القياس على الذروة التي لديك أصلاً: تخطيط سعة DDoS حول نوافذ المواسم الوطنية

كل تمرين قياس لسعة DDoS تقريباً يطرح السؤال نفسه: أي حجم هجوم ينبغي أن يصمد أمامه هذا التصميم؟ سؤال معقول ينتج رقماً، والرقم خاطئ لحالة بعينها يواجهها فريق عمليات في المملكة بجدول معروف.

الحالة ليست هجوماً أكبر. هي هجوم عادي يصل والحمل المشروع في أقصاه السنوي: موسم الحج، وذروة التجزئة والمدفوعات في رمضان والعيد، ونافذة حدث وطني. وما يجعلها تستحق دليلاً ليس ارتفاع الحركة، بل أن أربعة أشياء تنهار عادةً مستقلة تنهار هنا معاً.

ولا شيء في ما يلي يتوقّف على إحصاء عن حجم الحركة في مناسبة بعينها. الحجة بنيوية، والأرقام الوحيدة التي تهمّ فيها أرقامك أنت.

أربعة أشياء تنكسر معاً

فائضك أُنفق أصلاً. الجهاز يحميك ما دامت وصلتك غير ممتلئة. وفي الذروة تستهلك الحركة المشروعة حصة غير معتادة منها، فيصغر حجم الهجوم اللازم لملئها بمقدار ما تستهلكه الذروة بالضبط.

خطوط أساسك تصف خدمة أخرى. الكشف السلوكي يتعلّم الطبيعي من تاريخ حديث، والحديث في أكثر المنتجات يعني أياماً. وحركة الذروة مختلفة فعلاً، فيستنتج الكاشف أن نسبة كبيرة من مستخدميك الحقيقيين شاذّون. وأسوأ نسبة إيجابيات كاذبة لديه تتزامن تماماً مع الفترة التي يكون فيها الإيجابي الكاذب أغلى.

ولا تستطيع الخروج بالضبط. الخطة الضمنية خلف أكثر العتبات هي «سنعدّل أثناء الحادثة». وفي هذه النوافذ يكون تجميد التغيير سارياً، وغالباً أشدّه في السنة وبحقّ. فالخطة غير متاحة في اللحظة الوحيدة التي احتيجت فيها.

ودليل التشغيل لم يقابل هذه الحركة قط. إجراء التحويل تُمرِّن عليه — إن تُمرِّن — على حركة يوم عمل عادي. ولم يُمرَّن قط على شكل يقع مرة في السنة، بأحجام يراها الفريق مرة في السنة، وفي فترة يكون فيها من يعرفون الإجراء على مناوبة مختلفة أيضاً.

العلاج إجراء في معظمه، وهو رخيص

ثلاثة من الأربعة مشكلات إجراء، وهذا خبر جيد لأن الإجراء أرخص كثيراً من السعة.

تمرّن على خطوط أساس الذروة لا المتوسط. وهذا يستلزم امتلاك خطوط أساس ذروة، ما يستلزم التقاط الذروة. وأعلى ما يستطيع فريق عمليات فعله عائداً في إحدى هذه النوافذ هو تخزين التقاط ممثّل لها — كاملاً أو بالعيّنة بحسب ميزانية التخزين. ويصبح ذلك الالتقاط مجموعة اختبار العام التالي: للضبط، ولتمرين دليل التشغيل، ولإخضاع جهاز مرشَّح لتركيب تجريبي على حركة تشبه الحالة الصعبة فعلاً بدل فيضانات اصطناعية.

خوِّل التحويل قبل فتح نافذة التجميد. لا الخطوات الفنية، فهي موثّقة، بل القرار: من يفعّله، على أي شرط مرصود، بأي إبلاغ وأي حدّ زمني. وإن حُسم ذلك كتابةً قبل النافذة بأسبوعين، صار الفعل أثناءها تنفيذاً لقرار قائم لا قراراً يحتاج إلى استثناء من تجميد. وكلفته اجتماع واحد، ويزيل أشيع مصدر للتأخير.

اضبط عتبات النافذة مسبقاً، واضبطها عمداً. إن كان الكاشف عاجزاً عن حمل ملف موسمي، فالاستجابة الصادقة أن تختار قبل النافذة بأي اتجاه تفضّل أن تكون مخطئاً، وأن تكتب السبب. والفريق الذي قبِل واعياً حساسيةً أقلّ لفترة محدّدة بمراقبة معوِّضة في وضع مختلف تماماً عن فريق يكتشف وسط الحادثة أنه لا يستطيع تغيير شيء.

واحتفظ بأدلة مستوى الحزم محلياً. المراجعة اللاحقة لحادثة في نافذة وطنية ستضمّ أشخاصاً لم يكونوا في مركز العمليات، والأسئلة ستكون محدّدة وستصل بعد أسابيع. وإنتاج الجواب من تخزينك بمدة احتفاظ حدّدتها استعلام؛ وطلبه من طرف ثالث تذكرة دعم ضمن نافذته. وهذه هي الحجة نفسها التي يسوقها دليل التزام الترخيص للمشغّلين، تصل هنا من طريق آخر.

الشيء الوحيد الذي هو متطلب شرائي

المشكلة الرابعة — خطوط أساس مُتعلَّمة من نافذة متدحرجة — لا تُعالَج بإجراء، وهي البند الذي يستحق الدخول في كرّاس.

المتطلب أن يستطيع الجهاز الاحتفاظ بملف حركة مُتعلَّم من فترة غير الأيام السابقة مباشرةً وتطبيقه. بصياغة مواصفة: يجب أن يدعم النظام حفظ خطّ أساس مُتعلَّم في نافذة تاريخية محدّدة وتطبيقه انتقائياً، وأن يسمح باعتماد ذلك الملف مرجعاً لكشف الشذوذ خلال فترة مستقبلية مسمّاة.

