DDoS VPN-nel: melyik cím van valójában kitéve?
Az alagút elrejti a forráscímedet egy szolgáltatás elől, de nem a felső kapcsolatodat, a VPN-kimenetet vagy egy továbbított portot. Nevezd meg a célt, mielőtt enyhítést tervezel.
Kezdd azzal a kéréssel, amelynek ártania kell. Megérkezhet az otthoni kapcsolatodra, a VPN-kimenetre vagy az alagút mögött közzétett alkalmazásra. Minden célállomásnak más a kapacitáskorlátja, és más a tulajdonosa, aki szűrheti a forgalmat. A cél megnevezése az első hasznos lépés, és egy VPN-előfizetés csak egyre ad választ a háromból.
Járd végig a kitettséget a támadás előtt
Kövess végig egy bejövő kérést az internettől az erőforrásig, amelyet ki kell merítenie. Ha a cél a háztartásod címe, a korlát a hozzáférési kapcsolat és a szolgáltató pereme. Ha a VPN-kimenet, a korlát a VPN-üzemeltetőé. Ha továbbított port, az alkalmazás saját feldolgozása lesz a szűk keresztmetszet.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
A három cél együtt is támadható, de enyhítésük különböző helyeken történik. Írd le, melyiket állítja védeni a tervet.
A saját felső kapcsolatod megtartja a címét
A kimenő forgalom alagúton át történő átirányítása megváltoztatja, mit látnak a távoli szolgáltatások. Nem távolítja el a hozzáférési kapcsolatodon lévő címet, és nem mozdítja el annak a kapcsolatnak a kapacitását.
A kapcsolatra irányuló forgalom továbbra is versenyez az alagút saját csomagjaival. Egy helyi tűzfal eldobhatja a csomagokat, miután megérkeztek, de a korlátozott felső irány már szállítja őket. Ez a különbség akkor számít, amikor a kapcsolat telített, mert egy szűrő nem adhat vissza olyan kapacitást, amelyet soha nem irányított. Fordulj a hozzáférési szolgáltatóhoz annak incidensfolyamatán keresztül, ha a bizonyítékok erre a kapcsolatra mutatnak.
A VPN-kimenet immár megosztott függőség
Bárki, aki figyeli a VPN-kimenetet, küldhet oda nem kívánt forgalmat helyette. Hogy a szolgáltató elnyeli-e, a valós kapacitástól, az architektúrától és az általa üzemeltetett enyhítő szolgáltatástól függ, nem az alagút titkosításától.
Egy megosztott kimenet szenvedhet egy másik ügyfél vagy a környező szolgáltatói hálózat elleni incidens miatt is. A CISA szolgáltatásmegtagadásról szóló útmutatója rámutat, hogy amikor internetszolgáltatót vagy felhőszolgáltatót ér támadás, olyan hálózatok is elsötétedhetnek, amelyeket senki nem vett célba. Egy saját kezelésű szerver esetében a tárhelyszolgáltató továbbra is a felső kapacitás tulajdonosa, amely megérkezik, mielőtt a vendéged csomagot látna. A vendégen belüli szűrés nem állíthatja vissza a már elhasznált sávszélességet.
A közzétett port szolgáltatási tervet igényel
A továbbított port szándékosan teszi ki az alkalmazást, így a jogosnak látszó kérések elérik a feldolgozási útvonalát, akárhogyan is szabályozzák a belépést az alagútnál. Az alagút belépése, a gazdagép szűrése és az alkalmazás engedélyezése különböző szakaszokat fed le, és egyik sem garantál védelmet az erőforrások kimerülése ellen.
Használd a szolgáltatás támogatott korlátait, a megfigyelést és a felső irányú enyhítést, és nevezd meg, ki kérhet segítséget egy incidens alatt. Egy fogyasztói VPN-előfizetés nem bizonyítja, hogy ezek a kontrollok léteznek az alkalmazásodhoz.
Tartsd arányosnak a diagnózist. A lassú oldalak és a megszakadt kapcsolatok karbantartásból, erőforrás-versenyből vagy hétköznapi hibákból is erednek, ezért őrizd meg az időbélyegeket és a korlátozott megfigyeléseket a felelős üzemeltető számára. Soha ne igazold az állítást jogosulatlan áradattal, hanem használj jóváhagyott tervet az infrastruktúra tulajdonosával.