DOTS: DDoS Açık Tehdit Sinyalleşmesi

Bir saldırı sırasında üst katmandan yardım istemenin olağan yolu bir telefon görüşmesidir. Çalışır, ve iki sorunu vardır: her sağlayıcıda farklıdır, ve otomatikleştirilemez.

DOTS bu alışverişi standartlaştırır. Bir kurum azaltma talep eder, sağlayıcı kabul eder ve durum bildirir, ve ikisi de aynı belgeye bakıyordur.

Kısaca

Cihaz	Kanal	Ne zaman kullanılır	Ne taşır
Sinyal kanalı	Saldırı sırasında	Azaltma talebi, kapsam, süre, ve durum
Veri kanalı	Saldırıdan önce	Korunan öneklerin tanımı, takma adlar, önceden yazılmış filtreler

Ayrım kasıtlı. Saldırı anında yazılacak en az şey kalsın diye kapsam ve filtreler önceden tanımlanır, ve sinyal kanalı yalnız "şimdi başlat" der.

İki kanal

Sinyal kanalı saldırı sırasında kullanılır. Kısa, düşük bant genişlikli mesajlar taşır: şu önek için azaltma başlat, şu süreyle, şu kapsamda. Sağlayıcı kabul ettiğini ve azaltmanın etkin olduğunu bildirir.

Tasarımın en önemli özelliği burada: kanal, tıkanık bir yolda hayatta kalacak biçimde tasarlandı. Yardım isteme mekanizmasının, yardım gerektiren koşullar altında çalışması gerekiyor, ve bu apaçık gereklilik pratikte sık sık gözden kaçıyor.

Veri kanalı saldırıdan önce kullanılır. Korunan önekleri, takma adları ve önceden yazılmış filtreleri tanımlar. Amaç, olay anında yazılacak şeyi en aza indirmektir: kapsam zaten tanımlıysa sinyal yalnız “şimdi başlat” demek zorundadır.

Neye karşı işe yarıyor

Doğrudan hiçbir şeye. DOTS bir azaltma değil bir taleptir, ve azaltmayı üst katman yapar.

İşe yaradığı yer eşgüdümdür, ve orada gerçek bir sorunu çözer. Talebin biçimi standartsa otomatikleştirilebilir; otomatikleştirilebiliyorsa tespitten talebe geçen süre dakikalardan saniyelere iner; ve o süre, azaltma süresinin sık sık en büyük ve en az ölçülen bileşenidir.

Neye karşı işe yaramıyor

Sağlayıcınızın yapamadığı hiçbir şeye. DOTS istekleri taşır, yetenek yaratmaz. Sağlayıcı yalnız kara delik yapabiliyorsa, DOTS üzerinden gelen talep de kara delikle sonuçlanır.

Ayrıca kurulmamış bir ilişkinin yerini tutmaz. Sözleşme, kapsam ve yetki hâlâ önceden konuşulmalıdır; DOTS onları taşıyan kanaldır, kendileri değil.

Operasyonel risk

Karşılıklı destek. İki tarafın da gerçeklemesi gerekir, ve transit sağlayıcılarının çoğunda henüz yoktur. Sormadan varsaymayın.

Kapsam hatası. Yanlış tanımlanmış bir önek, azaltmanın yanlış trafiğe uygulanmasına yol açar. Veri kanalının saldırıdan önce kullanılmasının sebeplerinden biri budur: kapsamı sakin bir günde tanımlamak, olay sırasında yazmaktan güvenlidir.

Süre. Talepler bir süre taşır ve süre dolduğunda azaltma durur. Uzayan bir olayda yenilenmesi gerekir, ve bunun kimin işi olduğu yazılı olmalıdır.

Yanlış pozitif riski

Protokolün kendisinde yok. Risk, otomatik olarak tetiklenen bir talebin yanlış tetiklenmesidir, ki bu bir DOTS sorunu değil bir eşik sorunudur ve otomasyon sınırıyla aynı çerçeveye girer: yönlendirmenin bir maliyeti varsa yanlış tetikleme de bir maliyettir.

Ne zaman başka bir şey daha iyi

Doğrudan BGP tetikleme (RTBH ya da FlowSpec), sağlayıcıyla zaten bir BGP oturumunuz varsa ve tek ihtiyacınız olan bir duyuruysa. Daha az katman, daha az bağımlılık.

Telefon, yılda bir kez olan bir kurum için. Standart arayüz kurmanın maliyeti, o sıklıkta getirisini karşılamaz.

İhtiyaç duymadan önce nasıl doğrulanır

1. Sağlayıcının DOTS destekleyip desteklemediğini ve hangi kanalları gerçeklediğini sorun.
2. Destekliyorsa, korunan önekleri ve takma adları veri kanalıyla önceden tanımlayın.
3. Bir bakım penceresinde zararsız bir talep gönderin ve kabul cevabını doğrulayın.
4. Kanal kaybındaki davranışı belgeden okuyun ve el kitabınıza yazın: sinyal kanalı düşerse azaltma sürüyor mu, duruyor mu?

Dördüncü madde, saldırı altında kanalın kopmasının muhtemel olması yüzünden önemlidir. Cevabı olay sırasında öğrenmek, olay sırasında öğrenilecek en kötü şeylerden biridir.