DDoS prek VPN: kateri naslov je res izpostavljen?
Predor skrije vaš izvorni naslov pred eno storitvijo, ne pa vaše dostopovne povezave, izhoda VPN ali posredovanega vrat. Poimenujte cilj, preden načrtujete ublažitev.
Začnite z zahtevkom, ki naj bi povzročil škodo. Lahko prispe na vašo domačo povezavo, na izhod VPN ali v objavljeno aplikacijo za predorom. Vsaka destinacija ima drugačno omejitev zmogljivosti in drugega lastnika, ki lahko filtrira promet. Poimenovanje cilja je prvi koristen korak, naročnina na VPN pa odgovori le na eno od treh.
Pojdite skozi izpostavljenost pred napadom
Sledite eni vhodni zahtevi z interneta do vira, ki naj bi ga izčrpala. Če je cilj naslov vašega doma, je omejitev dostopovna povezava in rob ponudnika. Če je izhod VPN, omejitev pripada operaterju VPN. Če je posredovana vrata, postane ozko grlo lastna obdelava aplikacije.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Tri cilje je mogoče napasti hkrati, a ublažitev poteka na različnih mestih. Zapišite, katerega med njimi vaš načrt trdi, da varuje.
Vaša lastna dostopovna povezava obdrži svoj naslov
Usmerjanje odhodnega prometa skozi predor spremeni, kaj vidijo oddaljene storitve. Ne odstrani naslova, ki ga ima vaša dostopovna povezava, in ne premakne zmogljivosti te povezave.
Promet, usmerjen na povezavo, še vedno tekmuje z lastnimi paketi predora. Lokalni požarni zid lahko zavrže pakete, ko prispejo, a omejeni odtočni tok jih že nosi. Ta razlika šteje, ko je povezava nasičena, ker filter ne more vrniti zmogljivosti, ki je ni nikoli nadziral. Če dokazi kažejo na to povezavo, se obrnite na ponudnika dostopa prek njegovega postopka za incidente.
Izhod VPN je zdaj deljena odvisnost
Kdor koli opazuje izhod VPN, lahko tja pošlje neželen promet. Ali ga ponudnik vpije, je odvisno od dejanske zmogljivosti, arhitekture in morebitne storitve za ublažitev, ne od šifriranja predora.
Deljen izhod lahko utrpi tudi incident, usmerjen na drugo stranko ali na okoliško omrežje ponudnika. Smernice CISA o zavrnitvi storitve ugotavljajo, da ko je napaden ponudnik interneta ali oblaka, lahko ugasnejo tudi omrežja, ki jih nihče ni izbral za cilj. Pri strežniku, ki ga upravljate sami, je odtočna zmogljivost, ki prispe, preden vaš gost vidi paket, še vedno v lasti gostiteljskega ponudnika. Filtriranje znotraj gosta ne more vrniti že porabljene pasovne širine.
Objavljena vrata potrebujejo načrt storitve
Posredovana vrata namerno izpostavijo aplikacijo, zato zahteve, ki so videti zakonite, dosežejo njeno pot obdelave, ne glede na to, kako je urejen dostop na predoru. Dostop na predoru, filtriranje na gostitelju in avtorizacija aplikacije pokrivajo različne stopnje in nobena od njih ne zagotavlja zaščite pred izčrpanjem virov.
Uporabite podprte omejitve storitve, spremljanje in ublažitev na odtočni strani ter določite, kdo lahko med incidentom zaprosi za pomoč. Potrošniška naročnina na VPN ni dokaz, da ti nadzori obstajajo za vašo aplikacijo.
Naj bo diagnoza sorazmerna. Počasne strani in prekinjene povezave nastanejo tudi zaradi vzdrževanja, tekmovanja za vire ali običajnih okvar, zato za odgovornega operaterja shranite časovne žige in omejena opažanja. Nikoli ne potrjujte trditve z nepooblaščeno poplavo in namesto tega uporabite odobren načrt z lastnikom infrastrukture.