IPv6'da DDoS Savunmasının Değişen Tarafı

IPv6’ya geçiş tartışmalarında DDoS genellikle sonraya bırakılır. Gerekçesi makuldür: saldırıların ezici çoğunluğu hâlâ IPv4 üzerinde gerçekleşiyor.

Bu gerekçe, hazırlık yapmamak için yeterli değil. Savunmanın dayandığı birkaç varsayım IPv6’da geçerliliğini yitiriyor ve bunlar bir saldırı anında değil, satın alma anında ele alınması gereken konular.

Saldırı Sınıfları Değişmiyor

Önce abartılmaması gereken tarafı belirtmek gerekir.

Üç sınıf aynen duruyor. Hacimsel saldırı erişim hattını doldurur. Hattın IPv4 mi IPv6 mi taşıdığı fark etmez. Durum tükenmesi oturum tablosunu hedefler; tablo iki protokolde de sonludur. Uygulama katmanı saldırısı geçerli isteklerden oluşur; adresleme katmanı bu davranışı değiştirmez.

Yani savunmanın mantığı yerinde kalıyor. Değişen, o mantığı uygulayan araçların dayandığı zemin.

Birinci Değişim: Adres Bloklama Seyreliyor

IPv4’te tek bir kaynak adresi engellemek anlamlı bir işlemdir. Adres kıt olduğu için saldırganın elindeki adres sayısı sınırlıdır ve bir adres genellikle bir makineye karşılık gelir.

IPv6’da bir uç kullanıcıya tipik olarak tam bir alt ağ tahsis edilir. Tek bir bulaşmış makine, o alt ağın içinden pratikte tükenmeyecek sayıda kaynak adresi kullanabilir.

Bunun somut sonucu şudur: tek adres bazında engelleme, saldırganın adres değiştirme hızına yetişemez. Engelleme listesi hızla şişer ve cihazın kaynaklarını tüketmeye başlar.

Doğru birim adres değil, önek olur. Savunma cihazının önek bazında ve değişken önek uzunluğunda karar verebilmesi gerekir. Bu, IPv4’te nadiren sorulan bir yetenektir.

İki taraflı bir risk taşır. Önek fazla geniş seçilirse meşru kullanıcılar da engellenir. Dar seçilirse saldırı süzülür. Bu ayarın hangi çözünürlükte yapılabildiği ürünler arasında ciddi biçimde farklılaşır.

İkinci Değişim: İtibar Verisi Zayıflıyor

Kaynak adres itibar listeleri IPv4’te olgun bir savunma katmanıdır. Yıllar içinde birikmiş veri, bilinen kötü niyetli adresleri hızla eler.

IPv6 tarafında bu birikim hem daha az hem daha çabuk eskiyor. Adres uzayının büyüklüğü, tek tek adresler üzerine kurulu bir itibar modelini pratikte anlamsız kılıyor.

Buradaki karşılık yine önek seviyesine ve otonom sistem seviyesine çıkmaktır. Çözünürlük düşer, yanlış pozitif riski artar.

Üçüncü Değişim: Filtreleme Maliyeti

IPv6 paketinde taşıma katmanı bilgisi sabit bir yerde durmaz. Asıl başlık ile TCP ya da UDP bilgisi arasına uzantı başlıkları zinciri girebilir.

Bir azaltma cihazının port bazında karar verebilmesi için bu zinciri sonuna kadar takip etmesi gerekir. Donanımda yapıldığında hızlıdır ama derinliği sınırlıdır. Yazılımda yapıldığında derinlik artar, saniyedeki paket kapasitesi düşer.

Saldırgan açısından bu, ölçülebilir bir kaldıraçtır. Uzun uzantı başlığı zinciri taşıyan paketler, aynı hacimde daha fazla işlem yükü üretir.

Katalog değerleri bu senaryoda ölçülmez. “IPv6 destekliyor” ifadesi, bu yükün altında ne olduğunu söylemez.

Dördüncü Değişim: ICMPv6 Kapatılamıyor

IPv4’te ICMP’yi sınırda kısmak, hem saldırı yüzeyini daraltan hem de zararsız bir hamleydi.

IPv6’da ICMPv6 protokolün işleyişinin parçasıdır. Komşu keşfi, adres yapılandırması ve yol MTU keşfi ona bağlıdır.

Bunun iki sonucu var. Savunma cihazı ICMPv6’yı toptan düşüremez. Tip bazında ayrım yapmak zorundadır. Ve saldırgan, kapatılamayacağını bildiği bir kanal üzerinden yük üretebilir.

Komşu keşfi taşması ayrı bir sınıftır. Bir alt ağdaki çok sayıda var olmayan adrese trafik gönderildiğinde, yönlendirici her biri için komşu çözümlemesi yapmaya çalışır ve kendi tablosunu tüketir. IPv4’teki ARP taşmasının karşılığıdır, ama IPv6’daki alt ağ büyüklüğü nedeniyle çok daha kolay tetiklenir.

Beşinci Değişim: İki Ölçüm Yüzeyi

Çift yığın bir ağda temel ölçüler iki protokol için ayrı ayrı çıkarılmalıdır.

Bu, pratikte en sık atlanan adımdır. Akış kayıtları IPv6’yı kapsamıyorsa, o trafiğin normali hiç ölçülmemiştir ve üzerine konacak eşik bir tahmindir.

Eşiği olmayan bir trafik yüzeyi, saldırı anında ya hiç alarm üretmez ya da her dalgalanmada üretir.

Ne Yapılmalı

Sıralama, aciliyetine göre şöyle kurulabilir.

Önce ölçün. IPv6 trafiğiniz var mı, ne kadar, hangi hedeflere? Akış kayıtlarınız bu protokolü kapsıyor mu? Cevaplar bilinmeden yapılacak her yatırım tahmine dayanır.

Sonra görünürlüğü tamamlayın. Kayıt ve akış altyapısı iki protokolü de kapsamalıdır. Bu, savunmadan önce gelen adımdır.

Ardından kabul kriterlerini yazın. Bir azaltma çözümü değerlendirilirken sorulacaklar:

• Önek bazında engelleme hangi çözünürlükte yapılabiliyor?
• Uzantı başlığı zinciri kaç seviye takip ediliyor ve o yük altında Mpps değeri ne oluyor?
• ICMPv6 tip bazında ayrıştırılabiliyor mu?
• Komşu keşfi taşmasına karşı bir mekanizma var mı?
• Katalogdaki kapasite değerleri IPv6 trafiğiyle ölçülmüş mü, yoksa IPv4 ölçümü mü tekrarlanıyor?

Son soru en ayırt edicidir ve cevabı çoğu zaman verilmez.

Aciliyetin Ölçüsü

Bu çalışmanın ne kadar acil olduğu, kurumun IPv6 yüzeyinin büyüklüğüne bağlıdır.

Dışa açık servisleriniz IPv6 üzerinden erişilebilir durumdaysa yüzey zaten vardır ve savunmanın kapsaması gerekir. Erişilebilir değilse zaman vardır, ama görünürlük çalışması yine de ertelenmemelidir; ölçülmeyen bir trafik, bir gün kendini bir olay olarak gösterir.