Come prevenire gli attacchi di IP spoofing

Controllare il percorso di una consegna e decidere chi possa entrare sono compiti distinti. Convalida delle sorgenti e autenticazione richiedono controlli propri.

Una reception può verificare se una consegna sia arrivata attraverso il percorso previsto. Chi la riceve deve comunque decidere chi possa entrare nell’edificio. Nelle reti c’è una divisione del lavoro simile: convalidare da dove il traffico dichiara di provenire, poi autenticare l’accesso al servizio.

Colloca il primo controllo vicino alla sorgente

Un operatore di rete sa quali intervalli di indirizzi dovrebbero arrivare sulla connessione di un cliente. I pacchetti che dichiarano una sorgente estranea possono essere rifiutati lì, prima di proseguire. È l’approccio alla convalida delle sorgenti descritto nella BCP 38.

In una rete aziendale, controlla sia il traffico in uscita verso Internet sia quello in arrivo dall’esterno. Lo stesso confine è un’uscita per una rete e un ingresso per un’altra. Definisci le sorgenti previste per ogni connessione, compresi gli intervalli legittimamente delegati, invece di applicare ovunque un’unica regola generale.

Il controllo di un intervallo non identifica la persona dietro un pacchetto. Può inoltre lasciare spazio a falsificazioni all’interno di un intervallo consentito. Consideralo un utile controllo di confine, non un certificato d’identità.

Adatta i controlli sul percorso inverso ai percorsi reali

L’unicast reverse path forwarding, o uRPF, confronta la sorgente di un pacchetto con le informazioni di instradamento. In modalità rigorosa, l’interfaccia di ingresso deve corrispondere al percorso di ritorno selezionato. Questo può funzionare bene quando i percorsi sono prevedibili.

Tuttavia, il traffico legittimo può arrivare da una connessione mentre il percorso di ritorno migliore ne usa un’altra. Accade con l’instradamento asimmetrico e nelle reti che utilizzano più fornitori. In questi casi, i controlli rigorosi possono scartare traffico valido. La RFC 3704 spiega questi compromessi. Gli approcci basati sui percorsi ammissibili considerano le alternative consentite; i controlli meno restrittivi generalmente verificano soltanto l’esistenza di un percorso, quindi offrono una verifica più debole. Scegli e verifica la modalità in base alla topologia reale, compresa la commutazione in caso di guasto.

Autentica il servizio e l’utente

Mantieni le restrizioni sugli indirizzi dove sono utili, ma non farne l’unica prova d’identità per gli accessi sensibili. Per i servizi web usa TLS con una convalida corretta, e per l’amministrazione e i nodi di rete con cui comunichi usa protocolli autenticati adeguati. L’autenticazione degli account e le autorizzazioni continuano ad avere compiti propri.

TLS 1.3 autentica il server, può autenticare anche il client e protegge il traffico applicativo. Non certifica ogni indirizzo IP sorgente e non impedisce a un flusso eccessivo di traffico di saturare un collegamento. Cifratura e convalida delle sorgenti proteggono cose diverse.

Riduci le possibilità di riflessione

Se gestisci un servizio DNS ricorsivo, limita la ricorsione ai client che intendi servire. È diverso dal DNS autoritativo, che potrebbe dover rispondere pubblicamente per i tuoi domini. La RFC 5358 spiega perché la ricorsione aperta possa trasformare un server in un riflettore.

Controlla gli altri servizi esposti per individuare accessibilità non necessaria e risposte sovradimensionate. Pianifica il supporto DDoS a monte prima di un incidente: il filtraggio sul tuo server non può ripristinare un collegamento già saturo prima che il traffico lo raggiunga.

Anche IPv6 richiede queste decisioni

Passare a IPv6 non attiva automaticamente la cifratura e non impedisce la falsificazione della sorgente. IPsec richiede una configurazione deliberata e la gestione delle chiavi, e può essere usato con entrambe le versioni di IP. Le linee guida sulla sicurezza operativa di IPv6 trattano i controlli effettivamente necessari. In una rete dual-stack, valuta e prova entrambi i percorsi.

Verifica che la protezione funzioni senza compromettere il servizio

Documenta gli intervalli e i percorsi previsti, prova il traffico autorizzato e la commutazione in caso di guasto, poi esamina gli scarti e lo stato dei servizi. Un sistema di rilevamento delle intrusioni può segnalare schemi di attività; per bloccarli occorre una funzione di prevenzione o l’intervento di un operatore. I log dovrebbero aiutare a spiegare che cosa è successo, senza trasformare una sorgente dichiarata in un’identità presunta.

Come normale utente di Internet, concentrati su aggiornamenti, connessioni autenticate e sicurezza degli account. Se necessario, chiedi al tuo fornitore informazioni sul filtraggio delle sorgenti: non puoi correggere la convalida dei pacchetti a monte da un browser. Per il contesto, leggi come funziona una sorgente falsificata oppure a quale schema di attacco risponde ciascun controllo.