DDoS праз VPN: які адрас насамрэч выкрыты?
Тунэль хавае ваш адрас крыніцы ад адной паслугі, але не ваш уваходны канал, выхад VPN або пракінуты порт. Назавіце мэту, перш чым планаваць памякчэнне.
Пачніце з запыту, які павінен нанесці шкоду. Ён можа прыйсці на ваш хатні канал, на выхад VPN або на апублікаваную праграму за тунэлем. У кожнага пункта прызначэння свой ліміт ёмістасці і свой уладальнік, які можа фільтраваць трафік. Назваць мэту — гэта першы карысны крок, і падпіска на VPN адказвае толькі на адзін з трох.
Прайдзіце выкрыццё да атакі
Прасочыце адзін уваходны запыт ад інтэрнэту да рэсурсу, які ён павінен вычарпаць. Калі пункт прызначэння — ваш хатні адрас, ліміт — гэта канал доступу і ўскраіна правайдара. Калі гэта выхад VPN, ліміт належыць аператару VPN. Калі гэта пракінуты порт, вузкім месцам становіцца ўласная апрацоўка праграмы.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Тры мэты могуць быць атакаваныя разам, але памякчэнне адбываецца ў розных месцах. Запішыце, якую з іх ваш план нібыта абараняе.
Ваш уласны ўваходны канал захоўвае свой адрас
Прапусканне зыходнага трафіку праз тунэль змяняе тое, што бачаць аддаленыя паслугі. Яно не выдаляе адрас, які займае ваш канал доступу, і не пераносіць ёмістасць гэтага канала.
Трафік, накіраваны на канал, па-ранейшаму канкуруе з уласнымі пакетамі тунэля. Лакальны фаервол можа адкідваць пакеты пасля іх прыходу, але абмежаваны верхні паток ужо нясе іх. Гэтая розніца мае значэнне, калі канал насычаны, бо фільтр не можа вярнуць ёмістасць, якой ён ніколі не кіраваў. Звяжыцеся з правайдарам доступу праз яго працэс інцыдэнтаў, калі доказы паказваюць на гэты канал.
Выхад VPN цяпер — агульная залежнасць
Любы, хто назірае за выхадам VPN, можа замест гэтага адправіць туды непажаданы трафік. Ці паглыне яго правайдар, залежыць ад рэальнай ёмістасці, архітэктуры і любой службы памякчэння, якую ён трымае, а не ад шыфравання тунэля.
Агульны выхад можа таксама пацярпець ад інцыдэнту, накіраванага на іншага кліента або на навакольную сетку правайдара. Рэкамендацыі CISA па адмовах у абслугоўванні адзначаюць, што калі атакаваны інтэрнэт-правайдар або хмарны правайдар, сеткі, якія ніхто не выбіраў мэтай, таксама могуць згаснуць. Для сервера, які вы ўтрымліваеце самі, правайдар хостынгу ўсё яшчэ валодае верхняй ёмістасцю, якая прыходзіць да таго, як ваша гасцявая сістэма ўбачыць пакет. Фільтраванне ўнутры гасцявой сістэмы не можа вярнуць прапускную здольнасць, якая ўжо выдаткавана.
Апублікаваны порт патрабуе плана паслугі
Пракінуты порт наўмысна выкрывае праграму, таму запыты, якія выглядаюць законна, даходзяць да шляху яе апрацоўкі, як бы ні кантраляваўся доступ на тунэлі. Допуск на тунэлі, фільтраванне на хосце і аўтарызацыя праграмы пакрываюць розныя этапы, і ні адно з іх не гарантуе абароны ад вычарпання рэсурсаў.
Выкарыстоўвайце падтрыманыя ліміты паслугі, маніторынг і памякчэнне на верхнім узроўні, і назвіце таго, хто можа запытаць дапамогу падчас інцыдэнту. Спажывецкая падпіска на VPN не з’яўляецца доказам таго, што такія сродкі кантролю існуюць для вашай праграмы.
Трымайце дыягностыку суразмернай. Павольныя старонкі і абарваныя злучэнні таксама ўзнікаюць з-за абслугоўвання, канкурэнцыі за рэсурс або звычайных збояў, таму захоўвайце часовыя меткі і абмежаваныя назіранні для адказнага аператара. Ніколі не правярайце сцвярджэнне несанкцыянаваным патокам, а замест гэтага выкарыстоўвайце ўзгоднены план з уладальнікам інфраструктуры.