Hat Kapasitemi Aşan Bir Saldırıda Yerinde Cihaz Ne Yapabilir?

Bu sorunun cevabını trafiğin fiziksel sırası belirler.

Erişim hattınız operatörden gelir ve kurumun sınırındaki cihaza girer. Filtreleme kararı o cihazda verilir. Yani karar, darboğazın arkasında verilir. Hattı dolduran trafik, cihaz onu ne kadar iyi ayıklarsa ayıklasın, ayıklanmadan önce hattı zaten geçmiştir. Cihaz mükemmel çalışsa bile hat doludur ve meşru trafik o hatta yer bulamaz.

Bu, üretici seçimiyle çözülen bir sorun değildir. Daha hızlı bir kutu, önündeki hattı genişletmez.

Yine de Yerinde Cihazın Yaptığı İşler Var

Hat doygunken durum “hiçbir şey yapılamaz” değil, “hizmet bozulmasını engelleyemezsiniz ama toparlanmayı hazırlayabilirsiniz”. Yerinde cihazın gerçekten katkı verdiği yerler şunlar:

Arkadaki sistemleri ayakta tutar. Hattan geçebilen trafiğin içinde de saldırı payı vardır. Bu pay ayıklanmazsa güvenlik duvarının oturum tablosu ve sunucuların bağlantı havuzları da tükenir. O zaman saldırı bittiğinde hizmet kendiliğinden geri gelmez; elle müdahale gerekir. Ayıklama yapıldığında hat boşaldığı anda sistem çalışır durumda bulunur.

Kanıt üretir. Operatöre “saldırı var, bir şey yapın” demekle “şu protokolde, şu kaynak port dağılımıyla, şu hedef adrese gelen trafiği kesin” demek arasında saatlerce fark vardır. Bu tarifi ancak trafiği gören bir cihaz çıkarabilir. Saldırı sırasında elinizdeki en değerli şey genellikle bu ayrıntıdır.

Yukarı akışa sinyal verir. Bazı kurgularda kurum, saldırı altındaki hedefi BGP ile ilan ederek operatörün onu kendi sınırında karartmasını ya da temizleme merkezine yönlendirmesini sağlayabilir. Bu bir cihaz özelliğinden çok sözleşme meselesidir: operatörünüz bunu kabul ediyor mu, hangi sürede devreye alıyor, temiz trafik size nasıl geri dönüyor.

Kendini yoldan çeker. Inline duran bir cihaz, doygunlukta kendisi ikinci bir arıza noktasına dönüşebilir. Bypass davranışının ne olduğunu saldırı sırasında öğrenmek kötü bir zamanlamadır.

Asıl Hazırlık Sözleşmede

Teknik ekiplerin en çok atladığı kısım burasıdır. Şu dört soruya bugün yazılı cevabınız yoksa, saldırı sırasında da olmayacak:

Hattınız hangi operatörden geliyor ve kapasitesi ne? Saldırı anında kimi arayacaksınız, o numara mesai dışında da çalışıyor mu? Operatörün müdahalesi hangi eşikte başlıyor, devreye alma süresi ne? Temizleme hizmeti alıyorsanız trafiğiniz oraya nasıl yönleniyor ve normale dönüş nasıl oluyor?

Bunları öğrenmek bir haftalık iştir ve hiçbir bütçe kalemi gerektirmez. Etkisi ise çoğu donanım yatırımından büyüktür.

Şartname Tarafına Yansıması

Bu konu satın almaya da doğrudan giriyor. Cihazın katalogdaki kapasitesini erişim hattınızın kat kat üstüne çıkarmak, hacimsel bir saldırıya karşı hiçbir şey satın almaz. Gerçekten satın alınan şey, hattın altında kalan saldırılarda hayatta kalma ve yukarı akışla birlikte çalışabilme kabiliyetidir.

Şartnamede ölçülebilir hâle getirilecek kriter de bu. Cihaz hangi paket hızında ne kadar gecikme ekliyor, hangi kaynak dağılımında ayıklama yapabiliyor, operatöre sinyal için hangi yolu destekliyor. Ölçülebilir kriter yazımı bunun genel hâlini anlatır.