Kısıtlı Bütçeli İSS'ler için Yerinde DDoS: Kademeli Kapasite, Kur Riski ve Almamanın Doğru Olduğu Anlar

DDoS azaltması üzerine yayımlanan rehberlerin büyük bölümü, abone başına geliri Batı Avrupa fiyat listesini soğurabilen operatörler düşünülerek yazılıyor. Türkiye’de, Doğu Avrupa’da, Kafkaslarda ya da Orta Asya’da bölgesel bir İSS veya hosting işi çeviriyorsanız aritmetiğiniz farklıdır ve bu farkı hiçbir mimari zarafet kapatmaz. Saldırı profiliniz bir Batı Avrupa operatörünün profiline büyük ölçüde benzer; abone başına geliriniz benzemez. Frankfurt’ta doğru olan bir tasarım, aynı abonenin aylık ücretin bir bölümünü ödediği bir şehirde mali olarak sürdürülemez olabilir.

Bu boşluğa verilen alışıldık cevap, aynı şeyin daha küçüğünü satın almaktır. Bu cevap çoğu zaman yanlıştır. Bir azaltma programının en pahalı kalemi çoğu zaman donanım sanılır. Oysa küçük bir operatörün bütçesini asıl zorlayan, satın alma bedelinin peşinden başka birinin para biriminde her yıl gelen yenilemedir.

Bu yazı ekonomiyi dürüstçe ele alıyor: hiç sermaye harcamadan neyi yapabileceğinizi, yerinde hiçbir şey almamanın doğru karar olduğu durumları, kapasiteyi yeni bir şasi yerine bir lisans işlemine dönüştürecek şekilde nasıl kademelendireceğinizi, ikinci el donanımın nerede mantıklı olduğunu, yabancı para cinsinden yazılmış bir destek sözleşmesinin içine gizlenmiş kur riskini ve korumanın hangi noktada gider merkezi olmaktan çıkıp bir marj kalemine dönüştüğünü. Bunun şartname tarafı, yani ihale metnine ne yazılacağı ve tekliflerin nasıl puanlanacağı ayrı bir konudur ve İSS ve operatörler için DDoS alım rehberinde ele alınıyor; tesisi fiilen kurmanın mühendislik sırası ise temizleme merkezi kurulum rehberinde duruyor. Burada tartışılan şey şartname de kurulum da değil, o adımlara hiç gelmeden verilmesi gereken karar: bu yıl para harcanacak mı, harcanacaksa neye.

Önce saldırıların bugün size neye mal olduğunu ölçün

Hiçbir seçenek, mevcut durumun maliyeti bilinmeden fiyatlanamaz ve küçük operatörlerin çoğu bu rakamı hiç bir araya getirmemiştir. Bu tek bir muhasebe satırı değildir; dört ayrı satırdır ve dördü de elinizde zaten duran kayıtlardan çıkarılabilir.

Saldırı trafiğine atfedilebilen transit maliyeti. Transitinizin bir bölümü ölçülen trafiğin bir yüzdelik dilimi üzerinden faturalanıyorsa, portlarınızdan geçen flood trafiği hedefine ulaşsa da ulaşmasa da size faturalanır. Hatırladığınız olayların çevresindeki örnekleri çekin ve faturalamaya esas dilimi gerçekten yukarı çekip çekmediklerine bakın.

Mühendis saatleri. Son on iki ayda saldırı incelemesine yazılmış saatleri, mesai dışı çağrılar dahil sayın ve mali ekibinizin zaten tanıdığı bir birim maliyetle çarpın. Küçük bir operatörde bu saatler genellikle aynı zamanda tamamlanamamış projelerden sorumlu olan kıdemli mühendisin saatleridir.

Müşteri kredileri ve kayıp müşteriler. Hizmet kredileri kayıtlıdır ve kolayca toplanır. Müşteri kaybını ölçmek daha zordur; ama hizmetini durduran bir olaydan sonraki bir ay içinde bir barındırma müşterisini kaybettiyseniz bu bir veri noktasıdır ve birkaç tanesi bir iş gerekçesi eder.

Yan hasar. En pahalıya mal olan saldırılar nadiren en büyük müşterinize yönelenlerdir. Paylaşılan bir portu doyurup arkasındaki herkesi düşürenlerdir. Bunları ayrı sayın; çünkü harcamayı haklı çıkaran olaylar bunlardır ve genellikle iç raporlamada tek bir “kesinti” satırına gömülürler.

Bundan sonrası bu dört rakamla yapılan bir karşılaştırmadır. Dördünün toplamı küçükse, dürüst sonuç bu yıl cihaz almamanız gerektiğidir; bunu kurum içinde açıkça söylemek de iddia üzerine kurulmuş bir iş gerekçesi yazmaktan daha değerlidir.

Sermaye gerektirmeyen katman

Yalnızca mühendislik zamanı ve yukarı akış sağlayıcılarınızla çalışan bir ilişki isteyen, başka hiçbir şey istemeyen bir önlemler kümesi var. Bu küme azaltmanın yerini tutmaz. Buna karşılık sonradan kuracağınız her şeyin altındaki kalıcı zemindir ve bütçesi olmayan bir operatörün önümüzdeki çeyreği burada geçmelidir.

