Uma vez que o appliance esteja em linha e tenha uma linha de base, o trabalho é delimitação: garantir que cada tipo de tráfego seja medido contra expectativas que lhe caibam.

Políticas de proteção

Uma política de proteção liga um conjunto de limiares e comportamentos a uma fatia definida do tráfego: tipicamente um serviço, uma sub-rede, ou uma .

A delimitação importa porque a média destrói o sinal. Meça um site público e um enlace de replicação de backup contra uma linha de base só e você obtém limiares frouxos demais para o site e apertados demais para o backup. Nenhum dos dois fica protegido direito, e o appliance parece não funcionar.

O agrupamento prático é por caráter do tráfego, e não por organograma:

  • Serviços voltados ao público — volumes altos e variáveis, muitas origens, a principal superfície de ataque.
  • Serviços internos — volumes previsíveis de uma população conhecida, em que uma anomalia é mais significativa porque o normal é mais estreito.
  • Transferência em massa — backups e replicação, que parecem inundação por toda métrica e são legítimos.

Esse último grupo é o mais esquecido, e produz o falso positivo mais memorável: o backup noturno mitigado como ataque volumétrico.

Tráfego por proxies e CDNs

Este é o problema mais difícil do produto, e vale dizer com clareza por quê.

A defesa baseada em origem pressupõe que um endereço identifica uma origem. Atrás de um , de um proxy corporativo, de um de operadora ou de um gateway de saída em nuvem, milhares de usuários compartilham um punhado de endereços. Todo limiar por origem passa a medir uma população, e a premissa básica do appliance é violada.

Duas consequências:

Origens compartilhadas legítimas parecem atacantes. Um nó de borda de CDN encaminhando para dez mil usuários excede qualquer taxa por origem projetada para um usuário.

Atacantes atrás de origens compartilhadas ficam invisíveis. Seu tráfego desaparece num volume que já é alto e já é tolerado.

O tratamento é uma combinação, e não uma configuração única: identificar as faixas conhecidas de proxy e CDN para que sejam tratadas como populações, e não como indivíduos; elevar ou desabilitar os limiares por origem especificamente para essas faixas; e apoiar-se na camada que enxerga o cliente real — o cabeçalho de encaminhamento na camada de aplicação, que é onde um opera e um appliance de de rede não.

A posição honesta é que um equipamento inspecionando pacotes não resolve por completo um problema criado por compartilhamento de endereços, e a resposta é camadas, e não ajuste.

Operar no dia a dia

Revise o que teria sido bloqueado antes de qualquer aplicação, e siga revisando depois. Relatório em modo de detecção durante uma implantação de prevenção é como se encontra um limiar prestes a causar um incidente.

Refaça a linha de base após mudança real. Um serviço novo, uma migração, uma temporada — cada um desloca o que é normal. Uma linha de base é uma descrição do passado e ela expira.

Antecipe eventos agendados. Um lançamento, uma campanha, um lote de fim de trimestre. Cada um é um pico legítimo que a mitigação comportamental tratará como ataque salvo se alguém avisar. Essa conversa pertence ao antes do evento.

Investigue falsos positivos em vez de elevar limiares por reflexo. Um limiar elevado para silenciar um alerta é proteção removida, e o motivo é esquecido muito antes de a consequência chegar.

Saiba o que faria com um ataque maior que seu enlace. A resposta é uma ligação a montante, e a hora de estabelecer quem e como não é durante o incidente.

O que quem vai prestar o exame precisa saber de cor

Políticas de proteção delimitam limiares a tráfego que se comporta de forma parecida, porque mediar tráfegos diferentes produz limiares que não protegem nenhum; transferência em massa é o grupo mais esquecido e o falso positivo mais comum. Tráfego chegando por proxies e CDNs quebra a premissa de que um endereço identifica uma origem, então faixas compartilhadas precisam ser identificadas e tratadas como populações, e o cliente real só é visível na camada de aplicação. Refaça a linha de base após mudança real, antecipe picos agendados, e investigue falsos positivos em vez de elevar limiares, porque um limiar elevado é proteção removida.