BGP FlowSpec Nedir, RTBH'den Farkı Nedir?

RTBH hacimsel bir saldırıyı durdurmanın en hızlı yoludur ve bedeli açıktır.

Saldırıya uğrayan adres, saldırganın istediği gibi erişilemez hale gelir. Ağın geri kalanı kurtarılır, hedef feda edilir.

FlowSpec bu ödünü azaltmak için tanımlandı.

Taşınan Şey Ne

İki mekanizma aynı dağıtım yolunu kullanır: BGP.

RTBH’de duyurulan şey bir adrestir. “Bu adrese giden trafiği düşür” denir ve gerisi yoktur.

FlowSpec’te duyurulan şey bir filtre tanımıdır. Trafiği birden çok alana göre eşleştirebilir: kaynak ve hedef öneki, protokol, kaynak ve hedef port, paket uzunluğu, parça bilgisi ve TCP bayrakları.

##

Eylem de Kuralın Parçası

FlowSpec yalnız düşürmekle sınırlı değildir. Eşleşen trafiğe uygulanacak eylem de kuralda taşınır.

Trafik düşürülebilir, belirli bir hıza sınırlanabilir, işaretlenebilir ya da başka bir yönlendirme tablosuna aktarılabilir.

Son eylem önemlidir. Trafiğin bir temizleme merkezine yönlendirilmesi bu yolla yapılır ve trafik yönlendirmenin uygulanma biçimlerinden biridir.

Pratik Fark

Bir örnek ayrımı netleştirir.

Bir UDP taşması yalnız belirli bir kaynak portundan geliyorsa, FlowSpec ile o portu düşüren bir kural yazılır. Hizmet ayakta kalır, meşru kullanıcılar etkilenmez.

Aynı senaryoda RTBH, hizmetin tamamını kapatırdı.

Kural kurumun kendi sınır yönlendiricisine değil, operatörün ağına da dağıtılabilir. Trafik hattınıza ulaşmadan, yukarı yönde düşürülür; hacimsel saldırıda tek işe yarayan yaklaşım budur.

Karşılaştırma

	RTBH	FlowSpec
Dağıtım yolu	BGP	BGP
Duyurulan şey	Bir adres	Bir filtre tanımı
Eşleşme alanları	Yalnız hedef adres	Önek, protokol, port, paket uzunluğu, parça bilgisi, TCP bayrakları
Uygulanabilen eylem	Düşürmek	Düşürmek, hız sınırlamak, işaretlemek, başka tabloya aktarmak
Hedefin akıbeti	Erişilemez hale gelir	Hizmet ayakta kalabilir
Meşru kullanıcı	Etkilenir	Kural yeterince darsa etkilenmez
Karmaşıklık	Düşük, her yerde var	Yüksek; operatör desteği ve doğrulama gerekir

Neden Yaygınlaşması Yavaş

Operatörler kural kabul etmekte temkinlidir ve gerekçeleri anlaşılırdır.

Yanlış ya da fazla geniş bir kural, müşterinin kendi trafiğini keser. Daha kötüsü, hatalı bir kuralın operatörün diğer müşterilerini etkileme ihtimalidir.

Bu yüzden kabul edilen kural sayısı, karmaşıklığı ve kapsamı sözleşmeyle sınırlanır. Bazı operatörler yalnız belirli alanları destekler.

Cihaz tarafında da destek eşit değildir. Bazı platformlar kuralları donanımda işler; bazıları yazılımda ve o durumda yüksek kural sayısı performansı düşürür.

Sorulacak Sorular

Operatör görüşmelerinde ve satın alma değerlendirmesinde ölçülebilir maddeler şunlardır:

• Kaç kural kabul ediliyor?
• Hangi eşleşme alanları destekleniyor?
• Hangi eylemler destekleniyor; hız sınırlama var mı?
• Kural gönderildikten sonra ne kadar sürede etkinleşiyor?
• Geri alma nasıl yapılıyor ve ne kadar sürüyor?
• Kural doğrulama mekanizması var mı; kendi trafiğimi kesecek bir kural reddediliyor mu?

Son madde en az sorulan ve en çok işe yarayanıdır.

Yerinde Azaltmayla İlişkisi

FlowSpec yerinde duran bir cihazın yerine geçmez.

Uygulama katmanı saldırıları ve oturum tablosunu hedefleyen saldırılar, davranış analizi gerektirir ve bir rota duyurusuyla tarif edilemez.

İkisi farklı katmanlarda çalışır. Yukarı yön hacmi keser, yerinde cihaz kalanı süzer. Bir DDoS şartnamesinde ikisinin de nasıl devreye gireceği ayrı ayrı yazılmalıdır.