Yerel Tespit mi, Buluta Bağımlı Tespit mi: Ne Değişir

Her DDoS ürünü ayrılabilir iki iş yapar. Trafiğin düşmanca olduğunu çıkarır, ve bu konuda bir şey yapar. Pazarlama bunları tek yetenek sayar. Mimari saymaz, ve ikisi arasındaki dikiş yeri ürünlerin en çok ayrıştığı, kendilerini en az anlattığı yerdir.

Soru bir ürünün bulut istihbaratı kullanıp kullanmadığı değil. Neredeyse hepsi kullanıyor, ve kullanmakta haklılar. Soru ona ulaşılamadığında hangi işlevlerin durduğu.

Kısaca

Cihaz	Mimari	Kararın hesaplandığı yer	Dış yol koptuğunda kaybedilen
Tamamen yerel	Cihaz üstünde, kendi gözlemlerinden	Tespitte hiçbir şey; güncelleme ve destek durur
Yerel karar, dış zenginleştirme	Cihaz üstünde, indirilen beslemeyle	Besleme yaşlanır; tespit yerel kanıtla sürer
Bölünmüş karar	Dışarıda hesaplanır, yerelde uygulanır	Sınıflandırma durur; son politika uygulanmaya devam eder
Tamamen dışarıda	Sağlayıcının ağında, trafiğin temizlendiği yerde	Trafik hiç temizlenmiyor

Dördünden hiçbiri yanlış. Farklı biçimde arızalanıyorlar, ve alıcının işi soyut olarak bir mimariyi tercih etmek yerine kurumun hangi arızayı taşıyabileceğini bilmek.

İki değil dört mimari

Sektör bunu yerel ve bulut ikilemi olarak sunar. Aslında dört konum var, ve kafa karışıklığının çoğu ortadaki ikisinde duran ürünlerin kendilerini birincisiymiş gibi anlatmasından geliyor.

Tamamen yerel. Cihaz trafiğinizi gözler, normalin kendi resmini kurar ve karar verir. Bir düşürme kararına kurum dışından hiçbir şey katılmaz. Yazılım güncellemesi ve destek yine bir tedarikçi ister, ki bu satılmış her ürün için geçerlidir, ancak karar yolunda canlı bir servis durmaz.

Yerel karar, dış zenginleştirme. Karar cihaz üstünde hesaplanır. Girdiler yerel gözlem artı belirli aralıklarla indirilen veridir: itibar listeleri, saldırı imzaları, coğrafi veritabanları. İndirme başarısız olursa veri yaşlanır. Tespit durmaz, kademe kademe güncelliğini yitirir.

Bölünmüş karar. Analiz dışarıda olur. Telemetri neyin düşmanca olduğunu belirleyen bir servise aktarılır, uygulama ise yerel donanımda gerçekleşir. Yol koptuğunda uygulama en son kurulmuş politikayla sürer, ancak yeni hiçbir şey sınıflandırılmaz. Bu mimari yaygındır ve sık sık ilk iki mimariyle aynı dille anlatılır.

Tamamen dışarıda. Trafik bir sağlayıcının ağına yönlendirilir, orada hem sınıflandırılır hem temizlenir. Yolu kaybetmek tespiti bozmaz, trafiğin hiç korunmadığı anlamına gelir. Bunu satın alan herkes de bunu bilir.

Asıl değişenler

Karara kadar geçen süre

Yerel sınıflandırma bir paketi işleme süresinde karar verir. Bölünmüş karar mimarileri gidiş dönüş süresi artı analiz hızında karar verir. Yavaş yükselen hacimsel bir saldırı için bu yeterli, döngü kapanmadan biten bir darbe için zayıftır. Kısa ve tekrarlayan darbeli saldırılar kısmen bu boşluğu sömürdükleri için var.

Dış yol uzunsa etki katlanır. Uluslararası transiti ince olan bir kurum bu gecikmeyi savunmasına miras alır. İnce transit vakası bu yüzden karar yerelliğini tercih değil süreklilik meselesi sayar.

Yol koptuğundaki davranış

En önemli ve en az gösterilen özellik bu, çünkü demo çalışan bir ağda yapılır.

Sizi ilgilendiren arıza nadiren sağlayıcının çökmesidir. Genellikle kendi transitinizin bozulması, üstelik saldırı sırasında. Yani bağımlılığın ihtiyaç duyulduğu anda. Sınıflandırması dışarıya sağlam bir yol gerektiren mimari, o gerekliliği en çok gerektiği anda en az güvenilir biçimde karşılar.

