搜索

[20937] 2017-11-10_DDOS攻击的治理和缓解

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-11-10_DDOS攻击的治理和缓解 D D O S 攻 击 的 治 理 和 缓 解 L e m o n S e c   2 0 1 7 - 1 1 - 1 0 首 发 安 全 脉 搏 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 6 5 4 7 7 . h t m l           本 人 近 期 一 直 在 研 究 D D O S 攻 击 ， 并 通 读 了 《 破 坏 之 王 - D D O S 攻 击 与 防 范 》 一 书 ， 书 中 对 于 D D O S 的 攻 击 方 式 与 防 范 写 的 很 详 细 ，   是 鲍 旭 华 ; 洪 海 ; 曹 志 华 创 作 的 网 络 与 通 信 类 书 籍 。   本 书 从 不 同 角 度 对 d d o s 进 行 了 介 绍 ， 目 的 是 从 被 攻 击 者 的 角 度 解 答 一 些 基 本 问 题 : 谁 在 攻 击 我 ? 攻 击 我 的 目 的 是 什 么 ? 攻 击 者 怎 样 进 行 攻 击 ? 我 该 如 何 保 护 自 己 ?   很 推 荐 阅 读 ， 并 针 对 本 书 中 的 D D O S 攻 击 的 治 理 和 缓 解 做 了 总 结 。 1 . 1   D D O S 攻 击 的 治 理 攻 击 的 治 理           对 D D O S 攻 击 的 治 理 包 括 僵 尸 网 络 的 治 理 、 地 址 伪 造 攻 击 的 治 理 和 攻 击 反 射 点 的 治 理 。           对 僵 尸 网 络 进 行 治 理 ， 能 够 从 源 头 停 止 正 在 进 行 的 D D O S 攻 击 ； 对 地 址 伪 造 攻 击 进 行 治 理 ， 能 够 控 制 和 阻 止 未 来 可 能 发 生 的 一 部 分 D D O S 攻 击 ， 并 有 利 于 定 位 攻 击 源 头 ； 而 对 攻 击 反 射 点 的 治 理 则 主 要 在 于 控 制 和 减 少 D D O S 攻 击 的 规 模 。           1 . 1 . 1   僵 尸 网 络 的 治 理 僵 尸 网 络 的 治 理             僵 尸 网 络 是 一 群 被 僵 尸 程 序 （ b o t ） 感 染 的 僵 尸 主 机 （ z o m b i e ） 的 集 合 ， 分 布 于 家 庭 、 企 业 、 政 府 机 构 等 各 种 场 合 ， 接 收 来 自 僵 尸 控 制 者 （ b o t m a s t e r ） 的 指 令 ， 进 行 D D o S 、 信 息 窃 取 、 网 络 钓 鱼 、 垃 圾 邮 件 、 广 告 滥 点 、 非 法 投 票 等 多 种 攻 击 行 为 。 由 于 攻 击 手 段 丰 富 多 样 、 隐 蔽 性 强 、 有 能 力 发 动 大 规 模 攻 击 、 以 经 济 利 益 为 目 的 等 特 点 ， 僵 尸 网 络 已 成 为 黑 客 产 业 链 中 的 一 个 重 要 环 节 ， 受 到 新 闻 媒 体 、 安 全 业 界 和 学 术 机 构 的 广 泛 关 注 。                     对 僵 尸 网 络 进 行 治 理 ， 切 断 D D O S 攻 击 的 源 头 ， 从 理 论 上 说 这 是 对 抗 D D O S 攻 击 最 有 效 的 方 法 ， 然 而 ， 在 实 际 操 作 过 程 中 ， 治 理 僵 尸 网 路 需 要 面 的 诸 多 的 困 难 和 问 题 。           进 行 僵 尸 网 络 治 理 的 首 要 困 难 在 于 ， 我 们 只 有 能 够 检 测 到 网 络 异 常 ， 才 能 够 知 道 系 统 感 染 了 僵 尸 程 序 。 如 果 僵 尸 主 机 用 户 发 动 D D O S 攻 击 ， 单 位 时 间 内 产 生 大 量 的 攻 击 流 量 ， 那 么 安 装 于 网 络 出 口 的 检 测 设 备 或 许 能 提 示 异 常 ， 从 部 分 主 机 的 内 存 占 用 上 也 可 能 看 书 端 倪 ， 但 如 果 这 些 通 信 流 量 很 小 ， 并 做 了 加 密 ， 那 么 这 些   通 信 极 有 可 能 被 淹 没 于 正 常 的 请 求 中 而 不 被 发 觉 ， 而 我 们 也 就 几 乎 不 能 够 察 觉 到 受 了 感 染 ，           检 测 到 感 染 后 ， 一 般 就 能 提 取 到 样 本 ， 此 刻 遇 到 的 另 一 个 困 难 就 是 需 要 对 样 本 进 行 逆 向 分 析 ， 找 出 需 要 的 信 息 ， 依 据 样 本 的 难 易 程 度 ， 这 有 可 能 要 花 费 相 当 长 的 时 间 ， 不 过 走 到 这 一 步 ， 治 理 就 可 以 从 两 方 面 着 手 。           