Próg dotyczy każdego adresu osobno
Próg 500 Mb/s oznacza 500 Mb/s do jednego adresu, a nie do całej sieci. Progi są wspólne dla całego konta: każda klasa ruchu ma jedną wartość w każdej jednostce i ta wartość dotyczy każdego adresu we wszystkich prefiksach. Progów nie ustawia się osobno dla prefiksu ani dla adresu, a nowy prefiks od razu ma te same progi co pozostałe. Mitygację system wykrywania uruchamia, gdy natężenie wyraźnie przekroczy próg.
Przykład
- Próg klasy, na każdy adres
- 500 Mb/s
- Ruch ataku do każdego z dziesięciu adresów prefiksu
- 400 Mb/s
- Ruch ataku do całego prefiksu
- 4 Gb/s
Ruch do żadnego adresu nie osiąga progu, więc w tej klasie system nie zgłosi alarmu. Taki rozkład ruchu wykrywa profil ruchu całej chronionej przestrzeni, gdy ruch wyraźnie przekroczy jej typowy poziom.
Carpet bombing: atak rozłożony na całą podsieć
Bity i pakiety na sekundę
Większość klas ma próg w bitach i w pakietach na sekundę, a do wykrycia wystarcza przekroczenie jednego z nich. UDP, ICMP, TCP SYN i kilka innych klas mierzymy wyłącznie w pakietach na sekundę. Klasa Total Traffic obejmuje cały ruch do adresu, więc wykrywa także atak, którego wektora nie wyróżnia żadna inna klasa.
Przykład
- Milion pakietów na sekundę po 64 bajty
- ok. 0,5 Gb/s
- Milion pakietów na sekundę po 1 500 bajtów
- 12 Gb/s
Zalewy TCP SYN, TCP RST i TCP NULL składają się z małych pakietów. Obciążają router i stos TCP hosta liczbą pakietów, nawet gdy nie wysycają łącza, dlatego ich klasy mierzymy w pakietach na sekundę. Ruch amplifikacji składa się z dużych pakietów odpowiedzi, więc szybciej przekracza progi w bitach na sekundę.
Klasy ruchu i jednostki ich progów
Ruch prawidłowy, który przekracza progi
Gdy ruch prawidłowy wyraźnie przekroczy próg, system uruchamia mitygację tak samo jak przy ataku. Ruch do przestrzeni objętej mitygacją idzie wtedy przez system oczyszczający, a filtrowanie może odrzucić część ruchu prawidłowego albo zwiększyć opóźnienia.
| Sytuacja | Przyczyna | Co zrobić |
|---|---|---|
| Pula CGNAT | Jeden adres publiczny niesie ruch wielu abonentów | W formularzu wdrożeniowym podaj pulę, liczbę abonentów na adres i ruch jednego adresu albo podnieś próg klasy w panelu |
| Serwer DNS albo NTP dla abonentów lub dla całego Internetu | Odpowiada wielu klientom i odbiera dużo ruchu UDP | Podaj adresy w formularzu wdrożeniowym. W wersji dla operatora dostępowego zaznacz też, czy korzystają z nich tylko abonenci, czy każdy w Internecie |
| Serwer gier | Duży ruch UDP od graczy | W formularzu podaj gry, porty, liczbę serwerów i liczbę pakietów na sekundę na serwer w zwykłym ruchu i w szczycie |
| Adres z dużym ruchem na co dzień: serwer plików, repozytorium, serwer strumieniowy | Ruch adresu bywa na co dzień wyższy niż domyślne progi | Podaj w formularzu adresy i ich ruch w bitach i pakietach na sekundę |
| Regularne skoki: kopie zapasowe, aktualizacje, transmisje | Nagły wzrost ruchu o stałej porze | Opisz je w formularzu, w części o regularnych skokach: co, kiedy i ile |
Formularz wdrożeniowy wypełniasz przy wdrożeniu ochrony, w wersji dla operatora dostępowego, firmy hostingowej albo przedsiębiorstwa. Formularz wdrożeniowy: co przygotować
Sprawdzenie ruchu adresów przed zmianą progu
Nowy próg porównaj z najwyższym ruchem prawidłowym do najbardziej obciążonego adresu konta. Ruch poszczególnych adresów pokazuje ekran „Analiza ruchu” w panelu.
- Wybierz kierunek „Przychodzący” oraz zakres „24 godz.” albo „1 godz.” u góry ekranu.
- Na karcie „Adresy w Twojej sieci” znajdź adresy z największym ruchem.
- Kliknij adres. Cały ekran zawęża się do tego adresu, a karta „Protokoły i porty” pokazuje jego usługi. Kliknięcie protokołu albo portu zawęża ekran dalej.
- Kafle podają średni ruch i średnią liczbę pakietów na sekundę z całego zakresu. Wykres „Ruch w czasie” pokazuje bity na sekundę, a jego punkt jest średnią z 1 minuty w zakresie 1 godz., z 6 minut w zakresie 24 godz. i z 42 minut w zakresie 7 dni, więc krótkie szczyty są na nim niższe, niż były.
Analiza ruchu nie dzieli ruchu na klasy wykrywania i nie pokazuje szczytów w pakietach na sekundę. Szczytową liczbę pakietów na sekundę najbardziej obciążonych adresów podaj w formularzu wdrożeniowym. Dane analizy ruchu pochodzą z próbek sFlow z naszych routerów brzegowych, więc ich wartości są szacunkowe.
Zmiana progu i jej stan
Okno progów otwiera przycisk „Progi wykrywania” w nagłówku ekranu „Prefiksy”. Kliknięta wartość zamienia się w pole, a pole z własną wartością ma odnośnik „przywróć domyślny”. Pod każdą wartością panel podaje jej stan.
| Stan w panelu | Znaczenie |
|---|---|
| domyślny | Obowiązuje wartość domyślna, wyświetlana na szaro |
| bez progu | Dla tej klasy i jednostki nie obowiązuje żaden próg |
| niezapisane | Wartość jest wpisana i jeszcze niezapisana |
| czeka na wdrożenie | Własna wartość jest zapisana i jeszcze nie obowiązuje. Do wdrożenia obowiązuje wartość poprzednia |
| działa | Własna wartość konta obowiązuje |
Wartość działa od chwili, w której potwierdzimy, że system wykrywania mierzy według niej. Gdy zmiana progów jest chwilowo niedostępna, okno pokazuje obowiązujące wartości i komunikat, a przycisku „Zapisz” nie ma. Progi odczytasz i zmienisz także przez API.
Atak o natężeniu poniżej podniesionego progu nie wywoła alarmu w tej klasie, choć może go wykryć inna klasa albo profil ruchu. Progi nie mają górnego limitu, ale przy progu wyższym niż przepustowość portu atak w tej klasie zostanie wykryty dopiero wtedy, gdy ruch do adresu przekroczy ten próg, czyli będzie większy, niż port może przyjąć. Progu równego zeru nie przyjmujemy, bo oznaczałby alarm przy każdym pakiecie.
Wartości domyślne progów ustalamy my, a obok progów u każdego klienta działają profil ruchu i szybkie wykrywanie gwałtownych zalewów.
Wykrywanie ataków