DDoS me VPN: cila adresë është vërtet e ekspozuar?
Një tunel fsheh adresën tuaj burimore nga një shërbim, por jo lidhjen tuaj të sipërme, daljen e VPN-së ose një port të përcjellë. Emërtoni objektivin përpara se të planifikoni zbutjen.
Filloni me kërkesën që supozohet të shkaktojë dëm. Ajo mund të arrijë në lidhjen tuaj të shtëpisë, në daljen e VPN-së ose në një aplikacion të publikuar pas tunelit. Çdo destinacion ka një kufi tjetër kapaciteti dhe një pronar tjetër që mund të filtrojë trafikun. Emërtimi i objektivit është hapi i parë i dobishëm, dhe një abonim VPN përgjigjet vetëm për një nga të tre.
Kaloni nëpër ekspozimin përpara sulmit
Ndjekni një kërkesë hyrëse nga interneti deri te burimi që supozohet të shterojë. Nëse destinacioni është adresa e shtëpisë tuaj, kufiri është lidhja e aksesit dhe skaji i ofruesit. Nëse është dalja e VPN-së, kufiri i takon operatorit të VPN-së. Nëse është një port i përcjellë, vetë trajtimi i aplikacionit bëhet pika e ngushtë.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Tre objektivat mund të sulmohen së bashku, por zbutja bëhet në vende të ndryshme. Shkruani se cilin prej tyre plani juaj pretendon se mbron.
Lidhja tuaj e sipërme mban adresën e vet
Kalimi i trafikut tuaj dalës nëpër një tunel ndryshon atë që shohin shërbimet e largëta. Ai nuk e heq adresën që mban lidhja e aksesit dhe nuk e zhvendos kapacitetin e asaj lidhjeje.
Trafiku i drejtuar te lidhja ende konkurron me paketat e vetë tunelit. Një firewall lokal mund t'i hedhë paketat pasi ato arrijnë, por rrjedha e sipërme e kufizuar tashmë po i transporton. Ky ndryshim ka rëndësi kur lidhja është e ngopur, sepse një filtër nuk mund të kthejë kapacitet që nuk e ka kontrolluar kurrë. Kontaktoni ofruesin e aksesit përmes procesit të tij të incidenteve nëse provat tregojnë atë lidhje.
Dalja e VPN-së tani është një varësi e përbashkët
Kushdo që vëzhgon daljen e VPN-së mund të dërgojë atje trafik të padëshiruar. Nëse ofruesi e thith atë varet nga kapaciteti real, arkitektura dhe çdo shërbim zbutjeje që ai operon, jo nga kriptimi i tunelit.
Një dalje e përbashkët mund të vuajë edhe nga një incident i drejtuar ndaj një klienti tjetër ose rrjetit të ofruesit përreth. Udhëzimet e CISA për mohimin e shërbimit vërejnë se kur sulmohet një ofrues interneti ose cloud-i, rrjete që askush nuk i kishte shënjestruar mund të errësohen gjithashtu. Për një server të administruar nga ju, ofruesi i strehimit ende zotëron kapacitetin e sipërm që arrin përpara se mysafiri juaj të shohë një paketë. Filtrimi brenda mysafirit nuk mund të rikthejë gjerësinë e bandës tashmë të shpenzuar.
Një port i publikuar kërkon një plan shërbimi
Një port i përcjellë ekspozon qëllimisht një aplikacion, kështu që kërkesat që duken të ligjshme arrijnë në rrugën e trajtimit të tij, sido që të kontrollohet pranimi në tunel. Pranimi në tunel, filtrimi në host dhe autorizimi i aplikacionit mbulojnë faza të ndryshme, dhe asnjë prej tyre nuk garanton mbrojtje nga shterimi i burimeve.
Përdorni kufijtë e mbështetur të shërbimit, monitorimin dhe zbutjen në rrjedhën e sipërme, dhe emërtoni kush mund të kërkojë ndihmë gjatë një incidenti. Një abonim konsumatori VPN nuk është provë se ato kontrolle ekzistojnë për aplikacionin tuaj.
Mbajeni diagnozën proporcionale. Faqet e ngadalta dhe lidhjet e ndërprera vijnë edhe nga mirëmbajtja, konkurrenca për burime ose defektet e zakonshme, prandaj ruani vulat kohore dhe vëzhgimet e kufizuara për operatorin përgjegjës. Asnjëherë mos e vërtetoni pohimin me një përmbytje të paautorizuar, dhe përdorni në vend të saj një plan të miratuar me pronarin e infrastrukturës.