Op deze pagina
Het operationele probleem
TCP-flags lijken betekenisvol, maar FlowSpec bewaart geen verbindingsstate. SYN, ACK en RST hebben elk een rol, maar los gezien bewijzen ze niet of een pakket legitiem is.
Bij asymmetrische routing wordt dit gevoeliger. De upstreamregel ziet mogelijk niet de volledige handshake, retourtraffic, NAT of load balancers. Een te brede ACK- of RST-filter kan echte sessies raken.
Waarom dit vóór een aanval telt
TCP-floods kunnen SYN-backlog, verbindingstabellen of applicaties uitputten zonder de volledige bandbreedte te vullen. Flags helpen duidelijke patronen upstream te verwijderen.
False positives zijn bij TCP duur: vastgelopen sessies, resources die niet laden, instabiele APIs. Daarom hebben flagregels bestemming, poort, rate en looptijd nodig.
Mogelijke technische aanpakken
Bij SYN-floods kan een smalle regel op host of poort nuttig zijn, vooral met downstreamvalidatie. Bij ACK-floods is meer voorzichtigheid nodig omdat legitieme established traffic kan bestaan.
Robuust is de combinatie van FlowSpec voor upstreamontlasting en state-aware filters of proxylogica voor context. Geen enkele flag hoort permanente policy te worden.
Een SYN-match bewijst geen aanval
Een API op TCP-poort 443 krijgt een SYN-flood. Een regel die alle SYN-pakketten naar dat doel verwijdert, verwijdert ook legitieme verbindingspogingen. Alleen het doel beperken maakt de regel niet veilig voor de gebruikers van de dienst.
Zoek vóór het droppen een aanvullend criterium dat ongewenste pakketten onderscheidt van geldige nieuwe verbindingen. Toets dit aan representatief legitiem verkeer. Kan de router dat onderscheid niet maken, gebruik dan passende TCP-validatie verderop. Een policer begrenst al het overeenkomende verkeer; aanvalspakketten kunnen dat budget ook verbruiken.
Leg match en actie vast, controleer hoe de ontvangende router het TCP-flagmasker uitlegt en observeer nieuwe verbindingen én bestaande sessies. Wijs een eigenaar toe voor het verlopen en intrekken van de regel. FlowSpec bewijst op zichzelf niet dat een pakket bij een geldige TCP-sessie hoort.
Veelgemaakte fouten vermijden
- Providerlimieten negeren.
