Ennen aloittamista
Listaa julkiset osoitteet, TCP- ja UDP-portit, webpalvelut ja hallinta. Kuvaa normaali liikenne ja reitityksen muuttamiseen oikeutetut tahot. Varmista suodatuksen todellinen laajuus ja häiriötilanteen ilmoitusmenettely ennen käyttöönottoa.
L3 koskee verkkokerrosta
IP-tason suodatus voi käsitellä liikennettä ennen sen saapumista originille. Suojaus riippuu mukana olevista osoitteista ja reiteistä. Piilotettu osoite ei ole rajattu, jos siihen voi yhä yhdistää suoraan. Tarkista myös vanhat DNS-tiedot, aiemmat osoitteet ja muut palvelut, jotka saattavat tarjota vaihtoehtoisen reitin suojauksen ohi.
L4:n on vastattava kuljetusprotokollaa
TCP ja UDP toimivat eri tavoin. Liittyminen, palvelinkyselyt, puhe ja tiedostot voivat käyttää erillisiä liikennepolkuja. Varmista sallitut portit ja normaalit paketit, sillä liian tiukka sääntö estää myös oikeat pelaajat. Onnistunut TCP-testi ei todista UDP:n toimivuutta tai sitä, että kaikki pelin tarvitsemat palvelut ovat suojattuja.
L7 tarkoittaa tiettyä sovellusta
HTTP-proxy voi käsitellä HTTP:tä, muttei automaattisesti kaikkia peliprotokollia. L7-lupauksessa pitää nimetä suojatut pyynnöt, päätepisteet ja säännöt. Huomioi myös kirjautuminen ja tiedostolataukset. Jos suodatus estää ne, peli voi olla käyttökelvoton vaikka palvelinprosessi on käynnissä. Testaa siksi koko asiakkaan toimintaketju, ei vain verkkosivun vastausta.
Kapasiteetti ei ole sama kuin palvelulupaus
Yläverkon kokonaiskapasiteetti ei ole yhden palvelinportin nopeus tai takuu jokaista hyökkäystä vastaan. Erota verkon mitigation, oma kaista ja sovitut rajat. Kysy mitä tapahtuu rajan ylityksessä tai virheellisessä luokittelussa. Yhden terabit-luvun perusteella ei voi päätellä taattua käytettävyyttä, viivettä tai suojaa kaikilta sovellustason hyökkäyksiltä.
Rajaa origin ja hallinta
Kun arkkitehtuuri vaatii rajauksen, salli vain sovitut sisääntuloreitit. Käytä vahvistettuja lähdeverkkoja koko internetin sallimisen sijaan. Arvioi hallinta, tietokannat ja varaportit erikseen. Muuta sääntöjä vaiheittain ja säilytä riippumaton hallintayhteys sekä palautus. Väärä palomuurisääntö voi estää asiakkaat yhtä tehokkaasti kuin itse hyökkäys.
Selvitä myös resurssiongelmat
CPU-kuorma, muistipula, skriptivirhe tai hidas levy voivat näyttää verkkohäiriöltä. Vertaa ajankohtaa lokien, resurssien ja liikennetietojen kanssa ennen johtopäätöstä. Käytä pieniä luvallisia toimintatestejä ja operaattorin tapahtumatietoja. Korjauksen jälkeen testaa oikeat pelaajayhteydet ja kaikki sovitut palvelut; pelkkä avautuva verkkosivu ei riitä.
Mitä omassa tilanteessasi kannattaa tehdä?
| Tilanne | Seuraava vaihe |
|---|---|
| Peli käyttää UDP:tä | Pyydä dokumentoitu UDP-suojauksen laajuus ja testaa oikea peliyhteys. |
| Web-vaihe tarvitsee suodatusta | Tarkista HTTP-päätepisteet, origin ja sallittujen pyyntöjen toiminta. |
| Palvelu pysähtyy ilman verkkonäyttöä | Vertaa lokeja ja resurssikuormaa ennen DDoS-päätelmää. |
Viralliset lähteet
Lähteet kuvaavat protokollia ja asetuksia. Tarkista käyttämäsi version dokumentaatio.