Cómo determinar si dos clasificados TCP SYN cookie alarma activa y desencadena la tasa máxima

Resumen

Este documento describe cómo determinar si la alarma de cookies TCP SYN configurada se activa y, a continuación, desencadena la velocidad máxima en el umbral correcto.

PAN-os soporta la cookie SYN y la caída temprana aleatoria (roja) para la protección contra tales inundaciones SYN. Las inundaciones o inundaciones SYN son un host o una red con conexiones TCP incompletas. El atacante eventualmente rellena los buffers de memoria o utiliza la CPU de SPIKES del dispositivo de la víctima. Cuando los búferes están llenos o la CPU está abrumada, el host no puede procesar nuevas solicitudes de conexión TCP. La inundación podría incluso dañar el sistema operativo de la víctima. De cualquier manera, el ataque desactiva la víctima y las operaciones normales.

SYN cookies es un apátrida cerca SYN proxy mecanismo. A diferencia de los mecanismos de proxy syn tradicionales, cuando se recibe un segmento SYN, SYN cookie no configura una sesión ni realiza búsquedas de directivas o rutas. Tampoco mantiene una cola de solicitud de conexión. Esto permite que el cortafuegos de Palo Alto Networks Mantenga las cargas de CPU óptimas y evite el agotamiento de los búferes de paquetes. Con la cookie SYN, el cortafuegos actúa como un hombre en el medio para el protocolo de enlace TCP.

Topología:

Servidor de---------------------------de------------------------de cliente (desconfianza) PA (DMZ)

Pasos

1. Configure el perfil de protección dos.
   
2. Configurar directiva de DoS en directivas > protección de DoS.
   
3. Ejecute la herramienta de ataque dos en el cliente simulando ataque SYN TCP al umbral de velocidad de activación.
   
4. Capture paquetes en el cliente.
   
5. Analizar la captura de paquetes a través de Wireshark. La cookie SYN se activa cuando se alcanza el umbral de activación de 6. La cookie SYN tiene un tamaño de ventana de 0.
   Nota: para utilizar Wireshark Filter TCP. Flags. SYN = = 1 e incluir en la columna "tamaño de ventana calculado" con el campo TCP. window_size.
   
6. Ejecute la herramienta de ataque de dos en el cliente que simula el ataque SYN TCP al umbral de la tasa de alarma configurada.
   
   Desde el webgui, vaya al monitor > log > amenaza, registros de cheques donde la tasa de paquetes por segundo crea un registro como el siguiente ejemplo. Este es el gatillo de la velocidad de alarma:
   
7. Ejecute la herramienta de ataque dos en el cliente simulando ataque SYN TCP al umbral de la tasa máxima.
   
   Emitir el comando CLI > Mostrar contador global | coincidencia de dos. Este es el gatillo de máxima velocidad.
   

Propietario: jlunario