TCP

TCP Nedir?

TCP, bağlantı kurma ve açık tutma mekanizmalarının kendisini hedef alan saldırıları karşılar. TCP'de her bağlantı üç adımlı bir el sıkışmayla açılır ve kapanana kadar iki uçta da kaynak tutar; saldırgan bu iki gerçeğin herhangi birini sömürebilir. Bant L4 DDoS Management ekranındadır ve açıklama notu kapsamını tek satırda verir: TCP handshake, connection and flag-based attacks.

Bant üç ayrı saldırı biçimini bir araya getirir ve her biri kendi kutusunda toplanır:

Kutu	Neye bakar
SYN Flood	El sıkışmanın kendisi: yeni bağlantı açma hızı, el sıkışma kuralına uymayan paketler ve çekirdeğin yarı açık bağlantı duruşu.
Connection Abuse	Açık bağlantıların kendisi: bir kaynağın aynı anda kaç bağlantı tutabildiği ve boşta kalan bağlantıların ne kadar sonra toplanacağı.
Malformed Flags & Scans	Paketin kendi bayrak deseni: meşru trafikte hiç oluşamayacak bayrak birleşimleri ve tarama izleri.

10

Kural

SYN Flood 4 · Connection Abuse 2 · Malformed Flags & Scans 4

8

Karantinaya Gönderebilen

İki aç/kapa ayarı dışındaki bütün kurallar kaynağı karantinaya alabilir

2

Eşik Ölçen Kural

Yeni bağlantı hızı ve eşzamanlı bağlantı sayısı; altısı imzaya bakar, ikisi çekirdek ayarı yazar

2

Aç/Kapa Ayarı

SYN çerezleri ve bağlantı temizliği; mod basamakları yerine açık/kapalı

4

Terfi İzninden Muaf

Bayrak ve tarama kuralları, izin kapalıyken de yaptırıma terfi edebilir

Her Tabloda

Görünürlük

Bant her route tablosunda aynı on kuralla görüntülenir

Bandın kendi ayarı yoktur

Bant ve kutular bir düzenleme öğesi taşımaz: ne mod seçicisi ne de kalem ikonu bulunur. Her kural kendi satırındaki kalem ile, kendi düzenleme penceresinde ayarlanır.

Bu, durum kartındaki Whitelist & Known Peers kutusundan farklıdır; orada kalem kutunun başlığındadır.

L4 DDoS Management'ta TCP Bandı

Bant, öğrenme şeridinin hemen altında yer alır. Başlıkta bandın adı, parantez içinde taşıdığı kural sayısı ve altında açıklama notu; sağ üstte mod dağılımı rozetleri yer alır.

L4 DDoS Management - TCP Bandı

Öğe	Anlamı
Başlık ve sayı	Bandın adı ve içindeki kural sayısı: TCP (10). Bu sayı sabittir; bant her route tablosunda aynı on kuralı taşır.
Açıklama notu	Bandın kapsamını özetleyen sabit metin.
Dağılım rozetleri	Bandın on kuralının mod dağılımı: Enforcing, Monitoring ve Off. Sayısı sıfır olan rozet görüntülenmez.
Üç kutu	Her kutunun başlığında adı ve taşıdığı kural sayısı bulunur.

Banttaki Enforcing sayısı ile durum kartındaki sayı aynı kümeyi saymaz

Bant, kuralların hepsini sayar ve aç/kapa yapısındaki iki ayarı da açıkken Enforcing hanesine yazar. Oysa durum kartı yalnız yaptırım basamaklarını kullanan kuralları sayar ve bu ikisini dışarıda bırakır.

Bunun pratik sonucu şudur: bandın Enforcing 8 demesi, sekiz kuralın paket düşürdüğü anlamına gelmez. İkisi hiçbir paket düşürmez; biri çekirdeğin SYN çerezi duruşunu, diğeri boşta kalan bağlantıların temizlenme süresini ayarlar.

Kuralların Modları

Banttaki kurallar iki ayrı değer kümesi kullanır:

Kural sınıfı	Sunulan değerler	Kaç kural
Yaptırım basamaklarını kullananlar	Disabled · Monitor · Block · Quarantine	8
Aç/kapa ayarları	Enabled · Disabled	2

Bandın on kuralından ikisi (SYN Cookies ve Zombie TCP) bir güvenlik duvarı kuralı üretmez; sistemin kendi duruşunu yazar. Bu nedenle mod basamakları yerine yalnız açık ya da kapalı olurlar ve karantinaya kaynak gönderemezler.

