Çoğu DDoS aracı, bir adresin anlamlı bir kimlik birimi olduğu zamanlarda kuruldu. Kara listeler, adres başına hız limitleri ve itibar puanları; hepsi bir saldırganın sınırlı sayıda adresi olduğunu ve birini harcamanın bir maliyeti olduğunu varsayar. IPv6 bu varsayımı ortadan kaldırır.
Adres Başına Mantık Neden Bozulur?
Tek bir müşteriye verilen tipik bir IPv6 tahsisi, muazzam sayıda kullanılabilir adres içerir. Böyle bir tahsisi kontrol eden saldırgan, her isteği daha önce hiç görülmemiş bir adresten gönderebilir. Adres başına hız limitleri hiç tetiklenmez, kara listeler sınırsızca büyür ve itibar sistemlerinin biriktirecek bir şeyi kalmaz.
Önek başına hız sınırlayın
Pratik çözüm, limitleri tek bir adrese değil bir ağ öneğine (prefix) uygulamaktır; böylece tüm bir tahsis tek bir bütçeyi paylaşır. Önek uzunluğunu seçmek, saldırganı yakalamak ile alakasız müşterileri bir arada gruplamak arasında bir dengedir.
Önemli Diğer Farklar
- Uzantı başlıkları (extension headers) ayrıştırma yükü ekler ve tarihsel olarak, okumayı erken bırakan filtreleri atlatmak için kullanılmıştır.
- Komşu keşfi (neighbour discovery) ARP'nin yerini alır ve yerel segmentteki yönlendiricilere karşı kendi tükenme saldırıları vardır.
- Parçalanma farklı davranır ve parça (fragment) işleme, tekrar eden bir filtre atlatma kaynağıdır.
- Çift yığın (dual-stack) servislerin fiilen iki saldırı yüzeyi vardır ve denetimler çoğu zaman yalnızca birinde yapılandırılır.
En Yaygın Gerçek Dünya Arızası
Egzotik bir protokol saldırısı değildir. IPv4 için özenle yazılmış ama IPv6 için hiç aynalanmamış bir güvenlik duvarı ya da hız sınırlama politikasıdır — üstelik ikisine de sessizce yanıt veren bir sunucuda. Saldırganın denetimi yenmesi gerekmez; sadece onun var olmadığı taşıma üzerinden bağlanır.
Ne Yapmalı?
- Her filtreleme kuralını eşleşen bir IPv6 kuralı için denetleyin ve varsaymak yerine bir IPv6 istemcisinden test edin.
- Hız limitlerini ve engelleri önekler cinsinden ifade edin, müşteri tahsisleri için makul bir varsayılan uzunlukla.
- Tam adresi ve öneki loglayın, böylece analiz trafiği sonradan gruplayabilsin.
- IPv6'yı bilerek sunmuyorsanız, kazara sunmadığınızdan emin olun — eşleşen koruması olmayan yayınlanmış bir kayıt, bulunmayı bekleyen bir atlatma noktasıdır.