İmza, Eşik ve Davranışsal Tespit Karşılaştırması

Her azaltma ürünü saniyede milyonlarca kez tek bir soruyu cevaplamak zorundadır: bu trafik düşmanca mı? Cevaplamanın üç geniş yolu var, ve aralarındaki farklar üretici tercihi meselesi değil. Neyin bilinebileceğine dair farklar.

Kısaca

Cihaz	Yöntem	Yakaladığı	Kaçırdığı
İmza	Bilinen araçlar ve bilinen paket örüntüleri	Daha önce görülmemiş her şey, ve önemsizce değiştirilmiş olan
Sabit eşik	Sabit bir çizginin üstündeki hacim	Çizginin altındaki saldırı, üstündeki meşru tepe
Dinamik eşik	Bu zaman ve yer için anormal olan hacim	Temeli kendisiyle birlikte taşıyan yavaş tırmanışlar
Davranışsal	Normalinize benzemeyen trafik, yeni vektörler dahil	Öğrenirken zaten yanlış olan şey, ve uzun kuyruk

Hiçbir satır gereksiz değil. Satırlar farklı yönlerde arızalanıyor, ve ürünlerin seçmek yerine birleştirmesinin sebebi bu.

İmza tespiti

Trafiği düşmanca olduğu bilinen örüntülerle eşleştirin: bir aracın karakteristik paket kurgusu, imkânsız bir bayrak birleşimi, hiçbir meşru yığının üretmediği bir başlık değeri.

Gücü kesinliktir. Gerçek bir konuşmada oluşamayacak TCP bayrak birleşimi taşıyan bir paketin meşru karşılığı yoktur, yani onu düşürmek neredeyse hiç yanlış pozitif riski taşımaz. Bozuk paket işlemesinin neredeyse her zaman imza güdümlü olmasının ve kalıcı olarak açık bırakılmasının güvenli olmasının sebebi budur.

Zayıflığı tanımın kendisidir. İmza, zaten görülmüş bir şeyin tarifidir. Geçen hafta çıkmış bir saldırı aracını tarif edemez, ve işlevsel olarak hiçbir şeyi değiştirmeyen önemsiz bir değişiklikle sık sık atlatılabilir. İmzalar aynı zamanda bir bakım bağımlılığıdır: güncelleme isterler, ve güncelleme bir yol ister.

İmzalar yığının altında, yapının katı olduğu yerde mükemmeldir, ve yukarı çıktıkça giderek daha az işe yarar.

Eşik tespiti

Bir sınır koyun, aşıldığında harekete geçin. Bir kaynaktan saniyedeki paket, bir adrese saniyedeki istek, bir servise saniyedeki yeni oturum.

Sabit eşikler basit, öngörülebilir ve denetlenebilirdir, ki bunlar sabahın üçünde birinin işletmesi gereken bir denetimde gerçek erdemlerdir. Aynı zamanda iki yönde de kabadırlar. Yüksek konursa çizginin altında kalan saldırıları kaçırır, ve servisinizi ölçebilen bir saldırgan bilerek altında kalır. Düşük konursa en yoğun meşru gününüzde trafiği reddeder.

Dinamik eşikler bunun bir kısmını, sınırı son geçmişten ve günün ve haftanın saatinden türeterek karşılar. Hafta içi 09:00’da normal olan trafik pazar sabahı 04:00’te anormaldir, ve farkı bilen bir eşik daha az reddederek daha çok yakalar.

Kalan zayıflık, son geçmişten türetilmiş bir sınırın yeterince yavaş bir tırmanışla birlikte hareket etmesidir.

Davranışsal tespit

Trafiğin normalde neye benzediğini birçok özellik üzerinden öğrenin, sonra o biçimden sapmaları işaretleyin. Yalnız hacim değil: SYN-ACK oranı, paket boyu dağılımı, tamamlanan isteklerin oranı, kaynakların coğrafi ve ağ yayılımı, protokol karışımı.

Gücü, daha önce hiç görülmemiş bir şeyi yakalayabilmesidir, çünkü anormalliği değil normalliği tarif eder. Yeni bir vektörün bile sizin olağan trafiğinizden bir ölçülebilir açıdan farklı olması gerekir, ve yeterince özelliği izleyen bir sistem sebebini bilmeden sapmayı görür.

İki zayıflık önemli ve sık sık hafife alınıyor.

Eğitim verisini miras alır. Bir şey zaten yanlışken öğrenilmiş bir temel, onu normal olarak kodlar. Süregelen düşük seviyeli bir saldırı sırasında ya da atipik bir dönemde devreye almak, uzun süre yanlış kalacak bir temel üretir.

Uzun kuyruk hem anormal hem meşrudur. Davranışsal sistemler çoğunluktan öğrenir. Eski TLS yığınları, gömülü istemciler, tek bir yoğun adres arkasındaki bir iş ortağı, birinin 2019’da yazdığı betikli entegrasyon. Hepsi normalden sapar ve hepsi gerçektir. Yanlış pozitiflerin yoğunlaştığı yer burasıdır.

Her ürün niçin üçünü de kullanıyor

Yöntemler farklı yönlerde arızalanır, ve birine dayanan bir savunma onun kör noktasını olduğu gibi miras alır.

Gerçekçi bir yol şöyle görünür. Bozuk ve imkânsız paketler önce gider, imzayla, sabit maliyetle ve yanlış pozitif riski olmadan. Hız tavanları herhangi bir kaynağın sunabileceğini sınırlar, eşikle. Hayatta kalan davranışsal olarak yargılanır, yani pahalı analiz çok daha küçük bir hacme uygulanır.

Bu sıralama tesadüf değil. Belleğin nerede ayrılacağını yöneten aynı ucuz işi önce yap ilkesidir.

Gerçeklemeyi iddiadan ayıran sorular

Beş tane, ve hiçbiri bir sıfatla cevaplanamaz:

1. Hangi karşı önlemler imza tabanlı, hangileri eşik tabanlı, hangileri davranışsal? Ürün için değil karşı önlem başına cevaplayın.
2. Davranışsal motor hangi özellikleri, hangi öğrenme penceresinde ölçüyor?
3. Temel ölçüler kurulmadan önceki davranış nedir, ve o dönem ne kadar sürüyor?
4. Yöntemler çakıştığında hangisi karar veriyor?
5. Operatör bir kararı olay sırasında nasıl eziyor, ve ezme nasıl geri alınıyor?

Beşinci soru ürünleri değerlendirmede değil işletmede ayırır. Her tespit yöntemi gerçek bir ağda bir noktada yanılacaktır, ve o zaman önemli olan bir insanın saniyeler içinde düzeltip sonra geri alabilmesidir. Buna dayanan tırmanma merdiveni olay müdahale el kitabındadır.