Πώς να αποτρέψετε επιθέσεις πλαστογράφησης IP

Ο έλεγχος της διαδρομής μιας παράδοσης και η απόφαση για το ποιος επιτρέπεται να μπει είναι ξεχωριστές εργασίες. Η επικύρωση προέλευσης και η αυθεντικοποίηση χρειάζονται τα δικά τους μέτρα ελέγχου.

Μια υποδοχή μπορεί να ελέγξει αν μια παράδοση έφτασε από την αναμενόμενη διαδρομή. Ο άνθρωπος που την παραλαμβάνει πρέπει ακόμη να αποφασίσει ποιος μπορεί να εισέλθει στο κτίριο. Τα δίκτυα έχουν παρόμοιο καταμερισμό εργασίας: επικυρώνουν από πού δηλώνει ότι προέρχεται η κίνηση και στη συνέχεια αυθεντικοποιούν την πρόσβαση στην υπηρεσία.

Τοποθετήστε τον πρώτο έλεγχο κοντά στην προέλευση

Ο διαχειριστής ενός δικτύου γνωρίζει ποια εύρη διευθύνσεων πρέπει να εμφανίζονται στη σύνδεση ενός πελάτη. Πακέτα που δηλώνουν άσχετη προέλευση μπορούν να απορρίπτονται εκεί, πριν προχωρήσουν παραπέρα. Αυτή είναι η προσέγγιση επικύρωσης προέλευσης που περιγράφεται στο BCP 38.

Σε ένα εταιρικό δίκτυο, ελέγχετε τόσο την κίνηση που εξέρχεται προς το διαδίκτυο όσο και εκείνη που έρχεται απ’ έξω. Το ίδιο όριο είναι έξοδος από ένα δίκτυο και είσοδος σε ένα άλλο. Ορίστε τις αναμενόμενες προελεύσεις για κάθε σύνδεση, συμπεριλαμβανομένων των νόμιμα εκχωρημένων ευρών, αντί να εφαρμόζετε παντού έναν γενικό κανόνα.

Ο έλεγχος ενός εύρους δεν ταυτοποιεί τον άνθρωπο πίσω από ένα πακέτο. Μπορεί επίσης να αφήνει περιθώριο πλαστογράφησης μέσα σε ένα επιτρεπόμενο εύρος. Αντιμετωπίστε τον ως χρήσιμο έλεγχο ορίου, όχι ως πιστοποιητικό ταυτότητας.

Προσαρμόστε τους ελέγχους αντίστροφης διαδρομής στις πραγματικές διαδρομές

Η προώθηση αντίστροφης διαδρομής μονοεκπομπής, ή uRPF, συγκρίνει την προέλευση ενός πακέτου με τις πληροφορίες δρομολόγησης. Στην αυστηρή λειτουργία, η διεπαφή εισόδου πρέπει να αντιστοιχεί στην επιλεγμένη διαδρομή επιστροφής. Αυτό μπορεί να λειτουργεί καλά όταν οι διαδρομές είναι προβλέψιμες.

Ωστόσο, η νόμιμη κίνηση μπορεί να φτάνει από μία σύνδεση, ενώ η καλύτερη διαδρομή επιστροφής χρησιμοποιεί άλλη. Αυτό συμβαίνει με την ασύμμετρη δρομολόγηση και σε δίκτυα που χρησιμοποιούν πολλούς παρόχους. Οι αυστηροί έλεγχοι μπορούν τότε να απορρίπτουν έγκυρη κίνηση. Το RFC 3704 εξηγεί αυτούς τους συμβιβασμούς. Οι προσεγγίσεις εφικτής διαδρομής εξετάζουν επιτρεπόμενες εναλλακτικές· οι χαλαροί έλεγχοι συνήθως ρωτούν μόνο αν υπάρχει διαδρομή, οπότε παρέχουν ασθενέστερη επαλήθευση. Επιλέξτε και επαληθεύστε τη λειτουργία με βάση την πραγματική τοπολογία, συμπεριλαμβανομένης της μετάπτωσης σε εφεδρική διαδρομή σε περίπτωση βλάβης.

