UDP Seli

UDP selinde anlatacak mekanizma yoktur. Protokolde el sıkışma yok, durum yok, ve göndermek için alıcıdan izin gerekmez. Saldırgan paket üretir ve gönderir.

İlginç olan tek şey kaynakların gerçek olup olmadığıdır, ve o soru bütün müdahale seçeneklerini belirler.

Kısaca

Cihaz	Kaynak	Nasıl anlaşılır	Ne işe yarar
Sahte	Kaynaklar dağınık ve hiçbiri cevap beklemiyor	Kaynağa dayalı hiçbir önlem; hacim yukarıda durdurulur
Gerçek (botnet)	Kaynaklar gerçek adresler, bazıları cevap alıyor	Kaynak başına sınır ve coğrafi ayrım işe yarayabilir

İki satır aynı grafikleri üretir ve farklı müdahale ister. Ayırmadan önce yapılan her müdahale tahmindir.

Neyi tüketiyor

Bant genişliği, saldırgan yeterince gönderebiliyorsa. Hattınız dolduğunda yarışma yukarıda karara bağlanır.

Paket işleme bütçesi, ki daha yaygın sonuç budur. Küçük UDP paketleri yüksek hızda, yoldaki her cihazda paket başına iş üretir, ve cihaz bit hızından çok önce paket hızında doyabilir.

Kapalı porta cevap üretimi, sunucu ICMP “port erişilemez” üretiyorsa. Her paket bir giden paket üretir, ve sahte kaynak yüzünden o cevap ilgisiz birine gider.

Yükseltme yoktur: saldırgan elindekini gönderir. Yansıtma ve yükseltme ile karıştırılmasının sebebi ikisinin de UDP kullanmasıdır, ve ekonomileri tamamen farklıdır.

Benzer saldırılardan farkı

Yansıtma üçüncü taraf sunucuları kullanır ve saldırganın bant genişliğini çarpar. UDP seli çarpmaz.

DNS sorgu seli geçerli sorgulardan oluşur ve bir servisi tüketir. UDP seli çoğu zaman hiçbir servise gitmez; yalnız hacimdir.

ICMP seli neredeyse aynı davranır, ve ICMP bir denetim protokolü olduğu için toptan engellemenin bedeli çok daha yüksektir.

Ekranda görünenler

• Düşük bit hızına karşı yüksek paket hızı, ya da hattı dolduran yüksek bit hızı.
• Kapalı ya da beklenmeyen UDP portlarına yüksek trafik.
• Giden ICMP “port erişilemez” hızının yükselmesi.
• Kaynak dağılımı: sahtelik göstergesi olarak çok geniş, ya da botnet göstergesi olarak gerçek adreslerden oluşan geniş bir küme.
• Oturum sayıları değişmeden cihaz işlemcisinin yükselmesi.

Yaygın yanlış pozitifler

Meşru UDP servisleri. DNS, NTP, VPN, VoIP ve giderek QUIC. Hepsi meşru olarak yüksek UDP hızı üretebilir.

Oyun trafiği. Sürekli, küçük paketli, yüksek hızlı ve bağlantısız. Web kurumları için yazılmış bir savunmaya birebir saldırı gibi görünür.

Yedekleme ve kopyalama işleri. Zamanlanmış ve yüksek hacimli.

Katman katman azaltma

Kullanmadığınız portlara gelen UDP’yi kenarda atın. Ucuz, risksiz, ve hattı korumaz.

Kaynak başına hız sınırı, kaynaklar gerçekse. Sahteyse hiçbir şey yapmaz.

Üst katman filtreleme. Hacim hattı dolduruyorsa tek çalışan şey budur. Saldırının tarif edilebilir bir özelliği varsa FlowSpec, yoksa RTBH.

Giriş filtreleme, sahteciliği kaynağında azaltır ve herkesi korur.

Boyutlandırma. Hattınızın 64 baytlık çerçevede taşıyabileceği paket hızını bilmek, bu saldırı sınıfına karşı ne kadar hazır olduğunuzu belirler.

Operasyonel tuzaklar

UDP’yi toptan engellemek. DNS’i, VPN’i ve giderek web trafiğinin bir kısmını kesersiniz.

Kaynağın sahte olup olmadığını belirlemeden kaynak başına sınır koymak. Sahteyse hiçbir işe yaramaz ve meşru kullanıcıları keser.

Hattın dolduğu durumda kendi tarafınızda çare aramak. O noktada elinizdeki tek araç telefondur.

Güvenli doğrulama

Hattınızın küçük çerçeve paket hızında bir UDP seli üretin ve cihaz işlemcisinin doyduğu hızı, kullanılan çerçeve boyunu ve meşru UDP servislerinizin (DNS, VPN) hayatta kalıp kalmadığını kaydedin.

Sonra kenar filtresi devredeyken tekrarlayın. Kenar filtresinin arkadaki cihazları koruduğunu ve hattı korumadığını kendi ölçümünüzde görmek, boyutlandırma tartışmasını bitiren şeydir.

Yalıtım ve yetki gereklilikleri test laboratuvarı rehberinde.