DDoS dengan VPN: alamat mana yang benar-benar terbuka?
Terowongan menyembunyikan alamat sumber Anda dari satu layanan, tetapi bukan uplink, pintu keluar VPN, atau port yang diteruskan. Sebutkan targetnya sebelum merencanakan mitigasi.
Mulailah dari permintaan yang seharusnya merugikan. Permintaan itu bisa tiba di tautan rumah Anda, di pintu keluar VPN, atau di aplikasi yang dipublikasikan di balik terowongan. Setiap tujuan punya batas kapasitas yang berbeda dan pemilik berbeda yang dapat menyaring lalu lintas. Menyebutkan target adalah langkah berguna pertama, dan langganan VPN hanya menjawab satu dari tiga.
Telusuri paparan sebelum serangan
Lacak satu permintaan masuk dari internet ke sumber daya yang hendak dikuras. Jika tujuannya alamat rumah Anda, batasnya adalah tautan akses dan tepi penyedia. Jika pintu keluar VPN, batasnya milik operator VPN. Jika port yang diteruskan, penanganan aplikasi itu sendiri menjadi titik sempit.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Ketiga target dapat diserang bersama-sama, tetapi mitigasinya dilakukan di tempat berbeda. Tuliskan mana yang diklaim rencana Anda lindungi.
Uplink Anda sendiri tetap memegang alamatnya
Merutekan lalu lintas keluar melalui terowongan mengubah apa yang dilihat layanan jauh. Ini tidak menghapus alamat yang dipegang tautan akses Anda dan tidak memindahkan kapasitas tautan itu.
Lalu lintas yang diarahkan ke tautan tetap bersaing dengan paket terowongan itu sendiri. Firewall lokal dapat menjatuhkan paket setelah tiba, tetapi hulu yang terbatas sudah membawanya. Perbedaan itu penting ketika tautan jenuh, karena penyaring tidak dapat mengembalikan kapasitas yang tidak pernah dikendalikannya. Hubungi penyedia akses melalui proses insidennya jika bukti mengarah ke tautan itu.
Pintu keluar VPN kini menjadi ketergantungan bersama
Siapa pun yang mengamati pintu keluar VPN dapat mengirim lalu lintas yang tidak diinginkan ke sana. Apakah penyedia menyerapnya bergantung pada kapasitas nyata, arsitektur, dan layanan mitigasi yang dijalankannya, bukan pada enkripsi terowongan.
Pintu keluar bersama juga dapat menderita akibat insiden yang diarahkan ke pelanggan lain atau ke jaringan penyedia di sekitarnya. Panduan CISA tentang penolakan layanan mencatat bahwa ketika penyedia internet atau penyedia cloud diserang, jaringan yang tidak ditargetkan siapa pun juga bisa ikut padam. Untuk server yang Anda kelola sendiri, penyedia hosting tetap memiliki kapasitas hulu yang tiba sebelum tamu Anda melihat paket. Penyaringan di dalam tamu tidak dapat memulihkan lebar pita yang sudah terpakai.
Port yang dipublikasikan memerlukan rencana layanan
Port yang diteruskan sengaja mengekspos aplikasi, sehingga permintaan yang tampak sah mencapai jalur penanganannya, tidak peduli bagaimana penerimaan di terowongan dikendalikan. Penerimaan terowongan, penyaringan host, dan otorisasi aplikasi mencakup tahap berbeda, dan tidak satu pun menjamin perlindungan terhadap habisnya sumber daya.
Gunakan batas yang didukung layanan, pemantauan, dan mitigasi hulu, serta sebutkan siapa yang dapat meminta bantuan selama insiden. Langganan VPN konsumen bukan bukti bahwa kendali itu ada untuk aplikasi Anda.
Jaga diagnosis tetap proporsional. Halaman lambat dan koneksi terputus juga berasal dari pemeliharaan, perebutan sumber daya, atau gangguan biasa, jadi simpan cap waktu dan pengamatan terbatas untuk operator yang bertanggung jawab. Jangan pernah memvalidasi klaim dengan banjir tanpa izin, dan gunakan rencana yang disetujui bersama pemilik infrastruktur.