Gerçekten Önemli Olan DDoS Ölçütleri

Neredeyse her DDoS raporu aynı rakamla başlar: ne kadar saldırı trafiği engellendi. Üretmesi en kolay ve kullanması en zor sayıdır, çünkü savunmanın kalitesini değil saldırganın davranışını anlatır.

Her şeyi düşüren bir savunma saldırının yüzde yüzünü engeller. Servis kapalıdır. Rapor mükemmeldir.

Kısaca

Cihaz	Ölçüt	Kim ölçebilir	Niçin raporlanıyor ya da raporlanmıyor
Engellenen Gbps ya da paket	Cihaz, kolayca	Her zaman raporlanıyor; üzerine bir şey yapılamıyor
Tespit süresi	Siz, kendi zaman çizginizden	Raporlanıyor; sık sık yanlış başlangıçtan ölçülüyor
Azaltma süresi	Siz, kendi zaman çizginizden	Raporlanıyor; sık sık tespit süresiyle karıştırılıyor
Meşru trafiğin hayatta kalması	Yalnız siz	Nadiren raporlanıyor; işin satın aldığı sayı bu
Yanlış pozitif oranı	Yalnız siz	Nadiren raporlanıyor; önce bir temel gerekiyor
Operatör müdahalesi	Siz, sayarak	Hiç raporlanmıyor; işletme maliyetini öngörüyor
Toparlanma süresi	Siz, uygulama ölçümlerinden	Nadiren raporlanıyor; geç temizlenen durum burada görünüyor

Asıl mesele orta sütun. Yedinin beşi yalnız kendi enstrümantasyonunuzdan gelebiliyor, ve bir tedarikçi raporunun hiçbir zaman tam cevap olmamasının sebebi bu.

1. Tespit süresi

Saldırının ilk paketinden bir insanın gördüğü ilk alarma kadar.

Tuzak başlangıç noktası. Sistemler kendi tespitlerinin ateşlediği andan ölçer, ki bu güzelleştirici bir rakamı garantiler ve asıl ilgilendiğiniz aralığı gizler. Gerçek başlangıcı sonradan paket yakalamalarından ya da akış kayıtlarından kurun ve oradan ölçün.

Hangi tespit yönteminin ateşlediğiyle birlikte raporlayın, çünkü dört dakikada bir eşik geçişi ile kırk saniyede bir davranışsal karar farklı yetenekler kullanıyordur.

2. Azaltma süresi

İlk paketten, etkinin ölçülebilir biçimde azaldığı ve azalmış kaldığı noktaya kadar.

İki ayrım işin çoğunu yapar. Otomatik mi destekli mi: insan olmadan başlayan azaltma, birinin onaylamasını bekleyenden farklı bir rakamdır, ve ikisini birlikte raporlamak işletme maliyetini gizler. Azalmış mı çözülmüş mü: iki dakikada kısmi bastırma ile on birinci dakikada tam bastırma ikisi de kaydedilmeye değer, ve tek bir sayı ikisini de gizler.

Yönlendirmeye dayalı tasarımlarda bu rakam rota yakınsamasını da içerir, ki yol dışı talep üzerine mimarilerin bu ölçütte yarışamamasının yapısal sebebi budur.

3. Meşru trafiğin hayatta kalması

Saldırı sırasında tamamlanan gerçek işlemlerin, öncesindeki aynı ölçüme oranı.

İşin satın aldığını sandığı sayı budur, ve neredeyse hiçbir olay raporunda yok. Önceden var olması gereken iki şey ister: gerçek bir iş işleminin sürekli ölçümü, ve olağan bir dönemden bir temel.

İkisi de ucuza kurulur ve hiçbiri olaydan sonra geriye dönük eklenemez. İkisi olmayan bir kurum, yöneticilerinin soracağı tek soruyu cevaplayamaz: müşteriler servisi kullanabiliyor muydu?

4. Yanlış pozitif oranı

Meşru trafiğin, saldırı tarafından değil savunma tarafından reddedilen kesri.

Hayatta kalmadan ayırın: hayatta kalma başarısız olan her şeyi sayar, saldırının kendi kırdığı dahil. Bu ise sizin denetiminizin reddettiğini sayar. Aradaki fark savunmanın maliyetidir, ve ikisini ayırmak azaltmanın arkasında olmayan bir kontrol yolu gerektirir.

Paydayla birlikte raporlayın. İki bin örnek üzerinden “sıfır yanlış pozitif” binde biri milyonda birden ayıramaz.

5. Azaltma altında sürdürülen paket hızı

Savunmanın fiilen azaltma yaparken sürdürdüğü paket hızı, gözlenen çerçeve boyunda.

Ayrılmaya değer iki rakam: olay sırasında çalıştığı hız, ve olay o noktaya ulaştıysa davranışının değiştiği hız. İkincisi gerçek kapasite rakamıdır ve yalnız bir test laboratuvarında bulunabilir, üretimde değil.

Çerçeve boyunu her zaman kaydedin. Onsuz rakam ne bir datasheet’le, ne başka bir ürünle, ne de kendi önceki olayınızla karşılaştırılabilir.

6. Gereken operatör müdahalesi

Azaltmanın çalışması ya da çalışmayı sürdürmesi için bir insanın kaç kez bir şey değiştirdiği.

Kimse bunu raporlamıyor, ve ürünün işletme maliyetinin tek en güçlü öngörücüsü bu. Bir saldırıyı sıfır müdahaleyle karşılayan bir savunma ile aynı saldırıyı dokuz müdahaleyle karşılayan savunma, aynı satın alma fiyatında çok farklı ürünlerdir, ve biri saymadıkça hiçbir değerlendirme farkı göstermez.

Müdahaleleri sayın, ve kaçının orada bulunan kimsenin yetkili olmadığı bir karar gerektirdiğini kaydedin. O ikinci sayı teknik değil kurumsal bir bulgudur, ve geçen sürenin çoğunu genellikle o açıklar.

7. Toparlanma süresi

Saldırının bitişinden normal servis ölçümlerinin dönüşüne kadar.

Toparlanma bedava değildir ve sık sık beklenenden uzundur. Engeller zamanlayıcıyla düşer, karantina listeleri yavaş temizlenir, bağlantı havuzları yeniden dolar, önbellekler yeniden kurulur, ve istemciler ikinci bir saldırı gibi görünen eşzamanlı bir dalgayla yeniden dener. Saldırı bittiğinde ölçmeyi bırakan bir kurum bunların hiçbirini görmez.

Raporu kurmak

Yedi satır, ve disiplin sayılarda değil niteleyicilerde:

Ölçüt	Değer	Yanında bulunması gereken niteleyici
Tespit süresi		Başlangıç noktası, ve hangi tespit ateşledi
Azaltma süresi		Otomatik mi destekli mi; azalmış mı çözülmüş mü
Meşru hayatta kalma		Kullanılan temel, ve örneklem sayısı
Yanlış pozitif oranı		Payda, ve kontrol yolunun nasıl ayrıldığı
Sürdürülen paket hızı		Gözlenen çerçeve boyu
Operatör müdahalesi		Kaçı yetki olmadığı için bekledi
Toparlanma süresi		Normali tanımlamak için hangi ölçüm kullanıldı

Bu tablo olay sonrası incelemeye ait, ve eşikleri eklendiğinde satın almadan önceki kabul kriterlerine. İlk ikisini taahhüt edip üçüncüsünü etmeyen bir tedarikçi, hangisini denetleyebildiğini size söylüyordur.