一 是 根 据 逆 向 分 析 的 结 果 ， 编 写 僵 尸 网 络 程 序 的 清 楚 工 具 ， 分 发 至 企 业 局 域 网 的 其 他 感 染 主 机 进 行 清 除 处 理 ， 同 时 将 C & C 服 务 器 域 名 或 地 址 以 及 通 信 包 特 征 加 入 规 则 予 以 拦 截 ， 迫 于 威 胁 响 应 的 压 力 ， 这 种 做 法 通 常 是 优 先 选 择 ， 这 样 做 的 不 足 在 于 ， 清 楚 掉 的 可 能 只 是 僵 尸 网 络 的 冰 山 一 角 ， 整 个 僵 尸 网 络 仍 然 可 以 维 持 运 营 ， 我 们 的 网 络 仍 然 面 临 被 攻 击 的 风 险 ， 如 来 自 这 个 僵 尸 网 络 的 D D O S 攻 击 等 。           二 是 接 管 或 摧 毁 整 个 僵 尸 网 络 ， 这 种 做 法 往 往 非 常 困 难 ， 因 为 僵 尸 网 络 的 分 布 通 常 不 局 限 于 一 个 地 区 、 一 个 国 家 甚 至 一 个 洲 ， 而 常 常 分 布 于 多 个 国 家 、 多 个 洲 ， 其 相 应 的 控 制 服 务 器 也 分 布 广 泛 ， 因 此 ， 这 种 跨 区 域 的 打 击 行 动 就 需 要 政 府 间 的 协 调 合 作 ， 这 往 往 只 有 有 实 力 、 影 响 大 的 跨 国 公 司 才 能 做 到 。           作 为 网 络 犯 罪 的 主 要 平 台 之 一 ， 黑 客 利 用 僵 尸 网 络 展 开 不 同 的 攻 击 ， 可 以 导 致 大 量 机 密 或 个 人 隐 私 泄 密 ， 也 可 以 通 过 D D O S 攻 击 使 整 个 基 础 信 息 网 路 瘫 痪 。 因 此 ， 对 僵 尸 网 络 进 行 治 理 显 得 十 分 迫 切 而 重 要 。 1 . 1 . 2   地 址 伪 造 攻 击 的 治 理 地 址 伪 造 攻 击 的 治 理           在 当 前 的 互 联 网 环 境 中 ， 伪 造 地 址 发 起 网 络 攻 击 是 一 件 非 常 容 易 的 事 ， 这 一 现 场 给 D D O S 的 治 理 和 防 护 带 来 了 诸 多 困 难 。           首 先 ， 伪 造 地 址 使 得 追 查 攻 击 源 变 得 更 加 困 难 ， 而 攻 击 者 承 担 的 风 险 更 小 ， 也 就 更 肆 无 忌 惮 。           其 次 ， 伪 造 地 址 使 得 D D O S 能 够 达 到 更 大 的 攻 击 规 模 ， 尤 其 是 D N S 反 射 式 D D O S 攻 击 ， 可 以 将 原 始 攻 击 流 量 放 大 数 十 倍 ， 加 剧 威 胁 的 程 度 。           最 后 ， 伪 造 地 址 使 得 防 护 D D O S 攻 击 变 得 更 困 难 ， 受 害 者 难 以 使 用 源 地 址 过 滤 的 方 式 阻 挡 攻 击 。           很 明 显 ， 减 少 地 址 伪 造 对 D D O S 的 治 理 和 防 护 有 很 大 的 帮 助 ， 而 实 现 这 一 目 标 在 技 术 层 面 并 不 困 难 ， C E R T 和 I E T F 都 给 出 了 简 单 有 效 的 解 决 方 案 。 1 . 1 . 2 . 1   C E R T   - -   计 算 机 安 全 应 急 响 应 组 （ C o m p u t e r   E m e r g e n c y   R e s p o n s e   T e a m ） 是 专 门 处 理 计 算 机 网 络 安 全 问 题 的 组 织 。
          路 由 过 滤 ， 具 体 而 言 ， 就 是 互 联 网 服 务 提 供 商 在 网 络 出 入 口 处 的 路 由 器 上 ， 对 符 合 以 下 条 件 的 数 据 包 进 行 过 滤 ：           1 . 从 外 部 接 口 进 入 内 部 网 络 的 数 据 包 ， 但 源 地 址 属 于 内 部 网 络 ；           2 . 由 内 部 网 络 向 外 发 送 的 数 据 包 ， 但 是 源 地 址 不 属 于 内 部 网 络 。           之 后 众 多 网 络 设 备 和 系 统 厂 商 都 支 持 这 种 类 型 的 过 滤 ， 包 括 C i s c o 、 3 C O M 、 I B M 、 S u n 等 。 1 . 1 . 2 . 2   R F C   2 8 2 7           R e q u e s t   F o r   C o m m e n t s （ R F C ） ， 是 一 系 列 以 编 号 排 定 的 文 件 。 文 件 收 集 了 有 关 互 联 网 相 关 信 息 ， 以 及 U N I X 和 互 联 网 社 区 的 软 件 文 件 。 目 前 R F C 文 件 是 由 I n t e r n e t   S o c i e t y （ I S O C ） 赞 助 发 行 。 基 本 的 互 联 网 通 信 协 议 都 有 在 R F C 文 件 内 详 细 说 明 。 R F C 文 件 还 额 外 加 入 许 多 的 论 题 在 标 准 内 ， 例 如 对 于 互 联 网 新 开 发 的 协 议 及 发 展 中 所 有 的 记 录 。 因 此 几 乎 所 有 的 互 联 网 标 准 都 有 收 录 在 R F C 文 件 之 中 。           