Satırın rengi modun rengidir

Her kural satırının başında bir durum noktası bulunur ve rengi kuralın modunu gösterir:

Mod	Nokta
Block ve Quarantine	Yeşil
Monitor	Amber
Disabled	Sönük gri
Aç/kapa ayarında Enabled	Yeşil

Yaptırım basamaklarını kullanan kuralların cümlesinde eylem kelimesi ayrıca boyanır: izleme modunda amber, yaptırım modunda kırmızı. Yani yeşil bir nokta ile kırmızı bir "are dropped" aynı satırda görünür; nokta kuralın açık olduğunu, kırmızı kelime ise trafiğe ne olduğunu söyler.

Aç/kapa ayarlarının cümlesinde boyanan bir eylem kelimesi bulunmaz; tek renk vurgusu SYN Cookies ayarındadır: ayar Disabled olduğunda cümlenin tamamı (Kernel SYN-cookie protection is off) uyarı tonunda, amber görüntülenir. Disabled durumundaki bir kuralın yalnız noktası değil, bütün satırı soluk görüntülenir.

Varsayılan değer ile kutunun doğduğu değer aynı şey değildir

Kural kataloğunda her kuralın bir varsayılan değeri vardır ve bu değerler yürürlüktedir: katalog varsayılanları route tablosu oluşturulurken ve cihaz açılışındaki yapılandırma denetiminde tabloya yazılır, ayrıca her ağ yazımında değeri tanımsız kalan alanlar yeniden doldurulur.

Bu nedenle hiç dokunulmamış bir route tablosunda bandın on kuralı da bir moddadır: sekizi yaptırımda, ikisi izlemede doğar ve bant Enforcing 8 · Monitoring 2 okur. İzlemede doğan ikisi, banttaki iki eşik ölçen kuraldır.

Bütün kuralları tek seferde katalog varsayılanlarına döndürmenin yolu Learning şeridindeki varsayılana döndürme işlemidir.

Satırdaki Rozetler

Kural satırının sağ ucunda, cümlenin bittiği yerde küçük göstergeler bulunur. Soldan sağa sırası sabittir: asma kilit → kalem → hüküm rozeti.

Gösterge	Nedir	Ne zaman görünür
Asma kilit	Yazısız, tek başına bir kilit ikonu. Operatörün Learning Lock anahtarıdır.	Kuralın öğrenme kilidi açıkken.
Kalem	Kuralın düzenleme penceresini açar.	Değiştirme yetkisi varken.
Hüküm rozeti	İkon ve kelime taşıyan, tıklanabilir rozet. Öğrenme motorunun bu kural hakkındaki son turdaki hükmüdür.	Motor en az bir tur çalıştıysa.

Hüküm rozeti dört kelimeden birini gösterir:

Rozet	İkon	Ne anlatır
Suggestion		Motorun bu kural için uygulanmayı bekleyen bir önerisi vardır.
Locked		Motorun uygulamak istediği bir değişiklik var, ancak bir ayar buna izin vermiyor.
Learning		Motorun bu kural için henüz söyleyecek bir sözü yoktur; ya yeterli veri birikmemiştir ya da saldırı ile olağan trafik ayrıştırılamamıştır.
Verified		Motor kurala baktı ve mevcut ayarın yerinde olduğuna karar verdi.

İmleç rozetin üzerine getirildiğinde rozetin anlamı, motorun bir önerisi varsa If applied: … ile başlayan ve ayarın uygulandığındaki cümlesini gösteren satır ve Click for the details and to apply ipucu görüntülenir. Rozete tıklandığında motorun gerekçesini ve varsa önerdiği yeni cümleyi gösteren öneri penceresi açılır.

Locked rozeti ile asma kilit ikonu aynı şey değildir

İkisi de kilit ikonu taşır, ancak farklı şeyleri anlatır ve satırda ayrı yerlerde dururlar.

Asma kilit ikonu operatörün kendi kararıdır: kuralın Learning Lock anahtarı açıktır, motor bu kurala dokunamaz. Yazısızdır ve kalemin solunda durur.

Locked rozeti motorun şikâyetidir: motorun uygulamak istediği bir değişiklik vardır, ancak bir ayar buna engel olmaktadır. Kelime taşır ve kalemin sağında durur. Engelin iki kaynağı olabilir:

Engelin kaynağı	Ne olmuştur
Kuralın kendi kilidi	Kuralın Learning Lock anahtarı açıktır. Motorun hazır bir önerisi vardır, ancak kilitli bir kuralın önerisi uygulanabilir sayılmaz.
Operatörün açabileceği bir kapı	Mode Promotion izni kapalıdır. Muafiyet listesinin boş olması bu bantta engel değil uyarı sayılır; yönetim erişimi muafiyet listesi engeli yalnız TR7 yönetim portu kurallarında doğar.

