ICMP

ICMP Nedir?

ICMP, ICMP & Reflection bandında ICMP trafiğine izin verilip verilmeyeceğini belirler; bandın tek izin ayarıdır. Diğer kutulardaki kurallar bir saldırıyı tarif edip onu durdururken, buradaki tek kural bir protokolün bütününe kapı açar ya da kapatır.

ICMP, verinin kendisini değil ağın durumunu taşıyan protokoldür: bir adresin ulaşılabilir olup olmadığı, bir paketin neden düşürüldüğü, bir yolun kaç bayta izin verdiği bu protokolle bildirilir. En bilinen kullanımı yankı sorgusu ile cevabıdır; ağ yöneticilerinin erişim denetiminde kullandığı yöntem budur.

Aynı protokol saldırıda da kullanılır. Yankı sorgusu ucuzdur ve karşılığı zorunludur; bu yüzden hem hacim saldırısında hem de hedef keşfinde tercih edilir. Kutu bu ikilemin kararını tek bir ayara indirger: protokole izin verilir ya da verilmez.

1

Kural

Bandın tek izin ayarı; kutuda başka kural bulunmaz

Allow

Varsayılan Değer

Katalog varsayılanı izin vermektir ve dokunulmamış tabloda da yürürlüktedir

2

Sunulan Değer

Allow · Deny; yaptırım basamakları bu kuralda bulunmaz

Yok

Ayarlanabilir Değer

Kuralın bir limiti ya da eşiği yoktur

Yok

Karantina

Kural kaynağı karantinaya gönderemez

Yalnız IPv4

Sayacın Kapsamı

Ölçüm yalnız IPv4 yankı sorgularını sayar

L4 DDoS Management'ta ICMP Kutusu

Kutu, ICMP & Reflection bandının gövdesindeki ilk kutudur. Başlığında adı ve taşıdığı kural sayısı, gövdesinde tek bir kural satırı bulunur.

ICMP & Reflection - ICMP Kutusu

Satır	Kural	Neyi belirler
1	Allow ICMP	ICMP trafiğinin route tablosunda geçip geçmeyeceği.

Allow ICMP

Kural, ICMP trafiğine izin verilip verilmeyeceğini belirler. Bilgi bandındaki tanımı şudur: Allow ICMP traffic.

Allow ICMP Düzenleme Ekranı

INFO

Status

Kuralın değerini seçer. İki değer sunulur ve seçilen değer satırdaki cümleyi de belirler:

Değer	Satırdaki cümle
Allow	ICMP traffic is allowed
Deny	ICMP traffic is denied

Cümlede sayı ya da eşik bulunmaz; kuralın ayarlanabilir bir değeri yoktur.

INFO

Learning Lock Varsayılan: Kapalı

Kuralı öğrenme motoruna kapatır. Anahtar açıldığında motor bu kuralın değerini değiştiremez; kural yalnızca bu pencereden elle değiştirilir.

Varsayılan olarak kapalıdır. Kilit açıkken satırda, kalemin solunda yazısız bir asma kilit ikonu görüntülenir.

INFO

Save

Yapılan değişikliği kaydeder ve anında yürürlüğe koyar. Yalnızca değiştirilen alanlar güncellenir.

Satır hiçbir değerde yeşil olmaz

Bandın diğer kurallarında yeşil nokta "bu kural saldırıyı durduruyor" demektir. Bu kural bir saldırıyı durdurmaz, yalnız trafiğe izin verir; bu nedenle Allow değerinde nokta ve cümle (ICMP traffic is allowed) amber görüntülenir. Deny değerinde ise satırın tamamı soluklaşır, ancak cümle (ICMP traffic is denied) kırmızı görüntülenir.

Aynı ayrım durum kartında da geçerlidir: kural, kartın değerlendirmeye aldığı kurallar arasında yer almaz. Bant rozetlerinde ise Allow değeri Enforcing hanesine yazılır.