Önkoşulları halledin. Kendi AS numaranız ve kayıt kuruluşunuzdan almış olduğunuz, sağlayıcıdan bağımsız adres alanınız yoksa blackhole rotası duyuramaz, bir ön eki devredemez ve kimseye koruma satamazsınız. Kayıt kuruluşu üyeliğinin bedeli herhangi bir donanımın yanında küçüktür ve aşağıdaki bütün seçeneklerin kilidini açar. Hâlâ transit sağlayıcısının tahsis ettiği adresleri kullanan operatörler için listedeki en yüksek getirili kalem budur ve tartışmasız önce bu gelir.

Uzaktan tetiklenen blackhole’u her yukarı akışla, ihtiyaç duymadan önce ve yazılı olarak kararlaştırın. Hedef tabanlı RTBH, sağlayıcınıza belirli bir hedefe giden trafiğin tamamını kendi kenarında atmasını söyleyen bir rota duyurmanızı sağlar; böylece flood sizin portlarınıza hiç ulaşmaz. Mekanizma, uRPF’ye dayanan kaynak tabanlı varyantıyla birlikte RFC 5635’te anlatılıyor. Her sağlayıcıdan toplamanız gerekenler somuttur ve olay anında değil sözleşme görüşmesi sırasında toplanır: hangi community değerlerini kabul ediyorlar, blackhole duyurusu için kabul ettikleri en uzun ön ek nedir, duyuru ne kadar sürede etkili oluyor ve telefonla aramak zorunda kalırsanız kimliğinizi nasıl doğruluyorlar. Bu maddelerin hiçbirinde sektör genelinde geçerli bir norm varsaymayın; cevapları sağlayıcı sağlayıcı yazılı isteyin.

RTBH’nin ne olduğu konusunda kurum içinde net olun. Bu, kontrollü bir feragattir ve bir koruma biçimi sayılmaz. Geri kalan herkesi aynı portların arkasında ayakta tutmak için, hedefe yönelen hizmeti siz dışı bırakırsınız. Bireysel abonelere hizmet veren bir erişim ağında bu çoğu zaman doğru takastır. Erişilebilir kalmak için size para ödeyen bir barındırma müşterisi içinse tam olarak parasını verdiği sonucu üretir. Barındırma gelirinin hesabı değiştirmesinin sebebi de budur.

Yukarı akışınızın başka ne yapabileceğini sorun. Blackhole’un ötesinde sağlayıcı yetenekleri büyük farklılık gösterir ve küçük müşterilere neredeyse hiç duyurulmaz. Bazı transit sağlayıcıları coğrafi ya da protokol düzeyinde filtreleme için community değerleri yayımlar, bazıları trafiğinizi kendi temizleme hizmetine çeker, bazıları müşteriden sınırlı bir FlowSpec kuralı kümesi kabul eder. Listeyi sağlayıcı başına ve yazılı isteyin. Zaten para ödediğiniz bir sağlayıcıdan filtreleme satın almak, küçük bir operatörün ulaşabileceği en ucuz azaltma kapasitesidir; çünkü zaten satın aldığınız bir transitin üzerine biner ve ayrı bir taşıma maliyeti doğurmaz.

Kaynak olmaktan çıkın. Yansıtma ve amplifikasyon saldırılarını mümkün kılan şey kaynak adres sahteciliğidir ve karşı önlemi müşteri kenarındaki giriş filtrelemesidir: ilkeyi RFC 2827 (BCP 38) tanımlar, trafiğin asimetrik olduğu ve katı ters yol kontrollerinin kırıldığı çok bağlantılı durumları ise RFC 3704 (BCP 84) ele alır. Bunun maliyeti para değil erişim yönlendiricilerinde yapılandırma zamanıdır. Sizi doğrudan korumaz; başkalarını korur ve adres alanınızı, müşterilerinizin karşı taraflarının baktığı itibar sistemlerinin dışında tutar.

Kendi ağınızdaki reflector’ları kapatın. Abone ve barındırma adres alanınızda açık kalmış özyinelemeli DNS çözücüler, dışarıya açık NTP, memcached, SSDP ve benzeri servisler üçüncü taraflara karşı kullanılacak amplifikatörlerdir. Ürettikleri şey kötü niyet bildirimleri, transit maliyeti ve en kötü durumda size yönelen misilleme trafiğidir. Kendi alanınızı bunlara karşı taramak bir betik yazma işidir ve düzeltmesi genellikle erişim ağında bir filtredir.

Dışarıya açık yüzeyi daraltın. Yönlendiricilerin, anahtarların, müşteri cihazlarının ve işletim destek sistemlerinin yönetim arayüzleri internetten erişilebilir olmamalıdır. Saldırganın, doğrudan ulaşabildiği bir kontrol düzlemini flood etmesine gerek yoktur. Buradaki en gösterişsiz madde budur ve sonradan en çok işe yaramış olduğu anlaşılan madde de genellikle budur.

