En esta página
Puntos clave
- Contar bytes IPEl Tipo 10 de FlowSpec compara longitud IP, no tamaño de trama Ethernet ni carga útil de aplicación.
- Un tamaño no es una firma de ataqueEl tráfico legítimo puede tener la misma longitud. Combine pruebas con un alcance autorizado preciso.
- Verificar aplicación y retiradaRecibir una regla BGP no demuestra el comportamiento de reenvío; pruebe el procesamiento y la eliminación.
Por qué una longitud repetida necesita más pruebas
Una inundación puede contener muchos paquetes del mismo tamaño, por lo que la longitud ayuda a investigar. Esa repetición también existe en keepalives, confirmaciones y tráfico legítimo de juegos. Un pico del histograma es una observación, no permiso para descartar todo lo que tenga esa longitud.
Empiece por destino afectado, protocolo, dirección y comportamiento del servicio. Compare muestras del incidente con sesiones normales correctas, reconexiones y actualizaciones de aplicación. El muestreo y las capturas truncadas pueden ocultar variación; documente cómo obtuvo los datos.
El Tipo 10 IPv4 cuenta el paquete IP completo
La RFC 8955 define la longitud sobre el paquete IP completo, incluida su cabecera y excluida la capa 2. No copie una longitud Ethernet capturada ni una longitud de carga UDP como si describieran lo mismo.
Por ejemplo, un paquete IPv4 sin fragmentar con cabecera IP de 20 bytes, cabecera UDP de 8 bytes y carga útil de 32 bytes tiene una longitud IP de 60 bytes. Sin VLAN, su trama Ethernet mide 78 bytes incluido FCS. La ocupación nominal añade otros 20 bytes. Son medidas distintas del mismo ejemplo.
| Medida en este ejemplo | Bytes | Significado |
|---|---|---|
| Carga útil UDP | 32 | Solo datos de aplicación. |
| Paquete IPv4 | 60 | Cabeceras IP y UDP más carga útil: la longitud del Tipo 10. |
| Trama Ethernet con FCS | 78 | Cabecera Ethernet de 14 bytes, paquete IP y FCS de 4 bytes. |
| Ocupación nominal del enlace | 98 | Trama más preámbulo y tiempo entre tramas. |
Combinar longitud con un alcance explícito
Restrinja la regla candidata al prefijo de destino autorizado y al protocolo IP previsto. Distinga puerto de origen, de destino y el componente que puede coincidir con cualquiera. Su significado cambia con la dirección. Use solo condiciones y acciones compatibles con la implementación receptora.
Una longitud no analiza un protocolo de aplicación. Una regla de tamaño UDP no demuestra que el paquete pertenezca a FiveM, y la conexión principal de Minecraft Java usa TCP. No traslade reglas entre servicios solo porque ambos sean juegos. Si tráfico legítimo e indeseado coinciden, puede hacer falta un control de aplicación compatible.
Revise de nuevo la capa medida cuando exista encapsulación. Una regla sobre el paquete exterior de un túnel no compara automáticamente el paquete interior del servicio. El ejemplo de bytes de este artículo es IPv4; valide por separado extensiones IPv6, fragmentos y comportamiento de la implementación.
Antes de aplicar una regla candidata
Registrar pruebas y responsable
Conserve capturas autorizadas representativas o contadores, referencia normal, destino afectado y operador responsable. Especifique el beneficio esperado y posibles coincidencias legítimas.
Comprobar la coincidencia exacta
Verifique unidades, límites, protocolo, dirección de puertos y fragmentos. Compare la regla generada con las condiciones previstas y pruebe variantes compatibles en un entorno aislado.
Demostrar instalación y salud del servicio
Confirme tanto aceptación en el plano de control como instalación real en el procesamiento. Examine contadores de coincidencia y compruebe la aplicación legítima por la ruta protegida.
Acotar y retirar el cambio
Fije una revisión o retirada explícita en el procedimiento o controlador. BGP FlowSpec no ofrece una caducidad automática general por regla. Pruebe su eliminación y el reenvío resultante.
Ejemplo: un destino y un patrón indeseado observado
Suponga que su servicio UDP presenta un patrón IPv4 no deseado concentrado en una longitud IP, con tráfico normal medido independientemente. Primero cuente coincidencias sin descartar si la plataforma lo permite. En otro caso use una ruta aislada; no dé por supuesto un modo sin descarte.
Si también coincide tráfico legítimo, acote o abandone la condición en vez de ampliar un rango. Si se justifica una regla limitada, supervise éxito del servicio y reducción del ataque. Menos ancho de banda con clientes desconectados no es una mitigación correcta.
Los fragmentos no iniciales no contienen la cabecera de transporte original. Una regla que también exige puerto UDP requiere atención: la coincidencia de puertos del estándar no se aplica a esos fragmentos. No concluya que una regla de puerto y longitud cubre todo el datagrama fragmentado.
Errores que cambian el significado de la regla
- Comparar longitud de captura Ethernet cuando la regla espera longitud IP.
- Aplicar una condición de tamaño a todos los destinos o protocolos porque se ataca un servicio.
- Confundir origen y destino en tráfico reflejado o de retorno.
- Suponer que todos los fragmentos contienen una cabecera UDP o TCP comparable.
- Tomar una ruta aceptada por BGP como prueba de que el hardware instaló el filtro.
- Dejar una regla de incidente activa sin responsable, revisión ni retirada probada.
Integrar la regla en un procedimiento completo
Registre juntos alcance, versión, autoridad de aprobación, resultado de instalación, contadores y retirada. La política de aceptación aguas arriba y las acciones compatibles forman parte del servicio; anunciar FlowSpec no las define por sí solo.
Preguntas y respuestas
¿Longitud de paquete significa tamaño de carga útil UDP?
No. En este ejemplo IPv4 incluye cabeceras IPv4 y UDP además de la carga útil, pero excluye la capa Ethernet.
¿Una longitud fija identifica todos los paquetes maliciosos?
No. Los paquetes legítimos e indeseados pueden compartir longitud. Use pruebas, alcance autorizado estrecho y validación del servicio.
¿Una regla FlowSpec temporal caduca sola?
No lo suponga. Configure caducidad o retirada en el controlador o procedimiento y compruebe que deja de aplicarse según lo previsto.
