Blackholen is de oudste verdediging tegen een DDoS-aanval, en de botste. Je laat al het verkeer naar één adres weggooien, aanval én legitiem verkeer, zodat de aanval de verbinding niet meer vult waar de rest van je netwerk over loopt. In DDoS-aanvallen: zo bescherm je je infrastructuur staat waar het past tussen de andere verdedigingen. Dit artikel gaat over de praktijk bij ons: drie manieren om de noodrem te gebruiken, en waar je op moet letten.
Een noodrem, geen oplossing
De misvatting is dat een blackhole de aanval "afslaat". Voor het aangevallen adres doet hij het tegenovergestelde: dat adres is onbereikbaar zolang de blackhole staat, en de aanvaller heeft voor dat ene adres precies bereikt wat hij wilde. Wat je wint, is de rest van je netwerk.
Meestal hoef je er niet aan te denken. Bij een aanval nemen onze automatische maatregelen eerst gerichtere stappen, zoals een snelheidslimiet op het aanvalsverkeer; wat er gebeurt, zie je per aanval in het dashboard. Blackholen is voor wanneer je zelf besluit dat één adres opgeven beter is dan wachten.
1. De schakelaar in het dashboard
Onder Netwerk → Routing → IP-adressen open je een adres en zet je Blackhole aan. Het dashboard vraagt eerst een bevestiging, want de gevolgen zijn direct: binnen enkele seconden is alles op dat adres onbereikbaar vanaf internet, tot je de schakelaar weer uitzet. Onder de schakelaar zie je wat onze mitigatie ermee heeft gedaan en sinds wanneer.
De schakelaar werkt voor IPv4-adressen. Wie hem mag bedienen, bepaal je zelf: het valt onder het recht Netwerk beheren (zie Collega's toegang geven).
2. Via je eigen BGP-sessie
Heb je een BGP-sessie met ons, dan kun je hetzelfde vanuit je eigen router doen, zonder dashboard. Je kondigt het adres aan als /32 met de blackhole-community 65535:666 of 211588:0:666. Dat werkt binnen een paar regels:
- Alleen een IPv4-/32 binnen je eigen prefixlijst — op een bredere prefix heeft de community geen effect, en een adres buiten je prefixlijst wordt geweigerd.
- Je ROA blijft zoals hij is — de /32 wordt geaccepteerd op basis van je prefixlijst.
- Intrekken heft hem op — zolang de /32 staat, is het adres onbereikbaar.
- Andere communities vervallen — bij het doorgeven houden we alleen de blackhole-community over.
Hoe communities in het algemeen werken, staat in BGP-communities. Heb je maar één sessie met ons, houd er dan rekening mee dat we het verzoek doorgeven vanaf de router waar die sessie op staat.
3. Automatisch, voor de randadressen van je subnetten
Routeer je zelf een prefix achter onze verbinding, dan liggen daar subnetten in met elk een netwerkadres, een gateway en een broadcastadres. Bij een aanval die je hele /24 raakt, zijn juist die adressen een probleem: ze ontvangen aanvalsverkeer, maar er draait geen dienst op die iemand mist als ze even onbereikbaar zijn.
Onder Netwerk → Subnetten geef je op welke subnetten er in je prefix liggen. Richt een aanval zich op het netwerk-, gateway- of broadcastadres van zo'n subnet, dan mogen wij dat ene adres tot vier uur laten wegfilteren. De andere adressen blijven gewoon bereikbaar.
Dat vraagt een opgave die klopt, want een verkeerd opgegeven subnet laat bij een aanval een levende server onbereikbaar worden. Daarom doet het dashboard drie dingen:
- Voorstellen — op basis van gemeten verkeer stelt het subnetten voor die je met één klik overneemt. Bij twijfel stelt het niets voor: zien we ook maar één keer verkeer vanaf een randadres, dan vervalt het voorstel.
- Controle — opgegeven subnetten worden elke nacht opnieuw gemeten. Gaat een randadres zelf verkeer sturen, dan krijg je een waarschuwing op de pagina en in de herinneringsmail.
- Herbevestigen — een opgave telt alleen mee zolang je hem elke maand of elk kwartaal bevestigt. Vergeet je dat, dan vervalt hij en filteren we die adressen niet meer weg.
Eén eerlijke kanttekening, die de pagina zelf ook maakt: verkeersmetingen zijn steekproeven. Een apparaat dat bijna niets verstuurt, zoals een stille standby, kan erdoorheen glippen. Controleer een voorstel dus voordat je het overneemt.
Blackholen bij Xyphen IT
Alle drie de routes horen bij IP-transit op ons netwerk; de BGP-route bij transit met een eigen sessie. Twijfel je welke route bij jouw opzet past, of wil je een draaiboek voor de volgende aanval? Neem contact op, of kijk naar de BGP-training, waar we precies dat scenario met je team oefenen.