Tüm yazılarTeknik

Yansıtma ve Yükseltme Saldırıları: Kapsamlı Teknik Rehber

Akarguard Ekibi · Güvenlik Ekibi8 dk okumaDec 12, 2023

Yansıtma saldırıları üçüncü taraf sunucuları farkında olmadan birer yükseltici olarak kullanır. Tüm büyük protokoller boyunca mekaniği — ve önlemi — anlıyoruz.

Yansıtma ve yükseltme saldırıları, saldırganın protokol davranışını kötüye kullanarak bir hedefe orantısızca büyük trafik ürettiği — üstelik saldırıya hiç dahil olmayan üçüncü taraf sunucuları kullanarak — bir DDoS saldırısı sınıfıdır. Botnet ya da sürekli bant genişliği gerektirmez: mütevazı bir saldırgan, ev bağlantısından terabitler üretebilir.

Temel Mekanizma

İki bileşen birlikte çalışır. Yansıtma, trafiğin saldırgandan değil meşru bir sunucudan geliyormuş gibi görünmesidir. Yükseltme ise yanıtın istekten çok daha büyük olmasıdır — bazen binlerce kat. İkisi bir arada, saldırgana asgari kaynakla devasa bir kaldıraç verir.

Başlıca Yansıtma/Yükseltme Protokolleri

  • DNS (UDP/53): 28–54 kat yükseltme. Yaygın olarak kötüye kullanılır.
  • NTP (UDP/123): MONLIST komutuyla 556 kata kadar. Eski ama hâlâ kullanımda.
  • Memcached (UDP/11211): 51.000 kata kadar. Bilinen en yüksek yükseltme oranı.
  • SSDP (UDP/1900): 30 kat. Mirai tabanlı saldırılarda kullanıldı.
  • CLDAP (UDP/389): 56–70 kat. Windows LDAP servislerini hedefler.
  • WS-Discovery (UDP/3702): 300–500 kat. IoT'yi hedefleyen daha yeni bir yöntem.

IP Taklidi Bunu Neden Mümkün Kılar?

Tüm yansıtma saldırıları UDP kaynak adres taklidine dayanır. Saldırgan, kurbanın IP'sinden geliyormuş gibi bir paket gönderir; yükseltici de büyük yanıtını o IP'ye yollar. BCP38 giriş filtrelemesi uygulayan ağlar sahte paketleri engeller — ama internetin ağlarının önemli bir kısmı bunu yapmaz.

Vekil Katmanında Önlem

Yükseltme bir ağ katmanı (L3/L4) selidir, bu yüzden upstream'de — host ya da transit sağlayıcınızın ağında, ideal olarak BCP38 kaynak-adres doğrulamasıyla — durdurulur. Akarguard bir L7 ters vekilidir: UDP scrub etmez ama origin IP'nizi gizleyerek doğrudan hedefi ortadan kaldırır, böylece yansıtılan selin ineceği bir yer olmaz ve sunucunuz meşru kullanıcılara hizmet vermeye devam eder.

Sıkça sorulan sorular

Yansıtma ve yükseltme saldırısı nedir?

Saldırganın, saldırıya hiç dahil olmayan üçüncü taraf sunucuları kötüye kullanarak bir hedefe orantısızca büyük trafik ürettiği bir DDoS türüdür. Yansıtma trafiği meşru bir sunucudan geliyormuş gibi gösterir; yükseltme yanıtı istekten çok daha büyük yapar. Botnet gerektirmez.

Hangi protokoller yansıtmada kullanılır?

En yaygınları: DNS (28–54x), NTP (556x'e kadar), Memcached (51.000x'e kadar — bilinen en yükseği), SSDP (30x), CLDAP (56–70x) ve WS-Discovery (300–500x). Hepsi kimlik doğrulamasız UDP servisleridir.

IP taklidi neden bu saldırıları mümkün kılar?

Çünkü saldırgan kurbanın IP'sinden geliyormuş gibi bir paket yollar ve yükseltici büyük yanıtını o adrese gönderir. BCP38 giriş filtrelemesi uygulayan ağlar sahte kaynaklı paketleri engeller, ama internetin önemli bir kısmı bunu uygulamaz.

Bir ters vekil yansıtma saldırılarını durdurur mu?

Selin kendisini değil — o ağ katmanında, upstream sağlayıcıda (ideal olarak BCP38 ile) durdurulur. Akarguard bir L7 vekilidir; UDP scrub etmez ama origin IP'nizi gizleyerek yansıtılan selin hedefsiz kalmasını sağlar.

Sitenizi koruyun

Akarguard, trafiği sunucunuza ulaşmadan önce filtreler. Kurulum tek bir DNS değişikliğidir; donanım almanıza ya da sunucunuzu taşımanıza gerek yok.

Fiyatları gör