RTBH, Flowspec i oczyszczanie ruchu

Porównanie metod

Metoda	Co odrzuca	Kto uruchamia	Ruch prawidłowy do atakowanego adresu
RTBH	Cały ruch do adresu albo prefiksu, na brzegu dostawcy	Dostawca albo klient przez community BLACKHOLE	Odrzucony w całości, adres nieosiągalny
BGP Flowspec	Ruch pasujący do reguły: źródło, cel, protokół, port	Dostawca, u niektórych dostawców także klient	Odrzucony, gdy pasuje do reguły
Ograniczanie ruchu	Ruch wybranego rodzaju ponad limit, na przykład fragmenty IP, DNS albo NTP	Dostawca	Odrzucony ponad limit, wybrane usługi działają z ograniczeniami
Oczyszczanie ruchuw usłudze Nera	Ruch rozpoznany jako atak, po przekierowaniu do systemu oczyszczającego	System wykrywania automatycznie albo dostawca na zgłoszenie klienta	Dociera, gdy system oczyszczający rozpozna go jako prawidłowy. Część może zostać odrzucona, a trasa się wydłuża

Gdzie trzeba odrzucić ruch ataku

Atak wolumetryczny wysyca port: nadmiar ruchu odrzuca kolejka wyjściowa routera dostawcy przed portem, bez rozróżnienia ruchu ataku i ruchu prawidłowego. Filtr na Twoim routerze chroni wtedy serwery za nim, ale nie port, dlatego wszystkie metody z tabeli działają po stronie dostawcy.

Czerwone linie oznaczają ruch zawierający ruch ataku, a zielona ruch po oczyszczeniu.

RTBH (blackholing)

Trasa do atakowanego adresu dostaje następny przeskok, który odrzuca ruch: na każdym routerze brzegowym dostawcy skonfigurowana jest trasa statyczna kierująca ten przeskok do interfejsu Null0 (RFC 3882). Klient zwykle oznacza taką trasę community BLACKHOLE (65535:666, RFC 7999) i ogłasza ją jako prefiks /32. Według RFC 7999 router, który przyjmie trasę z tym community, powinien dodać do niej NO_EXPORT albo NO_ADVERTISE, żeby nie wyszła poza sieć dostawcy.

Przykład

Atakowany adres: 203.0.113.10
Ogłoszenie do dostawcy tranzytu: 203.0.113.10/32
Community: 65535:666, NO_EXPORT
Trasa na routerach dostawcy: następny przeskok kierowany do Null0
Osiągalne po zastosowaniu: 203.0.113.0/24 bez 203.0.113.10

Przykład opisuje RTBH wywoływany przez klienta u dostawcy tranzytu, który to obsługuje.

RTBH chroni łącze i resztę sieci kosztem atakowanego adresu: adres przestaje odpowiadać, czyli atakujący osiąga cel. Odmiana oparta na adresie źródłowym (RFC 5635) odrzuca za pomocą uRPF ruch od wskazanych nadawców, ale przy odbiciu z tysięcy reflektorów wymagałaby trasy dla każdego z nich.

BGP Flowspec

Reguły filtrowania rozsyła się w BGP (RFC 8955), a stosują je routery brzegowe. Flowspec sprawdza się przy ataku o wyraźnej sygnaturze, na przykład UDP z portu źródłowego 11211.

Element reguły	Zawartość
Dopasowanie	Prefiks docelowy i źródłowy, protokół IP, port, port docelowy i źródłowy, typ i kod ICMP, flagi TCP, długość pakietu, DSCP, fragmentacja
Działanie	Ograniczenie do zadanej liczby bajtów albo pakietów na sekundę, przy wartości 0 odrzucenie, przekierowanie do VRF albo zmiana DSCP
Kontrola u odbiorcy	Bez osobnej konfiguracji router przyjmuje regułę, gdy najlepszą trasę unicast do jej prefiksu docelowego ogłosił ten sam sąsiad, który przysłał regułę, a żaden inny sąsiedni AS nie ogłosił trasy bardziej szczegółowej (RFC 8955, rozdział 6). Sąsiad może więc zlecić filtrowanie tylko ruchu do prefiksów, które sam ogłasza
Pojemność	Reguły zajmują miejsce w sprzętowej tablicy filtrów routera (TCAM), więc ich liczba jest ograniczona

Przykład

Prefiks docelowy: 203.0.113.10/32
Protokół IP: 17 (UDP)
Port źródłowy: 11211
Działanie: traffic-rate 0, odrzucenie

Reguła odrzuca odbicie memcached, a ruch prawidłowy do 203.0.113.10 przechodzi, bo odpowiedzi memcached z Internetu zwykle do niego nie trafiają. Zalew TCP SYN na port 443 Twojego serwera WWW ma tę samą sygnaturę co prawidłowe połączenia, więc reguła odrzuciłaby jedno i drugie.

