Auf dieser Seite
Das Wichtigste
- IP-Bytes zählenFlowSpec Typ 10 vergleicht IP-Paketlängen, nicht Ethernet-Framegrößen oder Anwendungsnutzdaten.
- Eine Größe ist keine AngriffssignaturLegitimer Verkehr kann dieselbe Länge haben. Verbinden Sie Messungen mit einem genau autorisierten Umfang.
- Durchsetzung und Rücknahme prüfenEine empfangene BGP-Regel beweist kein Weiterleitungsverhalten. Testen Sie Datenpfad und Entfernung.
Warum wiederkehrende Längen weitere Belege brauchen
Eine Flut kann viele gleich große Pakete enthalten. Die Länge ist deshalb ein nützliches Untersuchungsmerkmal. Dieselbe Wiederholung kommt aber auch bei legitimen Keepalives, Bestätigungen und Spielverkehr vor. Eine Histogrammspitze ist eine Beobachtung, keine Erlaubnis, jedes Paket dieser Länge zu verwerfen.
Beginnen Sie bei betroffenem Ziel, Protokoll, Richtung und Dienstverhalten. Vergleichen Sie Vorfallsstichproben mit erfolgreichen normalen Sitzungen, Wiederverbindungen und Anwendungsupdates. Sampling und gekürzte Mitschnitte können Unterschiede verbergen; dokumentieren Sie die Erhebungsmethode.
IPv4 Typ 10 zählt das vollständige IP-Paket
RFC 8955 definiert die Länge über das komplette IP-Paket einschließlich IP-Header, aber ohne Schicht 2. Übertragen Sie keine aufgezeichnete Ethernet-Länge oder UDP-Nutzdatenlänge in eine Regel, als wären diese Werte gleichbedeutend.
Ein unfragmentiertes IPv4-Paket mit 20-Byte-IP-Header, 8-Byte-UDP-Header und 32-Byte-Nutzdaten hat beispielsweise 60 Byte IP-Länge. Ohne VLAN-Tags ist sein Ethernet-Frame einschließlich FCS 78 Byte groß. Die nominelle Leitungsbelegung addiert weitere 20 Byte. Das sind verschiedene Messungen desselben Beispiels.
| Messung in diesem Beispiel | Byte | Bedeutung |
|---|---|---|
| UDP-Nutzdaten | 32 | Nur Anwendungsdaten. |
| IPv4-Paket | 60 | IP- und UDP-Header plus Nutzdaten: die Länge für Typ 10. |
| Ethernet-Frame mit FCS | 78 | 14-Byte-Ethernet-Header plus IP-Paket plus 4-Byte-FCS. |
| Nominelle Leitungsbelegung | 98 | Frame plus Präambel und Interframe-Zeit. |
Länge mit einem ausdrücklichen Verkehrsumfang kombinieren
Begrenzen Sie eine Regel auf das autorisierte Zielpräfix und das vorgesehene IP-Protokoll. Unterscheiden Sie bei Ports Quellport, Zielport und die Komponente, die auf einen von beiden passen kann. Ihre Bedeutung hängt von der Verkehrsrichtung ab. Verwenden Sie nur Bedingungen und Aktionen, die die empfangende Implementierung unterstützt.
Eine Länge analysiert kein Anwendungsprotokoll. Eine UDP-Größenregel beweist keine Zugehörigkeit zu FiveM; die Hauptspielverbindung von Minecraft Java nutzt TCP. Übertragen Sie keine Regel zwischen Diensten, nur weil beide Spiele sind. Bei Überschneidung legitimer und unerwünschter Pakete kann eine kompatible Anwendungskontrolle erforderlich sein.
Prüfen Sie bei Kapselung erneut die Messebene. Eine Regel für äußere Tunnelpakete vergleicht nicht automatisch das innere Dienstpaket. Das Bytebeispiel dieses Artikels betrifft IPv4. Validieren Sie IPv6-Erweiterungsheader, Fragmente und Implementierungsverhalten separat.
Vor der Durchsetzung einer Regel
Nachweise und Verantwortliche festhalten
Bewahren Sie repräsentative autorisierte Mitschnitte oder Zähler, Normalwerte, betroffenes Ziel und den Regelverantwortlichen auf. Beschreiben Sie erwarteten Nutzen und mögliche legitime Treffer.
