Kako spriječiti napade lažiranjem IP adrese

Provjera putanje dostave i odluka o tome ko smije ući zasebni su zadaci. Provjera izvora i autentifikacija zahtijevaju vlastite kontrole.

Recepcija može provjeriti je li dostava stigla očekivanim putem. Osoba koja je prima i dalje treba odlučiti ko smije ući u zgradu. Mreže imaju sličnu podjelu rada: provjeriti odakle promet tvrdi da dolazi, pa autentificirati pristup usluzi.

Prvu provjeru postavite blizu izvora

Mrežni operator zna koji adresni rasponi trebaju stizati preko veze određenog korisnika. Paketi koji navode nepovezan izvor mogu se odbaciti na tom mjestu, prije nego što otputuju dalje. To je pristup provjeri izvora opisan u BCP 38.

U kompanijskoj mreži provjeravajte promet koji odlazi prema internetu, kao i onaj koji dolazi izvana. Ista granica izlaz je iz jedne mreže i ulaz u drugu. Definirajte očekivane izvore za svaku vezu, uključujući legitimno delegirane raspone, umjesto da svuda primjenjujete jedno opće pravilo.

Provjera raspona ne identificira osobu koja stoji iza paketa. Može ostaviti i prostor za krivotvorenje unutar dopuštenog raspona. Posmatrajte je kao korisnu graničnu kontrolu, a ne kao potvrdu identiteta.

Provjere povratne putanje prilagodite stvarnim rutama

Provjera povratne putanje za unicast promet, odnosno uRPF, uspoređuje izvor paketa s informacijama o usmjeravanju. U strogom načinu rada ulazno sučelje mora odgovarati odabranoj povratnoj putanji. To može dobro funkcionirati tamo gdje su putanje predvidive.

Međutim, legitiman promet može stići jednom vezom, dok najbolja povratna ruta koristi drugu. To se događa pri asimetričnom usmjeravanju i u mrežama koje koriste više pružalaca usluga. Stroge provjere tada mogu odbaciti valjan promet. RFC 3704 objašnjava te kompromise. Pristupi zasnovani na izvedivim putanjama uzimaju u obzir dopuštene alternative; labave provjere uglavnom ispituju postoji li ruta, pa pružaju slabiju provjeru. Odaberite način rada i provjerite ga prema stvarnoj topologiji, uključujući prelazak na rezervnu vezu pri otkazu.

Autentificirajte uslugu i korisnika

Zadržite ograničenja adresa tamo gdje su korisna, ali ih nemojte pretvoriti u jedini dokaz identiteta za osjetljiv pristup. Za web-usluge koristite pravilno provjeren TLS, a za administraciju i mrežne partnere odgovarajuće autentificirane protokole. Autentifikacija računa i dozvole i dalje imaju zasebne uloge.

TLS 1.3 autentificira server, može autentificirati i klijenta te štiti aplikacijski promet. Ne potvrđuje svaku izvorišnu IP adresu niti sprečava da preplavljivanje prometom iscrpi kapacitet veze. Šifriranje i provjera izvora štite različite stvari.

Smanjite mogućnosti za refleksiju

Ako upravljate rekurzivnim DNS-om, ograničite rekurziju na klijente kojima namjeravate pružati uslugu. To se razlikuje od autoritativnog DNS-a, koji možda treba javno odgovarati za vaše domene. RFC 5358 objašnjava zašto otvorena rekurzija može pretvoriti server u reflektor.

Provjerite i druge izložene usluge zbog nepotrebne dostupnosti i prevelikih odgovora. Planirajte podršku protiv DDoS-a na uzvodnoj mreži prije incidenta: filtriranje na vlastitom serveru ne može oporaviti vezu koja je već zasićena prije nego što promet stigne do servera.

I IPv6 zahtijeva ove odluke

Prelazak na IPv6 ne uključuje automatski šifriranje niti sprečava lažiranje izvora. IPsec zahtijeva namjernu konfiguraciju i upravljanje ključevima, a može se koristiti s obje verzije IP-ja. Smjernice za operativnu sigurnost IPv6 razmatraju kontrole koje su stvarno potrebne. U mreži s dvostrukim stekom procijenite i testirajte obje putanje.

Provjerite djeluje li zaštita bez narušavanja usluge

Zabilježite očekivane raspone i rute, testirajte odobreni promet i prelazak na rezervnu vezu, pa pregledajte odbačene pakete i stanje usluga. Sistem za otkrivanje upada može upozoriti na obrasce; blokiranje zahtijeva funkciju prevencije ili odgovor operatora. Zapisnici trebaju pomoći da se objasni šta se dogodilo, a ne da navedeni izvor pretvore u pretpostavljeni identitet.

Kao običan korisnik interneta, usredotočite se na ažuriranja, autentificirane veze i sigurnost računa. Po potrebi pitajte svog pružaoca usluga o filtriranju izvora; provjeru paketa na uzvodnoj mreži ne možete popraviti iz preglednika. Za širi kontekst pročitajte kako funkcionira lažirani izvor ili na koji obrazac napada odgovara svaka kontrola.