Barındırma Sağlayıcıları ve Veri Merkezleri için DDoS Koruması

Diğer her sektörün DDoS sorunu tek bir kurumun trafiğiyle ilgilidir. Bir barındırma sağlayıcısının sorunu, saldırının bir müşteriye yönelmesi ve sonuçların hepsine gelmesidir.

Bu tek olgu tasarımı, operasyonu ve ticari şartları yeniden düzenler.

Kısaca

Cihaz	Sorun	Tek kiracılı kurum	Barındırma sağlayıcısı
Kim etkileniyor	Saldırıya uğrayan kurum	Yolu paylaşan her kiracı
En ucuz müdahale	Filtrele ve hizmet vermeyi sürdür	Hedefi düşür, ki saldırganın istediği buydu
Politika ayrıntısı	Kurum için tek politika	Kiracı başına, yoksa politika kimseye uymuyor
Saldırı kaynağı	Dışarıdan	Kimi zaman kendi kiracınız
Ticari açıklık	Kesinti sırasındaki gelir kaybı	Olayla ilgisi olmayan müşterilere sözleşmesel kredi

İş gerekçesini değiştiren satır sonuncusu. Hasar saldırının büyüklüğüyle değil, hedefle aynı yolu paylaşan müşteri sayısıyla ölçekleniyor.

Ortak kader

Bir kiracıya yapılan saldırı ortak kaynakları tüketir: hat kapasitesi, ortak cihazların oturum tabloları, hat üstündeki her şeyin işleme bütçesi, ve operasyon ekibinin dikkati. Saldırıya uğrayan kiracı küçük bir sanal makineye ödeme yapan bir müşteri olabilir. Yanında bozulan kiracılar platformun en büyük hesapları olabilir.

Bu yüzden hasar saldırı boyuyla ölçeklenmez. Kaç müşterinin yolu paylaştığıyla ölçeklenir, ki bu saldırıdan çok önce verilmiş bir mimari karardır.

Karşı önlemler ürün kararı değil yapısaldır:

Etki alanını bölün. Ayrı adres aralıklarında, ayrı hatlarda ya da ayrı kenar cihazlarında olan müşteriler daha azını paylaşır. Tam ayrım ekonomik değildir; bilinçli gruplama değildir.

Tek bir kiracının ortak tavanlara tek başına ulaşmasına izin vermeyin. Ortak bir oturum tablosunu tüketebilen herhangi bir kiracıya, kimsenin satmayı düşünmediği bir yetenek verilmiştir.

Ortak darboğazların nerede olduğunu bilin. Genellikle ortak yoldaki durum tutan bir cihazdır, ve genellikle olaydan önce değil olay sırasında keşfedilir.

Kara delik sorunu

Bir müşterinin adresi hattan büyük bir saldırı altındayken en hızlı etkili müdahale, ona giden her şeyi atmaktır.

İşe yarar. Diğer her kiracıyı korur. Ve saldırıya uğrayan müşteriye karşı hizmet engellemeyi tamamlar, ki saldırganın başarmak istediği şey buydu.

Sorun teknik değil. Sorun bunun operasyonel bir refleks olarak alınan bir iş kararı olmasıdır, genellikle sabahın üçünde, genellikle bunu yapmaya yetkisi olmayan biri tarafından, ve genellikle müşteriye sonradan açıklanarak.

Çözüm sözleşmesel ve ucuz: hizmet şartlarında kara deliğin ne zaman uygulanabileceğini, ne kadar süreyle, hangi bildirimle ve ardından hangi tazminatla olduğunu yazın. O maddeyi okuyup imzalamış bir müşteri, politikayı kendi kesintisi sırasında keşfeden müşteriden farklı bir konumdadır.

Refleksin üstünde daha seçici seçenekler var ve elde bulunmaya değer: yalnız saldırının özelliklerini atan FlowSpec kuralları, tek kiracının trafiğinin temizlemeye yönlendirilmesi, ya da protokol ve porta göre üst katman filtreleme. Her biri kara delikten uzun sürer, ki merdivenin ihtiyaç duyulmadan önce yazılmasının sebebi tam olarak budur.

Kiracı başına politika, ve yalıtım ne demek

Bu kategoride çok kiracılılık sık sık bir raporlama özelliği olarak satılır. Bir barındırma sağlayıcısı için, farklı müşterilerin birbirini bozmasını engelleyen mekanizmadır.

Oyun sunucusu işleten bir kiracı, kurumsal web sitesi işleten bir kiracı ve API işleten bir kiracı uyumsuz olağan profillere sahiptir. Üçüne birden tek politika ya oyun sunucusunun sıradan trafiğini reddeder ya web sitesini korumayacak kadar geçirgendir. Üçüne birden hizmet eden tek bir ayar yoktur, ve kiracı başına politikanın bir üst kademe değil platform gereksinimi olmasının sebebi budur.

Yalıtılması gereken dört şey var, ve ürünler kaçını kapsadığında ayrışıyor:

1. Koruma eşikleri, kiracı başına, o kiracının ölçülmüş trafiğinden.
2. İstatistik görüsü, ki müşteri kendi trafiğini görsün ve başkasınınkini görmesin.
3. Alarmlar, doğru müşteriye yönlendirilmiş.
4. Uygulama bağımsızlığı — bir kiracının hacmi başka bir kiracının sınırlarını tetiklememeli.

Dördüncüsü okunacak değil test edilecek maddedir. Yoğun bir komşunun bir sınıra itebildiği ortak bir sayaç yalnız arayüzde yalıtımdır, ve gerçekçi bir arızadır.

Siz de bir kaynaksınız

Barındırma kurumu saldırı başlatmak için çekici bir yerdir: bant genişliği zaten ödenmiştir, kapasite ciddidir, ve ele geçirilmiş ya da kötüye kullanan bir kiracıyı yoğun bir kiracıdan ayırmak zordur.

Asgari gereklilik kiracı başına giden hız izlemesi, sahte kaynakların ağınızdan çıkamaması için giriş filtreleme, ve bir kötüye kullanım bildiriminden askıya almaya giden belgelenmiş bir yoldur. Üçü aynı zamanda kendi itibarınızı, adres alanınızı ve üst katman ilişkilerinizi korur, ki bunları bütçeletme argümanı da genellikle budur.

Maliyet kalemi olmaktan çıkarmak

Sağlayıcıların çoğu, platform kararlılığı için bir taban korumanın dahil edildiği ve ek korumanın satıldığı bir noktaya varır. Bu yapı çalışır, ve arıza kipi hiç taban sunmamaktır — çünkü korumasız bir kiracının olayı yine ödeme yapan müşterileri bozar.

Ticari mekanik, kademelendirme ve marj sorusu DDoS korumasını gelir kalemine çevirmek sayfasında işleniyor, ki bu barındırma sağlayıcıları ve operatörler için birlikte geçerli. Böyle bir platformun ne yapması gerektiğine dair alıcı tarafı görüşü ISS alım rehberinde.

Şartnameye yazılacaklar

• Kiracı başına eşikler, istatistikler, alarmlar ve uygulama bağımsızlığı, sonuncusu tarif edilmiş değil test edilmiş olarak.
• Yeni bir kiracı politikasının devreye alma süresi.
• Tedarikçi katılımı olmadan üretilen kiracı başına raporlama.
• Kara delik merdiveni: ondan önce ne deneniyor, ve etrafındaki sözleşme şartları.
• Kiracı başına giden izleme ve filtreleme.
• Toplam kenara göre boyutlanmış kapasite, ortak darboğazlar belgelenmiş olarak.