Enne alustamist
Loetle avalikud aadressid, TCP- ja UDP-pordid, veebiteenused ning haldus. Kirjelda tavaliiklust ja marsruutide muutmise õigusi. Kinnita filtreerimise tegelik ulatus ning häirest teatamise kord enne kaitse kasutuselevõttu.
L3 käsitleb võrgukihti
IP-filtreerimine võib töödelda liiklust enne origin'ini jõudmist. Kaitse sõltub hõlmatud aadressidest ja marsruutidest. Peidetud aadress pole piiratud, kui sinna saab endiselt otse ühenduda. Kontrolli ka vanu DNS-kirjeid, varasemaid aadresse ja muid teenuseid, mis võivad pakkuda kõrvalteed kavandatud kaitse ümber ning muuta algse plaani ebatõhusaks.
Rünnak võib püüda linki täita, ühenduse olekut tühjendada või rakendustööd kulutada. Koos võib ilmneda mitu mõju. Enne ülesvoolu filtreerimise, ühenduse juhtelementide või rakendusereeglite valimist tuvastage ohustatud ressurss ja mõjutatud liiklus.
L4 peab sobima transpordiga
TCP ja UDP käituvad erinevalt. Liitumine, serveripäringud, hääl ja failid võivad kasutada eri teid. Kontrolli lubatud porte ja tavapäraseid pakette, sest liiga range filter peatab ka päris mängijad. Edukas TCP-test ei kinnita UDP toimimist ega tõenda, et kõik vajalikud mängufunktsioonid on hõlmatud sama kaitsega.
Kontrollige ka lubatud puhast liiklust, kaetud protokolle, kaitstud aadresse ja sekkumistingimusi. Kaitsel võivad olla katvuse piirangud või kaitsemeetmed. Piiramatu nõue ei asenda tehnilisi tingimusi ja lepingut.
L7 puudutab kindlat rakendust
HTTP-proxy saab käsitleda HTTP-d, mitte automaatselt iga mängu protokolli. L7-lubadus peab nimetama konkreetsed päringud, otspunktid ja reeglid. Arvesta autentimise ning faililaadimisega. Kui need blokeeritakse, võib mäng olla kasutuskõlbmatu isegi töötava serveriprotsessi korral. Testi seepärast kliendi kogu tööahelat, mitte üksnes veebilehe vastust.
FiveM demonstreerib erinevust: HTTP sisenemispunkt, allalaadimised ja mängimine vajavad ühtset arhitektuuri. Kaitstud veebisait võib jääda kättesaadavaks, kuni mäng ebaõnnestub. Võimalus L7 peaks kirjeldama selle tegelikku ulatust, mitte väitma, et see hõlmab kõiki rakendusi.
Maht ei ole sama mis teenuselubadus
Ülemvõrgu kogumaht pole ühe serveripordi kiirus ega garantii iga ründemustri vastu. Erista võrgu mitigation, enda ribalaius ja lepingulised piirid. Küsi, mis toimub ületamise või vale liigituse korral. Ühe terabit-numbri põhjal ei saa järeldada tagatud tööaega, viidet või kaitset kõigi rakenduskihi rünnete vastu.
Päritolu piiramine nõuab seaduslike allikate ja teenuste mõistmist. Enne filtreerimist kinnitage marsruudid, tagastage liiklus, hääl, failid ja haldus. Liiga lai lubatud nimekiri paljastab päritolu; liiga kitsas võib põhjustada katkestuse. Ärge kopeerige üldist reeglit arhitektuurist aru saamata.
Piira origin'i ja haldust
Kui arhitektuur nõuab piiramist, luba ainult kokkulepitud sisendteed. Kasuta kinnitatud lähtevõrke kogu interneti lubamise asemel. Haldus, andmebaasid ja varupordid vajavad eraldi kontrolli. Muuda reegleid sammhaaval ning säilita sõltumatu haldus ja tagasipöördumine. Vale reegel võib lubatud kliendid blokeerida sama tõhusalt nagu rünne.
Taotlege ajatempliga sündmusi ja filtreerimise selgitust, kui seaduslikud ühendused ebaõnnestuvad. Eristage valepositiivseid tulemusi, ümbersõiduteid ja rakenduse koormust. Koordineerimata koormustest võib teenust ennast halvendada; korraldage teenusepakkujaga aktiivne valideerimine ja täpsed piirangud.
Uuri ka ressursiprobleeme
CPU-koormus, mälupuudus, skriptiviga või aeglane ketas võivad meenutada võrguhäiret. Võrdle aega logide, ressursside ja liiklusandmetega enne järeldust. Kasuta väikseid lubatud funktsiooniteste ning operaatori sündmusandmeid. Paranduse järel kontrolli tegelikke mängijaühendusi ja kõiki kaitse alla kuuluvaid teenuseid; avanev veebileht üksi pole piisav tulemus.
Seejärel võrrelge soovitud ulatuse saadaolevaid plaane ja hindu. Kasulik valik ühendab endas võrgu läbilaskevõime, protokolliteadliku käsitsemise ja võimaluse intsidente diagnoosida. Ükski kaitsesüsteem ei eemalda vajadust säilitada tarkvara, kontosid ja varukoopiaid.
Mida sinu olukorras teha?
| Olukord | Järgmine samm |
|---|---|
| Mänguliiklus kasutab UDP-d | Küsi dokumenteeritud UDP-kaitse ulatust ja testi päris kliendiühendust. |
| Veebietapp vajab filtreerimist | Kontrolli HTTP-otspunkte, origin'i ning lubatud päringute toimimist. |
| Teenus peatub ilma võrgunäiduta | Võrdle logisid ja koormust enne DDoS-järelduse tegemist. |
Ametlikud allikad
Allikad kirjeldavad protokolle ja seadistusi. Kontrolli kasutatava versiooni dokumentatsiooni.