Zaten Sahip Olduğunuz Tepeye Göre Boyutlandırmak: Yoğunluk Dönemlerinde DDoS Kapasitesi

Neredeyse her DDoS boyutlandırma tatbikatı aynı soruyu soruyor: bu tasarım ne büyüklükte bir saldırıyı atlatmalı? Makul bir soru ve bir sayı üretiyor, ve o sayı, her operasyon ekibinin bilinen bir takvimde karşılaştığı belirli bir durum için yanlış.

Söz konusu durum daha büyük bir saldırı değil. Meşru yük çoktan yıllık en yükseğindeyken gelen sıradan bir saldırı. Kara Cuma gecesi, Ramazan öncesi market yoğunluğu, maaş gününde bankacılık uygulaması, sınav sonuçlarının açıklandığı saat, vergi beyanının son günü. Bunu kendi rehberine değer kılan şey trafiğin yüksek olması değil. Normalde birbirinden bağımsız arızalanan dört şeyin birlikte arızalanması, ve her birini ayrı ayrı karşılayan tasarımın hiçbirini aynı anda karşılayamaması.

Aşağıdakilerin hiçbiri, belirli bir günün ne kadar trafik ürettiğine dair bir istatistiğe dayanmıyor. Sav yapısal, ve içinde önem taşıyan tek sayılar sizinkiler.

Türkiye’de takvim nereye düşüyor

Yoğunluk dönemi tek bir tarih değil sektöre göre değişen bir takvim. Ortak özellikleri, hepsinin önceden bilinmesi.

Perakende ve ödeme. Ramazan ve bayram öncesi, Kara Cuma, yılbaşı. Kart yetkilendirme yolları yılın en dar zaman aşımı bütçesinde çalışıyor ve gecikmiş bir işlem reddedilmiş bir işlem.

Bankacılık. Maaş ödeme günleri, vergi beyan ve ödeme son tarihleri, kredi kampanya açılışları. Talep saatlere değil dakikalara sıkışıyor.

Kamu portalları. Başvuru, yenileme ve beyan pencereleri. Yayımlanmış bir son tarih, hem meşru yükün hem aksatma değerinin en yüksek olduğu anı ilan ediyor.

Eğitim. Sınav başvuru ve sonuç açıklama günleri. Milyonlarca kişi aynı saatte aynı uç noktaya gidiyor, ve alternatif bir kanal yok.

Medya ve etkinlik. Seçim geceleri, büyük maçlar, bilet satış açılışları. Canlı bir olayı bir saat geç sunamazsınız.

Bu listeyi bir yerden kopyalamayın. Kendi sınırınızdaki akış kayıtlarını alın ve yılın hangi saatlerinin gerçekten zirve olduğunu çıkarın; sonuç sık sık ekibin tahmininden farklı çıkıyor.

Birlikte kırılan dört şey

Payınız zaten harcanmış. Yerinde bir cihaz sizi erişim hattınız dolu değilken korur; üstünde, cihaz işe yarar bir şey görmeden hat doymuştur. Bir tepe döneminde meşru trafik o hattın olağandışı bir kısmını tüketiyordur, yani onu doldurmak için gereken saldırı hacmi, tepenin tükettiği miktar kadar küçülmüştür. Mart ayındaki boyutlandırma tatbikatınızın rahatça emilebilir saydığı bir saldırı, bu pencerede hattı doyuran bir saldırı olabilir.

Temel ölçüleriniz başka bir servisi tarif ediyor. Davranışsal tespit olağanın neye benzediğini yakın geçmişten öğrenir, ve çoğu üründe yakın geçmiş gün demektir. Tepe trafiği gerçekten farklıdır: hacimde, günün saatine göre dağılımda, coğrafyada, cihaz karışımında, hangi uç noktaların vurulduğunda. Tespit yapmak üzere kurulduğu şeyi yapar ve gerçek kullanıcılarınızın büyük bir kısmının aykırı olduğu sonucuna varır. En kötü yanlış pozitif oranı tam olarak bir yanlış pozitifin en pahalı olduğu dönemle çakışır.

Ayarlayarak kurtulamazsınız. Çoğu eşiğin arkasındaki örtük plan olay sırasında ayarlarız’dır. Bu pencerelerde genellikle bir değişiklik dondurması yürürlüktedir; sık sık yılın en sıkısı, ve haklı olarak. Plan, ihtiyaç duyulan tek anda kullanılamaz durumdadır.

El kitabı bu trafikle hiç karşılaşmamış. Saptırma yordamı, eğer denendiyse, olağan hafta içi trafiğine karşı denenmiştir. Yılda bir kez oluşan bir biçime karşı, ekibin yılda bir kez gördüğü hacimlerle, ve yordamı bilen insanların yine olağandan farklı bir çizelgede olduğu bir dönemde hiç denenmemiştir.

