|
VeriSign Internet Defense Network
Günümüzde "Politik", "Finansal" yada "Teknolojik" motivasyonlara sahip DDoS1 saldırıları kurumların iş sürekliliğini tehtid eden önemli bir tehlike haline gelmiştir. Özellikle büyük ölçekli ve uzun soluklu saldırıların ağ güvenlik kapıları önünde filtre edilememesi kurumlara büyük kayıplar yaşatmaktadır.
Kurumlara üstün performanslı ve ölçeklenebilir bir DDoS koruma servisi sunan VeriSign Internet Defense Network servisi, etkin bir savunma için gerekli olan donanım, hat kapasitesi gibi yatırım ve işletme maliyetlerini ortadan kaldırır. 40 Gbps gibi büyük saldırılar altında bile kurumların iş sürekliliğini garanti altına alır
Geleneksel DDoS koruma stratejilerinin aksine, VeriSign Internet Defense Network topolojisinde, DDoS saldırısı kurumun ağ geçidi önünde değil, VeriSign güvenlik merkezleri üzerinde karşılanır. Kurumun iletişim ağına isabet eden bir DDoS saldırısı doğrudan VeriSign güvenlik merkezlerine yönlendirilir. VeriSign güvenlik merkezlerinde saldırı sönümlenerek filtrelenir ve temiz trafik kurumun ağına geri gönderilir. Bu topoloji kurumun hat ve donanım kapasitelerinin satüre olmasını engelleyerek tamamen transparan bir koruma sağlar.
VeriSign "In-the-Cloud" topolojisi üzerinde servis veren VeriSign güvenlik merkezleri, dünya üzerinde coğrafi olarak dağıtık 46 ayrı veri merkezi üzerinde çalışmaktadır. Her zaman %100 erişilebilirlik istatistiğine sahip VeriSign "In-the-Cloud" topolojisi, tüm VeriSign servisleri için global yük dağılımı ve yüksek erişilebilirlik altyapısı sunmaktadır. Topolojide Ashburn (ABD), San Francisco (ABD), Amsterdam (Hollanda), Tokyo (Japonya) konumlarında bulunan her biri 20Gbps kapasiteli dört adet VeriSign güvenlik merkezi sürekli aktif, diğer güvenlik merkezleri ise kapasite ihtiyacına göre değerlendirilmek üzere pasif ancak hazır durumdadır.
 |
İzleme
Kurumun yönlendirici ağ cihazlarından geçen trafik akışı VeriSign güvenlik merkezleri tarafından periyodik olarak örneklenir ve analiz edilmek üzere VeriSign korelasyon, saldırı tespit ve raporlama motorlarına beslenir. VeriSign korelasyon motoru üzerinde analiz edilen ağ paketleri işlenerek normal ve anormal trafik paternleri sınıflandırılarak kurumun dinamik trafik profili oluşturulur.
VeriSign güvenlik merkezleri tarafından 24x7 izlenen trafik ve sürekli derlenen analizler aynı zamanda web tabanlı izleme portalı aracılığı ile gerçek zamanlı olarak kuruma raporlanır. Kurumun veri trafiği üzerinde potansiyel bir saldırı izi tespit edildiğinde VeriSign güvenlik mühendisleri saldırıya müdehale ederek kurumun iletişim ağının saldırıdan etkilenmesini engeller.
1- DDoS: Sahip olunan bant genişliği yada donanım kaynaklarına, kapasiteleri üzerinde istek gönderilerek düzenlenen ağ saldırısı, servis dışı bırakma.
Saldırı Tespiti
Saldırının erken tespit edilmesi, kurumun iş sürekliliğinin aksamaması açısından önem arzeder. Saldırı izi analizi ve dinamik profil denetimi olarak ikiye ayrılan VeriSign Internet Defense Network saldırı tespit yaklaşımı; kısa bir süre içinde potansiyel bir DDoS saldırısını teşhis edebilmektedir.
Saldırı izi analizi, anomali gösteren şüpheli ağ aktivitelerini inceleyerek güncel DDoS saldırı izleri ile karşılaştırır. Sadırı izi analizi; endüstri tarafından bilinen iz ve tekniklere ek olarak VeriSign güvenlik laboratuarı iDefense tarafından tespit edilmiş ve yapılandırılmış en güncel senaryo ve filtreler kullanılarak gerçekleştirilir.
Her kurumun internet trafiği değişkenlik gösterebileceğinden, kurumların normal trafik profilleride birbirinden farklıdır. Dinamik profil denetimi; kurumun anlık trafiğinin, kurumun normal trafik profiline uzaklığını dinamik olarak monitör eder ve saldırı izi verileri ile birleştirerek saldırının erken teşhis edilmesine olanak sağlar.
Koruma
Koruma aşaması 3 bileşenden oluşur. "Yönlendirme", "Filtreleme" ve "Geri Yönlendirme"
Yönlendirme aşaması temel olarak kurumun iletişim ağına isabet eden DDoS saldırısının "In-the Cloud" topolojisi üzerinde çalışan VeriSign Güvenlik Merkezleri tarafından üstlenilmesi işlemidir. Kuruma gelen internet trafiği, VeriSign Güvenlik Merkezlerine yönlendirilir. Yönlendirme işlemi senaryoya göre BGP yada DNS aracılığı ile yapılmaktadır. VeriSign kendine ait global BGP2 anons teknikleri ile BGP propagasyon sürecini 5 dakika gibi kısa sürelere indirebilmektedir.
Saldırıyı üstlenen VeriSign Güvenlik Merkezleri çok katmanlı filtreleme teknolojisi trafiği filtreleyerek DDoS saldırısına ait olan paketleri engeller. Farklı protokol katmanları için farklı yaklaşımlar kullanan VeriSign filtreleme teknolojisi, saldırı devam ettikçe daha verimli çalışır ve etkin bir koruma sağlar.
VeriSign Güvenlik Merkezleri tarafından filtrelenerek temizlenen trafik, kurumun iletişim ağına geri yönlendirilir. Geri yönlendirme tekniği olarak kurumun tercihine göre GRE3 yada VPN4 tünel kullanılır.
2- Border Gateway Protokol: Otonom sistemler arasında ağ yönlendirme bilgilerinin takas edildiği iletişim protokolü.
3- Generic Routing Encapsulation: Yönlendirici ağ cihazları arasında tünelleme tekniği ile oluşturulan sanal link
4- Virtual Private Network: Internet üzerinde ünelleme tekniği ile noktadan noktaya güvenli erişim imkanı veren özel sanal ağ
|
