요약

  • 공급자의 총 스크러빙 용량과 완화 시간 SLA만으로는 보호 대상 사이트 하나를 위한 정화 트래픽 전송 용량이 확보되지 않는다.
  • 실질적인 권리는 보호 프리픽스, 라우팅 방식, CIR, 패킷 처리율 범위, 검증된 핸드오프, 정상 트래픽 증거, 성능 저하 기준 및 구제 조치를 결합해야 성립한다.

악성 패킷이 설계 그대로 정확히 제거되는 공격을 상상해 보십시오. 필터링 후에도 초당 1기가비트의 정상 트래픽이 남아 있습니다. 공급자 대시보드는 완화가 활성화되었다고 표시합니다. 그런데 고객의 애플리케이션은 여전히 세션을 잃고 있습니다. 정화된 스트림이 GRE 터널, 상위 경로, 에지 라우터, 그리고 서로 다른 가정으로 설계되거나 검증된 오리진을 통과해야 하기 때문입니다. 어떤 계약 조항이 이 정화 기가비트가 반드시 도착해야 했음을 증명할 수 있을까요?

수치는 가상이지만 메커니즘은 그렇지 않습니다. 클라우드 DDoS 서비스에는 최소 두 개의 용량 표면이 있습니다. 하나는 공급자의 공유 공격 흡수 플랫폼입니다. 다른 하나는 정상 트래픽을 특정 보호 네트워크로 되돌려 보내는 경로입니다. 첫 번째를 구매했다고 해서 두 번째가 자동으로 명시되는 것은 아닙니다.

CIR은 용량 슬로건이 아니라 상업적 경계다

Akamai의 현재 Services Descriptions는 이 구분을 이례적으로 명확히 드러냅니다. 이 문서는 Clean Bandwidth를 완화 이후 측정된 트래픽으로 정의하고 매월 95퍼센타일로 계산합니다. 정기 샘플을 정렬하여 상위 5퍼센트를 버리고, 그 다음 값을 계약상 Committed Information Rate(CIR)과 비교하여 초과분을 청구합니다.

같은 문서는 CIR을 주문서에 명시된 계약상 월간 정화 트래픽 대역폭, 즉 고객이 지불해야 하는 Prolexic 서비스의 최소량으로 정의합니다. Routed GRE의 경우, Akamai가 별도로 승인하지 않는 한 각 프로비저닝된 데이터센터 위치에서의 정상적인 비DDoS 인바운드 트래픽은 해당 CIR 미만이어야 합니다.

이것들은 명확한 사실입니다. 그러나 한 가지 추가 결론은 추론으로 표시해야 합니다. 공개된 정의는 예상 트래픽과 청구 약정을 기술하므로, 주문서나 SLA가 명시적으로 밝히지 않는 한 이를 전용 또는 무경합 정화 용량이라고 부를 수 없습니다. 적용 스케줄을 읽지 않고 CIR을 예약으로 취급하는 구매자는 공개 텍스트가 하지 않는 성능 약속으로 청구 지표를 바꿔놓는 셈이 될 수 있습니다.

핸드오프에는 고유의 엔지니어링 범위가 있다

공개 서비스 설명은 또한 스크러빙 센터 너머의 구체적 요건을 규정합니다. CIR이 300Mbps를 초과하는 위치에는 IMIX 트래픽 기준 초당 최소 1천만 패킷을 처리할 수 있는 전용 라우터가 필요합니다. 600Mbps를 초과하면 Akamai가 별도로 승인하지 않는 한 라우터 위치에 10Gbps 버스터블 상위 연결이 필요합니다. 모든 전용 라우터는 해당 위치 CIR의 두 배 속도로 GRE 트래픽을 캡슐화 해제할 수 있어야 합니다.

이 문서는 Prolexic 환경에서 고객 데이터센터까지의 종단 간 전송 문제와 수신 속도의 캡슐화 해제를 고객에게 귀속시킵니다. On-Demand 고객은 Flow-based Monitoring을 구매하지 않았다면 트래픽을 재라우팅해야 할 때 Akamai에 통보할 책임이 있습니다. 또한 해당하는 Prolexic Routed SLA는 지난 12개월 동안 Service Validation이 성공적으로 수행되었음에 의존합니다.

이러한 책임 배분은 공급자가 실패했다는 뜻이 아닙니다. 공급자 플랫폼 헤드라인만으로 공격 결과를 추론할 수 없는 이유를 보여줍니다. 비트당 초, 패킷당 초, 캡슐화 오버헤드, 라우트 상태, 인터커넥트 상태, 라우터 용량은 모두 성공적인 필터링과 사용 가능한 애플리케이션 사이에 존재할 수 있습니다.

플랫폼 규모와 고객 권리는 서로 다른 질문에 답한다

Akamai의 제품 자료에 따르면 Prolexic은 32개 애니캐스트 스크러빙 센터에 걸쳐 20Tbps가 넘는 전용 DDoS 방어 용량을 보유합니다. 또한 0초 완화 SLA와 100퍼센트 플랫폼 가용성 SLA를 제시하며, Direct Connect는 명시된 연결 가동 시간 수준을 갖춘 10G 및 100G 포트를 제공합니다.

이러한 주장은 공급자의 복원력과 관련이 있습니다. 그러나 고객의 주문서, 승인된 버스트, 경합 처리 방식, 오탐 허용 범위, 지연 및 손실 기준, 크레딧 공식, 클레임 제출 기한은 공개하지 않습니다. 공개 자료는 동시 공격이 고객들에게 어떻게 배분되는지도 증명하지 않습니다. 이것들은 공개 자료로부터 주장할 수 있는 결함이 아니라 미지의 사항입니다.

근거는 오리진 경계까지 도달해야 한다

Akamai의 보고 문서는 완화 전 트래픽, 완화 후 트래픽, 오리진으로 가는 트래픽을 구분합니다. 라우트된 이벤트 기록에는 경보, 패킷 캡처, 소스 목록, 공격 속도 및 벡터가 포함될 수 있습니다. 연결 보기는 터널, 회선, 보호 주소를 구분할 수 있습니다.

이 구조는 유용한 근거 체계를 시사하지만, 또 하나의 경계가 중요합니다. 공개 문서는 모든 필드가 크레딧에 대해 법적으로 권위 있다고 확립하지 않습니다. 계약은 어떤 시계, 샘플링 간격, 측정 지점이 규율하는지 명시해야 합니다. 공급자는 공격 트래픽이 제거되었음을 증명하고 고객은 정상 세션이 실패했음을 증명할 수 있으며, 통합된 타임라인이 없으면 두 진술 모두 참일 수 있고 구제는 결정 불가능한 상태로 남을 수 있습니다.

여기에는 Akamai가 용량을 경합시키거나, 정화 트래픽을 잃거나, 유효한 크레딧을 거부한다는 주장이 없습니다. 이 문서들은 고객 피해 사례가 아니라 서비스 아키텍처와 상업적 정의에 대한 증거입니다. 본 분석은 예방적입니다. 공격이 오기 전에 구매자가 무엇을 정해야 하는지 묻습니다.

출처