Yeni vektörler

Burada üstünlük gerçekten ters yöne akıyor. Yalnız sizin trafiğinizi görmüş bir cihaz sizin normalinizi iyi öğrenir ve geçen hafta başka yerde ilk kez görülen bir saldırı örüntüsü hakkında hiçbir şey bilmez. Birçok ağa yayılmış paylaşılan bir bakış onu görür ve bilgiyi dağıtabilir.

Bilinen bir vektör için bunun değeri azdır. SYN selleri değişmedi ve her ürün onları karşılıyor. Yeni bir uygulama katmanı örüntüsü için değeri yüksek olabilir. Dış istihbaratı toptan reddeden alıcı gerçek bir şeyi çöpe atıyordur.

Ağdan ne çıkıyor

Bölünmüş karar ve tamamen dışarıda çalışan mimariler, trafik özelliklerinin analiz eden tarafa gitmesini gerektirir. Neyin gittiği çok değişir. Hacimleri özetleyen akış kayıtları ile tam paket içeriği bambaşka önermelerdir, ve fark sorulmadan nadiren söylenir.

Veri yerelliği rejimi varsa bu mimari tercihi bir uyum sorusuna dönüşür. KVKK ve veri yerelliği sayfası bu zemini ayrıntılı işliyor. DORA altındaysa aynı bağımlılık üçüncü taraf yoğunlaşma riski olarak yeniden karşımıza çıkar: dış servis gerektiren bir savunma, o servisi erişilebilirliğinizin bağlı olduğu şeyler listesine eklemiştir.

Ayıran sorular

Ürünü değil işlevleri sorun. Neredeyse her ürün, ürün geneline dair bir soruyu kendisine en uygun biçimde cevaplar, ve hepsi bunu dürüstçe yapabilir, çünkü çoğu karışımdır.

1. Hangi tespit işlevleri sizin işlettiğiniz bir servise erişim gerektiriyor?
2. O erişim kaybolursa hangileri değişmeden sürüyor, hangileri bozuluyor, hangileri duruyor?
3. Karar yolunda bir lisans ya da hak denetimi var mı, ve arıza kipi nedir?
4. Sınıflandırma için kurumdan ne çıkıyor, hangi biçimde, hangi yargı alanına, ne kadar saklanmak üzere?
5. Cihaz kopuk hâlde ne kadar çalıştıktan sonra davranışı ölçülebilir biçimde değişiyor?

Üçüncü soru, aksi hâlde yerel olan bir mimariyi yakalar. Tamamen kendi başına sınıflandıran ama lisansını doğrulayamadığında çalışmayı bırakan bir cihaz, tam da sayılan yerde bulut bağımlılığı taşır. Bu düzenleme gerçekten yaygındır ve hiçbir datasheet ondan bağımlılık diye söz etmez.

Bir öğleden sonrada ölçmek

Ölçüm, bu özelliği güvene dayanarak satın almayı mazur gösteremeyecek kadar basit.

Bir temel çekin: temsili bir servise temsili bir saldırı, düşürme oranı, meşru trafiğin hayatta kalması ve azaltmaya kadar geçen süre kaydedilerek. Sonra cihazın üreticiye giden yolunu kesin. Veri yolunu sökerek değil, güvenlik duvarından. Ve aynı koşuyu tekrarlayın.

Üç sonuç var, üçü de açık.

• Değişmedi: sınıflandırma yerel. Testin ne kadar sürdüğünü not edin. Bazı mimariler hemen değil, önbelleğe alınmış bir hak süresi dolduğunda bozulur, ve uzun koşu kısa koşudan fazlasını söyler.
• Kademeli bozulma: zenginleştirme kaybedildi. Verinin hangi sürede anlamsızlığa yaşlandığını belirleyin.
• Basamaklı düşüş: karar başka yerde veriliyormuş. Bu bir kusur sayılmaz, ancak artık planlayabileceğiniz bilinen bir özelliktir.

Testin tam yapısı ve bunu yasal ve güvenli tutmanın yolu kavram kanıtı metodolojisi ve yetkili test sayfalarında.

Bilerek seçmek

Riski hat doygunluğu olan bir kurum tespit yerelliği için eniyileme yapmamalı, çünkü işi üst katman yapıyor ve kararın nerede verildiği neredeyse önemsiz. Veri yerelliği yükümlülüğü olan, transiti ince olan ya da bozulmuş bir uluslararası yol boyunca çalışmayı sürdürmesi gereken bir kurum yapısal bir şey seçiyordur ve dört mimariden hangisini aldığını bilmelidir.

Karışık cevap genellikle doğru olandır ve bulut, yerinde ya da hibrit sayfasında hakkıyla işleniyor: gelen için yerel karar, hattı dolduracak olan için üst katman, ve biri çalışmazken diğerinin hâlâ ne yaptığına dair net bir anlayış. Önemli olan bu düzenlemenin olay sırasında keşfedilmek yerine seçilmiş olması.