TCP ACK Seli

ACK seli bakıldığında sıradan görünür. Paketler iyi biçimlenmiş TCP segmentleridir, ACK bayrağı taşırlar, olağan boydadırlar ve yüksek hızla gelirler. Onları düşmanca yapan şey, hiçbirinin alıcının kaydı bulunan bir konuşmaya ait olmamasıdır.

Kısaca

Cihaz	Özellik	ACK seli	SYN seli
Paketin iddiası	Var olan bir konuşmaya ait olduğu	Yeni bir konuşma başlattığı
Tüketilen kaynak	Arama bütçesi, ve cevap üretimi	Yarı açık bağlantı tablosu
El sıkışma savunmaları	Uygulanmaz, ortada el sıkışma yok	Doğrudan uygulanır, SYN çerezi maliyeti kaldırır
Tipik tespit sinyali	Eşleşen oturum olmadan yüksek ACK hızı	Düşük tamamlanmayla yüksek SYN hızı

Üçüncü satır, bir kurumun SYN sellerine karşı iyi savunulmuş ve buna karşı tamamen açık olabilmesinin sebebi.

Neyi tüketiyor

İki kaynak, ve insanların hafife aldığı birincisi.

Arama bütçesi. Gelen her TCP segmenti, herhangi bir karar verilmeden önce oturum tablosuyla eşleştirilmek zorundadır. Bir şeyi düşürmeye karar vermek yine de o aramaya mal olur, yani cihaz verdiği karardan bağımsız olarak saldırganın seçtiği hızda paket başına iş yapıyordur.

Cevap üretimi. Bir cihaz ya da sunucu eşleşmeyen segmente sıfırlamayla cevap veriyorsa her saldırı paketi bir de giden paket üretir. Bu işi ikiye katlar, ve kaynak genellikle sahte olduğu için sıfırlama olayla ilgisi olmayan birine gider.

İki kaynak da bant genişliği değil. ACK seli, hattı zorlayacak hızın çok altında durum tutan bir cihazı tüketebilir.

Benzer saldırılardan farkı

SYN seli yeni durum ayrılmasına saldırır. ACK seli var olan durumun aranmasına saldırır. Bu fark hangi savunmanın geçerli olduğunu belirler.

SYN koruması, istemci var olduğunu kanıtlayana kadar bellek ayırmayı reddederek çalışır. ACK seli hiç ayırma talep etmez. Paket, işin zaten yapıldığını iddia eder, ve cihaz aksini öğrenmek için bakmak zorundadır.

RST ve FIN selleri aynı biçimde davranır ve sık sık bu vektörle birlikte anılır. Mekanizma aynı: var olan bir konuşmayı ima eden bir bayrak, kontrol etmek zorunda olan bir cihaza gönderiliyor.

Ekranda görünenler

• Eşleşmeyen segment hızı keskin yükselir, ve çoğu kurum bunu grafiklemiyor.
• ACK-oturum oranı olağan bandından çıkar.
• Eşleşmeyene cevap veren cihazlarda giden sıfırlama hızı yükselir.
• Durum tutan cihazlarda işlemci yükselirken oturum sayısı artmaz. Bunu gerçek bir trafik yükselişinden ayıran imza budur.
• Bit hızı çoğu zaman sıradan görünür, çünkü paketler küçüktür.

Yaygın yanlış pozitifler

Asimetrik yönlendirme. Cihaz bir konuşmanın tek yönünü görüyorsa meşru ACK’ler gerçekten hiçbir oturumla eşleşmez. Bu tam olarak saldırı gibi görünen bir yapılandırma sorunudur ve bir şeyi sıkmadan önce elenmelidir.

Yük dengeleyici ya da güvenlik duvarı devralması. Devralmış bir cihazın henüz oturum tablosu yoktur, yani bir süre boyunca kurulu her konuşmadan gelen her paket eşleşmez.

Uzun süre boşta kalan oturumlar. Kaydı cihazda düşen ama uçlarda düşmeyen bir konuşma, hiçbir şeyle eşleşmeyen bir segmentle devam eder.

Üçü de eşleşmeyen segment hızına otomatik düşürme kurmak yerine alarm kurmak için sebeptir.

Katman katman azaltma

Durum tutan aşamanın önünde durumsuz filtreleme. Ucuz işi önce yapan ve yalnız hayatta kalana bellek ayıran ilke burada birebir geçerli: sabit maliyetle paket özelliklerine göre eleyen bir aşama, arkasındaki arama bütçesini korur.

ACK’leri genel olarak değil eşleşmeyen segmentleri hız sınırlayın, böylece olağan trafik etkilenmez ve saldırının karakteristiği sınırlanır.

Sıfırlama üretimini bastırın ya da sınırlayın. İşi yarıya indirir ve sahte adreslere sıfırlama göndermenizi durdurur.

Üst katman filtreleme, kaynaklar tarif edilebilecek kadar yoğunsa. Bayrak ve hız eşleşmesi ifade edilebilir ve hattınızın üstüne itilebilir.

Operasyonel tuzaklar

SYN korumasının bunu kapsadığını varsaymak. Bu alandaki en yaygın ve en pahalı varsayım.

ACK trafiğini geniş biçimde engellemek. ACK, TCP’nin çoğudur. Kaba bir kural kurumdaki her kurulu konuşmayı bozar.

Önce asimetrik yönlendirmeyi elememek. Asimetrik yönlendiren bir kurumda eşleşmeyen segment işlemesini sıkmak, saldırının başarılı olması gibi görünen bir kesinti üretir.

Güvenli doğrulama

Seli, oturum tablosunu izleyebildiğiniz bir laboratuvar hedefine karşı üretin ve üç şeyi kaydedin: eşleşmeyen segment hızı, cihaz işlemcisi ve giden sıfırlama hızı. İşe yarayan ölçüm işlemcinin doyduğu paket hızıdır, ki bu genellikle cihazın duyurduğu throughput’un çok altındadır ve datasheet rakamıyla karşılaştırılacak sayı odur.

Ortam ve yalıtım gereklilikleri test laboratuvarı rehberinde, yetki zemini yetkili testte.