DDoS per VPN: kuris adresas iš tikrųjų atviras?
Tunelis paslepia jūsų šaltinio adresą nuo vienos paslaugos, bet ne jūsų išorinės linijos, VPN išėjimo ar persiunčiamo prievado. Įvardykite taikinį prieš planuodami švelninimą.
Pradėkite nuo užklausos, kuri turėtų padaryti žalos. Ji gali atkeliauti į jūsų namų liniją, į VPN išėjimą arba į tunelio užpakalyje paskelbtą programą. Kiekviena paskirties vieta turi skirtingą talpos ribą ir skirtingą savininką, galintį filtruoti srautą. Taikinio įvardijimas yra pirmas naudingas žingsnis, o VPN prenumerata atsako tik į vieną iš trijų.
Pereikite atskleidimą prieš ataką
Sekite vieną įeinančią užklausą iš interneto iki ištekliaus, kurį ji turėtų išnaudoti. Jei paskirtis yra jūsų namų adresas, riba yra prieigos linija ir tiekėjo kraštas. Jei tai VPN išėjimas, riba priklauso VPN operatoriui. Jei tai persiunčiamas prievadas, programos apdorojimas tampa siauriausia vieta.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Trys taikiniai gali būti atakuojami kartu, bet švelninama skirtingose vietose. Užsirašykite, kurį jų jūsų planas teigia saugantis.
Jūsų pačių išorinė linija išlaiko savo adresą
Išeinančio srauto nukreipimas per tunelį pakeičia tai, ką mato nuotolinės paslaugos. Tai nepašalina adreso, kurį turi prieigos linija, ir neperkelia tos linijos talpos.
Srautas, nukreiptas į liniją, vis tiek konkuruoja su paties tunelio paketais. Vietinė ugniagesinė sienelė gali numesti paketus jiems atvykus, bet ribotas išorinis kanalas juos jau neša. Šis skirtumas svarbus, kai linija prisotinta, nes filtras negali grąžinti talpos, kurios niekada nekontroliavo. Jei įrodymai rodo į tą liniją, susisiekite su prieigos tiekėju per jo incidentų procesą.
VPN išėjimas dabar yra bendra priklausomybė
Bet kas, stebintis VPN išėjimą, gali ten siųsti nepageidaujamą srautą. Ar tiekėjas jį sugers, priklauso nuo realios talpos, architektūros ir jo valdomos švelninimo paslaugos, o ne nuo tunelio šifravimo.
Bendras išėjimas taip pat gali nukentėti nuo incidento, nukreipto į kitą klientą arba aplinkinį tiekėjo tinklą. CISA gairės dėl paslaugos atsisakymo pažymi, kad kai atakuojamas interneto ar debesijos tiekėjas, tinklai, kurių niekas nesirinko, taip pat gali užgesti. Savarankiškai valdomam serveriui prieglobos tiekėjas vis dar valdo išorinę talpą, kuri atkeliauja prieš jūsų svečiui pamatant paketą. Filtravimas svečio viduje negali grąžinti jau sunaudotos pralaidumo juostos.
Paskelbtam prievadui reikia paslaugos plano
Persiunčiamas prievadas sąmoningai atskleidžia programą, todėl teisėtomis atrodančios užklausos pasiekia jos apdorojimo kelią, nesvarbu, kaip kontroliuojamas patekimas tunelyje. Patekimas į tunelį, pagrindinio kompiuterio filtravimas ir programos autorizacija apima skirtingus etapus, ir nė vienas jų negarantuoja apsaugos nuo išteklių išsekimo.
Naudokite palaikomas paslaugos ribas, stebėjimą ir išorinį švelninimą bei nurodykite, kas gali paprašyti pagalbos incidento metu. Vartotojo VPN prenumerata nėra įrodymas, kad šios kontrolės egzistuoja jūsų programai.
Laikykite diagnozę proporcingą. Lėti puslapiai ir nutrūkę ryšiai kyla ir iš techninės priežiūros, išteklių konkurencijos ar įprastų gedimų, todėl išsaugokite laiko žymes ir apribotus stebėjimus atsakingam operatoriui. Niekada netvirtinkite teiginio neleistinu srautu ir naudokite patvirtintą planą su infrastruktūros savininku.