وهذا قابل للاختبار. أعطِ المرشَّح التقاطاً مخزَّناً من ذروة العام الماضي، وأعِد تشغيله بوصفه حركة حالية، وراقب ما يستنتجه الكاشف — بالملف الموسمي وبدونه. والفرق بين المنتجات هنا كبير، ويفرّق بين أصناف أجهزة لا بين طرازات، ونادراً ما يظهر في وثيقة فنية لأن من يحتاجه أقلية من السوق.

وخاصيتان مرتبطتان تستحقّان الفحص معه، لتفاعلهما مع مشكلة التجميد: هل يمكن جدولة السياسة — ملف يُفعَّل في تاريخ دون أن يُجري إنسان تغييراً أثناء النافذة — وهل يعتمد الكشف على شيء خارج شبكتك، إذ التبعية الخارجية شيء إضافي قد يتصرّف بشكل غير متوقّع في فترة حمل إقليمي غير معتاد. HARPP DDoS Mitigator ينفّذ كشفه على بنية العميل، ما يعني أن الضبط المُجرى على التقاط ذروة مخزَّن يبقى سارياً مهما كان ما يفعله أي خدمة خارجية؛ وهل يدعم بناء خطّ أساسه ملفاً موسمياً بالشكل الذي تحتاجه هو بالضبط ما يُوضع في التركيب التجريبي لا ما يُؤخذ على الثقة. وRadware DefensePro له سجل سلوكي قوي وهو المرشَّح الآخر البديهي لاختباره بهذه الطريقة.

الجهاز	مقاس على الأسبوع المتوسط	مقاس على الذروة المتزامنة
الفائض المفترض	استهلاك الوصلة عند مستوى معتاد	الوصلة تحمل أقصاها السنوي أصلاً
خطّ أساس الكشف	نافذة متدحرجة يُعاد تدريبها باستمرار	ملف موسمي محفوظ من الدورة السابقة
الإيجابيات الكاذبة في أسوأ لحظة	الأعلى، لأن الطبيعي يبدو شاذاً	محدودة، لأن هذا الطبيعي تُعلِّم
الضبط أثناء الحادثة	مفترض أنه متاح	غير متاح، فتجميد التغيير سارٍ
صلاحية التحويل	تُقرَّر عند الحاجة	مخوَّلة مسبقاً قبل فتح نافذة التجميد
التمرين على دليل التشغيل	على حركة عادية	على إعادة تشغيل ذروة العام الماضي
ما يجب أن يُبرهنه المورّد	سعة التمرير بسرعة الخط	أن بناء خطّ الأساس يحمل ملفاً موسمياً

الصف الأخير هو الذي يفرّق بين أصناف الأجهزة، وهو غائب عن الكرّاسات تقريباً. وما فوقه كله إجراء، والإجراء أرخص من السعة.

قائمة على شكل تقويم

قبل النافذة باثني عشر أسبوعاً. ثبّت تواريخ التجميد. وحدّد أي الخدمات تحمل الذروة. واسترجع التقاط العام الماضي إن وُجد، وإلا فجدول التقاط هذا العام.

قبلها بستة أسابيع. تمرّن على دليل التحويل على الالتقاط المخزَّن لا على حركة عادية. وقِس زمن القرار حتى التخفيف على شبكتك أنت لا بقبول رقم المزوّد المنشور.

قبلها بأسبوعين. خوِّل التحويل كتابةً: شرط التفعيل، ومستوى الصلاحية، وقائمة الإبلاغ، والحدّ الزمني، ونقطة المراجعة. وطبّق ملف الكشف الموسمي أو جدوله. وتأكّد من المزوّد الأعلى ما سلوكه إن حوّل كثير من عملائه في المنطقة معاً.

أثناءها. التقط. مهما جرى غير ذلك، التقط — فهذه النافذة هي المصدر الوحيد للمجموعة التي تجعل العام المقبل أرخص.

بعدها بأربعة أسابيع. راجع والالتقاط في يدك. ما الذي أُطلق، وما الذي كان ينبغي أن يُطلق، وأين أخطأ الكاشف، وما الذي كنت ستغيّره لو سمح التجميد. وتلك القائمة هي خطة ضبط العام المقبل، وهي أثمن من أي توصية ضبط من مورّد لأنها عن حركتك.

الحدّ الصادق

لا شيء مما سبق يخلق سعة. إن تجاوز الحجم المتزامن وصلتك، خسرت الطبقة المحلية قبل أن ترى حزمة، والجواب سعة عليا تُستدعى بإجراء اتُّفق عليه قبل التجميد. وقيمة كل ما سبق أنه يحرّك النقطة التي تحتاج عندها إلى تلك الطبقة، ويجعل التسليم مقصوداً لا مذعوراً، ويمنع الكاشف من صنع حادثة ثانية داخل الأولى.

والفريق الذي يشغّل ملفات موسمية ويتمرّن على التقاطات ذروة ويخوّل التحويل مسبقاً لا يحتاج إلى هذا الدليل. وهو أندر مما تستحق الممارسة: التحليل ليس صعباً، لكنه يخصّ تقويماً لا مشروعاً، والتقويمات لا يملك أحد ميزانيتها.

المصادر والقراءة الإضافية

المُدخلات هنا كلها داخلية: سجلات تدفّقك عند الحدود، وتاريخ استهلاك وصلتك، وتقويم التجميد لديك. ولسؤال القياس عموماً انظر المقارنة المعمارية.