Die genaue Übereinstimmung prüfen
Prüfen Sie Einheiten, Grenzen, Protokoll, Portrichtung und Fragmentverhalten. Vergleichen Sie die erzeugte Regel mit der Absicht und testen Sie unterstützte Paketvarianten isoliert.
Installation und Dienstfunktion nachweisen
Bestätigen Sie sowohl Annahme durch die Steuerung als auch tatsächliche Installation im Datenpfad. Prüfen Sie Trefferzähler und legitime Anwendungsvorgänge über den geschützten Pfad.
Die Änderung begrenzen und entfernen
Legen Sie im Ablauf oder Controller eine ausdrückliche Prüf- oder Rücknahmezeit fest. BGP FlowSpec bietet keine allgemeine automatische Ablaufzeit je Regel. Testen Sie Entfernung und anschließende Weiterleitung.
Beispiel: ein Ziel und ein beobachtetes unerwünschtes Muster
Angenommen, Messungen Ihres eigenen UDP-Diensts zeigen ein unerwünschtes IPv4-Muster bei einer bestimmten IP-Länge, während Normalverkehr unabhängig vermessen wurde. Zählen Sie zunächst Treffer ohne Verwerfen, sofern die Plattform dies unterstützt. Andernfalls nutzen Sie einen isolierten Testpfad; setzen Sie keinen solchen Beobachtungsmodus voraus.
Trifft die Bedingung auch legitimen Verkehr, engen Sie sie ein oder verwerfen den Ansatz, statt einen breiten Bereich zu erweitern. Ist eine begrenzte Regel gerechtfertigt, beobachten Sie Diensterfolg ebenso wie den Rückgang des Angriffs. Weniger Bandbreite bei gestörten Kunden ist keine erfolgreiche Mitigation.
Nichtinitiale Fragmente enthalten nicht den ursprünglichen Transportheader. Eine Regel mit zusätzlicher UDP-Portbedingung braucht deshalb besondere Aufmerksamkeit: Laut Standard passt der Portvergleich nicht auf diese Fragmente. Gehen Sie nicht davon aus, dass eine Port-und-Längenregel ein ganzes fragmentiertes Datagramm abdeckt.
Häufige Fehler, die die Regelbedeutung verändern
- Eine aufgezeichnete Ethernet-Länge vergleichen, obwohl die Regel IP-Paketlänge erwartet.
- Eine Längenbedingung auf alle Ziele oder Protokolle anwenden, weil ein einzelner Dienst angegriffen wird.
- Quell- und Zielports bei reflektiertem oder zurückkehrendem Verkehr verwechseln.
- Annehmen, jedes Fragment enthalte einen vergleichbaren UDP- oder TCP-Header.
- Eine von BGP angenommene Route als Beweis für einen in Hardware installierten Filter behandeln.
- Eine Vorfallsregel ohne Verantwortlichen, Prüftermin oder getestete Rücknahme aktiv lassen.
Die Regel in einen vollständigen Betriebsablauf einbetten
Dokumentieren Sie Umfang, Version, Freigabeberechtigung, Installationsergebnis, Zähler und Entfernung gemeinsam. Vorgelagerte Annahmerichtlinien und unterstützte Aktionen gehören zum Leistungsumfang. Eine beworbene FlowSpec-Fähigkeit allein legt sie nicht fest.
Fragen und Antworten
Bedeutet Paketlänge die Größe der UDP-Nutzdaten?
Nein. Im IPv4-Beispiel umfasst sie neben den Nutzdaten auch IPv4- und UDP-Header, aber nicht die Ethernet-Schicht.
Kann eine feste Länge alle schädlichen Pakete identifizieren?
Nein. Legitime und unerwünschte Pakete können dieselbe Länge haben. Nutzen Sie Nachweise, einen engen autorisierten Umfang und Dienstprüfungen.
Läuft eine temporäre FlowSpec-Regel selbstständig ab?
Setzen Sie das nicht voraus. Organisieren Sie Ablauf oder Rücknahme im Controller oder Betriebsverfahren und prüfen Sie, ob die Durchsetzung wie vorgesehen verschwindet.