Reguła trafia do wszystkich routerów brzegowych naraz, więc błąd w dopasowaniu odrzuca ruch w całej sieci dostawcy. Flowspec dla IPv6 opisuje RFC 8956.

Ograniczanie ruchu

Router brzegowy przepuszcza ruch wybranego rodzaju do ustalonego limitu, a nadmiar odrzuca bez rozróżniania nadawców. Ograniczanie stosuje się do ruchu, którego w zwykłej pracy jest niewiele, na przykład do fragmentów IP albo UDP z portów usług odbijających. Ponad limitem odrzucany jest także ruch prawidłowy tego rodzaju, na przykład odpowiedzi DNS dla Twoich serwerów.

Oczyszczanie ruchu

Trasy bardziej szczegółowe kierują do systemu oczyszczającego ruch do atakowanej przestrzeni. System odrzuca ruch ataku, a resztę przekazuje do portu. Ruch prawidłowy dociera do atakowanego adresu, o ile system oczyszczający odróżni go od ruchu ataku, a ceną jest dłuższa trasa i możliwość odrzucenia części ruchu prawidłowego. Pojemność systemu oczyszczającego jest skończona, więc przy ataku większym od niej dostawca stosuje RTBH.

Przy oczyszczaniu u dostawcy tranzytu ruch po oczyszczeniu trafia wprost do Twojego portu. Zewnętrzny dostawca ochrony ogłasza Twój prefiks w Internecie ze swojej sieci i odsyła ruch tunelem GRE, co zmniejsza MTU (porównanie modeli ochrony).

Dobór metody do rodzaju ataku

Atak	RTBH	BGP Flowspec	Oczyszczanie ruchu
Odbicie z amplifikacją	Adres odcięty	Reguła na UDP z portu źródłowego usługi odbijającej. Ruch prawidłowy do adresu przechodzi, chyba że adres sam korzysta z tej usługi, na przykład odbiera odpowiedzi DNS	Ruch przechodzi przez system oczyszczający, który przepuszcza ruch rozpoznany jako prawidłowy
Zalew na port usługi, którą udostępniasz	Adres odcięty	Reguła na ten port odrzuca też prawidłowe połączenia	Ruch przechodzi przez system oczyszczający. Wynik zależy od tego, czy ruch ataku da się odróżnić od prawidłowego
Carpet bombing	Trasa na każdy atakowany adres albo odcięcie całej podsieci	Reguła na prefiks docelowy, gdy ruch ataku ma wspólną sygnaturę	Przekierowanie całej atakowanej przestrzeni

Zapytanie ofertowe Jak oczyszczamy ruch w tranzycie

W usłudze Nera

Automatyczna mitygacja to oczyszczanie ruchu, a nie RTBH ani Flowspec. RTBH nie możesz uruchomić sam. Stosujemy go wobec atakowanego adresu albo prefiksu w przypadkach określonych w umowie: gdy atak przekracza Wielkość Infrastruktury (4,4 Tb/s i 1 mld pakietów/s łącznie dla wszystkich klientów), gdy zagraża stabilności naszej sieci, innym klientom albo łączności z dostawcami tranzytu oraz gdy dostawca tranzytu z powodu ataku sam ogranicza ruch.

Granice ochrony

Pytania

Czy dowiem się, że wobec mojego adresu albo prefiksu zastosowano RTBH?

Tak. Zawiadamiamy o nim niezwłocznie, a jeżeli charakter zagrożenia na to pozwala, przed jego zastosowaniem.

Czy czas, w którym prefiks jest objęty RTBH, wlicza się do niedostępności w SLA?

Nie. SLA wyłącza ten czas z niedostępności, więc nie daje on prawa do kredytu usługowego.

RTBH, Flowspec i oczyszczanie ruchu: co odrzuca każda z metod