2 0 0 0 年 5 月 ， I E T F 发 布 了 R F C 2 8 2 7 “ N e t w o r k   I n g r e s s   F i l t e r i n g   D e f e a t i n g   D e n i a l   o f   S e r v i c e   A t t r a c k s   w h i c h   e m p l o y   I P   S o u r c e   A d d r e s s S p o o f i n g ” 。 该 文 认 为 ， 只 要 对 下 游 流 量 中 的 地 址 欺 骗 流 量 过 滤 ， 就 可 以 近 乎 完 全 消 除 此 类 攻 击 场 景 ， R F C   2 0 2 7 提 供 了 一 个 实 例 ， 如 图 ：           攻 击 者 位 于 2 0 4 . 6 9 . 2 0 7 . 0 / 2 4 网 段 ， 属 于 I S P   D 的 区 域 中 ， 通 过 路 由 器 “ r o u t e r   2 ” ， 试 图 攻 击 其 他 主 机 ， 如 果 “ r o u t e r   2 ” 执 行 了 入 口 流 量 过 滤 ， 只 允 许 源 地 址 在 2 0 4 . 6 9 . 2 0 7 . 0 / 2 4 网 段 内 的 数 据 包 流 出 ， 反 之 则 全 部 禁 止 ， 那 么 攻 击 将 无 法 进 行 。           此 外 ，   R F C 2 8 2 7 提 出 在 网 络 接 入 处 设 置 入 口 过 滤 （ I n g r e s s   F i l t i n g ） ， 来 限 制 伪 装 源 I P 的 报 文 进 入 网 络 。 这 种 方 法 更 注 重 在 攻 击 的 早 期 和 从 整 体 上 防 止 D o S 的 发 生 ， 因 而 具 有 较 好 效 果 。 使 用 这 种 过 滤 也 能 够 帮 助 I S P 和 网 管 来 准 确 定 位 使 用 真 实 有 效 的 源 I P 的 攻 击 者 。 I S P 应 该 也 必 须 采 用 此 功 能 防 止 报 文 攻 击 进 入 I n t e r n e t ； 企 业 （ 校 园 网 ） 的 网 管 应 该 执 行 过 滤 来 确 保 企 业 网 不 会 成 为 此 类 攻 击 的 发 源 地 ， 但 由 于 缺 乏 激 励 和 动 力 ， 更 大 范 围 的 部 署 迟 迟 未 能 实 现 。           1 . 1 . 2 . 3   U n i c a s t   R e v e r s e   P a t h   F o r w a r d i n g             U R P F - 防 止 虚 假 地 址 攻 击           U R P F   ( U n i c a s t   R e v e r s e   P a t h   F o r w a r d i n g ) 是 单 播 逆 向 路 径 转 发 的 简 称 ， 其 主 要 功 能 是 防 止 基 于 源 地 址 欺 骗 的 网 络 攻 击 行 为 。 之 所 以 称 为 “ 逆 向 ” ， 是 针 对 正 常 的 路 由 查 找 而 言 的 。 一 般 情 况 下 ， 路 由 器 接 收 到 包 后 ， 获 取 包 的 目 的 地 址 ， 针 对 目 的 地 址 查 找 路 由 P a i r ( D s t - I P ,   N e x t H o p ) ， 如 果 找 到 了 就 转 发 包 ， 否 则 丢 弃 该 包 。 u R P F 通 过 获 取 包 的 源 地 址 和 入 接 口 ， 以 源 地 址 为 目 的 地 址 ， 在 转 发 表 中 查 找 源 地 址 路 由 对 应 的 出 接 口 是 否 与 入 接 口 匹 配 ， 如 果 不 匹 配 ， 认 为 源 地 址 是 伪 装 的 ， 丢 弃 该 包 。           U n i c a s t   R e v e r s e   P a t h   F o r w a r d i n g 也 是 一 种 缓 解 地 址 伪 造 的 技 术 ， 一 旦 开 启 了 这 种 功 能 ， 路 由 器 会 对 进 入 的 数 据 包 检 查 源 地 址 和 源 端 口 是 否 在 路 由 器 表 中 ， 如 果 存 在 ， 则 认 为 该 数 据 包 是 通 过 最 优 路 径 到 达 路 由 器 ， 应 该 正 常 转 发 ， 否 则 丢 弃 ， 具 体 分 为 5 个 步 骤 ：           1 ， 对 于 I n p u t 方 向 的 数 据 包 ， 检 查 访 问 控 制 列 表 A C L 是 否 通 过 ；           2 ， 按 照 U n i c a s t   R P F 检 查 是 否 由 最 优 路 径 抵 达 ；           3 ， F o r w a r d i n g   I n f o r m a t i o n   B a s e ( F I B ) 查 找 ；           4 ， 对 于 O u t p u t 方 向 ， 检 查 访 问 控 制 列 表 A C L 是 否 允 许 通 过 ；           5 ， 转 发 数 据 包 。   1 . 1 . 2 . 4   分 布 式 过 滤 方 式           除 了 上 述 方 法 外 ， 还 有 很 多 研 究 者 提 出 了 其 他 方 法 来 缓 解 和 杜 绝 地 址 伪 造 ， 例 如 有 学 者 提 出 了 “ 基 于 路 由 的 分 布 式 包 过 滤 方 法 ” 其 原 理 是 路 由 器 根 据 数 据 包 的 源 地 址 和 目 的 地 址 判 断 其 转 发 路 径 是 否 经 过 自 己 。 如 果 不 经 过 ， 则 丢 弃 数 据 包 ， 如 果
