چگونه AAD در برابر حملات رایج شبکه محافظت می کند
تشخیص خودکار ناهنجاری برای تشخیص علائم رفتاری حملات به جای تکیه بر آستانه های ایستا طراحی شده است. این به IRP اجازه می دهد تا به طور موثر به طیف وسیعی از تهدیدات که در سطح ترافیک خود را متفاوت نشان می دهند پاسخ دهد.
حملات سیلاب حجمی
سیل های حجمی تلاش می کنند تا اتصالات و ظرفیت حمل و نقل را از طریق انفجارهای پایدار بسته ها یا پهنای باند اضافه بار کنند. AAD این حملات را با شناسایی انحرافات شدید و مداوم در نرخ بسته یا حجم ترافیک از خطوط پایه تاریخی شناسایی می کند. پس از احراز هویت، IRP می‌تواند ترافیک مخرب بالادستی را با استفاده از فیلترینگ مبتنی بر مسیریابی یا جداسازی ترافیک سرکوب کند.
بازتاب و تقویت حملات
حملات تقویتی از خدمات شخص ثالث برای ایجاد ترافیک نامتناسب برای قربانی سوء استفاده می کنند. AAD این حملات را با مشاهده الگوهای ترافیک نامتقارن، تمرکز پروتکل بر بردارهای تقویت شناخته شده و افزایش ناگهانی ترافیک ورودی بدون درخواست های خروجی مربوطه شناسایی می کند. کاهش با استفاده از FlowSpec برای حذف ترافیک حمله و در عین حال حفظ انتخابی جریان های قانونی اعمال می شود.
TCP SYN و ACK سیل
حملات خستگی حالت جداول اتصال و کنترل منابع صفحه را هدف قرار می دهند، نه پهنای باند خام. AAD سیل‌های SYN را از طریق توزیع‌های پرچم TCP غیرمعمول و الگوهای دست دادن ناقص شناسایی می‌کند، در حالی که سیل‌های ACK از طریق ترافیک تأیید ناخواسته ناسازگار با جلسات تعیین‌شده شناسایی می‌شوند. تله متری جریان دقیق به IRP اجازه می دهد تا قبل از تحت تأثیر قرار گرفتن دستگاه های پایین دست، کاهش هدفمند را اعمال کند.
سیل UDP و سوء استفاده از بی تابعیتی
حملات مبتنی بر UDP حجم زیادی از ترافیک بدون حالت را به پورت ها یا خدمات خاص ایجاد می کنند. AAD توزیع غیرعادی پروتکل و افزایش نرخ بسته را شناسایی می کند و به IRP اجازه می دهد تا ترافیک مخرب را با استفاده از قوانین مسیریابی دقیق فیلتر یا محدود کند.
سیلاب لایه کاربردی
سیل‌های HTTP و HTTPS برای تخلیه منابع سرور یا باطن در حالی که قانونی به نظر می‌رسند در نظر گرفته شده‌اند. AAD این حملات را با شناسایی نرخ شروع غیرعادی جلسه، تمرکز ترافیک به مقصدهای خاص و انحراف از رفتار نرمال برنامه شناسایی می کند. کاهش سطح مسیریابی بار روی زیرساخت برنامه را کاهش می دهد و تأثیر حمله را محدود می کند.
حملات به خدمات زیرساختی
خدماتی مانند SSH و ICMP اهداف حمله رایج هستند. AAD تلاش های غیرمعمول اتصال یا سوء استفاده از پروتکل را شناسایی می کند و ترافیک مخرب را قبل از رسیدن به اجزای زیرساخت حساس سرکوب می کند.
در تمام انواع حملات، مزیت اصلی AAD آن است یک مدل کشف مبتنی بر رفتار، که حتی با تکامل تکنیک های حمله موثر باقی می ماند.
کاهش خودکار: از کشف تا عمل
تشخیص عدم پاسخ محافظت محدودی را فراهم می کند. هنگامی که یک ناهنجاری تایید شد، IRP با استفاده از کاهش آن اقدام می کند مکانیزم استاندارد صنعت BGP، اطمینان از سازگاری با زیرساخت های مسیریابی موجود.
IRP از هر دو پشتیبانی می کند با کمک اپراتور و کاملا خودکار حالت های عملیاتی
در حالت تعدیل شده، IRP یک اقدام کاهش توصیه شده ایجاد می کند و آن را برای تأیید اپراتور به رابط مدیریت جهانی ارائه می دهد. در حالت خودکار، کاهش بلافاصله پس از برآورده شدن معیارهای تشخیص اعمال می شود و از سریع ترین پاسخ ممکن به تهدیدات حجم اطمینان حاصل می شود.
Mitigation از تکنیک‌های ثابت BGP مانند Remote Triggered Blackholing و BGP Flow Specification استفاده می‌کند.
کاهش مبتنی بر FlowSpec فیلتر بسیار ریز را امکان پذیر می کند که به IRP اجازه می دهد فقط ترافیک مخرب را حذف کند در حالی که به ترافیک قانونی اجازه می دهد به جریان خود ادامه دهد.
دقت و دقت تله متری
تشخیص دقیق به تله متری با کیفیت بالا بستگی دارد. برای شناسایی دقیق انواع خاصی از حملات – به ویژه TCP SYN و ACK floods – IRP از سوابق جریانی که شامل پرچم‌های TCP می‌شود بهره میبرد.
این دید اضافی به موتور تشخیص اجازه می دهد تا بین رفتار اتصال عادی و حملات خستگی حالت با درجه بالایی از دقت تمایز قائل شود.
AAD همچنین سوابق تاریخی ناهنجاری های شناسایی شده و اقدامات کاهشی را حفظ می کند و به اپراتورها اجازه می دهد روندهای حمله را در طول زمان تجزیه و تحلیل کنند و استراتژی های تشخیص را اصلاح کنند.
