Carpet bombing: atak rozłożony na całą podsieć

Rozkład ruchu ataku

Celem jest sieć, a nie jeden serwer: podsieć hostingu, pula adresów operatora dostępowego albo cała przestrzeń adresowa firmy. Atak kieruje niewielki ruch do każdego adresu, także do adresów, pod którymi nie działa żadna usługa.

Przy 20 Mb/s do każdego z 1 024 adresów podsieci /22 łączny ruch wynosi 20,48 Gb/s, ponad dwa razy więcej niż przepustowość portu 10G. Ruch carpet bombingu to często odbicie z amplifikacją, a atakowane adresy zmieniają się w trakcie ataku.

Im większa podsieć, tym mniej ruchu do jednego adresu wystarcza, żeby wysycić port.

Progi na adres a ruch rozłożony na podsieć

Progi wykrywania dotyczą pojedynczych adresów, więc ich obniżenie zwykle nie pomaga. Gdyby próg był tak niski, że przekroczy go ruch ataku do jednego adresu, przekraczałby go też zwykły ruch wielu Twoich serwerów.

Wykrywanie przez profil ruchu

Gdy ruch do Twojej chronionej przestrzeni wyraźnie przekroczy profil ruchu, system wykrywania zgłasza alarm dla całej przestrzeni, a alarm uruchamia mitygację.

System wykrywania zgłasza alarm profilu także przy nagłym wzroście ruchu prawidłowego do całej przestrzeni, na przykład w dniu premiery gry albo aktualizacji oprogramowania, i uruchamia wtedy mitygację tak samo jak przy ataku.

Co kierujemy do oczyszczania

Alarm dla całej przestrzeni nie wskazuje pojedynczego adresu, więc przekierowujemy całą chronioną przestrzeń (droga ruchu w trakcie ataku). Obejmuje ona także zweryfikowane prefiksy sieci downstream, które nam ogłaszasz.

Chronioną przestrzeń dzielimy na prefiksy /25 i dłuższe, a tam, gdzie nasz router przyjął od Ciebie trasę dłuższą niż /24, na prefiksy dłuższe od niej. Router wybiera trasę o najdłuższym dopasowaniu prefiksu, więc przekierowanie wygrywa na naszym brzegu z każdą Twoją trasą krótszą niż /32, poza przypadkiem opisanym niżej. Prefiks /25 jest też dłuższy od najdłuższych prefiksów IPv4 przyjmowanych w Internecie (/24), więc wygrywa również z trasą do Twojej przestrzeni, którą nasz router zna od innego sąsiada BGP.

Lista prefiksów do przekierowania

Lista do przekierowania ma ograniczoną długość. Przy bardzo dużej przestrzeni adresowej pełny podział się na niej nie mieści. Część prefiksów dzielimy wtedy tylko na prefiksy dłuższe od Twoich tras, a gdy i to się nie mieści, wpisujemy prefiks w całości. Przekierowanie takiego prefiksu może przegrać z trasą do tej przestrzeni.

Ruch w trakcie mitygacji

Oczyszczanie wydłuża trasę, może zwiększyć opóźnienia i odrzucić część ruchu prawidłowego (granice ochrony). Mitygacja kończy się razem z alarmem, a ruch wraca wtedy na zwykłą trasę do Twojego portu. Zastosowanie RTBH wobec całej podsieci odcięłoby wszystkie Twoje usługi naraz. Różnice między metodami opisuje artykuł o RTBH, Flowspec i oczyszczaniu.

Co widzisz w panelu

Atak na całą przestrzeń panel pokazuje jako atak na całą sieć, z listą chronionych prefiksów, które na czas ataku trafiły do oczyszczania. W tabeli prefiksów objęte mitygacją są wtedy wszystkie te prefiksy. Duży atak na jeden adres podnosi też alarm profilu ruchu na całej sieci. Panel pokazuje wtedy jeden atak, na ten adres, i zaznacza, że na jego czas do oczyszczania przekierowaliśmy wszystkie chronione prefiksy. Raport z ataku opisuje atak na całą sieć jak każdy inny atak, z listą prefiksów w miejscu atakowanego adresu.