所 示 ：           攻 击 者 位 于 A S   7 中 ， 试 图 对 A S   4 的 目 标 进 行 攻 击 ， 于 是 将 攻 击 源 地 址 伪 造 成 A S   2 中 的 成 员 。 当 攻 击 数 据 包 经 过 A S   6 与 A S 7 之 间 的 边 界 路 由 器 时 ， 路 由 器 会 判 断 从 A S 2 到 A S 4 的 路 径 ， 发 现 不 会 经 过 自 己 ， 就 将 数 据 包 丢 弃 。           虽 然 类 似 的 方 法 已 广 泛 提 出 ， 但 伪 造 地 址 攻 击 并 未 得 到 有 效 遏 制 ， 主 要 是 因 为 I S P 缺 乏 采 用 这 些 技 术 的 动 力 。 1 . 1 . 3   攻 击 反 射 点 的 治 理 攻 击 反 射 点 的 治 理           反 射 式 D D O S 攻 击 ， 尤 其 是 D D O S 反 射 攻 击 ， 已 成 为 当 前 最 具 破 坏 力 的 攻 击 形 式 之 一 。           反 射 式 D D O S 攻 击 备 受 攻 击 者 青 睐 ， 主 要 原 因 有 两 个 。 第 一 ， 通 过 伪 造 地 址 隐 藏 攻 击 源 ； 第 二 ， 大 多 数 反 射 攻 击 同 时 具 有 放 大 作 用 ， 可 以 将 攻 击 流 量 放 大 数 十 倍 。 反 射 攻 击 包 括 A C K 、 D N S 、 S N M P 、 N T P 、 C H A R G E N 等 种 类 ， 其 中 D N S 反 射 攻 击 最 为 普 遍 。 这 是 因 为 互 联 网 中 存 在 大 量 可 作 为 反 射 点 的 D N S 服 务 器 ， 而 且 D N S 反 射 攻 击 可 以 实 现 较 大 的 反 射 倍 数 。           对 于 放 大 攻 击 来 说 ， 流 量 一 旦 经 过 反 射 点 放 大 ， 占 用 宽 带 就 会 急 剧 上 升 ， 而 无 论 采 用 何 种 防 护 方 法 ， 也 都 意 味 着 成 本 或 代 价 急 剧 上 升 ， 所 以 ， 针 对 反 射 点 进 行 治 理 ， 对 于 减 少 流 量 型 D D O S 攻 击 具 有 事 半 功 倍 的 效 果 。           治 理 反 射 点 最 直 接 有 效 的 方 法 是 提 高 D N S 服 务 器 的 安 全 性 ， 而 大 多 数 D N S 服 务 器 的 管 理 员 并 非 不 想 做 到 这 一 点 只 是 无 从 入 手 ， 针 对 不 同 的 需 要 ， 主 要 介 绍 三 种 方 式 ：           1 ， O p e n   R e s o l v e r   P r o j e c t           O p e n   R e s o l v e r   P r o j e c t 是 一 个 国 际 组 织 ， 它 致 力 于 减 少 D N S 放 大 攻 击 造 成 的 威 胁 ， 这 个 组 织 定 期 维 护 一 份 D N S 服 务 器 列 表 。           O p e n   R e s o l v e r   P r o j e c t 提 供 查 询 功 能 ， 使 用 者 可 以 查 询 任 何 网 段 中 开 放 的 地 址 解 析 器 ， 查 询 结 果 包 括 从 多 个 地 址 向 其 发 送 请 求 的 相 应 结 果 ， 如 果 一 个 D N S 服 务 器 可 以 被 从 任 意 地 址 访 问 ， 并 无 限 速 地 回 应 查 询 请 求 ， 那 么 它 就 可 以 被 用 做 D D O S 攻 击 的 反 射 点 。           O p e n   R e s o l v e r   P r o j e c t 建 议 D N S 的 维 护 者 检 查 以 下 配 置 ：               限 制 允 许 访 问 的 地 址 范 围 ， 以 防 被 滥 用 ， 具 体 操 作 可 以 参 考 T e a m   C Y M R U   W e b s i t e .             采 用 R R L ， K n o t   D N S 和 N S D 已 经 将 其 作 为 标 准 选 项 ， 而 B I N D 还 需 要 安 装 一 个 补 丁 程 序 。             用 户 端 设 备 不 应 在 广 域 网 接 口 监 听 D N S 数 据 包 ， 包 括 网 络 和 广 播 地 址 。                     2 . 