DDoS dengan VPN: alamat mana yang benar-benar terdedah?
Terowong menyembunyikan alamat sumber anda daripada satu perkhidmatan, tetapi bukan pautan naik, pintu keluar VPN atau port yang diteruskan. Namakan sasaran sebelum merancang pengurangan.
Mulakan dengan permintaan yang sepatutnya mendatangkan mudarat. Ia boleh tiba di pautan rumah anda, di pintu keluar VPN, atau di aplikasi yang diterbitkan di belakang terowong. Setiap destinasi mempunyai had kapasiti yang berbeza dan pemilik berbeza yang boleh menapis trafik. Menamakan sasaran ialah langkah berguna pertama, dan langganan VPN hanya menjawab satu daripada tiga.
Telusuri pendedahan sebelum serangan
Jejaki satu permintaan masuk dari internet ke sumber yang hendak dikosongkan. Jika destinasinya alamat rumah anda, hadnya ialah pautan akses dan pinggir pembekal. Jika pintu keluar VPN, hadnya milik pengendali VPN. Jika port yang diteruskan, pengendalian aplikasi itu sendiri menjadi titik sempit.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Ketiga-tiga sasaran boleh diserang bersama, tetapi pengurangannya berlaku di tempat berbeza. Tuliskan yang mana satu yang didakwa dilindungi oleh pelan anda.
Pautan naik anda sendiri mengekalkan alamatnya
Menghalakan trafik keluar melalui terowong mengubah apa yang dilihat oleh perkhidmatan jauh. Ia tidak membuang alamat yang dipegang oleh pautan akses anda dan tidak mengalihkan kapasiti pautan itu.
Trafik yang ditujukan kepada pautan masih bersaing dengan paket terowong itu sendiri. Tembok api tempatan boleh menggugurkan paket selepas ia tiba, tetapi hulu yang terhad sudah membawanya. Perbezaan itu penting apabila pautan tepu, kerana penapis tidak boleh memulangkan kapasiti yang tidak pernah dikawalnya. Hubungi pembekal akses melalui proses insidennya jika bukti menunjukkan pautan itu.
Pintu keluar VPN kini menjadi kebergantungan bersama
Sesiapa yang memerhati pintu keluar VPN boleh menghantar trafik yang tidak diingini ke sana. Sama ada pembekal menyerapnya bergantung pada kapasiti sebenar, seni bina dan sebarang perkhidmatan pengurangan yang dikendalikannya, bukan pada penyulitan terowong.
Pintu keluar bersama juga boleh menderita akibat insiden yang ditujukan kepada pelanggan lain atau rangkaian pembekal di sekelilingnya. Panduan CISA tentang penafian perkhidmatan mencatatkan bahawa apabila pembekal internet atau pembekal awan diserang, rangkaian yang tidak disasarkan oleh sesiapa juga boleh menjadi gelap. Bagi pelayan yang anda uruskan sendiri, pembekal pengehosan masih memiliki kapasiti hulu yang tiba sebelum tetamu anda melihat paket. Penapisan di dalam tetamu tidak dapat memulihkan lebar jalur yang sudah digunakan.
Port yang diterbitkan memerlukan pelan perkhidmatan
Port yang diteruskan sengaja mendedahkan aplikasi, jadi permintaan yang kelihatan sah sampai ke laluan pengendaliannya, tidak kira bagaimana kemasukan di terowong dikawal. Kemasukan terowong, penapisan hos dan kebenaran aplikasi merangkumi peringkat berbeza, dan tiada satu pun menjamin perlindungan daripada kehabisan sumber.
Gunakan had yang disokong perkhidmatan, pemantauan dan pengurangan hulu, serta namakan siapa yang boleh meminta bantuan semasa insiden. Langganan VPN pengguna bukan bukti bahawa kawalan itu wujud untuk aplikasi anda.
Kekalkan diagnosis secara berkadar. Halaman perlahan dan sambungan terputus juga datang daripada penyelenggaraan, persaingan sumber atau kerosakan biasa, jadi simpan cap masa dan pemerhatian terbatas untuk pengendali yang bertanggungjawab. Jangan sekali-kali mengesahkan dakwaan dengan limpahan tanpa kebenaran, dan gunakan pelan yang diluluskan bersama pemilik infrastruktur.