FlowSpec’i önce kendi AS’inizin içinde kullanın. Mevcut kenar yönlendiricileriniz destekliyorsa, IPv4 için RFC 8955 ve IPv6 için RFC 8956, zaten sahip olduğunuz donanıma eşleşme ve düşürme kuralları göndermenizi sağlar. Bu, bedelini çoktan ödediğiniz bir kapasitedir. Ancak üç disiplinle işletin: kural sayısında yapılandırılmış sert bir üst sınır, her kuralda otomatik süre dolumu ve o an kurulu olanın kaydı. Kötü yazılmış bir kural saniyeler içinde bütün kenara yayılır.

Bazen doğru karar hiçbir şey satın almamaktır

Yerinde ekipmanın yardımcı olamadığı bir tavan vardır ve küçük bir operatör için bu tavan, sektör basınında konuşulan saldırı büyüklüklerinin çoğu zaman altındadır.

Bu fiziksel sınır ekonomiyle belirli bir biçimde kesişir. Toplam dış kapasiteniz mütevazıysa, yerinde bir cihazın sonucu belirlediği aralık da o ölçüde dardır. Aralık, durum tüketen saldırıları, uygulama katmanı flood’larını ve olayların çoğunu oluşturan doyurmayan hacimsel trafiği kapsayacak kadar geniştir; ama bu olaylar seyrekse ve size az şeye mal oluyorsa bir cihazı haklı çıkaracak kadar geniş değildir.

Dolayısıyla yerinde hiçbir şey almamanın savunulabilir bir hâli vardır ve şu koşullar bir arada sağlandığında geçerlidir: abone tabanınız ağırlıklı olarak bireyseldir, müşterilerin erişilebilir kalması için para ödediği pek bir şey barındırmıyorsunuzdur, olaylar seyrek ve kısadır, etkilenen bir adresi blackhole’a almak ticari olarak kabul edilebilirdir ve yukarı akışınız size gelirinize uyan bir bedelle filtreleme satmaktadır. Bu koşullarda doğru plan, sermaye gerektirmeyen katman ile transit sağlayıcılarınızla yazılı bir eskalasyon yordamıdır; cihaz kararı da bir şey değişene kadar ertelenir.

Bu kararı değiştiren şey genellikle barındırma hizmetleridir. Gelirin anlamlı bir bölümü erişilebilirlik için ödeme yapan müşterilerden gelmeye başladığı anda RTBH kabul edilebilir bir cevap olmaktan çıkar; çünkü onu kullanmak, müşterinin tam da korunmak için para verdiği sonucu kendi elinizle üretmek demektir. Müşteriyi çevrimiçi tutan seçici filtreleme, müşteriyi düşürmekten farklı bir üründür ve para alabileceğiniz ürün de odur.

Kademeli kapasite: bugünkü kenara göre alın, lisansla büyüyün

Kısıtlı bir bütçedeki klasik hata, çoğu kişinin sandığının tam tersidir. Beş yıl sonra sahip olmayı umduğunuz ağa göre boyutlandırılmış bir platformu, ikinci bir satın alma yapmamak adına bugünden almaktır. Böylece bugünün sermayesi boş duracak bir kapasiteye harcanır. O kapasitenin yenilemesi de, kullanılmasa bile her yıl tekrar eder.

Alternatif, kenarınızın bugün taşıyabildiğine göre boyutlandırmak ve büyümeyi bir donanım işlemi değil bir lisans işlemi haline getirmektir. Bu yalnızca imzadan önce üç şeyi netleştirdiyseniz işe yarar.

İnceleme kapasitesi aynı şasi üzerinde yükseliyor mu? Platformun aktarım hızı ve paket oranı sınırlarının donanım değiştirilmeden lisansla yükseltilip yükseltilemediğini ve o yolun tavanının ne olduğunu doğrudan sorun. Lisans yolu olmayan bir platformda her kapasite artışı yeni bir satın alma, yeni bir kurulum riski ve yeni bir bakım penceresi demektir.

Her kademe ne tutuyor ve bu fiyat şimdi sabitleniyor mu? Atlanan kısım budur. Teknik olarak var olan ama fiyatı ihtiyaç duyduğunuz anda konuşulacak bir lisans yolu, sizi alternatifi yeni kurduğunuz cihazı değiştirmek olan bir pazarlığa oturtur. Kademeleri ve bedellerini ilk sözleşmeye yazdırın.

Fiziksel zarf yolun tamamına yetiyor mu? Lisanslanmış kapasite, şasi o kapasitede ihtiyaç duyacağınız arayüzleri alamıyorsa ya da tesisinizin elektrik ve soğutma bütçesi taşımıyorsa işe yaramaz. Arayüz seçeneklerini ve güç zarfını giriş noktasına göre değil lisans yolunun en üst kademesine göre kontrol edin.