响 应 速 率 限 制           2 0 1 3 年 7 月 ， 互 联 网 系 统 协 会 宣 布 ， 为 了 防 御 利 用 D N S 发 起 的 反 射 式 D D O S 攻 击 ， 最 新 版 的 B I N D 软 件 增 加 了 响 应 速 率 限 制 模 块 ， 并 声 称 这 会 是 缓 解 D N S 反 射 攻 击 的 最 有 效 方 法 。           响 应 速 率 限 制 是 对 D N S 协 议 的 一 种 增 强 功 能 ， 目 的 是 缓 解 D D O S 放 大 攻 击 ， R R L 官 方 网 站 认 为 ， 之 所 以 D N S 服 务 器 很 容 易 被 用 于 反 射 攻 击 ， 是 由 于 三 个 原 因 ：         D N S 查 询 通 常 使 用 U D P 协 议 ， 因 为 这 是 一 种 不 验 证 来 源 的 协 议 ， 所 以 很 容 易 伪 造 ， 攻 击 者 可 以 将 发 送 的 请 求 数 据 包 的 源 地 址 改 为 目 标 的 地 址 ， 这 样 D N S 服 务 器 会 向 受 害 者 发 送 回 复 ， 也 就 是 反 射 式 D D O S 攻 击 。         大 部 分 I S P 不 检 查 发 自 他 们 的 数 据 包 中 源 地 址 是 否 真 实 ， 这 使 得 互 联 网 中 伪 造 地 址 盛 行 。         几 个 字 节 的 D N S 请 求 数 据 包 ， 就 可 以 引 发 数 倍 甚 至 数 十 倍 大 小 的 响 应 ， 例 如 ， 查 询 i s c . o r g 的 E N D S 0 数 据 包 只 有 3 6 个 字 节 长 ， 而 触 发 的 相 应 数 据 包 长 达 3 5 7 6 个 字 节 。 攻 击 者 可 以 控 制 攻 击 引 发 巨 大 的 增 幅 。        
          3 . N I S T   S P   8 0 0 - 8 1           N I S T     - -     美 国 国 家 标 准 与 技 术 研 究 院 （ N a t i o n a l   I n s t i t u t e   o f   S t a n d a r d s   a n d   T e c h n o l o g y ， N I S T ） 直 属 美 国 商 务 部 ， 从 事 物 理 、 生 物 和 工 程 方 面 的 基 础 和 应 用 研 究 ， 以 及 测 量 技 术 和 测 试 方 法 方 面 的 研 究 ， 提 供 标 准 、 标 准 参 考 数 据 及 有 关 服 务 ， 在 国 际 上 享 有 很 高 的 声 誉 。             N I S T   S P 8 0 0 系 列 标 准 系 列 标 准             S P 8 0 0 是 美 国 N I S T （ N a t i o n a l   I n s t i t u t e   o f   S t a n d a r d s   a n d   T e c h n o l o g y ） 发 布 的 一 系 列 关 于 信 息 安 全 的 指 南 （ S P 是 S p e c i a l P u b l i c a t i o n s 的 缩 写 ） 。 文 档 很 多 ， 也 很 细 ， 值 得 大 家 学 习 。           2 0 0 6 年 5 月 ， N I S T 发 布 了 特 别 出 版 物 S P   8 0 0 - 8 1   第 1 版 ， 名 为 “ 安 全 域 名 系 统 部 署 指 南 ” 。 2 0 1 3 年 9 月 ， 第 2 版 发 布 。           这 份 指 南 认 为 ， 由 于 D N S 缺 乏 对 系 统 边 界 的 定 义 ， 以 及 缺 乏 数 据 验 证 ， 使 得 它 会 面 临 以 下 威 胁 ：         利 用 假 冒 身 份 欺 骗 D N S 服 务 器 ， 借 以 实 施 拒 绝 服 务 攻 击 。         入 侵 者 或 虚 假 的 D N S 信 息 提 供 者 可 以 毒 化 D N S 的 缓 存 ， 例 如 一 个 企 业 的 D N S 信 息 提 供 服 务 器 ， 这 将 导 致 错 误 访 问 子 域 名 。         篡 改 D N S 服 务 器 中 对 历 史 查 询 的 缓 存 ， 可 能 导 致 使 用 该 D N S 服 务 器 的 用 户 访 问 有 害 的 非 法 资 源 。         如 果 域 名 解 析 请 求 的 数 据 违 反 了 D N S 规 范 的 定 义 ， 就 可 能 产 生 不 良 影 响 ， 例 如 增 加 系 统 的 负 载 、 保 存 过 时 的 数 据 ， 甚 至 使 系 统 无 法 提 供 服 务 ， 对 于 D N S ， 数 据 内 容 决 定 着 整 个 系 统 的 完 整 性 。           对 于 这 些 威 胁 ， S P   8 0 0 - 8 1 提 出 了 以 下 通 用 的 建 议 ：         实 施 适 当 额 系 统 和 网 络 安 全 控 制 ， 确 保 D N S 托 管 环 境 ， 如 操 作 系 统 和 应 用 程 序 安 装 补 丁 程 序 、 进 程 隔 离 和 网 络 的 兼 容 性 。         