DDoS Azaltmasında BGP FlowSpec

RTBH’nin sorunu seçici olmamasıdır: bir adresi kurtarmak yerine feda eder. FlowSpec aynı yere, yani üst katmana, çok daha ince bir talimat taşır.

Talimat iki parçadan oluşur. Bir eşleşme: kaynak öneki, hedef öneki, protokol, port, paket uzunluğu, TCP bayrakları, parça biti. Ve bir eylem: at, hız sınırla, işaretle, ya da başka bir sanal yönlendirme örneğine aktar.

Kısaca

Cihaz	Özellik	FlowSpec	RTBH
Neyi tanımlıyor	Saldırının özelliği (protokol, port, uzunluk, bayrak)	Hedef adres
Hedefe etkisi	Ayakta kalır	Tamamen erişilemez olur
Sağlayıcı desteği	Değişken; anlaşma ve kural kotası ister	Neredeyse evrensel
Uygulama hızı	Hızlı, ama kural yazmak zaman alır	Saniyeler
Yanlış yazma riski	Yüksek; kendi trafiğinizi kesebilir	Düşük; etkisi zaten bellidir

İki araç birbirinin yerine geçmiyor. FlowSpec tarif edilebilir bir saldırı için, RTBH tarif edilemeyecek kadar büyük ya da dağınık olan için.

Nasıl çalışıyor

Kural, mevcut BGP oturumu üzerinden ayrı bir adres ailesiyle taşınır. Sağlayıcı onu alır, kendi kenar yönlendiricilerine yükler, ve eşleşen trafik oraya vardığında eylem uygulanır. Sizin hattınıza hiç gelmez.

Kritik ayrım şu: hedef adresi duyurmuyorsunuz, saldırının nasıl göründüğünü duyuruyorsunuz. Saldırı 1200 bayt UDP paketleri hâlinde 53 numaralı kaynak porttan geliyorsa, kural bunu tarif eder ve meşru DNS trafiğiniz etkilenmez.

Neye karşı işe yarıyor

Tarif edilebilir bir özelliği olan saldırılara karşı. Pratikte bu, hacimsel ve protokol katmanı saldırılarının çoğu demektir:

• Belirli bir kaynak porttan gelen yansıtma ve yükseltme trafiği.
• Belirli bir paket uzunluğu dağılımına sahip seller.
• Gerçek bir konuşmada oluşamayacak bayrak birleşimleri.
• Hizmet vermediğiniz protokoller.

Bunların her biri az sayıda kuralla ifade edilebilir, ve kaynak sayısından bağımsız olarak çalışır. Yüz bin kaynaklı bir yansıtma saldırısı tek bir kuralla karşılanabilir.

Neye karşı işe yaramıyor

Meşru trafikten paket özellikleriyle ayrılamayan hiçbir şeye karşı. Uygulama katmanı selleri iyi biçimlenmiş isteklerdir; FlowSpec’in bakacağı bir alan yoktur.

Ayrıca özelliği sürekli değişen saldırılara karşı zayıftır. Vektör her birkaç dakikada bir değişiyorsa kural yazma hızınız saldırganın değiştirme hızını yakalamak zorundadır, ve genellikle yakalayamaz.

Operasyonel risk

Kural kapasitesi. Sağlayıcılar kabul ettikleri kural sayısına kota koyar, çünkü kurallar yönlendirici donanımında sonlu yer kaplar. Kotayı dağıtık bir saldırıyı kaynak başına kuralla karşılamaya çalışarak tüketmek kolaydır. Kural yazımı kaynak sayısıyla değil saldırı özelliğiyle ölçeklenmelidir.

Yanlış yazılmış kural. En ciddi risk budur ve RTBH’de yoktur. Hatalı bir eşleşme kendi meşru trafiğinizi sağlayıcının ağında keser, ve etkisi hattınıza ulaşmadığı için sizin tarafınızdaki hiçbir gösterge sebebi göstermez.

Yayılma ve geri çekme süresi. Duyuru gibi, geri çekme de anlık değildir. Ölçün.

Sağlayıcılar arası tutarsızlık. Birden fazla transit sağlayıcınız varsa hepsinin aynı eşleşme tiplerini ve eylemleri desteklediğini varsaymayın.

Yanlış pozitif riski

Yüksek, ve yazan kişiye ait. FlowSpec bir sınıflandırma yapmaz; sizin yazdığınız tarifi uygular. Tarif fazla genişse meşru trafiği keser ve bunu üst katmanda, sizin göremeyeceğiniz bir yerde yapar.

Pratik önlem üç maddeden ibaret: kuralı önce dar bir kapsamda uygulayın, mümkünse at yerine hız sınırla eylemiyle başlayın, ve her kurala yapıldığı anda bir son kullanma tarihi verin.

Ne zaman başka bir şey daha iyi

RTBH, saldırı tarif edilemeyecek kadar büyük ya da çeşitliyken, ya da sağlayıcı FlowSpec desteklemiyorken. Kaba ama her zaman elde.

Temizleme, uygulama katmanı bileşeni varken ya da trafiğin atılmak yerine temizlenip geri gelmesi gerekirken.

Yerinde cihaz, saldırı hattı doldurmuyorken. Hattınıza ulaşan bir saldırı için üst katmana kural itmek gereksiz bir eşgüdüm katmanıdır.

İhtiyaç duymadan önce nasıl doğrulanır

1. Sağlayıcının FlowSpec destekleyip desteklemediğini, kural kotasını ve desteklenen eylemleri yazılı alın.
2. Bir bakım penceresinde zararsız bir kural uygulayın (örneğin kullanmadığınız bir porta hız sınırı) ve yayılma süresini ölçün.
3. Geri çekin ve geri dönüş süresini ölçün.
4. Sık karşılaşılan vektörler için kural şablonlarını önceden yazın, ki olay sırasında yazılan tek şey değerler olsun.

Dördüncü madde en çok zaman kazandırandır. Saldırı altında sıfırdan FlowSpec kuralı yazmak, yanlış yazma riskinin en yüksek olduğu andır.