Dar bütçede kolayca yanlış yapılan bir boyutlandırma noktası daha var. Bit hızı tek başına yanıltıcı bir spesifikasyondur; çünkü küçük paketlerden kurulu saldırılar bit hızı sınırına yaklaşmadan çok önce paket işleme sınırına çarpar. Paket oranı rakamını yazılı isteyin ve kabul testlerini veri sayfasını iyi gösteren bir boyla değil en küçük paket boyuyla çalıştırın. İlan ettiği gigabitleri karşılayıp sizin gerçek paket oranınızda çöken bir cihaz, bütçenin tamamını harcamış ve hiçbir sorunu çözmemiştir.

İkinci el ve önceki nesil donanım nerede mantıklı

İkinci el piyasa baştan sona bir tuzak sayılmaz. Ama envanterin hangi parçasını aldığınıza göre bambaşka bir teklife dönüşür.

Pasif optik tap’ler, transceiver’lar, kablolama ve taşıma anahtarlaması yazılım hakkı taşımaz, uzun ömürlüdür ve arızalandığında bunu açıkça ve ucuza teşhis edersiniz. Bunları ikinci elden almak sıradan bir tedarik kararıdır ve bir izleme yolu kuran operatör için gerçek bir tasarruftur.

Azaltma motoru başka bir durumdur; çünkü satın aldığınız şeyin büyük bölümü metal değildir. Tespit mantığı, süregelen yazılım bakımı ve ikisini almaya devam etme hakkıdır.

Kararı dört soru verir ve dördü de para hareket etmeden önce cevaplanmalıdır.

Lisans hakkı devrediyor mu? Destek ve yazılım lisanslarının fiziksel birimle birlikte ikinci sahibe geçip geçmediği üreticinin politikasına bağlıdır ve sektör genelinde tek bir cevabı yoktur. Bunu satıcıyla değil üreticiyle, satın almadan önce ve yazılı olarak netleştirin.

Platform ne zamana kadar güvenlik güncellemesi alacak? Bir azaltma cihazı, kontrol düzlemi olan ve internete bakan bir sistemdir. Güvenlik yaması almayan böyle bir sistemi çalıştırmak, satın alma bedeli sıfır olsa bile kötü bir takastır. Yayımlanmış destek bitiş tarihini isteyin ve cihazın kendini geri ödemesini beklediğiniz süreyle karşılaştırın.

O nesil sizin paket oranınıza yetişiyor mu? Eski platformlar sıklıkla bit hızında yeterli, paket oranında yetersizdir; oysa korunmak için para verdiğiniz saldırılarda belirleyici olan boyut ikincisidir.

İşletmesi ne tutuyor? İki neslin veri sayfalarından aktarım hızını ve güç tüketimini alıp oranı kendiniz hesaplayın. Elektriğin ölçülerek faturalandığı bir tesiste eski bir birim, satın alma avantajını birkaç yıl içinde tüketebilir; bu da imzadan önce yapabileceğiniz basit bir aritmetiktir.

İkinci el piyasanın küçük bir operatör için tartışmasız doğru bir kullanımı var: ikinci ve birebir aynı bir birimi soğuk yedek olarak almak. Ülkenize ulaşması yavaş olabilecek bir RMA sürecine bağımlılığınızı azaltır, hızlı değişim vaat eden bir destek kademesinin bedelinin çok altında kalır ve lisans hakkının devretmesine bağlı değildir; çünkü yedek, zaten sahip olduğunuz bir birimin rolünü devralır.

Kur: imzaladığınız yenileme, ödeyeceğiniz yenileme değildir

Bölgedeki küçük operatörlere en çok zarar veren risk budur ve teknik bir karar olarak neredeyse hiç tartışılmaz. Tartışılmamasının sebebi basit: teknik bir karar değildir.

Sorunun yapısı sadedir. Yatırım maliyeti bir kez ödenir ve ödendiği günün koşullarıyla kapanır. Destek ve lisans yenilemesi ise her yıl tekrar eder, genellikle üreticinin para biriminde faturalanır ve onu ödeyen gelir sizin para biriminizde kazanılır. Türkiye’de faaliyet gösteren bir operatörün geliri Türk lirası cinsindendir; sözleşmedeki yenileme yükümlülüğü ise başka bir para biriminde yazılıdır. Teslim edilen hizmette hiçbir şey değişmeden, sözleşmenin yerel para cinsinden karşılığı iki yenileme arasında hareket edebilir. Üstelik bu, transit gibi piyasayı dolaşarak aşağı çekebileceğiniz bir kalem değildir; çünkü çoktan kurmuş olduğunuz bir donanıma bağlıdır ve sağlayıcı değiştirme seçeneğiniz yoktur.

Asıl mesele oranın ne olacağını tahmin etmek değil, riskin kimin bilançosunda durduğuna karar vermektir. Bu karar satın alma anında pazarlığa açıktır, sonrasında değildir.

