DDoS через VPN: яка адреса насправді розкрита?
Тунель приховує вашу адресу джерела від однієї служби, але не ваш висхідний канал, вихід VPN або проброшений порт. Назвіть ціль, перш ніж планувати пом'якшення.
Почніть із запиту, який має завдати шкоди. Він може надійти на ваш домашній канал, на вихід VPN або на опублікований застосунок за тунелем. Кожне призначення має власну межу ємності та власного власника, який може фільтрувати трафік. Назвати ціль — це перший корисний крок, а підписка на VPN відповідає лише на одне з трьох.
Пройдіть розкриття до атаки
Простежте один вхідний запит від інтернету до ресурсу, який він має вичерпати. Якщо призначення — адреса вашого дому, межа — це канал доступу й край провайдера. Якщо це вихід VPN, межа належить оператору VPN. Якщо це проброшений порт, вузьким місцем стає власна обробка застосунку.
| Target | What saturates | Who can mitigate |
|---|---|---|
| Home connection address | The access link and provider edge | The access provider |
| VPN exit address | Provider capacity and filtering | The VPN operator |
| Published service | The application and its host | The service owner and hosting provider |
Три цілі можна атакувати разом, але пом'якшення відбувається в різних місцях. Запишіть, яку з них ваш план нібито захищає.
Ваш власний висхідний канал зберігає свою адресу
Пропуск вихідного трафіку через тунель змінює те, що бачать віддалені служби. Він не прибирає адресу, яку має ваш канал доступу, і не переміщує ємність цього каналу.
Трафік, спрямований на канал, усе ще конкурує з власними пакетами тунелю. Локальний міжмережевий екран може відкидати пакети після їх прибуття, але обмежений висхідний потік уже несе їх. Ця різниця важлива, коли канал насичений, бо фільтр не може повернути ємність, якою він ніколи не керував. Зверніться до провайдера доступу через його процедуру інцидентів, якщо докази вказують на цей канал.
Вихід VPN тепер спільна залежність
Будь-хто, хто спостерігає за виходом VPN, може надіслати туди небажаний трафік. Чи поглине його провайдер, залежить від реальної ємності, архітектури та будь-якої служби пом'якшення, яку він веде, а не від шифрування тунелю.
Спільний вихід може також постраждати від інциденту, спрямованого на іншого клієнта або на навколишню мережу провайдера. Рекомендації CISA щодо відмови в обслуговуванні зазначають, що коли атакують інтернет- або хмарного провайдера, мережі, які ніхто не обирав за ціль, теж можуть згаснути. Для сервера, яким ви керуєте самі, провайдер хостингу все ще володіє висхідною ємністю, яка надходить до того, як ваша гостьова система побачить пакет. Фільтрування всередині гостьової системи не може повернути вже витрачену пропускну здатність.
Опублікований порт потребує плану обслуговування
Проброшений порт навмисно розкриває застосунок, тож запити, що виглядають законними, доходять до його шляху обробки, хоч би як контролювався допуск на тунелі. Допуск на тунелі, фільтрування на хості й авторизація застосунку охоплюють різні етапи, і жоден із них не гарантує захисту від вичерпання ресурсів.
Використовуйте підтримувані межі служби, моніторинг і пом'якшення на висхідному боці та вкажіть, хто може попросити допомоги під час інциденту. Споживча підписка на VPN не є доказом, що такі засоби контролю існують для вашого застосунку.
Тримайте діагностику сумірною. Повільні сторінки й обірвані з'єднання бувають і через обслуговування, конкуренцію за ресурси або звичайні збої, тому зберігайте позначки часу й обмежені спостереження для відповідального оператора. Ніколи не підтверджуйте твердження неавторизованим потоком, а натомість використовуйте узгоджений план із власником інфраструктури.