Katman 3, Katman 4 ve Katman 7 DDoS Koruması

Saldırının çalıştığı katman bir taksonomi kolaylığı değil. Saldırıyı hangi cihazın görebileceğini, hangi karşı önlemin ona müdahale edebileceğini ve en yararlısı, kimin sorunu olduğunu belirler.

Bunu yanlış anlamak belirli bir biçimde pahalıdır: kurumlar saldırıya uğramadıkları bir katman için kapasite alır ve uğradıkları katmanda açık kalır.

Kısaca

Cihaz	Katman	Saldırılan kaynak	Nerede kazanılıyor
L3 — ağ	Hat kapasitesi ve yönlendirici iletimi	Hattınızın yukarısında, her zaman
L4 — taşıma	Bağlantı durumu, oturum tabloları, dinleme kuyrukları	Kenarda, bellek ayırmayı reddederek
L7 — uygulama	İşlemci, veritabanı, istek başına arka uç işi	Uygulamanın kendi terimlerinde, ya da hiç

Pratik olan üçüncü sütun. Kavganın nerede geçtiğini söylüyor, ki paranın harcanması gereken yer de orası, ve üç cevap üç ayrı yerde.

Katman 3: sahip olmadığınız kavga

Ağ katmanı saldırıları kapasiteyi hedefler. Yeterince trafik gelir, hat dolar, ve dolduktan sonra atma işlemi sizin kenarınızda değil sağlayıcınızın kenarında olur.

Sonuç rahatsız edici ve açıkça söylenmeye değer: sahip olduğunuz hiçbir ekipman, hattınızdan büyük bir Katman 3 saldırısını kazanamaz. Dolmuş bir bağlantının arkasındaki cihaz seyircidir. 20 Gbps için mi 200 için mi derecelendirildiği o çizginin üstünde hiçbir şey değiştirmez.

İki aile baskın. Doğrudan seller çok sayıda sunucudan hacim gönderir. Yansıtma ve yükseltme, küçük sahte istekleri sizin adresinize çok daha büyük cevaplar veren üçüncü taraf servislere gönderir.

Fiilen işe yarayan şey: internetin kenarlarında giriş filtreleme bu saldırıların dayandığı sahteciliği azaltır; FlowSpec ya da RTBH ile üst katman filtreleme trafiği hâlâ yer varken atar; ve temizleme onu daha çok kapasitesi olan bir yere yönlendirir. Üçü de hattınızın yukarısında olur, ki asıl mesele budur.

Katman 4: kenarda kazanabileceğiniz kavga

Taşıma katmanı saldırıları kapasiteyi değil durumu hedefler. SYN selinin borunuzu doldurmasına gerek yoktur; bağlantı tablolarınızı doldurması gerekir, ve onlar çok daha küçüktür.

Asimetri mekanizmanın tamamıdır. Sahte bir SYN gönderene bir pakete ve başka hiçbir şeye mal olur. Alana saniyelerce tutulan bir tablo kaydına artı bir cevaba mal olur. RFC 4987 bunu onlarca yıl önce ortaya koydu ve o zamandan beri değişen bir şey yok.

Bu, bir savunmanın gerçekten kazanabileceği katmandır, çünkü karşı önlem asimetriyi aşmak yerine ortadan kaldırır. SYN proxy ve çerezleri, bağlantı başına bellek ayırmadan el sıkışmayı tamamlar, yani saldırganın ucuz paketi sizin için de ucuz hâle gelir. Hayatta kalan şey, var olduğu gösterilmiş bir istemcidir.

Bağlantı tüketme varyantları aynı kaynağı daha yavaş zorlar. Slowloris ve yavaş HTTP, bağlantıları hızla açmak yerine açık tutar, ve bant genişliğine bakan her eşiği yener, çünkü ortada neredeyse hiç bant genişliği yoktur.

Katman 7: uygulamanızla ilgili olan kavga

Uygulama katmanı saldırıları tamamen iyi biçimlenmiş istekler gönderir. Paketler geçerli, TCP konuşmaları tamamlanıyor, HTTP doğru. Onları düşmanca yapan şey maliyet oranıdır: istemcinin göndermesi bir mikrosaniye süren bir istek, sizin sunucunuza bir veritabanı sorgusu, bir şablon üretimi ve bir önbellek ıskasına mal olur.

Paket katmanında hiçbir şey bunları popülerlikten ayırmaz. Büyük bir tabloyu tarayan bir arama isteği meşru bir aramayla birebir aynı görünür. L7 savunmasının ağın bilmediği bir şeyi bilmesi gerekmesinin sebebi budur: zaman içindeki oturum davranışı, istemci özellikleri, ya da uygulamanın kendi anlamları.

Pratik karşı önlemler bunu yansıtır. Kaynak başına hız sınırları kaynaklar dağıtılana kadar işe yarar. Meydan okumalar, yani istemcinin gerçek bir tarayıcı olduğunu kanıtlaması, saldırgan gerçek tarayıcı kullanana kadar işe yarar. Oturum biçiminin davranışsal analizi işe yarar ve önce sizin uygulamanızı öğrenmiş olması gerekir. Ve en güvenilir önlem bir güvenlik ürünü bile değildir: pahalı isteği ucuzlatmak — önbellekleme, sorgu sınırları ve sayfalama yoluyla.

Katmanlar niçin birbirinin yerini tutmuyor

Üç arıza örüntüsü, her biri yaygın:

L7 saldırısına karşı kapasite almak. İstekler biçimce meşru ve sayıca azken daha çok bant genişliği ve daha büyük cihaz hiçbir şey değiştirmez. Darboğaz bir veritabanıdır.

L3’e karşı uygulama katmanı denetimine güvenmek. Bağlantı sonlandırmak zorunda olan bir WAF ya da CDN kenarı kendisi bir kaynaktır, ve önündeki yolu doyuracak kadar büyük bir hacim mantığına hiç ulaşmaz.

Güvenlik duvarının L4’ü kapsadığını varsaymak. L4’te politikayı kapsar. Sel altında saldırılan kaynağın kendisidir.

Kendi riskinizi haritalamak

Bir öğleden sonralık iş, ve satın almayı herhangi bir üretici konuşmasından fazla değiştirir:

1. İnternetten erişilebilen her şeyi listeleyin, hattı ve amacıyla.
2. Her biri için önce neyin arızalandığını sorun. Hat mı, yoldaki bir cihazın bağlantı tablosu mu, uygulama arka ucu mu? Üçünden biri neredeyse her zaman bariz biçimde en yakındır.
3. Her cevap için sahibini yazın. Hat, üst katman sağlayıcısı ya da bir temizleme düzeni demektir. Bağlantı tablosu, kenar cihazı ve boyutlandırması demektir. Uygulama arka ucu, mühendislik ekibi ve sık sık bir satın alma değil bir önbellekleme değişikliği demektir.
4. Şu anda göremediğinizi kaydedin. Akış aktarımı olmayan bir kurum L3 örüntülerini tespit edemez; uygulama logu olmayan L7 olanları tespit edemez. Görü boşlukları bu listedeki en ucuz düzeltilecek şeydir ve en sık atlanandır.

Çıktı, üç kavgadan hangisinin içinde olduğunuzu söyleyen tek sayfalık bir tablodur. Kurumların çoğu bir katman için alım yapıp başka bir katmanda açık olduklarını fark eder, ve boyutlandırma alıştırması bu yazıya döküldükten sonra çok daha kısalır.