Yerinde DDoS Cihazı Toplam Sahip Olma Maliyetini Neden Artırmaz, Düşürür

Bir ağ mimarı, yerinde çalışacak özel bir DDoS azaltma cihazı için bütçe istediğinde karşısına çıkan cevap bellidir: bu, zaten sahip olduğumuz bir şeyin tekrarı gibi görünüyor. Kurumda bir NGFW, bir IPS ve bir web uygulama güvenlik duvarı çalışmaktadır; üçünün de veri sayfasında flood korumasından söz eden bir satır vardır. Bütçe toplantısından dönen soru da haklıdır: kötü trafiği düşürmek için neden iki kez ödeyelim?

Bu refleks, güvenliği bir özellik listesi olarak okuyorsanız mantıklıdır. Firewall bozuk bir paketi düşürebiliyorsa ve azaltma cihazı da bozuk bir paketi düşürebiliyorsa, tabloda ikisi birbirinin yerine geçebilir görünür. Üstelik cihaz kabinde yer, elektrik, destek sözleşmesi ve yeni bir satın alma talebi demektir.

Bu okuma, maliyetin gerçekte nerede durduğunu kaçırıyor. Bir güvenlik yapısı, özellik listesinden çok sıralı bir işleme zinciridir. Zincirdeki her kontrol, kendisine ulaşan trafik hacmine göre boyutlandırılır, lisanslanır ve personellendirilir. Durum tutan ilk cihaza ne ulaştığını değiştirdiğinizde, arkasındaki her ticari modelin girdisini de değiştirmiş olursunuz. Bu makalenin savı budur ve finansın üzerinde işlem yapabileceği bir yerde biter: yerinde DDoS cihazı, kendisinden büyük birkaç kalemin aşağı inebilmesi için yukarı çıkan tek kalemdir.

Durum tutmanın paradoksu

Modern bir firewall’ı değerli kılan özellik, tam olarak flood saldırısının hedef aldığı özelliktir.

Durum tutan inceleme, firewall’ın paketleri tek tek ve bağlamsız değerlendirmediği anlamına gelir. Bir istemci bağlantı açtığında firewall kaynağı, hedefi, portları, sıra numaralarını ve protokol bayraklarını oturum tablosuna yazar ve bu kaydı tutmak için bellek ayırır. Sonraki paketler bu kayıtla eşleştirilir. Politika uygulamanın, kimlik farkındalığının ve derin incelemenin çalışabilmesi buna bağlıdır.

Durum tüketen saldırılar doğrudan bu belleği hedefler. SYN flood’da saldırgan hiç tamamlanmayacak bağlantı istekleri gönderir; firewall her biri için usulünce bir tablo kaydı açar ve hiç gelmeyecek olan onayı bekler. Tablo yarı açık bağlantılarla dolar. Tablo dolduğunda firewall yeni oturumları izleyemez ve önünde iki seçenek kalır, ikisi de kötüdür: yeni ve meşru bağlantıları düşürmek ya da açık kalıp incelemeyi bırakmak.

Üreticiler bunu SYN cookie, agresif oturum yaşlandırma ve bağlantı hızı sınırlarıyla karşılar. Bu yöntemler işe yarar, ama bedelsiz değildir. Kötücül bir paket için hesaplanan her kriptografik cookie, politika değerlendirmesine, imza eşleştirmesine veya yönlendirmeye ayrılamayan CPU demektir. Savunma, işlevle aynı bütçeye ortak olur.

Satın alma açısından belirleyici ayrım şudur: kendini savunan bir firewall, kurumu savunmuyordur. Firewall gelen trafiğin yarısını ayırt etmeden atarak ayakta kalıyorsa, o kurtulmuştur ama hizmetleriniz kurtulmamıştır. İzleme ekranında cihaz yeşil görünür, iş ise durmuştur.

Özel bir azaltma cihazı tasarımı gereği farklı davranır. Büyük ölçüde durum tutmaz ya da durumu tam bu desen için üretilmiş donanımda tutar; anormal trafiği, her akış için eksiksiz bir oturum kaydı oluşturmadan atar. Firewall’ın önüne konduğunda, durum tüketen saldırıyı firewall’ın arayüzleri onu hiç görmeden soğurur. Oturum tablosu gerçek kullanıcılarla dolu kalır.

Boyutlandırma ekonomisi: hangi zirveye göre satın alıyorsunuz?

Bu mimari fark, biri çıkıp sınırı boyutlandırdığı anda paraya dönüşür.

Firewall’lar zirvelere göre belirlenir: aktarım hızı, eşzamanlı oturum sayısı, saniyedeki yeni bağlantı sayısı. Üstüne üç ila beş yıllık ömür boyunca büyüme payı eklenir. Satın alma talebinin tutarını belirleyen soru, hangi zirveye göre boyutlandırdığınızdır.