• Yerel para biriminde faturalandırma isteyin. Bazı üreticiler ve yerel iş ortaklarının çoğu bunu yapabilir. Risk böylece hazine işlevi olan tarafa geçer; zaten durması gereken yer de orasıdır.
• Kur için bir tavan ya da birden çok yıl için sabitlenmiş bir destek bedeli isteyin. Yenilemenin yerel karşılığına konan bir tavan, açık bir riski sınırlı bir riske çevirir.
• Daha uzun bir destek süresini peşin almayı değerlendirin. Bu, gelecekteki birden çok riski bugünkü tek bir işleme dönüştürür. Takas gerçektir ve iki yönü vardır: küçük bir operatörün başka yerde ihtiyaç duyabileceği nakdi tüketir ve değiştirmeyi seçebileceğiniz bir cihazın desteğini peşin ödemiş olursunuz.
• Kapıya kadar gelen toplam maliyeti fiyatlayın, yalnızca faturayı değil. İthalat vergileri, katma değer vergisinin nasıl işlediği, gümrükleme ve bir RMA sevkiyatının navlunu, yabancı donanım sahibi olmanın maliyetine dahildir ve bölgedeki pek çok yargı alanında ciddi bir eklemedir, yuvarlama farkı değil.
• Ödeme yolunun var olduğunu ve kalıcı olmasının beklendiğini teyit edin. Yabancı bir üreticiye faturayı fiilen ödeyebilmek bölgenin her yerinde verili değildir ve ödeyemediğiniz bir destek sözleşmesi, sahip olmadığınız bir destek sözleşmesidir.

Pazarlığa taşınmaya değer genel ilke şudur: bir satın alma, tekrar eden yabancı para riskini bugün alınmış büyük bir risk ile ona eklenen daha küçük ve tekrar eden bir riske böler; abonelik biçiminde fiyatlanan bir hizmette ise maliyetin tamamı tekrar eder ve tamamı açık kalır. Bu asimetri, kapasite kiralamak yerine ekipman sahibi olmak için verilebilecek meşru bir gerekçedir ve para biriminin değer kaybına açık olduğu bir ekonomide mali işlerden sorumlu yönetici bunu, kurabileceğiniz her mimari savdan daha hızlı anlar. Kalem kalem beş yıllık tablonun nasıl kurulacağı yerinde bir DDoS cihazının toplam sahip olma maliyeti rehberinde duruyor.

Yukarı akış sağlayıcınızın paket teklifi

Bütçesi dar bir operatörün masasındaki en ucuz teklif çoğu zaman transit sağlayıcısından gelir: temizleme hizmeti ile yerinde cihaz birlikte, tek sözleşmede, tek fiyatta. Bu teklifi baştan reddetmek dürüst değildir, çünkü bazen gerçekten en doğru karardır. İki kişilik bir operasyon ekibi için tek bir eskalasyon numarası ve hangi katmanın hata yaptığı tartışmasının hiç yaşanmaması ölçülebilir bir değerdir ve bu değer, iki ayrı sözleşmenin getireceği indirim farkını aşabilir.

Karşılığında ne verdiğinizi de aynı açıklıkla yazmak gerekir.

Yenileme masasındaki pozisyonunuz, paketin size bıraktığı kadardır. Yerinde katmanı değiştirmek istediğinizde transit ilişkisini de açmış olursunuz; transit fiyatını pazarlık etmek istediğinizde karşı tarafın elinde koruma katmanınız da vardır. Katmanları ayrı sözleşmelerde tutan bir operatör ise birini diğerine dokunmadan değiştirebilir.

Bu yüzden değerlendirme listenize teknik olmayan bir ölçüt daha girer: cihazın ticari ilişkisi yukarı akış katmanınızdan ayrı durabiliyor mu? Herhangi bir transit ya da temizleme hizmetine bağlanmadan satılan bir cihaz bu soruya olumlu cevap verir; yerinde kararınız transit kararınızı bağlamaz. Bunun size çıkardığı fatura da açıktır ve teklifi değerlendirirken görünmelidir: tek bir sözleşme ve tek bir numara yerine iki ayrı destek ilişkisi yönetirsiniz ve olay anında hangi katmanın hata yaptığını kendi telemetrinize bakarak kendiniz karara bağlamak zorunda kalırsınız. İki katmanı bilerek farklı üreticilerden almanın gerekçesi ve bunun ne zaman anlamlı olduğu iki katman, iki marka yazısında ayrıca tartışılıyor. Her iki teklifi de fiyatlandırın ve kararı indirim oranına göre değil elinizdeki mühendis sayısına bakarak verin.

Koruma ne zaman gider kalemi olmaktan çıkar

Buraya kadar anlatılan her şey azaltmayı, en aza indirilecek bir maliyet olarak ele aldı. Aynı donanımın üzerinde para ödeyen kiracılar taşındığı noktada kararın niteliği tümüyle değişir. Sigorta olsun diye alınmış bir cihaz sıfır doluluk oranıyla çalışır. Üzerinde müşteri taşıyan bir cihazın ise bir geri ödeme takvimi vardır ve satış ekibiniz bu takvime karşı sorumlu tutulabilir.

Ağ hijyeninizi iyileştiren bir cihazı, fatura kesebileceğiniz bir cihazdan üç yetenek ayırır ve bunları birer özellik değil birer satın alma ölçütü olarak ele almakta fayda vardır.

