинул им список 120+ входящих номеров моих обращений за три года, по фактам брутфорса и попыток XSS-аттак с IP-ков Дом.РУ и напомнил, что ни по одному из обращений Дом.РУ не приняли никаких мер и не соизволили направить мне ответ, и с тех же самых IP-ков продолжались атаки и брутфорсы. Когда они начали мне судом угрожать, я им ответил: "Хотите, чтобы Ваши абоненты имели беспрепятственный доступ к защищенным ресурсам в сети следите за своим трафиком, мы предоставляем сервис, и если какой-то проект пожелал им пользоваться - это их право, я ничего не нарушаю, я предоставляю сервис тем, кому он полезен". Техническая возможность контроля трафика у них есть! Не хотят - их проблемы. У меня на ряде проектов по 2-3 млн попыток брутфорса было. Заломать эти проекты не получится, ибо там составные пароли и другие защитные механизмы, а вот нагрузку на этих проектах я сократил примерно на 80%. Это те деньги, которые провайдер должен был вложить на контроль своего трафика.
Аналогично и с CDN-ами, проксями и т.д. - не хотите оказаться в блоке - сделайте невозможным использование Ваших серверов хулиганами. Сегодня в черном списке 12 IP-ков китайских проксей. В процессе тестирования сравнивали - прокси IP-ки не меняют, то есть другие проекты, где стоп-лист не участвует по прежнему атакуются с тех же китайских прокси. Стоит брутфорсеру пару раз наткнутся на сообщение о блоке и он больше не возвращается. То есть не просто исключается возможность подбора пароля - со временем снижается количество визитов брутфорсеров. Они видимо ведут свои списки - проекты на которые лучше не ходить.

Вопрос не в количестве хитов, а в явных попытках брутфорса, и стоп-лист этот мы делали именно для блокировки попыток брутфорса и не более того. Можно в настройках модуля включить опцию "Проверять наличие логина в базе", тогда логика проверки меняется проверяется логин в базе, если с одного IP дважды попытка авторизоваться с несуществующим ЛОГИНОМ (то есть явный брутфорс) - добро пожаловать в стоп-лист, это будет генерить еще один запрос к базе перед попыткой авторизации. Не думаю что тестеры трижды введут неверный логин и пароль, и не думаю, что тестеры дважды введут не правильный логин. Или это тестеры системы безопасности - так нет проблем - отключи модуль и тестирую свою защиту.

У пользователей сервиса будет возможность удалить из черного списка свои IP и IP отправленные со своих проектов. Такая необходимость выявилась на ранней стадии тестирования. Но об этом будет отдельная статья после выпуска обновления.

Это те самые брутфорсеры, которые считают себя умнее других - 5 попыток там, 5 попыток здесь, еще 5 попыток на третьем проекте и в течение дня софт гуляет по проектам и перебирает по 3-5 вариантов. То есть даже если брутфорсер отстал от одного проекта, то пристал к другому, то есть брутфорс не прекратил. А значит если в результате брутфорса моего проекта IP попал в стоп-лист, то на другом проекте для него уже облом.
Поэтому вопрос о разном сроке помещения в стоп-лист не стоит, стоит лишь вопрос на какое время стопить. Один мелкий провайдер меняет динамические IP для своих абонентов каждые 30 минут, остальные вроде как до конца сессии не меняют, и только исходя из этого тестировали в течение года на 30-ти минутных блокировках, чтобы в случае смены динамического IP, новый IP-абонент этого мелкого провайдера не был в бане всю сессию. Вроде удалось, но большинство брутфорсеров возобновляют свои попытки через 35-40 минут, хотя опять же попадают в бан, что говорит об использовании не самого умного софта.

Тут согласен, по пункту "а" контроль добавить легко, по пункту "б" изначально была мысль, но те кто участвовали в тестировании отказались, потому что контроль полезности возможен только внутри самого проекта, а значит за счет ресурсов проекта, так как на сервис отправляется только IP и идентификатор проекта, больше никаких данных. Боюсь если сервис будет обрабатывать еще и прочие данные и анализировать полезность трафика, то даже текущие 5 млн+ запросов в сутки станут на столько дорогими, что сервис уже не сможет существовать как бесплатный. Замечу - этот сервис не нацелен исключительно на проекты 1С-Битрикс, к нему можно обращаться из любой системы.

Выпустили обновление 0.0.3, в котором добавлена проверка регистрирующегося пользователя по IP-адресу аналогично базе данных email-адресов + добавлена защита от БрутФорса. К работе с Базой данных IP-адресов начали подключаться заинтересованные  провайдеры, регулярно проверяя IP-ники из состава своих емкостей. После принятия ограничительных мер IP-ники из базы удаляются.

Решение переведено с SOAP на REST-запросы. Обработка SOAP-запросов будет полностью прекращена с 01 мая 2016 года. Не забудьте установить обновления. На момент написания данного сообщения последняя стабильная версия 0.0.7.

Михайлов Андрей, на сколько я знаю нет. Наше решение уже давно проверяет пользователей не только при регистрации и авторизации, а при отправке любой формы, при попытках использования редиректов 1С-Битрикс и даже на первом хите в сессии и отрабатывает ряд других событий (форумы, инфоблоки и т.д.). В настройках модуля можно отключить ненужные функции.
Кроме того, долго думали как можно использовать весь вредоносный трафик и придумали. Если раньше атакующий IP только ставился в стоп-лист, что не снижало нагрузку на сайт, и стоп-лист не решал проблему для владельцев младших редакций, то теперь можно выбрать активную реакцию - перенаправить атакующего, в этом случае модуль редиректит его на наш сервис, а сервис в свою очередь редиректит юзера на самый активный источник атак, то есть сервис по сути весь вредоносный трафик перенаправляет на источник вредоносного трафика, получается, что одни хулиганы DDos-ят самого активного хулигана)))