DDoS VPN-ით: რომელი მისამართია რეალურად ღია?
გვირაბი მალავს თქვენს წყაროს მისამართს ერთი სერვისისგან, მაგრამ არა თქვენს აღმავალ არხს, VPN-ის გასასვლელს ან გადამისამართებულ პორტს. დაასახელეთ სამიზნე შერბილების დაგეგმვამდე.
დაიწყეთ იმ მოთხოვნით, რომელმაც ზიანი უნდა მიაყენოს. ის შეიძლება მოვიდეს თქვენს სახლის არხზე, VPN-ის გასასვლელზე ან გვირაბის უკან გამოქვეყნებულ აპლიკაციაზე. თითოეულ დანიშნულებას განსხვავებული ტევადობის ზღვარი და განსხვავებული მფლობელი აქვს, რომელსაც ტრაფიკის გაფილტვრა შეუძლია. სამიზნის დასახელება პირველი სასარგებლო ნაბიჯია, და VPN-ის გამოწერა მხოლოდ ერთს პასუხობს სამიდან.
გაიარეთ გამოვლენა შეტევამდე
თვალყური ადევნეთ ერთ შემომავალ მოთხოვნას ინტერნეტიდან იმ რესურსამდე, რომლის ამოწურვაც მას ევალება. თუ დანიშნულება თქვენი სახლის მისამართია, ზღვარია წვდომის არხი და პროვაიდერის კიდე. თუ ეს VPN-ის გასასვლელია, ზღვარი VPN-ის ოპერატორს ეკუთვნის. თუ ეს გადამისამართებული პორტია, აპლიკაციის საკუთარი დამუშავება ხდება ვიწრო ადგილი.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
სამიზნეებზე ერთად შეიძლება შეტევა, მაგრამ შერბილება სხვადასხვა ადგილას ხდება. ჩაწერეთ, რომელს აცხადებს თქვენი გეგმა დაცულად.
თქვენი საკუთარი აღმავალი არხი ინარჩუნებს მისამართს
გამავალი ტრაფიკის გვირაბში გატარება ცვლის იმას, რასაც დისტანციური სერვისები ხედავენ. ის არ აშორებს წვდომის არხის მისამართს და არ გადააადგილებს ამ არხის ტევადობას.
არხისკენ მიმართული ტრაფიკი კვლავ ეჯიბრება თავად გვირაბის პაკეტებს. ლოკალურ ფაირვოლს შეუძლია პაკეტების ჩამოგდება მათი მოსვლის შემდეგ, მაგრამ შეზღუდული აღმავალი ნაკადი უკვე ატარებს მათ. ეს განსხვავება მნიშვნელოვანია, როცა არხი გაჯერებულია, რადგან ფილტრს არ შეუძლია დააბრუნოს ტევადობა, რომელიც არასდროს უკონტროლებია. დაუკავშირდით წვდომის პროვაიდერს მისი ინციდენტების პროცესით, თუ მტკიცებულებები ამ არხზე მიუთითებს.
VPN-ის გასასვლელი ახლა საერთო დამოკიდებულებაა
ვინც VPN-ის გასასვლელს აკვირდება, შეუძლია იქ არასასურველი ტრაფიკი გაგზავნოს. გაუძლებს თუ არა პროვაიდერი მას, დამოკიდებულია რეალურ ტევადობაზე, არქიტექტურასა და მის მიერ ოპერირებულ ნებისმიერ შერბილების სერვისზე, და არა გვირაბის დაშიფვრაზე.
საერთო გასასვლელი ასევე შეიძლება დაზარალდეს ინციდენტით, რომელიც სხვა მომხმარებელზე ან მიმდებარე პროვაიდერის ქსელზეა მიმართული. CISA-ის სახელმძღვანელო სერვისზე უარის შესახებ აღნიშნავს, რომ როცა ინტერნეტ- ან ღრუბლოვან პროვაიდერს უტევენ, ქსელები, რომლებიც არავის დაუმიზნებია, შეიძლება ასევე ჩაქრეს. თვითმართული სერვერისთვის ჰოსტინგის პროვაიდერი კვლავ ფლობს აღმავალ ტევადობას, რომელიც მოდის მანამ, სანამ თქვენი სტუმარი პაკეტს დაინახავს. სტუმრის შიგნით ფილტრაცია ვერ დააბრუნებს უკვე დახარჯულ გამტარობას.
გამოქვეყნებულ პორტს სჭირდება სერვისის გეგმა
გადამისამართებული პორტი განზრახ ამჟღავნებს აპლიკაციას, ამიტომ ლეგიტიმურად მოჩვენებული მოთხოვნები აღწევს მისი დამუშავების გზამდე, მიუხედავად იმისა, როგორ კონტროლდება გვირაბზე დაშვება. გვირაბის დაშვება, ჰოსტის ფილტრაცია და აპლიკაციის ავტორიზაცია სხვადასხვა ეტაპს ფარავს და არცერთი მათგანი არ იძლევა რესურსების ამოწურვისგან დაცვის გარანტიას.
გამოიყენეთ სერვისის მხარდაჭერილი ზღვრები, მონიტორინგი და აღმავალი შერბილება, და დაასახელეთ, ვის შეუძლია დახმარების თხოვნა ინციდენტის დროს. სამომხმარებლო VPN-ის გამოწერა არ არის მტკიცებულება, რომ ეს კონტროლები თქვენი აპლიკაციისთვის არსებობს.
შეინარჩუნეთ დიაგნოზი პროპორციული. ნელი გვერდები და გაწყვეტილი კავშირები ასევე მოდის მოვლისგან, რესურსების კონკურენციისგან ან ჩვეულებრივი ხარვეზებისგან, ამიტომ შეინახეთ დროის ნიშნები და შეზღუდული დაკვირვებები პასუხისმგებელი ოპერატორისთვის. არასოდეს დაადასტუროთ მტკიცება არასანქცირებული ნაკადით, და სანაცვლოდ გამოიყენეთ დამტკიცებული გეგმა ინფრასტრუქტურის მფლობელთან.