Kiracı başına politika. Her müşterinin normali başkadır. Oyun sunucusu barındıran bir müşterinin UDP profili, trafiği neredeyse tümüyle TCP/443 üzerinden akan bir müşteriye uyan eşiklerle yönetilemez. Paylaşılan donanım üzerinde müşteri başına ayrı temel çizgi, ayrı eşik, ayrı karşı önlem sırası ve ayrı beyaz liste gerekir; bunlar da elle yazılmış elli yapılandırmayla değil şablonlarla sürdürülür.

Kiracılar arası yalıtım. Bir kiracıya yönelen saldırı, paylaşılan oturum tablosunu, kural kapasitesini ya da işleme kaynağını tüketerek diğerlerinin korumasını zayıflatmamalıdır. Üreticiye sorulacak soru kaç kiracının desteklendiği değil bir kiracının diğerini hangi yollarla etkileyebildiğidir.

Kiracı başına raporlama. Müşteri sizin azaltma motorunuzu hiç görmez; panelinizi görür. Neyin durdurulduğunu gösteren okunaklı bir rapor, yenileme görüşmesinde motorun herhangi bir teknik özelliğinden daha ikna edicidir ve müşterinin kendi denetimlerinde kullandığı belge de odur. Teknik müşteriler için veriyi kendi izleme sistemlerine çekmelerini sağlayan bir API, tek başına bir satın alma ölçütüdür.

Bu üç ölçüt, yeni bir şasi gerektirmeden kapasiteyi büyüten bir lisans yolu ve ulaşamayabileceğiniz ya da ödeyemeyebileceğiniz bir üretici bulutuna bağlı olmadan cihaz üzerinde çalışan bir tespit katmanıyla birleştiğinde, bütçesi kısıtlı bir operatör için kullanılabilir bir şartname eder. Ölçütleri karşılayan birden çok ürün vardır ve ihaleyi markanın adı değil ölçütlerin kendisi belirlemelidir; her ölçüt de veri sayfasından kabul edilmek yerine kendi trafiğinizle yapılan bir deneme kurulumunda gösterilmelidir.

Buraya, ilk bakışta ticari bölüme aitmiş gibi duran ama aslında bu bölüme ait bir uyarı giriyor. İlk kurulumun ekonomisini en sık yok eden hata budur. Kendi kenar kapasitenizin üstünde bir koruma seviyesini asla ilan etmeyin. Pazarlama metninizdeki rakam, transit ve peering portlarınızın fiziksel olarak taşıyabileceğini aşıyorsa, o büyüklükteki bir saldırı cihazınıza hiç ulaşmadan o portları doldurur; arkalarındaki bütün müşteriler etkilenir ve trafiğin bir yüzdelik dilimi üzerinden faturalanan transit sözleşmelerinde saldırı trafiği doğrudan sizin faturanıza yazılır. Gerçek kenar ve taşıma kapasitenizden türetilmiş bir tavan ilan edin ve o tavanın üstünde ne olacağını sözleşmeye yazın. İlan edilmiş bir blackhole eşiği bir zayıflık göstermez; aritmetiğini yapmış bir operatörün işaretidir.

Cihaz	Yalnızca yukarı akış, sermaye harcaması yok	Kademeli yerinde kurulum	İkinci el ya da bir önceki nesil
Yatırım maliyeti	Mühendis zamanı ve kayıt kuruluşu üyeliği dışında yok	Bugünkü peering'e göre boyutlanmış tek bir şasi	Daha düşük satın alma bedeli, bilinmeyen bir kalan hizmet ömrü
Tekrar eden maliyet	Transit sağlayıcınızın filtreleme için istediği bedel	Destek ve lisans yenilemesi, çoğu zaman yabancı para cinsinden	Üretici ikinci sahibe satıyorsa yalnızca destek yenilemesi
Neyi durdurur	Hacimsel flood'ları; bedeli hedefi de trafikle birlikte düşürmektir	Kenar kapasitenizin altındaki her şeyi, müşteriyi düşürmeden	Aynısını, platform hâlâ yazılım güncellemesi alıyorsa
Neyi durduramaz	Hiçbir şeyi seçerek; blackhole filtreleme değildir	Transit ya da peering portlarınızı dolduran hiçbir şeyi	O neslin paket oranı tavanının yetişemediği hiçbir şeyi
Kur riski	Sınırlı ve genellikle mevcut transit sözleşmenizin içinde	Yıllık ve pazarlıkla bağlanmadıysa açık	Aynı yıllık risk, kalan ömrü daha kısa bir varlık üzerinde
Yeniden satabilir misiniz	Yalnızca yukarı akışınızın yeniden satmanıza izin verdiği kadarını	Evet; platform kiracı başına politika ve raporlama taşıyorsa	Yalnızca lisans hakkı devrediyor ve raporlama kiracı bazındaysa
Tipik kırılma biçimi	Saldırı altındaki müşteri erişilemez hale gelir ve suçu size yükler	Kenarınızın fiziksel olarak taşıyamayacağı kadar koruma satmak	Yazılım desteğinin geri ödeme süresinden önce bitmesi

Bu üç sütun bir merdivenin basamakları değildir; birincisi kalıcı bir zemindir. Diğer ikisinden hangisini seçerseniz seçin, sermaye gerektirmeyen önlemler yerinde kalır; çünkü bir saldırı kenar kapasitenizi aştığında geri çekileceğiniz yer tam olarak orasıdır.