Birinci durumda satırda hem yazısız asma kilit ikonu hem Locked rozeti bulunur; ikinci durumda yalnız rozet bulunur. Yani rozet tek başına "bu kural elle kilitlendi" demek değil, "motorun bir değişikliği var, uygulanamıyor" demektir.

SYN Cookies satırında rozet de asma kilit de bulunmaz

SYN Cookies ayarı ölçüm üretmez ve öğrenme motoru onu değerlendirmez; bu nedenle düzenleme penceresinde Learning Lock anahtarı, satırında da hüküm rozeti bulunmaz.

Düzenleme Penceresi

Her satırda cümlenin hemen ardından gelen kalem, kuralın kendi düzenleme penceresini açar. Pencerenin başlığı Rule settings · <kural adı> biçimindedir; kısa adı olmayan kurallarda başlık kuralın uzun adını taşır, ör. SYN Cookies penceresi Rule settings · (SYN cookies) - Kernel-native SYN flood protection başlığıyla açılır. Pencerenin içeriği kuralın tipine göre değişir:

Öğe	Ne zaman bulunur
Bilgi bandı	Her kuralda. Kuralın katalog tanımını gösterir.
Status	Her kuralda. Seçenek kümesi kuralın tipine göre değişir.
Learning Lock	Ölçüm üreten kurallarda. Bandın on kuralından dokuzunda bulunur; SYN Cookies'te bulunmaz.
Alt alanlar	Yalnız ayarlanabilir değeri olan kurallarda: limit, backlog boyutu ya da zaman aşımı değerleri.
Save	Her kuralda. Doğrulama hatası varken pasiftir.

Kaydetme yalnız değiştirilen alanları günceller ve anında yürürlüğe girer.

Öğrenme kilidi neden bir kuralda yok?

Learning Lock anahtarı, kuralı öğrenme motoruna kapatmak içindir. Motor yalnız ölçüm üreten kuralları değerlendirdiğinden, ölçümü olmayan bir kuralda kilitlenecek bir şey de yoktur.

Bandın on kuralından dokuzu ölçüm üretir; SYN Cookies üretmez, çünkü bir güvenlik duvarı kuralı yazmaz ve sayılacak paketi yoktur.

Kutudaki Kurallar

SYN Flood

Yeni bağlantı hızı, SYN taşımayan yeni paketler, şüpheli MSS'li SYN paketleri ve çekirdeğin SYN çerezi duruşu.

→

Connection Abuse

Kaynak başına eşzamanlı bağlantı sınırı ve boşta kalan bağlantıların toplanma süreleri.

→

Malformed Flags & Scans

Bozuk bayrak birleşimleri, boş ve tam bayraklı tarama paketleri ile port tarama tuzağı.

→

Kapsam ve Sınırlar

INFO

• Bant her route tablosunda aynı on kuralla görüntülenir. Kurallar route tablosuna göre değişmez; yalnız modları ve limitleri değişir.
• Bandın ve kutuların kendi düzenleme öğesi yoktur. Düzenleme her satırın kendi kalemindedir.
• Banttaki sayaç durum kartındakinden farklı bir küme sayar; aç/kapa ayarlarını da içerir.
• Kuralların ikisi güvenlik duvarı kuralı üretmez ve karantinaya kaynak gönderemez.
• Ayarlar route tablosu başınadır ve cluster'da iki cihaza da yazılır; ölçümler ve karantina listeleri ise cihaz başınadır. Bir cihazda karantinaya alınan bir kaynak diğerinde kendiliğinden karantinaya girmez.
• Muafiyet listesindeki kaynaklar bandın güvenlik duvarı kuralı üreten sekiz kuralına takılmaz ve bu kuralların ölçümlerine yazılmaz. SYN Cookies ile Zombie TCP birer çekirdek ayarı olduğundan muafiyet listesini tanımaz; route tablosundaki bütün bağlantılara uygulanır ve Zombie TCP sayacı muaf kaynakların bağlantılarını da sayar.
• Düzenleme Network alanında değiştirme yetkisi ister. Salt izleme yetkisiyle bant ve cümleler görüntülenir, kalem ikonları görüntülenmez. Ağ yapılandırması eşitleme sırasında kilitliyken de düzenleme kapalıdır.