Sur cette page
À retenir
- Compter les octets IPLe Type 10 FlowSpec compare la longueur du paquet IP, pas celle de la trame Ethernet ou de la charge utile applicative.
- Une taille n’est pas une signature d’attaqueLe trafic légitime peut avoir la même longueur. Associez les observations à un périmètre précisément autorisé.
- Vérifier l’application et le retraitUne règle BGP reçue ne prouve pas le comportement du transfert ; testez le traitement des paquets et la suppression de la règle.
Pourquoi une longueur répétée demande d’autres preuves
Un flood peut contenir beaucoup de paquets de même taille, ce qui rend leur longueur utile à l’analyse. Cette répétition existe aussi dans des keepalives, acquittements et échanges de jeux légitimes. Un pic d’histogramme est une observation à examiner, pas une autorisation de rejeter tous les paquets de cette longueur.
Partez de la destination touchée, du protocole, du sens et du comportement du service. Comparez les échantillons de l’incident aux sessions normales réussies, aux reconnexions et aux mises à jour applicatives. L’échantillonnage et les captures tronquées peuvent masquer des variations : documentez leur collecte.
Le Type 10 IPv4 compte le paquet IP complet
La RFC 8955 définit la longueur sur le paquet IP complet, en incluant son en-tête et en excluant la couche 2. Ne recopiez pas une longueur Ethernet capturée ou une taille de charge utile UDP dans une règle comme si ces valeurs représentaient la même chose.
Par exemple, un paquet IPv4 non fragmenté avec un en-tête IP de 20 octets, un en-tête UDP de 8 octets et une charge utile de 32 octets mesure 60 octets au niveau IP. Sans VLAN, sa trame Ethernet mesure 78 octets avec le FCS. L’occupation nominale du lien ajoute encore 20 octets. Ce sont différentes mesures du même exemple.
| Mesure dans cet exemple | Octets | Signification |
|---|---|---|
| Charge utile UDP | 32 | Données applicatives uniquement. |
| Paquet IPv4 | 60 | En-têtes IP et UDP avec la charge utile : longueur du Type 10. |
| Trame Ethernet avec FCS | 78 | En-tête Ethernet de 14 octets, paquet IP et FCS de 4 octets. |
| Occupation nominale du lien | 98 | Trame, préambule et temps intertrame. |
Associer la longueur à un périmètre explicite
Limitez la règle candidate au préfixe de destination autorisé et au protocole IP prévu. Si les ports comptent, distinguez port source, port destination et composant pouvant reconnaître l’un ou l’autre. Leur sens dépend de la direction du trafic. N’utilisez que les conditions et actions prises en charge par l’équipement récepteur.
Une longueur n’analyse pas un protocole applicatif. Une taille UDP ne prouve pas qu’un paquet appartient à FiveM, et la connexion principale de Minecraft Java utilise TCP. Ne transposez pas une règle entre services au seul motif que ce sont des jeux. Un contrôle applicatif compatible peut être nécessaire si les paquets légitimes et indésirables se ressemblent.
Revérifiez la couche mesurée en présence d’encapsulation. Une règle évaluée sur le paquet externe d’un tunnel ne compare pas automatiquement le paquet du service interne. L’exemple de cet article concerne IPv4 ; validez séparément les extensions IPv6, les fragments et le comportement de l’implémentation.
Avant d’appliquer une règle candidate
Conserver les preuves et le responsable
Gardez des captures autorisées représentatives ou des compteurs, la référence normale, la destination et le responsable de la règle. Précisez le bénéfice attendu et les correspondances légitimes possibles.
Vérifier la correspondance exacte
Vérifiez unités, bornes, protocole, sens des ports et fragments. Comparez la règle produite aux conditions voulues ; testez les variations prises en charge dans un environnement isolé.
Prouver l’installation et le bon fonctionnement
Confirmez l’acceptation par le contrôle et l’installation réelle dans le traitement des paquets. Examinez les compteurs de correspondance et testez l’application légitime par le chemin protégé.
Borner puis retirer le changement
Prévoyez une date explicite de revue ou de retrait dans la procédure ou le contrôleur. BGP FlowSpec ne fournit pas d’expiration automatique générale par règle. Testez la suppression et le transfert obtenu.
Exemple : une destination et un motif indésirable observé
Supposons que les mesures de votre service UDP montrent un motif IPv4 indésirable concentré sur une longueur IP donnée, avec un trafic normal mesuré indépendamment. Comptez d’abord les correspondances sans rejeter si la plateforme le permet. Sinon, utilisez un chemin de test isolé ; ne présumez pas l’existence d’un mode sans rejet.
Si du trafic légitime correspond aussi, resserrez ou abandonnez la condition au lieu d’élargir la plage. Si une règle limitée est justifiée, surveillez la réussite du service et la réduction de l’attaque. Un débit plus bas avec des clients déconnectés n’est pas une mitigation réussie.
Les fragments non initiaux ne contiennent pas l’en-tête de transport original. Une règle exigeant aussi un port UDP demande donc une attention particulière : le critère de port de la norme ne correspond pas à ces fragments. Ne concluez pas qu’une règle port et longueur couvre tout un datagramme fragmenté.
Erreurs fréquentes qui changent le sens de la règle
- Comparer une longueur de capture Ethernet alors que la règle attend une longueur IP.
- Appliquer une condition de taille à toutes les destinations ou tous les protocoles parce qu’un seul service est attaqué.
- Confondre ports source et destination sur du trafic réfléchi ou de retour.
- Supposer que chaque fragment transporte un en-tête UDP ou TCP permettant une comparaison.
- Prendre une route acceptée par BGP pour la preuve que le matériel a installé le filtre.
- Laisser une règle d’incident active sans responsable, date de revue ou retrait testé.
Intégrer la règle à une procédure complète
Conservez ensemble périmètre, version, autorité d’approbation, résultat d’installation, compteurs et résultat du retrait. La politique d’acceptation amont et les actions prises en charge font partie du contrat de service ; annoncer FlowSpec ne suffit pas à les établir.
Questions et réponses
La longueur correspond-elle à la charge utile UDP ?
Non. Dans cet exemple IPv4, elle inclut les en-têtes IPv4 et UDP ainsi que la charge utile, mais exclut la couche Ethernet.
Une taille fixe identifie-t-elle tous les paquets malveillants ?
Non. Des paquets légitimes et indésirables peuvent avoir la même taille. Il faut des observations, un périmètre autorisé limité et une validation du service.
Une règle FlowSpec temporaire expire-t-elle seule ?
Ne le supposez pas. Organisez son expiration ou son retrait dans le contrôleur ou la procédure, puis vérifiez que son application disparaît comme prévu.