Temsilî bir hesap, kendi rakamlarınızla yeniden yapılmak üzere

Aşağıdaki hesap yalnızca temsilîdir ve içindeki her büyüklük harfle gösterilmiştir. Amaç hesabın biçimini göstermektir; gözlenmiş hiçbir değer içermez ve kendi ölçümlerinizi yerine koymadan hiçbir işe yaramaz.

Bir operatörün yukarıdaki dört ölçümden yola çıkarak saldırıların kendisine yıllık olarak neye mal olduğunu belirlediğini varsayalım: yüzdelik dilim üzerinden ek faturalanan transit, iç birim maliyetiyle çarpılmış mühendis saatleri, verilen hizmet kredileri ve yılda kaybedilen barındırma müşterisi. Bu toplama A diyelim.

Cihaz seçeneğinin C kadar bir yatırım maliyeti, n yıllık beklenen bir sahiplik süresi ve yabancı para cinsinden R kadar yıllık bir destek ve lisans yenilemesi olsun. Saf karşılaştırma A > C/n + R eşitsizliğidir. Bu karşılaştırma üç sebeple saftır ve üç sebep de para biriminin değer kaybına açık olduğu bir ekonomide daha çok tutar.

Birincisi, R yerel para cinsinden sabit değildir. Modeli bugünkü koşulla bir kez, yerel paranın belirgin biçimde zayıfladığı bir koşulla bir kez daha kurun ve kararın ikisinde de ayakta kalıp kalmadığına bakın. Yalnızca bugünkü koşulda çalışıyorsa, aslında bir karar değil bir bahis üretmiş olursunuz.

İkincisi, platform n yılı dolmadan kapasite tavanına ulaşırsa C/n maliyeti olduğundan küçük gösterir. Peering’iniz büyüyorsa ya lisans yolu o büyümeyi bilinen bir fiyatla karşılar ya da n, varsaydığınızdan kısadır.

Üçüncüsü ve ters yönde: koruma satmayı düşünüyorsanız A zaten yanlış büyüklüktür. Doğru karşılaştırma kiracılardan gelecek katkıyı da içerir ve soru, kurulumun başa baş noktasına ulaşması için kaç ödeyen kiracı gerektiğine döner. Bu, saldırı sıklığı öngörüsünün aksine satış ekibinizin sorumlu tutulabileceği bir rakamdır.

Üç varyantı da çalıştırın. Satın alma yalnızca en iyimser varyantta ayakta kalıyorsa, dürüst tavsiye sermaye gerektirmeyen katmanla bir yıl daha devam etmektir.

İmzadan önce sorulacak yedi soru

Yukarıdaki savlardan çıkarılmış, doğrudan bir şartnameye ya da bir tedarikçi görüşmesine taşınabilecek kısa bir liste.

1. Bu şasi üzerindeki lisans yolunun tavanı nedir, kademeleri nelerdir ve her kademe ne tutar; bu fiyatlar bu sözleşmede sabitleniyor mu?
2. Paket oranı rakamı nedir, yazılı verilebilir mi ve kabul testini bizim trafiğimizle ve en küçük paket boyuyla yapmayı kabul ediyor musunuz?
3. Bizim para birimimizde fatura keser misiniz, kur için bir tavan koyar mısınız ya da destek bedelini birden çok yıl için sabitler misiniz?
4. Bu platformun yayımlanmış destek bitiş tarihi nedir ve desteğin ve lisansın ikinci sahibe devri konusundaki politikanız nedir?
5. Tespit tümüyle cihaz üzerinde mi çalışıyor ve cihaz sizin altyapınıza ulaşamadığında tam olarak ne bozulur?
6. Kiracı başına politika, kiracılar arası yalıtım ve kiracı başına raporlamayı kendi trafiğimizle ve kendi müşteri profillerimizle kurulacak bir deneme kurulumunda gösterebilir miyiz?
7. Lisans yolunun giriş kademesinde değil en üst kademesinde güç tüketimi ve arayüz kapasitesi nedir?

Bu yedi sorunun cevabı, bir satın almanın kademeli bir yatırım mı yoksa başka birinin para biriminde sabit bir yükümlülük mü olduğunu belirler. Aynı kararın arkasındaki mimari takasları bulut, yerinde ve hibrit karşılaştırması ayrıca ele alıyor.

Sıfırdan başlayan bir operatör için işe yarayan sıra

Hiçbir şeyi olmayan bir operatörün sırası, sermayesi hazır bir operatörün sırasıyla aynı değildir.