对 于 一 个 企 业 控 制 范 围 内 的 D N S 服 务 器 ， 对 D N S 事 务 进 行 保 护 ， 例 如 域 名 解 析 数 据 的 更 新 和 备 份 ， 保 护 的 方 法 可 以 参 考 互 联 网 工 程 任 务 组 的 事 务 签 名 规 范 ， 使 用 基 于 共 享 秘 密 的 散 列 消 息 认 证 码 。         使 用 基 于 非 对 称 加 密 的 数 字 签 名 来 保 护 D N S 的 请 求 / 应 答 事 务 ， 具 体 内 容 可 以 参 考 I E T E 的 域 名 系 统 安 全 扩 展 规 范 。           如 何 配 置 和 部 署 D N S 以 防 止 D D O S 攻 击 ：         D N S 协 议 和 服 务 基 础 组 件 ；         讨 论 D N S 主 机 环 境 的 威 胁 、 安 全 对 象 和 防 护 方 法 ；         推 荐 的 D N S 请 求 / 应 答 机 制 安 全 性 ；         减 少 D N S 的 信 息 泄 露 ；         D N S 的 安 全 管 理 操 作 。 1 . 2 攻 击 的 缓 解 攻 击 的 缓 解           前 半 部 分 介 绍 了 治 理 对 抗 D D O S 攻 击 的 方 法 ， 大 部 分 的 治 理 方 法 需 要 在 D D O S 攻 击 发 生 之 前 就 配 置 。 并 且 需 要 世 界 范 围 内 的 网 络 运 营 商 、 网 络 公 司 和 网 络 组 织 进 行 有 效 合 作 ， 才 能 达 到 较 好 的 对 抗 效 果 。 然 而 ， 对 于 世 界 上 许 多 中 小 型 的 企 业 和 组 织 来 说 ， 他 们 并 没 有 能 力 进 行 大 范 围 的 网 络 治 理 和 僵 尸 网 络 打 击 活 动 ， 却 比 大 型 公 司 和 组 织 更 可 能 遭 受 D D O S 攻 击 ， 对 于 这 些 小 中 型 企 业 和 组 织 来 说 ， 在 D D O S 攻 击 已 经 发 生 的 情 况 下 ， 可 以 通 过 一 些 缓 解 技 术 来 减 少 攻 击 对 自 身 业 务 和 服 务 的 影 响 ， 从 而 在 一 定 程 度 上 保 障 业 务 正 常 运 行 。           缓 解 D D O S 攻 击 的 主 要 方 法 是 对 网 络 流 量 进 行 清 洗 ， 即 设 法 将 恶 意 的 网 络 流 量 从 全 部 流 量 中 去 掉 ， 只 将 正 常 的 网 络 流 量 交 付 该 服 务 器 ， 然 而 ， 随 着 分 布 式 拒 绝 服 务 攻 击 的 流 量 不 断 增 大 ， 单 一 的 流 量 清 洗 设 备 和 流 量 清 洗 中 心 已 经 无 法 处 理 如 此 大 规 模 的 网 络 流 量 了 ， 因 此 ， 面 对 D D O S 攻 击 时 ， 在 进 行 流 量 清 洗 前 还 需 要 进 行 流 量 稀 释 。 1 . 2 . 1   攻 击 流 量 的 稀 释 攻 击 流 量 的 稀 释
          在 面 对 超 大 流 量 的 分 布 式 拒 绝 服 务 攻 击 时 ， 首 先 要 做 的 就 是 将 流 量 稀 释 和 分 散 ， 在 流 量 被 稀 释 和 分 散 后 ， 攻 击 情 况 就 从 多 对 一 变 成 了 多 对 多 ， 这 样 到 达 没 个 流 量 清 洗 设 备 或 流 量 清 洗 中 心 的 网 络 流 量 都 会 下 降 到 其 能 够 处 理 的 范 围 之 内 ， 也 就 能 够 进 行 进 一 步 的 清 洗 工 作 了 。           目 前 比 较 流 量 的 攻 击 流 量 稀 释 的 方 法 是 使 用 内 容 分 发 网 络 或 任 播 技 术 。           1 ， C D N           C D N 技 术 的 初 衷 是 提 高 互 联 网 用 户 对 网 站 静 态 资 源 的 访 问 速 度 ， 但 是 由 于 分 布 式 多 节 点 的 特 点 ， 它 也 能 够 对 分 布 式 拒 绝 服 务 攻 击 的 流 量 产 生 稀 释 的 效 果 。           C D N ， 就 是 在 互 联 网 范 围 内 广 发 设 置 多 个 节 点 作 为 代 理 缓 存 ， 并 将 用 户 的 访 问 请 求 导 向 最 近 的 缓 存 节 点 ， 以 加 快 访 问 速 度 的 一 种 技 术 手 段 。           那 么 ， 用 户 的 访 问 请 求 是 如 何 被 导 向 最 近 的 缓 存 节 点 的 呢 ？ 这 通 常 通 过 智 能 D N S 来 实 现 ， 在 许 多 情 况 下 ， 对 于 资 源 和 服 务 的 访 问 请 求 是 以 域 名 的 形 式 发 出 的 ， 传 统 的 域 名 解 析 系 统 会 将 同 一 域 名 的 解 析 请 求 解 析 成 一 个 固 定 的 I P ， 因 此 ， 整 个 互 联 网 对 于 该 域 名 的 访 问 都 会 导 向 这 个 I P 地 址 。