Önünde bir azaltma katmanı yoksa saldırı trafiğinin dokunduğu ilk cihaz firewall’dır. Bu durumda boyutlandırma girdisi artık en yoğun meşru saatiniz değildir; yerinde soğurmayı beklediğiniz en büyük flood’dur. Durum tutan inceleme belleğe ve CPU’ya bağlı olduğu için bu zirveyi karşılamak genellikle biraz pay eklemekle değil bir üst şasi sınıfına çıkmakla mümkün olur.

Bu çıkış, teklifteki tek bir rakamdan ibaret değildir. Beraberinde daha büyük bir destek sözleşmesi, daha fazla elektrik ve daha fazla kabin alanı gelir. Üreticilerin çoğu yazılım lisanslarını platforma veya aktarım hızına göre kademelendirdiği için, URL filtrelemeden zararlı yazılım incelemesine kadar kutu üzerinde çalışan her abonelik de pahalanır. Saldırı zirvesini bir kez donanımda, sonra her yıl ona bağlı lisanslarda ödersiniz.

Sınıra bir azaltma cihazı koyduğunuzda girdi değişir. Artık firewall’ı, öngörebileceğiniz bir sayı olan meşru iş trafiğine göre boyutlandırırsınız. Öngöremeyeceğiniz saldırgan davranışı boyutlandırma girdisi olmaktan çıkar. Bu çoğu zaman daha küçük bir şasi sınıfı, daha alt bir lisans kademesi ve oturum tablosunun dolduğu gün yerine işin büyümesine göre planlanan bir yenileme demektir.

Atacağınız trafiği incelemenin maliyeti

Şasi sınıfının ötesinde, daha az görünen ikinci bir israf var: zaten atılacak trafiğe harcanan derin inceleme.

TLS şifre çözme, IPS imza eşleştirmesi ve WAF kural değerlendirmesi, yığındaki gigabit başına en pahalı işlemlerdir. Şifre çözme; anahtar değişimine girmeyi, şifre takımlarını uzlaşmayı, yükü çözmeyi, açık metni bellekte tutmayı, inceleme motorlarına devretmeyi ve çıkışta yeniden şifrelemeyi gerektirir. İmza ve kural motorlarının ise parçaları birleştirmesi, akışları normalleştirmesi ve yükleri geniş kural setlerine karşı değerlendirmesi gerekir. Bu adımların her biri, satın aldığınız, lisansladığınız ve elektriğini ödediğiniz bir yetenektir.

Yukarıda çöpü ayıklayan bir katman yoksa bu yetenek çöpe harcanır. Uygulama katmanı flood’unda WAF, her istek için kriptografik ve analitik dizinin tamamını çalıştırır ve sonunda isteği atar. Kurum da baştan beri incelemek istemediği trafiğe yetişebilmek için daha büyük bir inceleme platformu ve daha yüksek bir aktarım lisansı satın almış olur.

Azaltma cihazı bu trafiği pahalı aşamalara gelmeden davranışına bakarak düşürür: istek hızı, bozuk yapı, bilinen kötücül kaynaklar. Lisansladığınız inceleme kapasitesi de gerçekten ilgi çekici olabilecek trafiğe kalır.

Hiçbir teklifte görünmeyen kalem: olay çoğalması ve SIEM

Firewall ve inceleme tarafındaki tasarruflar gerçektir. Kurumları asıl hazırlıksız yakalayan kalem loglamadır; çünkü saldırı hacmiyle gerçek zamanlı büyüyen tek kalem odur ve yıllar önce imzalanmış bir sözleşmenin üzerine düşer.

SIEM platformlarının çoğu tüketime göre fiyatlanır: saniyedeki olay sayısı ya da günlük alınan veri hacmi. Her log satırı sayaca yazılır.

Bir flood yalnızca bant genişliği tüketmez. Telemetriyi çoğaltır. Tek bir kötücül paket, kendisini gören her cihazda bir log satırı üretebilir: sınır yönlendiricide bir akış kaydı, firewall’da bir reddetme, IPS’te bir imza uyarısı, WAF’ta bir kural eşleşmesi, yük dengeleyicide veya uygulamada bir hata. Tek paket, birkaç sisteme dağılmış birkaç faturalanabilir olaya dönüşür; mütevazı bir paket hızına sahip bir flood bile dakikalar içinde milyonlarca olay eder.

Bunun sonuçları dört biçimde gelir.

Lisans riski. Tüketime göre fiyatlanan platformlar aşımı faturalar ya da yenilemede sizi bir üst kademeye zorlar. Saldırının maliyeti, saldırı bittiğinde bitmez; gelecek yılın sözleşmesinde kalıcılaşır.

