DDoS uz VPN: koja je adresa zaista izložena?
Tunel skriva vašu izvornu adresu od jedne usluge, ali ne i vaš uzlazni link, VPN izlaz ili proslijeđeni port. Imenujte metu prije planiranja ublažavanja.
Počnite sa zahtjevom koji bi trebalo da nanese štetu. On može stići na vaš kućni link, na VPN izlaz ili na objavljenu aplikaciju iza tunela. Svako odredište ima drugačiji limit kapaciteta i drugog vlasnika koji može filtrirati saobraćaj. Imenovanje mete je prvi koristan korak, a VPN pretplata odgovara samo na jednu od tri.
Prođite kroz izloženost prije napada
Pratite jedan dolazni zahtjev od interneta do resursa koji bi trebalo da iscrpi. Ako je odredište vaša kućna adresa, limit je pristupni link i ivica provajdera. Ako je VPN izlaz, limit pripada VPN operateru. Ako je proslijeđeni port, usko grlo postaje vlastita obrada aplikacije.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Tri mete mogu biti napadnute zajedno, ali se ublažavaju na različitim mjestima. Zapišite koju od njih vaš plan tvrdi da štiti.
Vaš vlastiti uzlazni link zadržava svoju adresu
Usmjeravanje odlaznog saobraćaja kroz tunel mijenja ono što vide udaljene usluge. Ono ne uklanja adresu koju drži vaš pristupni link niti pomjera kapacitet tog linka.
Saobraćaj usmjeren na link i dalje se takmiči sa vlastitim paketima tunela. Lokalni firewall može odbaciti pakete nakon što stignu, ali ograničeni uzlazni tok ih već nosi. Ta razlika je važna kada je link zasićen, jer filter ne može vratiti kapacitet koji nikada nije kontrolisao. Obratite se provajderu pristupa kroz njegov proces za incidente ako dokazi upućuju na taj link.
VPN izlaz je sada zajednička zavisnost
Svako ko posmatra VPN izlaz može tamo umjesto toga poslati neželjeni saobraćaj. Da li će ga provajder apsorbovati zavisi od stvarnog kapaciteta, arhitekture i bilo koje usluge ublažavanja koju održava, a ne od enkripcije tunela.
Zajednički izlaz može pretrpjeti i incident usmjeren na drugog korisnika ili na okolnu provajdersku mrežu. CISA-ine smjernice o uskraćivanju usluge primjećuju da kada se napadne ISP ili cloud provajder, mreže koje niko nije ciljao takođe mogu utrnuti. Za server kojim sami upravljate, hosting provajder i dalje posjeduje uzlazni kapacitet koji stiže prije nego što vaš gost vidi paket. Filtriranje unutar gosta ne može vratiti propusni opseg koji je već potrošen.
Objavljeni port zahtijeva plan za uslugu
Proslijeđeni port namjerno izlaže aplikaciju, pa zahtjevi koji izgledaju legitimno stižu do njene obrade bez obzira na to kako se kontroliše prijem na tunelu. Prijem na tunelu, filtriranje na hostu i autorizacija aplikacije pokrivaju različite faze i nijedna od njih ne garantuje zaštitu od iscrpljivanja resursa.
Koristite podržane limite usluge, nadzor i ublažavanje na uzlaznom putu i navedite ko može zatražiti pomoć tokom incidenta. Potrošačka VPN pretplata nije dokaz da ti kontrolni mehanizmi postoje za vašu aplikaciju.
Neka dijagnoza bude srazmjerna. Spore stranice i prekinute veze dolaze i od održavanja, nadmetanja za resurs ili običnih kvarova, pa sačuvajte vremenske oznake i ograničena zapažanja za odgovornog operatera. Nikada ne provjeravajte tvrdnju neovlaštenim poplavom, već umjesto toga koristite odobren plan sa vlasnikom infrastrukture.