          智 能 D N S 则 有 所 不 同 ， 在 智 能 D N S 系 统 中 ， 一 个 域 名 会 对 应 一 张 I P 地 址 表 ， 当 收 到 域 名 解 析 请 求 时 ， 智 能 D N S 会 查 看 解 析 请 求 的 来 源 ， 并 给 出 地 址 表 中 距 离 请 求 来 源 最 接 近 的 I P 地 址 ， 这 个 地 址 通 常 也 就 是 最 接 近 用 户 的 C D N 缓 存 节 点 的 I P 地 址 ， 在 用 户 收 到 域 名 解 析 应 答 时 ， 认 为 该 C D N 节 点 就 是 他 请 求 的 域 名 所 对 应 的 I P 地 址 ， 并 向 该 C D N 节 点 发 起 服 务 或 资 源 请 求 。       C D N 节 点 在 收 到 用 户 的 请 求 时 ， 会 在 其 存 储 的 缓 存 内 容 中 寻 找 用 户 请 求 的 资 源 ， 如 果 找 到 ， 就 直 接 将 资 源 响 应 给 用 户 ； 如 果 在 C D N 节 点 中 找 不 到 用 户 请 求 的 资 源 ， 则 C D N 节 点 会 作 为 代 理 服 务 器 向 源 网 站 请 求 该 资 源 ， 获 取 资 源 后 将 结 果 缓 存 并 返 回 给 用 户 ， 对 于 有 大 量 静 态 资 源 的 网 站 ， 使 用 C D N 进 行 代 理 缓 存 一 般 能 减 少 源 站 8 0 % 的 访 问 流 量 。           可 以 看 到 ， 在 使 用 C D N 技 术 之 后 ， 互 联 网 上 的 用 户 可 以 通 过 智 能 D N S 利 用 C D N 的 节 点 快 速 获 取 所 需 要 的 资 源 和 服 务 ， 同 时 由 于 C D N 节 点 的 缓 存 作 用 ， 能 够 在 很 大 程 度 上 减 轻 源 站 的 网 络 流 量 负 载 。
      在 发 生 了 分 布 式 拒 绝 服 务 攻 击 时 ， 智 能 D N S 会 将 来 自 不 同 位 置 的 攻 击 流 量 分 散 到 对 应 位 置 的 D N S 节 点 上 ， 这 使 得 C D N 节 点 成 为 区 域 性 的 流 量 吸 收 中 心 ， 从 而 达 到 流 量 稀 释 的 效 果 。 在 流 量 被 稀 释 到 各 个 C D N 节 点 后 ， 就 可 以 在 每 个 节 点 处 进 行 流 量 清 洗 ， 只 将 正 常 的 请 求 交 付 给 源 站 ， 从 而 达 到 防 护 源 站 的 目 的 。           不 过 ， 利 用 智 能 D N S 实 现 的 C D N 技 术 智 能 分 散 和 稀 释 通 过 域 名 发 起 的 分 布 式 拒 绝 服 务 攻 击 的 流 量 ， 如 果 攻 击 者 直 接 通 过 I P 而 不 是 通 过 域 名 进 行 攻 击 ， 那 么 不 会 进 行 智 能 D N S 解 析 ， 攻 击 流 量 也 无 法 分 散 到 各 个 C D N 节 点 上 。 更 好 的 流 量 稀 释 方 法 是 使 用 A n y c a s t 技 术 。           2 . A n y c a s t           A n y c a s t 技 术 是 一 种 网 络 寻 址 和 路 由 的 方 法 ， 通 过 使 用 A n y c a s t ， 一 组 提 供 特 定 服 务 的 主 机 可 以 使 用 相 同 的 I P 地 址 ， 同 时 ， 服 务 访 问 方 的 请 求 报 文 将 会 被 I P 网 络 路 由 到 这 一 组 目 标 中 拓 扑 结 构 最 近 的 一 台 主 机 上 。           A n y c a s t 通 常 是 通 过 在 不 同 的 节 点 处 同 时 使 用 B G P 协 议 向 外 声 明 同 样 的 目 的 I P 地 址 的 方 式 实 现 的 ， 如 图 ， 服 务 器 A 和 服 务 器 B 是 A n y c a s t 的 两 个 节 点 ， 他 们 通 过 B U G 协 议 同 时 向 外 声 明 其 I P 地 址 为 1 0 . 0 . 0 . 1 。
      当 客 户 端 位 于 路 由 器 1 的 网 络 内 时 ， 他 将 会 通 过 路 由 器 1 来 选 择 路 由 的 下 一 跳 ， 而 在 路 由 器 1 看 来 ， 到 达 服 务 器 I P 地 址 1 0 . 0 . 0 . 1 的 网 络 拓 扑 如 图 。           显 然 ， 转 发 到 路 由 器 2 的 距 离 最 短 ， 因 此 ， 路 由 器 1 会 将 请 求 报 文 转 发 给 路 由 器 2 而 不 是 路 由 器 3 ， 从 而 实 际 上 发 送 给 服 务 器 A ， 达 到 发 送 给 A n y c a s t 之 中 “ 最 近 ” 节 点 的 目 的 。           对 无 状 态 的 服 务 A n y c a s t 通 常 用 来 提 高 可 用 性 保 障 和 负 载 均 衡 ， 例 如 N D S 服 务 。 几 乎 全 部 的 互 联 网 根 域 名 服 务 器 都 部 署 了 A n y c a s t 。 