DDoS Savunmasında Hız Sınırlama

Hız sınırlama, bu alandaki en ucuz denetimdir. Durum tutmaz, paket başına sabit maliyeti vardır, yük altında öngörülebilir davranır, ve neredeyse her cihazda bulunur.

Aynı zamanda en çok yanlış ayarlanan denetimdir, ve yanlış ayarlanmasının bedeli kendi kullanıcılarınızı reddetmektir.

Kısaca

Cihaz	Neye göre sınırlanıyor	İşe yaradığı yer	Yenildiği yer
Kaynak adres başına	Az sayıda kaynaklı seller	Dağıtık saldırı; paylaşılan adres arkasındaki meşru kullanıcılar
Hedef ve servis başına	Tek bir servise yönelmiş sel	Servisin meşru tepesini bilmiyorsanız
Bağlantı başına	Tek bağlantıdan çok istek üretenler	Az bağlantı kullanan saldırılar
Toplam	Son çare; altyapıyı ayakta tutar	Meşru ile saldırıyı ayırt etmez

Dördü de aynı anda kurulabilir ve genellikle kurulmalıdır. Tek bir eksende sınırlamak, saldırganın diğer üç ekseni serbestçe kullanması demektir.

Neye göre sınırlanacağı

Tek bir eksende sınırlamak, saldırganın diğerlerini serbestçe kullanması demektir. Dört eksen var ve ciddi bir kurulumda dördü de tanımlıdır.

Kaynak adres başına en sezgisel olanıdır ve en kırılganıdır. Az sayıda kaynaktan gelen sellere karşı iyi çalışır. Dağıtık bir saldırıda her kaynak sınırın altında kalır ve toplam yine de hedefi devirir. Ayrıca paylaşılan adresler yüzünden yanlış pozitifin ana kaynağıdır.

Hedef ve servis başına bir servisin alabileceği toplam yükü sınırlar. Kaynak dağılımından bağımsızdır, ve o servisin meşru tepesini bilmenizi gerektirir.

Bağlantı başına tek bir bağlantıdan çok sayıda istek üreten saldırılara karşı çalışır. HTTP/2 Rapid Reset tam olarak bu eksenin var olmadığı yerde etkilidir.

Toplam son çaredir: altyapıyı ayakta tutar ve meşruyu saldırıdan ayırmaz. Hiçbir şeyin kalmadığı durumda hizmetin tamamen çökmesindense bozulmuş kalmasını sağlar.

Eşik nereden gelir

Bu sayfanın tek en önemli cümlesi: eşik, ölçülmüş meşru tepenizden gelir.

Yordam sıkıcı ve tartışmasızdır. Denetimi izleme kipinde, alarm açık hâlde, tam bir iş döngüsü boyunca çalıştırın. Hafta içi ve hafta sonunu, ay sonunu, kampanya dönemlerini görün. Sonra tavanı, gördüğünüz en yüksek meşru değerin güvenli bir miktar üstüne koyun.

Bunu atlayıp bir varsayılan kullanmak, sizin trafiğinizi hiç görmemiş birinin tahminini kullanmaktır, ve o tahmin ya çok gevşektir ya ilk yoğun gününüzde müşterilerinizi keser.

Burst payı

Gerçek trafik düzgün akmaz. Bir saniyede on istek, sonraki saniyede kırk, sonra yine on. Sabit bir tavan bu dalgalanmayı reddeder.

Burst, kısa taşmalara izin verilen ek bütçedir. Boyutlandırması ölçülmüş anlık dalgalanmanızdan gelir: kaç saniyelik bir tepeye izin vermeniz gerekiyorsa o kadar.

Fazla büyük bir burst, saldırganın payın içinde kalarak süresiz çalışmasına izin verir. Fazla küçük olanı olağan trafiği reddeder. İkisi de ölçümle çözülür.

Neye karşı işe yarıyor

Hacimsel ve protokol katmanı saldırılarının çoğuna karşı, ve önemli bir kısmına karşı tek başına yeterlidir. Sabit maliyeti sayesinde durum tutan aşamanın önünde durur ve arkasındaki pahalı kaynağı korur.

Ayrıca hiçbir sınıflandırma yapmadığı için yeni vektörlere karşı da çalışır: neyin saldırdığını bilmesine gerek yoktur, yalnız ne kadarına izin verildiğini bilir.

Neye karşı işe yaramıyor

Sınırın altında kalan hiçbir şeye karşı. Bu, sınırların en temel zayıflığıdır: servisinizi ölçebilen bir saldırgan bilerek altında kalabilir.

Ayrıca meşru trafikten hacimle ayrılamayan uygulama katmanı saldırılarına karşı zayıftır. Pahalı bir uç noktaya dakikada beş istek meşru görünür ve arka ucu tüketebilir.

Operasyonel risk

Sakin bir pencereden belirlenmiş eşik. En yaygın hata, ve etkisi ilk gerçek tepede görünür.

Beyaz listelenmemiş büyük kaynaklar. İzleme sistemleriniz, ortak resolver’lar, iş ortağı geçitleri. Sınırı koymadan önce listelenmelidir.

Sessiz düşürme. Uygulama katmanında sınırlanan istemciye 429 ve yeniden deneme bilgisi verilmezse, istemci aynı isteği daha agresif tekrarlar ve sorunu büyütür.

Olay sırasında sıkma. Her ayarlama tek başına makul, birikimi değil. Sıkılan eşiklere son kullanma tarihi verin.

Yanlış pozitif riski

Bu alandaki en yüksek riskli denetim, ve riskin tamamı kalibrasyonda. Yoğunlaştığı yerler yanlış pozitif testi sayfasında ayrıntılı: paylaşılan adresler, alışılmadık istemciler, gerçek tepeler, yeniden deneme fırtınaları.

Dördü de test edilebilir, ve dördü de test edilmezse ilk gerçek olayda öğrenilir.

Ne zaman başka bir şey daha iyi

Davranışsal tespit, saldırı hacimle ayrılamıyorsa. Sınır neyin çok olduğunu bilir, neyin tuhaf olduğunu bilmez.

SYN proxy, saldırı bağlantı kurma aşamasındaysa. Sınırlamak yerine asimetriyi kaldırır.

Üst katman filtreleme, hacim hattı dolduruyorsa. Kendi tarafınızdaki sınır o noktada uygulanamaz.

İhtiyaç duymadan önce nasıl doğrulanır

1. Her denetimi önce izleme kipinde tam bir döngü çalıştırın.
2. Meşru tepeyi dört eksende de kaydedin: kaynak, servis, bağlantı, toplam.
3. Bilinen büyük meşru kaynakları beyaz listeye alın.
4. Eşikleri koyun, ve ilk günlerde yanlış pozitifi izleyin.
5. Trafik büyüdükçe aynı yöntemle yeniden gözden geçirin. Bir kez ayarlanmış eşik, bir yıl sonra yanlış eşiktir.