Deny, yankı sorgularından çok daha fazlasını kapatır

Deny değeri bir engelleme kuralı yazmaz; izin kurallarını kaldırır. Route tablosunun zincirleri varsayılan olarak düşürmeye ayarlı olduğundan, izin kuralı kalmayan ICMP trafiği düşer. Kurulu bir oturuma bağlı paketler bunun dışındadır; onları kabul eden kural iznin dışında yazılır. Bunun üç sonucu vardır:

Kalkan izin	Sonucu
Yankı sorgusu ve cevabı	Cihaza yönelen ve cihaz üzerinden geçen ICMP yankı trafiği durur; dışarıdan cihaza erişim denetimi yapılamaz. Cihazın kendi başlattığı yankı sorgularının cevapları kurulu oturum sayıldığı için kabul edilmeye devam eder.
IPv6'nın komşu keşif ve yol boyu paketleri	IPv6 çalışması için gereken sekiz ICMPv6 türünün izni de kalkar: komşu isteği ve bildirimi, yönlendirici isteği ve bildirimi, paket çok büyük, hedefe ulaşılamıyor, süre aşıldı ve parametre hatası.
Yönlendirilen trafiğin kurulu oturumları	Cihaz üzerinden geçirilen trafikte kurulu oturumların paketlerini kabul eden kural da bu iznin içindedir ve onunla birlikte kalkar.

Üçüncü satır yalnız ICMP'yi değil, route tablosu üzerinden yönlendirilen bütün trafiği ilgilendirir. ICMP izni kapatılmadan önce ilgili route tablosunun yönlendirme yapıp yapmadığı denetlenir.

Cihazın kendi cevapladığı bir tür kapatılır

İzin açıkken IPv4 tarafında bir kural daha yazılır: cihazın zaman damgası cevabı göndermesi engellenir. Bu, cihazın başkalarının saldırısında yansıtıcı olarak kullanılmasını zorlaştıran tek kuraldır ve yalnız izin açıkken bulunur.

İzin kapatıldığında bu kural da kalkar; ancak o durumda ICMP zaten geçmediğinden pratik bir farkı olmaz.

Öğrenme motoru bu kural için hiçbir zaman öneri üretmez

Kuralın Learning Lock anahtarı bulunur, ancak motorun bu kurala uygulayabileceği bir değişiklik yoktur: kuralın ayarlanabilir bir limiti ve terfi edebileceği bir yaptırım basamağı bulunmaz.

Anahtarın açılması ya da kapatılması bu nedenle kuralın davranışını değiştirmez. Motor bir tur çalıştığında satırda Verified hüküm rozeti görüntülenir; rozet hiçbir zaman bir öneriye dönüşmez.

Ölçüm ve Pano

Kuralın sayacı moddan bağımsız çalışır: izin kapalıyken de route tablosuna giren yankı sorguları sayılmaya devam eder. Ölçüm panoda Suspicious Packets sekmesinde, L4 DDoS Packet Class — Allow ICMP başlıklı panelde saniyelik paket olarak görüntülenir.

Özellik	Değeri
Panel sekmesi	Suspicious Packets
Ölçülen	Route tablosuna giren ICMP yankı sorgusu sayısı; cihaz üzerinden geçirilen paketler de sayılır
IP sürümü	Yalnız IPv4; IPv6 yankı trafiği hiç sayılmaz
Karantina paneli	Yok
Dropped Traffic paneli	Yok

Sayım sürer, ancak panel her zaman sunulmaz

İzin Deny değerine alındığında sayım durmaz; buna karşılık panel listesinde bu kuralın kartı sunulmaz. Veri arka planda yazılmaya devam eder ve izin yeniden açıldığında geçmişiyle birlikte görüntülenebilir.

Muaf kaynaklar sayaca da yazılmaz

Muafiyet listesindeki kaynakların paketleri sayaç kuralından önce zincirin dışına alınır. Bu nedenle muaf bir kaynağın gönderdiği yankı sorguları panelde görünmez.

Kapsam ve Sınırlar

INFO

• Kural bir koruma değil, bir izindir. Açık olması trafiği geçirir; kapalı olması bütün ICMP türlerini düşürür.
• İzin hem cihaza gelen hem cihaz üzerinden geçen trafiği kapsar. Yalnız cihazın kendi arayüzleriyle sınırlı değildir.
• Deny değeri yalnız yankı trafiğini değil, IPv6'nın çalışması için gereken paketleri ve yönlendirilen trafiğin kurulu oturum kabulünü de kapatır.
• Dokunulmamış bir route tablosunda değer Allow'dur; katalog varsayılanı route tablosu oluşturulurken ve cihaz açılışında yapılandırmaya yazılır.
• Kuralın ayarlanabilir bir değeri, karantina seçeneği ve yaptırım basamağı yoktur.
• Sayaç yalnız IPv4 yankı sorgularını sayar ve moddan bağımsız çalışır.
• Muafiyet listesindeki kaynaklar sayaca yazılmaz.
• Düzenleme Network alanında değiştirme yetkisi ister. Salt izleme yetkisiyle satır ve cümle görüntülenir, kalem ikonu görüntülenmez.