在 各 大 洲 不 同 位 置 的 A , C , E , F , I , J , K , L 和 M 根 域 名 服 务 器 都 使 用 了 A n y c a s t 寻 址 技 术 ， 以 提 供 一 种 分 布 式 的 服 务 。 同 时 ， 许 多 商 业 D N S 服 务 提 供 商 也 部 署 了 A n y c a s t 寻 址 以 便 提 高 查 询 性 能 ， 保 障 系 统 冗 余 并 实 现 负 载 均 衡 。           A n y c a s t 通 常 具 有 高 度 的 可 靠 性 ， 它 可 以 提 供 自 动 故 障 恢 复 。 A n y c a s t 应 用 通 过 外 部 “ 心 跳 ” 来 监 测 服 务 器 的 功 能 ， 如 果 服 务 器 出 现 故 障 ， 就 会 立 即 撤 销 服 务 器 的 理 由 公 告 。           使 用 A n y c a s t 技 术 能 够 稀 释 分 布 式 拒 绝 服 务 攻 击 流 量 ， 在 A n y c a s t 寻 址 过 程 中 ， 流 量 会 被 导 向 网 络 拓 扑 结 构 上 最 近 的 节 点 ， 在 这 个 过 程 中 ， 攻 击 者 并 不 能 对 攻 击 流 量 进 行 操 控 ， 因 此 攻 击 流 量 将 会 被 分 散 并 稀 释 到 最 近 的 节 点 上 ， 每 一 个 节 点 上 的 资 源 消 耗 都 会 减 少 （ 见 图 ） 。
1 . 3   攻 击 流 量 的 清 洗 攻 击 流 量 的 清 洗           流 量 清 洗 是 指 在 全 部 的 网 络 流 量 中 区 分 出 正 常 流 量 和 恶 意 流 量 ， 将 恶 意 流 量 阻 断 和 丢 弃 ， 而 只 将 正 常 的 流 量 交 付 给 服 务 器 。           与 其 他 的 网 络 安 全 检 测 和 防 护 手 段 类 似 ， 流 量 清 洗 也 需 要 考 虑 漏 报 率 和 误 报 率 的 问 题 ， 通 常 ， 漏 报 率 和 误 报 率 是 一 对 矛 盾 ， 需 要 通 过 对 检 测 和 防 护 规 则 的 调 整 来 进 行 平 衡 。           如 果 流 量 清 洗 的 漏 报 率 太 高 ， 就 会 有 大 量 的 攻 击 请 求 穿 透 流 量 清 洗 设 备 ， 如 果 无 法 有 效 地 减 少 攻 击 流 量 ， 也 就 达 不 到 减 轻 服 务 器 压 力 的 效 果 。           相 反 ， 如 果 误 报 率 太 高 ， 就 会 出 现 大 量 的 正 常 请 求 在 清 洗 过 程 中 被 中 断 ， 严 重 影 响 正 常 的 服 务 和 业 务 运 行 。           优 秀 的 流 量 清 洗 设 备 ， 应 该 能 同 时 将 误 报 率 和 漏 报 率 降 低 到 可 以 接 受 的 成 都 ， 这 样 就 能 够 在 不 影 响 网 络 或 业 务 系 统 正 常 运 行 的 情 况 下 ， 最 大 限 度 的 将 恶 意 攻 击 流 量 从 全 部 网 络 流 量 中 去 除 ， 要 达 到 这 个 目 的 ， 需 要 同 时 使 用 多 种 准 确 而 高 效 的 清 洗 技 术 ， 这 些 技 术 包 括 ： I P 信 誉 检 查 、 攻 击 特 征 匹 配 、 速 度 检 查 与 限 制 、 T C P 代 理 和 验 证 、 协 议 完 整 性 验 证 和 客 户 端 真 实 性 验 证 。
1 . 3 . 1   I P 信 誉 检 查 信 誉 检 查           I P 信 誉 检 查 原 本 是 用 于 识 别 和 对 抗 垃 圾 邮 件 的 一 种 技 术 ， 不 过 这 种 技 术 也 可 以 用 来 在 网 络 层 进 行 流 量 清 洗 。           I P 信 誉 机 制 是 指 为 互 联 网 上 的 I P 地 址 赋 予 一 定 的 信 誉 值 ， 那 些 过 去 或 限 制 经 常 被 作 为 僵 尸 主 机 发 送 垃 圾 邮 件 或 发 动 拒 绝 服 务 攻 击 的 I P 地 址 会 被 赋 予 较 低 的 信 誉 值 ， 说 明 这 些 I P 地 址 更 有 可 能 成 为 网 络 攻 击 的 来 源 。           当 发 生 分 布 式 拒 绝 服 务 攻 击 时 ， 流 量 清 洗 设 备 会 对 通 过 的 网 络 流 量 进 行 I P 信 誉 检 查 ， 在 其 内 部 的 I P 地 址 信 誉 库 中 查 找 每 一 个 数 据 包 来 源 的 信 誉 值 ， 并 会 优 先 丢 弃 信 誉 值 低 的 I P 地 址 所 发 来 的 数 据 包 或 建 立 的 会 话 连 接 ， 以 此 保 证 信 誉 高 的 I P 地 址 与 服 务 器 的 正 常 通 信 。           I P 信 誉 检 查 的 极 端 情 况 就 是 I P 黑 名 单 机 制 ， 即 如 果 数 据 包 的 来 源 存 在 于 黑 名 单 之 中 ， 则 不 进 行 任 何 处 理 ， 直 接 丢 弃 该 数
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理