Dördü de tek tek yönetilebilir. Birlikte, planladığınız her azaltmanın ya kullanılamaz ya yanlış ayarlanmış olduğu bir senaryoyu tarif ediyorlar.

Çare çoğunlukla süreç, ve ucuz

Dördünden üçü süreç problemi, ki bu iyi haber: süreç kapasiteden çok daha ucuz.

Ortalama değil tepe temel ölçülerine karşı prova edin. Bu, tepe temel ölçülerine sahip olmayı gerektirir, o da tepeyi yakalamayı. Bir operasyon ekibinin bu pencerelerden birinde yapabileceği en yüksek getirili eylem, onun temsili bir kaydını saklamaktır. Tam ya da örneklenmiş, depolama bütçesi neye izin veriyorsa. O kayıt ertesi yılın test korpusu olur: ayar için, el kitabını denemek için, ve bir aday cihazı sentetik sellere karşı değil zor duruma gerçekten benzeyen bir trafiğe karşı deneme kurulumundan geçirmek için.

Saptırmayı dondurma penceresi açılmadan önce yetkilendirin. Çoktan belgelenmiş olan teknik adımları değil, kararı. Kim tetikleyebilir, hangi gözlenen koşulda, hangi bildirimle ve hangi zaman sınırıyla. Bu, pencereden iki hafta önce yazılı olarak karara bağlandıysa, pencere sırasındaki eylem bir dondurmaya istisna gerektiren yeni bir karar değil mevcut bir kararın uygulanması olur. Bir toplantıya mal olur ve en yaygın gecikme kaynağını ortadan kaldırır.

Pencerenin eşiklerini önceden ve bilinçle koyun. Tespit mevsimsel bir profil tutamıyorsa dürüst cevap, pencereden önce hangi yönde yanılmayı tercih edeceğinizi seçmek ve sebebini yazmaktır. Tanımlı bir dönem için, telafi edici izlemeyle birlikte, düşük duyarlılığı bilinçli olarak kabul etmiş bir ekip, olayın ortasında hiçbir şeyi değiştiremeyeceğini keşfeden bir ekipten farklı bir konumdadır.

Paket düzeyindeki kanıtı yerelde tutun. Yılın en görünür gecesinde yaşanan bir olayın sonrasındaki inceleme, operasyon merkezinde bulunmamış insanları içerecek: yöneticiler, düzenleyiciler, bazen kamu. Sorular belirli olacak ve haftalar sonra gelecek. Cevabı, süresini sizin koyduğunuz bir saklamayla kendi deponuzdan üretmek bir sorgudur; bir üçüncü taraftan istemek, onların saklama penceresi içinde cevaplanan bir destek kaydıdır. Aynı sav KVKK ve veri yerelliği sayfasına başka bir yoldan varıyor.

Satın alma gerekliliği olan tek şey

Dördüncü problem, yani kayan pencereden öğrenilen temel ölçüler, süreçle çözülmüyor, ve bir ihaleye konmaya değer madde de o.

Gereklilik şu: cihaz, hemen önceki günlerden başka bir dönemde öğrenilmiş bir trafik profilini saklayıp uygulayabilmeli. Şartname diliyle: sistem, tanımlı bir geçmiş pencerede yakalanmış öğrenilmiş bir temel ölçünün saklanmasını ve seçmeli olarak uygulanmasını desteklemeli, ve o profilin belirlenen bir gelecek dönemde anomali tespitinin referansı olarak uygulanmasına izin vermelidir.

Bu sınanabilir. Bir adaya geçen yılın tepesinden saklanmış bir kayıt verin, güncel trafikmiş gibi yeniden oynatın, ve tespitin ne sonuca vardığını gözleyin; mevsimsel profil uygulanmış ve uygulanmamış hâlde. Ürünler arasındaki fark burada büyük, modelleri değil cihaz sınıflarını ayırıyor, ve bir veri sayfasında neredeyse hiç görünmüyor, çünkü buna ihtiyacı olan alıcılar pazarın azınlığı.

İki ilgili özelliği aynı anda kontrol etmeye değer, çünkü dondurma problemiyle etkileşiyorlar. Politikanın zamanlanabilir olup olmadığı, yani bir profilin pencere sırasında bir insan değişiklik yapmadan bir tarihte devreye girip girmediği; ve tespitin ağınızın dışındaki bir şeye bağlı olup olmadığı, çünkü dış bir bağımlılık, olağandışı yükün olduğu bir dönemde beklenmedik davranabilecek bir şey daha demektir. HARPP DDoS Mitigator tespitini müşterinin kendi altyapısında çalıştırıyor; yani saklanmış bir tepe kaydına karşı yapılan ayar, dışarıdaki herhangi bir servis ne yaparsa yapsın geçerli kalır. Temel ölçümünün ihtiyacınız olan biçimde mevsimsel bir profili destekleyip desteklemediği ise güvenilecek değil deneme kurulumuna konacak şeydir. Radware DefensePro’nun davranışsal geçmişi güçlü ve bu biçimde sınanacak diğer bariz aday.

