DDoS μέσω VPN: ποια διεύθυνση εκτίθεται πραγματικά;
Μια σήραγγα κρύβει τη διεύθυνση προέλευσης από μία υπηρεσία, αλλά όχι τον ανάντη σύνδεσμο, την έξοδο του VPN ή μια προωθημένη θύρα. Ονομάστε τον στόχο πριν σχεδιάσετε την άμβλυνση.
Ξεκινήστε από το αίτημα που υποτίθεται ότι θα προκαλέσει ζημιά. Μπορεί να φτάσει στον οικιακό σας σύνδεσμο, στην έξοδο του VPN ή σε μια δημοσιευμένη εφαρμογή πίσω από τη σήραγγα. Κάθε προορισμός έχει διαφορετικό όριο χωρητικότητας και διαφορετικό ιδιοκτήτη που μπορεί να φιλτράρει την κίνηση. Το να ονομάσετε τον στόχο είναι το πρώτο χρήσιμο βήμα και μια συνδρομή VPN απαντά μόνο σε ένα από τα τρία.
Δείτε την έκθεση πριν από την επίθεση
Ακολουθήστε ένα εισερχόμενο αίτημα από το διαδίκτυο προς τον πόρο που υποτίθεται ότι θα εξαντλήσει. Αν ο προορισμός είναι η διεύθυνση του σπιτιού σας, το όριο είναι ο σύνδεσμος πρόσβασης και η άκρη του παρόχου. Αν είναι η έξοδος του VPN, το όριο ανήκει στον διαχειριστή του VPN. Αν είναι μια προωθημένη θύρα, η ίδια η επεξεργασία της εφαρμογής γίνεται το σημείο συμφόρησης.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Οι τρεις στόχοι μπορούν να δεχτούν επίθεση μαζί, αλλά αμβλύνονται σε διαφορετικά σημεία. Γράψτε ποιον από αυτούς ισχυρίζεται το σχέδιό σας ότι προστατεύει.
Ο δικός σας σύνδεσμος προς τα πάνω κρατά τη διεύθυνσή του
Η δρομολόγηση της εξερχόμενης κίνησης μέσα από σήραγγα αλλάζει αυτό που βλέπουν οι απομακρυσμένες υπηρεσίες. Δεν αφαιρεί τη διεύθυνση που κατέχει ο σύνδεσμος πρόσβασης ούτε μετακινεί τη χωρητικότητα αυτού του συνδέσμου.
Η κίνηση που στοχεύει τον σύνδεσμο εξακολουθεί να ανταγωνίζεται τα ίδια τα πακέτα της σήραγγας. Ένα τοπικό τείχος προστασίας μπορεί να απορρίψει πακέτα αφού φτάσουν, αλλά το περιορισμένο ανάντη ρεύμα τα μεταφέρει ήδη. Αυτή η διαφορά μετράει όταν ο σύνδεσμος είναι κορεσμένος, γιατί ένα φίλτρο δεν μπορεί να επιστρέψει χωρητικότητα που ποτέ δεν έλεγξε. Επικοινωνήστε με τον πάροχο πρόσβασης μέσω της διαδικασίας περιστατικών του αν τα στοιχεία δείχνουν αυτόν τον σύνδεσμο.
Η έξοδος του VPN είναι πλέον κοινή εξάρτηση
Όποιος παρατηρεί την έξοδο του VPN μπορεί να στείλει ανεπιθύμητη κίνηση εκεί αντ’ αυτού. Το αν ο πάροχος θα την απορροφήσει εξαρτάται από την πραγματική χωρητικότητα, την αρχιτεκτονική και τυχόν υπηρεσία άμβλυνσης που διαχειρίζεται, όχι από την κρυπτογράφηση της σήραγγας.
Μια κοινή έξοδος μπορεί επίσης να υποφέρει από περιστατικό που στοχεύει άλλον πελάτη ή το γύρω δίκτυο του παρόχου. Η καθοδήγηση της CISA για την άρνηση υπηρεσίας επισημαίνει ότι όταν δέχεται επίθεση ένας πάροχος διαδικτύου ή ένας πάροχος νέφους, δίκτυα που κανείς δεν στόχευσε μπορούν επίσης να σκοτεινιάσουν. Για έναν διακομιστή που διαχειρίζεστε μόνοι σας, ο πάροχος φιλοξενίας κατέχει ακόμη την ανάντη χωρητικότητα που φτάνει πριν ο φιλοξενούμενος σας δει πακέτο. Το φιλτράρισμα μέσα στον φιλοξενούμενο δεν μπορεί να επαναφέρει εύρος ζώνης που έχει ήδη δαπανηθεί.
Μια δημοσιευμένη θύρα χρειάζεται σχέδιο υπηρεσίας
Μια προωθημένη θύρα εκθέτει σκόπιμα μια εφαρμογή, οπότε αιτήματα που φαίνονται νόμιμα φτάνουν στη διαδρομή επεξεργασίας της, όσο κι αν ελέγχεται η εισδοχή στη σήραγγα. Η εισδοχή στη σήραγγα, το φιλτράρισμα στον κεντρικό υπολογιστή και η εξουσιοδότηση της εφαρμογής καλύπτουν διαφορετικά στάδια και κανένα από αυτά δεν εγγυάται προστασία από την εξάντληση πόρων.
Χρησιμοποιήστε τα υποστηριζόμενα όρια της υπηρεσίας, την παρακολούθηση και την ανάντη άμβλυνση, και ονομάστε ποιος μπορεί να ζητήσει βοήθεια κατά τη διάρκεια ενός περιστατικού. Μια καταναλωτική συνδρομή VPN δεν αποδεικνύει ότι αυτοί οι έλεγχοι υπάρχουν για την εφαρμογή σας.
Κρατήστε τη διάγνωση αναλογική. Οι αργές σελίδες και οι διακοπτόμενες συνδέσεις προέρχονται και από συντήρηση, ανταγωνισμό για πόρους ή συνηθισμένες βλάβες, γι’ αυτό φυλάξτε χρονικές σφραγίδες και περιορισμένες παρατηρήσεις για τον υπεύθυνο διαχειριστή. Μην επικυρώνετε ποτέ τον ισχυρισμό με μη εξουσιοδοτημένη πλημμύρα και χρησιμοποιήστε ένα εγκεκριμένο σχέδιο με τον ιδιοκτήτη της υποδομής.