Depolama ve saklama. Uyum yükümlülükleri işe yarar olayla yaramaz olayı birbirinden ayırmaz. Saldırı telemetrisi de diğer her şeyle aynı takvimde, aynı depolama katmanında ve aynı ay sayısı boyunca saklanır.

Performans çöküşü. Veri alma hatları tıkanır, dizinleme geri kalır ve arama, analistlerin gerçeğin dakikalar hatta saatler gerisindeki bir sistemi sorguladığı noktaya kadar yavaşlar. En kötü durumda platform, kendini korumak için olay düşürmeye başlar.

Tespit kalitesi. Loglama platformu doyduğunda gerçek bir sızmayı görmek zorlaşır ve saldırganlar bunu bilir. Bu, güvenlik tarafına ait bir sonuçtur ve burada bir paragrafla geçiştirilemez; ayrı bir yazıda ele alıyoruz.

Sınıra konan bir cihaz aritmetiği kaynağında değiştirir. Aşağıdaki cihazlar kendilerine hiç ulaşmayan şeyi loglamaz. Kaydedilecek bir reddetme, uyarı üretecek bir imza, yükselecek bir uygulama hatası oluşmaz. SIEM’e vuran olay hacmi taban değerine yakın kalır; sözleşme de zaten o değere göre yazılmıştır.

Operasyonel maliyet: bütçelenmeyen mesai

Son tekrar eden kalem iş gücüdür ve güvenlik ekiplerinin en çok hissettiği kalem de budur.

Yukarıda soğuran bir katman yoksa saldırılar kurum genelinde belirtiler halinde ortaya çıkar: firewall’da CPU uyarıları, yük dengeleyicilerde bellek baskısı, uygulama izlemeden gecikme alarmları. Bu alarmlar birilerini telefonla arar.

Sonrasında her olay tam döngüyü işletir. Önce bunun bir arıza mı, sürüm sorunu mu, saldırı mı olduğunun anlaşılması gerekir. Eskalasyon kıdemli ağ personelini, çoğu zaman mesai dışında masaya çeker. Bir köprü toplantısı açılır. Mühendisler zaman baskısı altında paket kayıtlarını okur, elle erişim listesi veya hız sınırı yazar. Meşru trafiğin yanlışlıkla engellenmesi de en çok bu anda olur.

Doğrudan maliyet fazla mesai, çağrı ücretleri ve zaman zaman dışarıdan alınan destektir. Asıl büyük maliyet ise o kişilerin bu sırada yapamadığı iştir: segmentasyon projesi, kimlik göçü, tehdit avcılığı programı. Kaba flood’ları elle soğurmak, geride kalıcı hiçbir iyileşme bırakmayan pahalı bir iştir.

Beş yıllık tablo

Tek bir satın alma olarak sunulduğunda cihaz bir artıştır. Kurumun tamamı ve bir yenileme döngüsü üzerinden sunulduğunda ise kendisinden büyük birkaç kalemin yönünü değiştirir.

Bunlardan ikisi iddia değil kayıt düşülmesi gereken kalemdir. Şasi sınıfı ve lisans kademesi, ancak bir sonraki yenilemeniz saldırı trafiği yüzünden gerçekten yukarı çekiliyorsa düşer; o platformu zaten iş gereği alacaktıysanız ortada bir tasarruf yoktur. SIEM kalemi de ancak olay anında veri alımınız gerçekten yükseliyorsa düşer. Bu ölçülebilir bir şeydir ve bazı kurumlar ölçtüğünde durumun böyle olmadığını görecektir.

Savın zayıf tarafını da yazmak gerekiyor

Üç sınırı açıkça yazalım; çünkü ilk zor soruyu karşılayabilen bir iş gerekçesi, toplantıda kulağa daha hoş gelen bir gerekçeden değerlidir.

Fizik, cihazın yapabileceğini sınırlar. Cihaz, kendisini taşıyan hattı çoktan doyurmuş bir trafiği filtreleyemez. Flood erişim kapasitenizi aşıyorsa hat cihazın yukarısında dolar ve cihazın elinden bir şey gelmez. Bu çizginin üzerindeki her şey kaynağa daha yakın bir kapasite ister: operatör temizleme hizmeti ya da bulut katmanı. Yerinde cihaz bunun yerine geçmez. Cihazın kapsadığı yer çizginin altıdır; durum tüketen, uygulama katmanına yönelen ve hattı doyurmayan saldırılar da orada yaşar.