Önce önkoşulları güvenceye alın: kayıt kuruluşu üyeliği, kendi AS numaranız ve kendi adres alanınız. Bunlar en az maliyetli ve en çok kapı açan kalemlerdir. Sonra sermaye gerektirmeyen katmanı kurun ve kalıcı olarak yerinde tutun; çünkü sonradan ne kurarsanız kurun, bir saldırı onu aştığında geri çekileceğiniz zemin orasıdır. Saldırıların size gerçekte neye mal olduğunu bir yıl boyunca dört satır halinde ölçün. Yukarı akışınız satıyorsa filtrelemeyi ondan alın; zaten ödediğiniz bir transitin üzerine binen kapasite genellikle ulaşabileceğiniz en ucuz kapasitedir. Donanımı ancak bundan sonra, bugünkü kenarınıza göre boyutlandırılmış olarak, beklediğiniz kenara giden fiyatı belli bir lisans yoluyla ve kabul edilmiş değil pazarlıkla bağlanmış bir kur riskiyle değerlendirin. Aldığınızda da üzerine kiracı koyabileceğiniz bir platform alın; her yıl savunmak zorunda olduğunuz bir gider ile katkı veren bir kalem arasındaki fark budur.

Rahatsız edici sonucu açıkça söylemekte fayda var: bölgesel operatörlerin gerçek bir bölümü için bu yılın doğru cevabı yerinde hiçbir şey almamak, bedelsiz işi hakkıyla yapmak ve hedefi feragat etmenin ticari olarak kabul edilemez hale geldiği ilk barındırma gelirinde kararı yeniden açmaktır. Bunu size hiçbir üretici söylemez. Yine de zaman zaman doğrudur ve kısıtlı bir bütçeyi bu kararın yanlış yılında harcayan bir operatörün ikinci bir denemesi olmaz.

Kaynaklar ve ileri okuma

Aşağıdakiler, bu karar sırasında masada durmaya değer standart ve işletme metinleridir. Bu yazıdaki hiçbir rakam bunlardan alınmamıştır; metindeki tek aritmetik, açıkça temsilî olduğu belirtilen ve kendi ölçümlerinizle yeniden kurulması gereken hesaptır.

Blackhole ve yukarı akışa sinyalleşme. Uzaktan tetiklenen blackhole filtreleme, uRPF’ye dayanan kaynak tabanlı varyantıyla birlikte RFC 5635’te anlatılıyor. Buna karşılık hangi community değerlerinin kabul edildiği, hangi ön ek uzunluklarının onurlandırıldığı ve taahhüt edilen tepki süreleri standart metinlerden değil her sağlayıcıdan ayrı ayrı ve yazılı olarak alınacak bilgilerdir.

Kaynak adres doğrulaması. Kaynak adres sahteciliğine karşı giriş filtrelemesi RFC 2827 (BCP 38), çok bağlantılı ve asimetrik durumlar ise RFC 3704 (BCP 84) kapsamındadır. MANRS aynı yükümlülükleri operatör taahhüdü biçiminde ifade eder ve küçük bir operatörün kendi hijyenini belgelemesi için elverişli bir çerçevedir.

FlowSpec. Akış spesifikasyonu kurallarının dağıtımı IPv4 için RFC 8955, IPv6 için RFC 8956’dır. Kural doğrulama yordamı ve tanımlı eylem kümesi bu metinlerdedir; kendi hat kartlarınızın hangi alt kümeyi donanımda uyguladığı ise platform üreticinize sorulacak ayrı bir sorudur.

Standart tabanlı azaltma sinyalleşmesi. DOTS, müşteri tarafındaki bir cihazın sizin katmanınızdan azaltma talep etmesi için üreticiden bağımsız bir yol tanımlar: mimari RFC 8811, sinyal kanalı RFC 9132. Bunu şartnameye koymanın bir maliyeti yoktur ve ileride kendi cihazı olan müşterilere hizmet vermeyi kolaylaştırır.

Atıf yapmak yerine istenecek ticari belgeler. Her transit sağlayıcısından yayımlanmış community listesini, kabul edilen blackhole ön ek uzunluklarını ve taahhüt edilen tepki sürelerini yazılı isteyin. Kısa listedeki her üreticiden yayımlanmış destek bitiş tarihlerini, lisans yolu fiyat cetvelini ve ikinci sahibe devir politikasını isteyin. Bunların hiçbiri bir makaleden okunacak bilgi değildir; hepsi sözleşme öncesinde toplanacak ve dosyada saklanacak yazılı cevaplardır.

Kamuya açık saldırı raporları. Cloudflare ve Akamai düzenli aralıklarla saldırı hacimleri ve vektör dağılımı üzerine kamuya açık raporlar yayımlıyor; eğilimleri izlemek için okunabilirler. Okurken yapısal çekinceyi elden bırakmayın: her rapor, o sağlayıcının kendi müşteri tabanından ve o platformun ölçtüğü kadarıyla derlenmiştir. Büyük bir örneklemi tarif ederler, bir sayımı değil. Dolayısıyla bütçe kararınızın dayanağı kendi telemetriniz olmalıdır, bu raporlar değil.