Yansıtma ve yükseltme saldırıları, saldırganın protokol davranışını kötüye kullanarak bir hedefe orantısızca büyük trafik ürettiği — üstelik saldırıya hiç dahil olmayan üçüncü taraf sunucuları kullanarak — bir DDoS saldırısı sınıfıdır. Botnet ya da sürekli bant genişliği gerektirmez: mütevazı bir saldırgan, ev bağlantısından terabitler üretebilir.
Temel Mekanizma
İki bileşen birlikte çalışır. Yansıtma, trafiğin saldırgandan değil meşru bir sunucudan geliyormuş gibi görünmesidir. Yükseltme ise yanıtın istekten çok daha büyük olmasıdır — bazen binlerce kat. İkisi bir arada, saldırgana asgari kaynakla devasa bir kaldıraç verir.
Başlıca Yansıtma/Yükseltme Protokolleri
- DNS (UDP/53): 28–54 kat yükseltme. Yaygın olarak kötüye kullanılır.
- NTP (UDP/123): MONLIST komutuyla 556 kata kadar. Eski ama hâlâ kullanımda.
- Memcached (UDP/11211): 51.000 kata kadar. Bilinen en yüksek yükseltme oranı.
- SSDP (UDP/1900): 30 kat. Mirai tabanlı saldırılarda kullanıldı.
- CLDAP (UDP/389): 56–70 kat. Windows LDAP servislerini hedefler.
- WS-Discovery (UDP/3702): 300–500 kat. IoT'yi hedefleyen daha yeni bir yöntem.
IP Taklidi Bunu Neden Mümkün Kılar?
Tüm yansıtma saldırıları UDP kaynak adres taklidine dayanır. Saldırgan, kurbanın IP'sinden geliyormuş gibi bir paket gönderir; yükseltici de büyük yanıtını o IP'ye yollar. BCP38 giriş filtrelemesi uygulayan ağlar sahte paketleri engeller — ama internetin ağlarının önemli bir kısmı bunu yapmaz.
Vekil Katmanında Önlem
Yükseltme bir ağ katmanı (L3/L4) selidir, bu yüzden upstream'de — host ya da transit sağlayıcınızın ağında, ideal olarak BCP38 kaynak-adres doğrulamasıyla — durdurulur. Akarguard bir L7 ters vekilidir: UDP scrub etmez ama origin IP'nizi gizleyerek doğrudan hedefi ortadan kaldırır, böylece yansıtılan selin ineceği bir yer olmaz ve sunucunuz meşru kullanıcılara hizmet vermeye devam eder.