Yansıtma ve Yükseltme Saldırıları

Saldırgan bir istek gönderir ve kaynak adresine kurbanın adresini yazar. İstek, cevap veren bir üçüncü taraf sunucuya gider. Sunucu protokolün gerektirdiği gibi cevap verir, ve cevap kurbana düşer.

Yansıtma budur. Yükseltme, cevabın istekten büyük olmasıdır, ve ikisi birlikte bir kaldıraç kurar.

Kısaca

Cihaz	Rol	Ne yapıyor	Sorumluluğu
Saldırgan	Sahte kaynaklı küçük istekler gönderiyor	Sahteciliğe izin veren bir ağdan çıkabiliyor
Yansıtıcı	İsteğe protokolün gerektirdiği gibi cevap veriyor	İnternete açık olmaması gereken bir servisi açık tutmuş olabilir
Kurban	Hiç istemediği cevapları alıyor	Hiçbiri; hattı doluyor ve elinde tek araç üst katman

Üç rolün ikisi kusurlu değil. Yansıtıcı doğru çalışıyor ve kurban hiçbir şey yapmadı; zincirin kırılabileceği tek yer birinci satırdaki sahteciliktir.

İki koşul

Saldırının çalışması için iki şeyin aynı anda doğru olması gerekir.

Kaynak sahtelenebilmeli. Saldırganın çıktığı ağ, ona ait olmayan bir kaynak adresi taşıyan paketin çıkmasına izin veriyor olmalı. Giriş filtreleme bunu keser, ve yeterince yaygın uygulanmadığı için saldırı sürüyor.

Protokol orantısız cevap vermeli. Küçük bir isteğe büyük bir cevap dönen bir servis olmalı. UDP tabanlı protokoller bunun için uygundur, çünkü el sıkışma yoktur ve sunucu kaynağın gerçek olup olmadığını doğrulamaz.

Birincisi kesilirse saldırı çalışmaz. İkincisi kesilirse yalnız o protokol için çalışmaz.

Katsayılar hakkında

Yayımlanmış yükseltme katsayıları sık sık şartname gibi okunur, ve değildir.

Katsayı, belirli ölçüm koşulları altında gözlemlenmiş bir orandır. Kullanılan istek tipi, yansıtıcının üzerinde duran veri, ve sunucunun göndermeyi seçtiği cevap, hepsi sonucu değiştirir. Aynı protokol için farklı kaynaklarda farklı rakamlar görürsünüz, ve hepsi doğru olabilir.

Bu sitedeki büyütme katsayıları veri seti, CISA’nın TA14-017A uyarısından birebir alındı ve ölçüm koşullarıyla birlikte yayımlandı. Bilerek “evrensel katsayı” sütunu içermiyor, çünkü öyle bir sütun uydurma olurdu.

Yaygın yansıtıcılar

Dört protokol tekrar tekrar karşımıza çıkıyor, ve her birinin kendi hikâyesi var:

DNS, açık çözümleyiciler üzerinden. Nüfus büyük ve protokol cömertçe cevap veriyor.

NTP, klasik olarak monlist komutu üzerinden; kısa bir sorguya uzun bir istemci listesi dönüyordu. Modern yapılandırmalar kapatıyor ve yamasız sunucular sürüyor.

SSDP, tüketici ağ cihazlarındaki keşif protokolü. Yansıtıcı nüfusu büyük, çünkü cihazlar kimsenin yönetmediği ev ekipmanı.

Memcached, açıkta kalan örnekler üzerinden; küçük bir istek büyük bir saklanmış değer döndürebildiği için gözlenen en yüksek katsayılardan bazılarını üretti. Doğru çare onu internete hiç açmamak.

Ekranda görünenler

• Tek bir kaynak porttan (53, 123, 1900, 11211) gelen yoğun UDP trafiği.
• Cevap boyu dağılımının dar ve büyük olması.
• İstek göndermediğiniz sunuculardan cevap almanız.
• Kaynak adreslerinin gerçek ve meşru servislere ait olması, ki bu onları engellemeyi zorlaştırır.
• Hattın hızla dolması; bu saldırı ailesi hacimsel olmak üzere tasarlandı.

Yaygın yanlış pozitifler

Meşru DNS ve NTP trafiği. Kaynak porta göre kaba bir engelleme, kendi çözümleyicilerinizden gelen cevapları da keser.

CDN ve büyük servis sağlayıcıları. Yansıtıcı listelerinde görünen adreslerin bir kısmı, aynı zamanda kullanıcılarınızın meşru olarak eriştiği servislerdir.

Katman katman azaltma

Üst katman filtreleme. Bu saldırı hacimsel olduğu için tek gerçek cevap yukarıda. Kaynak port ve paket boyu tarif edilebilir olduğu için FlowSpec genellikle iyi çalışır.

Kaynak porta göre hız sınırı, kendi tarafınızda, kalan trafiği sınırlar.

Giriş filtreleme, kendi ağınızda, sizi korumaz ve zincirin kırılabileceği tek yerdir.

Kendi servislerinizi denetleyin, ki yansıtıcı olarak kullanılmayasınız.

RTBH, hacim hattı doldurduysa ve hedef feda edilebiliyorsa.

Operasyonel tuzaklar

Yansıtıcıları kalıcı engellemek. Gerçek servislerdir ve arkalarında gerçek kullanıcılar olabilir.

Katsayıyı şartname sanmak. Kapasite planına yükseltme katsayısı girdisi koymak, gözlemi garantiye çevirmektir.

Kendi açık servislerinizi unutmak. Kurban olmak kadar yansıtıcı olmak da mümkündür, ve ikincisinin bedeli itibar ve kötüye kullanım bildirimleridir.

Güvenli doğrulama

Bu saldırıyı laboratuvar dışında üretmek üçüncü tarafları içerir ve yapılmamalıdır. Yansıtıcı, sizin sisteminiz değildir.

Yapılabilecek olan şey iki yönlü bir denetimdir:

1. Kendi internete açık servislerinizi tarayın ve yansıtıcı olarak kullanılabilecek olanları listeleyin.
2. Laboratuvarda, yansıtılmış trafiğin biçimini taklit eden bir sel üretin (tek kaynak porttan, büyük paketlerle) ve kenar filtrelerinizin onu tanıyıp tanımadığını ölçün.

Yetki çerçevesi yetkili testte, ve üçüncü taraf sunucuları içeren hiçbir test o çerçeveye girmiyor.