Maliyet kesindir, tasarruf değildir. Cihazın yatırım maliyeti, kendi lisansı ve destek yenilemesi sözleşmeye bağlıdır; bunlar her yıl bütçede durur. Tasarruf ise saldırı sıklığına, lisanslarınızın gerçekten tüketime göre fiyatlanıp fiyatlanmadığına ve bir sonraki yenilemenizin saldırı zirveleri yüzünden büyüyüp büyümediğine bağlıdır. Bazı üreticilerin lisans modeli, trafik azalsa bile kademeyi aşağı çekmenize izin vermez; böyle bir sözleşmede tasarruf kâğıt üzerinde kalır. Bunlar varsayımdır ve sunarken varsayım olduklarını söylemek gerekir.

Nadiren saldırıya uğrayan bir kurum bu parayı geri alamayabilir. Süregelen kampanya geçmişi yoksa ve bunu beklemek için özel bir sebep de yoksa bu, maliyet düşürme değil dayanıklılık yatırımıdır; öyle de savunulmalıdır. Mali işlere spekülatif tasarruf sunmak, güvenlik ekibinin bir sonraki talebinde salonu kaybetmesinin yoludur.

İş gerekçesini kurum içinde kurmak

CFO’yu oturum tablosu ilgilendirmez. Onu ertelenen yatırım, öngörülebilir işletme gideri ve pahalı insanların yalnızca pahalı insanların yapabileceği işi yapması ilgilendirir. Bunu finansal dile taşımak için kendi ortamınızdan dört ölçüm gerekir; üretici dokümanından değil.

1. Oturum tablosunun zirve doluluğu. Firewall’da normal bir hafta boyunca ve kaydını tuttuğunuz küçük flood’lar sırasında ölçün. Aradaki fark, firewall boyutlandırmanızın yalnızca saldırı trafiği yüzünden var olan kısmıdır.
2. Saniyedeki olay sayısı. Taban değerde ve olay anında, aralarındaki oranla birlikte. Bunu lisanslı tavanınızla ve aşım şartlarınızla karşılaştırın.
3. İnceleme kapasitesi payı. IPS ve WAF üzerinde ne kadar boş kapasite kaldığı ve tüketilen kapasitenin ne kadarının sonunda düşürülen trafiğe gittiği.
4. Olay saatleri. On iki ay boyunca DDoS müdahalesine yazılan saatler, mesai dışı eskalasyon dahil ve mali ekibinizin zaten tanıdığı bir iş gücü rakamına çevrilmiş olarak.

Sonra bunu bir ürün tartışması olarak değil mimari tartışması olarak sunun. Kurum bugün saldırgan davranışına göre boyutlandırılmış, lisanslanmış ve personellendirilmiş durumdadır. Bu değişiklik söz konusu girdileri iş davranışına geri taşır. Bu çerçeve incelemeye dayanır, çünkü bir sonraki saldırıyı tahmin etmeye değil mevcut mimarinin şu anda neye mal olduğunu anlatmaya dayanır.

Belirleyici kısıtı firewall değil loglama kademesi olan kurumlar için, PoC sırasında sınanmaya değer bir ayrıntı var: cihazın kendi loglaması, paket bazında değil olay bazında raporlayacak şekilde ayarlanabiliyor mu? Bir flood’u sessizce soğurup tek bir özet olay bildiren cihaz, SIEM savını gerçekten karşılar. Düşürdüğü her paket için bir log satırı ileten cihaz ise sorunu çözmez, yalnızca yerini değiştirir. Tespiti tamamen cihaz üzerinde çalıştıracak biçimde tasarlanan cihazlar aynı mimari sebeple sınırda özetleme eğilimindedir; yine de bu, kabul edilecek değil test edilecek bir konudur.

Doğru çerçeve

Tekrar refleksi anlaşılırdır ama yanlıştır. Özellik listelerini karşılaştırır ve güvenlik zincirindeki her kontrolün, kendisine ulaşan trafiğe göre boyutlandırıldığını, lisanslandığını ve personellendirildiğini gözden kaçırır.

Durum tüketen trafiğin ve hacimsel gürültünün durum tutan sınıra kadar gelmesine izin verdiğinizde, farkında olmadan şunları taahhüt etmiş olursunuz: firewall’ı olması gerekenden büyük almak, pahalı inceleme döngülerini çöpe harcamak, tüketime göre fiyatlanan bir loglama sözleşmesini şişirmek ve bir cihazın soğurması gereken trafik için gece nöbeti tutturmak. Bunların hiçbiri bütçede “DDoS” adlı bir kalem olarak görünmez. Şasi yükseltmesi, lisans kademesi, depolama büyümesi ve fazla mesai olarak görünür.

Yerinde azaltma cihazı, daha az görünen birkaç kalemin üzerindeki yukarı yönlü baskıyı kaldıran tek ve görünür kalemdir. Toplamın artıya geçip geçmediğini kendi ölçümleriniz cevaplar. Asıl sorulması gereken soru budur; tekrar refleksi ise başka bir soru sorar.