DDoS cez VPN: ktorá adresa je skutočne vystavená?
Tunel skrýva vašu zdrojovú adresu pred jednou službou, ale nie váš prístupový okruh, výstup VPN ani presmerovaný port. Pomenujte cieľ skôr, než začnete plánovať zmiernenie.
Začnite požiadavkou, ktorá má spôsobiť škodu. Môže doraziť na váš domáci okruh, na výstup VPN alebo na publikovanú aplikáciu za tunelom. Každé miesto určenia má iný limit kapacity a iného vlastníka, ktorý môže filtrovať prevádzku. Pomenovanie cieľa je prvý užitočný krok a predplatné VPN odpovedá len na jednu z troch možností.
Prejdite expozíciu ešte pred útokom
Sledujte jednu prichádzajúcu požiadavku z internetu k prostriedku, ktorý má vyčerpať. Ak je cieľom adresa vašej domácnosti, limitom je prístupový okruh a hrana poskytovateľa. Ak je to výstup VPN, limit patrí operátorovi VPN. Ak je to presmerovaný port, úzkym miestom sa stáva vlastné spracovanie aplikácie.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Na tri ciele sa dá útočiť súčasne, ale zmierňujú sa na rôznych miestach. Zapíšte, ktorý z nich váš plán tvrdí, že chráni.
Váš vlastný prístupový okruh si adresu ponecháva
Smerovanie odchádzajúcej prevádzky tunelom mení to, čo vidia vzdialené služby. Neodstraňuje adresu, ktorú má váš prístupový okruh, ani nepresúva kapacitu tohto okruhu.
Prevádzka namierená na okruh stále súťaží s vlastnými paketmi tunela. Miestny firewall môže pakety zahodiť po tom, čo dorazia, ale obmedzený upstream ich už nesie. Ten rozdiel je dôležitý, keď je okruh nasýtený, pretože filter nemôže vrátiť kapacitu, ktorú nikdy neovládal. Ak dôkazy ukazujú na tento okruh, obráťte sa na poskytovateľa pripojenia cez jeho proces pre incidenty.
Výstup VPN je teraz zdieľaná závislosť
Ktokoľvek sleduje výstup VPN, môže tam namiesto toho poslať nežiaducu prevádzku. Či ju poskytovateľ pohltí, závisí od skutočnej kapacity, architektúry a prípadnej služby zmierňovania, ktorú prevádzkuje, nie od šifrovania tunela.
Zdieľaný výstup môže utrpieť aj incident namierený na iného zákazníka alebo na okolitú sieť poskytovateľa. Usmernenia CISA k odmietnutiu služby upozorňujú, že keď je napadnutý poskytovateľ internetu alebo cloudu, môžu stmavnúť aj siete, ktoré nikto necítil. Pri serveri, ktorý si spravujete sami, stále vlastní upstream kapacitu poskytovateľ hostingu, a to ešte predtým, než váš hosť uvidí paket. Filtrovanie vnútri hosťa nemôže vrátiť už spotrebovanú šírku pásma.
Publikovaný port potrebuje plán služby
Presmerovaný port zámerne vystavuje aplikáciu, takže požiadavky, ktoré vyzerajú legitímne, dorazia do jej spracovania bez ohľadu na to, ako je riadené prijatie na tuneli. Prijatie na tuneli, filtrovanie na hostiteľovi a autorizácia aplikácie pokrývajú rôzne fázy a žiadna z nich nezaručuje ochranu pred vyčerpaním prostriedkov.
Využite podporované limity služby, monitorovanie a zmierňovanie na upstreamu a určte, kto môže počas incidentu požiadať o pomoc. Spotrebiteľské predplatné VPN nie je dôkazom, že tieto kontroly pre vašu aplikáciu existujú.
Držte diagnózu úmernú. Pomalé stránky a prerušené spojenia vznikajú aj z údržby, súperenia o prostriedky alebo bežných porúch, preto si pre zodpovedného operátora uchovajte časové značky a obmedzené pozorovania. Nikdy neoverujte tvrdenie neautorizovaným floodom a namiesto toho použite schválený plán s vlastníkom infraštruktúry.