Αυθεντικοποιήστε την υπηρεσία και τον χρήστη

Διατηρήστε τους περιορισμούς διευθύνσεων όπου είναι χρήσιμοι, αλλά μην τους κάνετε τη μοναδική απόδειξη ταυτότητας για ευαίσθητη πρόσβαση. Χρησιμοποιήστε σωστά επικυρωμένο TLS για υπηρεσίες ιστού και κατάλληλα αυθεντικοποιημένα πρωτόκολλα για τη διαχείριση και τους ομότιμους κόμβους του δικτύου. Η αυθεντικοποίηση λογαριασμών και τα δικαιώματα εξακολουθούν να έχουν ξεχωριστούς ρόλους.

Το TLS 1.3 αυθεντικοποιεί τον διακομιστή, μπορεί να αυθεντικοποιεί και τον πελάτη και προστατεύει την κίνηση της εφαρμογής. Δεν πιστοποιεί κάθε διεύθυνση IP προέλευσης ούτε εμποδίζει μια πλημμύρα κίνησης να εξαντλήσει τη χωρητικότητα μιας ζεύξης. Η κρυπτογράφηση και η επικύρωση προέλευσης προστατεύουν διαφορετικά πράγματα.

Περιορίστε τις ευκαιρίες ανάκλασης

Αν λειτουργείτε αναδρομικό DNS, περιορίστε την αναδρομή στους πελάτες που σκοπεύετε να εξυπηρετείτε. Αυτό διαφέρει από έναν διακομιστή DNS που είναι αρμόδιος για τους τομείς σας και μπορεί να χρειάζεται να απαντά στο κοινό. Το RFC 5358 εξηγεί γιατί η ανοικτή αναδρομή μπορεί να μετατρέψει έναν διακομιστή σε ανακλαστήρα.

Ελέγξτε και άλλες εκτεθειμένες υπηρεσίες για περιττή δυνατότητα πρόσβασης και υπερμεγέθεις απαντήσεις. Προγραμματίστε υποστήριξη DDoS από το ανάντη δίκτυο πριν από κάποιο περιστατικό: το φιλτράρισμα στον δικό σας διακομιστή δεν μπορεί να αποκαταστήσει μια σύνδεση που έχει ήδη κορεστεί πριν φτάσει η κίνηση σε αυτόν.

Και το IPv6 χρειάζεται αυτές τις αποφάσεις

Η μετάβαση στο IPv6 δεν ενεργοποιεί αυτόματα την κρυπτογράφηση ούτε αποτρέπει την πλαστογράφηση προέλευσης. Το IPsec απαιτεί σκόπιμη ρύθμιση και διαχείριση κλειδιών και μπορεί να χρησιμοποιηθεί και με τις δύο εκδόσεις του IP. Οι οδηγίες επιχειρησιακής ασφάλειας του IPv6 εξετάζουν τα μέτρα που πράγματι χρειάζονται. Σε δίκτυο διπλής στοίβας, αξιολογήστε και δοκιμάστε και τις δύο διαδρομές.

Ελέγξτε ότι η προστασία λειτουργεί χωρίς να διαταράσσει την υπηρεσία

Καταγράψτε τα αναμενόμενα εύρη και τις διαδρομές, δοκιμάστε την εξουσιοδοτημένη κίνηση και τη μετάπτωση σε εφεδρεία και μετά εξετάστε τις απορρίψεις και την κατάσταση των υπηρεσιών. Ένα σύστημα ανίχνευσης εισβολών μπορεί να σας ειδοποιεί για μοτίβα· ο αποκλεισμός απαιτεί λειτουργία πρόληψης ή αντίδραση διαχειριστή. Τα αρχεία καταγραφής πρέπει να βοηθούν στην εξήγηση του συμβάντος, όχι να μετατρέπουν μια δηλωμένη προέλευση σε υποτιθέμενη ταυτότητα.

Ως απλός χρήστης του διαδικτύου, εστιάστε στις ενημερώσεις, στις αυθεντικοποιημένες συνδέσεις και στην ασφάλεια λογαριασμών. Ρωτήστε τον πάροχό σας για το φιλτράρισμα προέλευσης αν χρειάζεται· δεν μπορείτε να διορθώσετε την επικύρωση πακέτων στο ανάντη δίκτυο από έναν φυλλομετρητή. Για το υπόβαθρο, διαβάστε πώς λειτουργεί μια πλαστή προέλευση ή σε ποιο μοτίβο επίθεσης ανταποκρίνεται κάθε μέτρο.