Cihaz	Ortalama haftaya göre boyutlanmış	Çakışan tepeye göre boyutlanmış
Varsayılan pay	Hat doluluğu tipik düzeyde	Hat çoktan yıllık en yükseğini taşıyor
Tespit temel ölçüsü	Kayan pencere, sürekli yeniden öğrenilen	Mevsimsel profil, önceki döngüden tutulmuş
En kötü anda yanlış pozitifler	En yüksek, çünkü olağan olağandışı görünüyor	Sınırlı, çünkü bu olağan öğrenilmişti
Olay sırasında ayar	Yapılabilir varsayılıyor	Yapılamıyor — değişiklik dondurması yürürlükte
Saptırma yetkisi	Gerektiğinde karara bağlanıyor	Dondurma penceresi açılmadan önce yetkilendirilmiş
El kitabı provası	Olağan trafiğe karşı	Geçen yılın tepesinin yeniden oynatılmasına karşı
Üreticinin göstermesi gereken	Hat hızında verim	Temel ölçümün mevsimsel bir profil tutabildiği

Cihaz sınıflarını birbirinden ayıran satır sonuncusu, ve bir ihalede neredeyse hiç bulunmuyor. Üstündeki her şey süreç, ve süreç kapasiteden ucuz.

Takvim biçiminde bir kontrol listesi

Bilinen bir pencereden geriye doğru çalışarak:

On iki hafta önce. Dondurma tarihlerini teyit edin. Tepeyi hangi servislerin taşıdığını belirleyin. Geçen yılın kaydı varsa çıkarın; yoksa bu yılınkini planlayın.

Altı hafta önce. Saptırma el kitabını olağan trafiğe karşı değil saklanmış tepe kaydına karşı prova edin. Karardan azaltmaya geçen süreyi, üst katman sağlayıcısının yayımladığı rakamı kabul etmek yerine kendi ağınızda ölçün.

İki hafta önce. Saptırmayı yazılı olarak yetkilendirin: tetikleyen koşul, yetki düzeyi, bildirim listesi, zaman sınırı, gözden geçirme noktası. Mevsimsel tespit profilini uygulayın ya da zamanlayın. Aynı gece müşterilerinin çoğu saptırdığında davranışının ne olduğunu üst katman sağlayıcısına teyit ettirin.

Sırasında. Yakalayın. Başka ne olursa olsun yakalayın; ertesi yılı ucuzlatan korpusun tek kaynağı bu penceredir.

Dört hafta sonra. Kayıt elinizdeyken inceleyin. Ne ateşlendi, ne ateşlenmeliydi, tespit neyi yanlış adlandırdı, ve dondurma izin verseydi neyi değiştirirdiniz. O liste ertesi yılın ayar planıdır, ve herhangi bir üreticinin ayar tavsiyesinden değerlidir, çünkü sizin trafiğinizle ilgili.

Dürüst sınır

Bunların hiçbiri kapasite yaratmıyor. Çakışan hacim erişim hattınızı aşarsa yerel katman bir paket görmeden kaybetmiştir, ve cevap, dondurmadan önce anlaşılmış bir yordamla devreye giren üst katman kapasitesidir. Yukarıdakilerin değeri, o üst katmana ihtiyaç duyduğunuz noktayı öteye taşıması, devri panik yerine bilinçli hâle getirmesi, ve tespitin ilk olayın içinde ikinci bir olay yaratmasını engellemesi.

Ve zaten mevsimsel profil çalıştıran, yakalanmış tepelere karşı prova eden ve saptırmayı önceden yetkilendiren bir ekibin bu rehbere ihtiyacı yok. Gözlemimize göre o ekip, pratiğin hak ettiğinden daha nadir. Çözümleme zor değil; yalnızca bir projeye değil bir takvime ait, ve takvimlerin bütçe sahibi olmuyor.

Kaynaklar ve ileri okuma

Buradaki ilgili girdilerin tamamı içeride: sınırdaki kendi akış kayıtlarınız, kendi hat doluluk geçmişiniz, kendi dondurma takviminiz. Genel olarak boyutlandırma sorusu için kapasite boyutlandırma rehberine ve mimari karşılaştırmasına bakın; yanlış pozitifin nasıl ölçüleceği için yanlış pozitif testine bakın.