搜索

[9823] 2016-02-17_针对爱尔兰DDoS攻击的取证分析

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-02-17_针对爱尔兰DDoS攻击的取证分析 针 对 爱 尔 兰 D D o S 攻 击 的 取 证 分 析 x i a i x   F r e e B u f   2 0 1 6 - 0 2 - 1 7 在 过 去 一 段 时 间 内 ， 爱 尔 兰 的 许 多 在 线 服 务 和 公 共 网 络 都 遭 受 到 了 在 过 去 一 段 时 间 内 ， 爱 尔 兰 的 许 多 在 线 服 务 和 公 共 网 络 都 遭 受 到 了   D D o S   攻 击 。 英 国 广 播 公 司 （ 攻 击 。 英 国 广 播 公 司 （ B B C ） 最 近 的 一 篇 ） 最 近 的 一 篇 文 章 文 章 [ 链 接 链 接 ] 就 指 出 就 指 出   2 0 1 6   年 年   D D o S   攻 击 事 件 将 呈 现 上 升 趋 势 。 攻 击 事 件 将 呈 现 上 升 趋 势 。 针 对 爱 尔 兰 的   D D o S   攻 击 大 部 分 为   N T P   放 大 攻 击 。 之 所 以 使 用   N T P   进 行 D D o S 攻 击 ， 主 要 是 因 为   N T P   像   D N S   一 样 是 一 个 基 于   U D P   的 简 单 协 议 ， 可 以 通 过 发 送 一 个 很 小 的 请 求 包 产 生 巨 大 的 相 应 包 。 本 文 首 先 会 针 对 此 次   D D o S   攻 击 进 行 取 证 分 析 ， 随 后 会 给 出 缓 解 这 类   D D o S   攻 击 的 方 法 。 文 中 所 有 的 截 图 来 源 于   L A N G u a r d i a n   系 统 面 板 ， 该 系 统 通 过   S P A N   端 口 监 控 网 络 边 界 流 量 。 下 列 截 图 全 部 来 源 于 真 实 网 络 环 境 ， 为 下 列 截 图 全 部 来 源 于 真 实 网 络 环 境 ， 为   2 0 1 6   年 年   1   月 份 遭 受 的 多 次 月 份 遭 受 的 多 次   D D o S   攻 击 。 第 一 张 图 展 示 了 没 有 遭 受 攻 击 时 的 网 攻 击 。 第 一 张 图 展 示 了 没 有 遭 受 攻 击 时 的 网 络 相 关 流 量 信 息 ， 从 图 中 我 们 发 现 ： 络 相 关 流 量 信 息 ， 从 图 中 我 们 发 现 ： 1 、 主 要 流 量 为   I P v 4 ； 2 、 超 过   9 7 %   的 流 量 为   T C P ， 而   U D P   流 量 只 占 到 非 常 少 的 比 例 。 这 是 非 常 正 常 以 及 我 们 期 望 的 情 况 ； 3 、 U P D   流 量 中 绝 大 多 数 为   D N S   流 量 ， 对 于 大 部 分 网 络 来 说 ， D N S   都 会 是 最 为 活 跃 的   U D P   协 议 。 下 图 为 遭 受   D D o S   攻 击 时 的 网 络 流 量 分 布 ， 最 大 的 变 化 就 是 此 时   U D P   流 量 占 到 了 绝 大 多 数 ， 这 也 是 遭 受 放 大 攻 击 的 典 型 特 征 。 进 一 步 分 析   U P D   流 量 发 现 ， 网 络 中 存 在 大 量 的   N T P   和   D N S   流 量 。 但 由 于 这 两 个 协 议 都 非 常 重 要 ， 所 以 无 法 直 接 将 其 屏
蔽 。 另 一 个 问 题 在 于 ， 这 些 网 络 数 据 包 中 包 含 的 均 为 伪 造 的   I P   地 址 ， 所 以 基 本 的 防 火 墙 策 略 变 的 毫 无 用 处 。 而 这 些 看 似 合 法 的 请 求 流 量 来 自 于 大 量 的 “ 僵 尸 ” 和 伪 造 的 身 份 ， 这 也 使 得 几 乎 不 可 能 进 行 识 别 并 进 行 阻 止 这 些 恶 意 流 量 。 再 进 一 步 分 析 发 现 这 些 流 量 来 自 于 4 7 0 0 个 不 同 的 服 务 器 。 我 们 可 以 对 这 些   I P   进 行   w h o i s   查 询 看 其 是 否 来 自 于 声 誉 较 好 机 构 的 真 实   N T P   服 务 器 。 看 上 去 不 可 能 有 4 7 0 0 个 真 实 的   N T P   服 务 器 被 攻 破 用 来 进 行 这 次 攻 击 ， 所 以 肯 定 发 生 了 些 其 他 的 事 情 。 N T P   是 一 个 基 于   U D P   的 无 连 接 协 议 。 这 就 意 味 着 恶 意 攻 击 的 客 户 端 可 以 不 使 用 自 己 的   I P   地 址 作 为 请 求 源 地 址 ， 取 而 代 之 使 用 目 标 网 络 的   I P   地 址 作 为 源 地 址 创 建 一 个   N T P   请 求 。 而   N T P   服 务 器 会 认 为 请 求 是 真 实 的 并 进 行 响 应 ， 但 它 会 回 复 响 应 包 到 目 标 地 址 而 不 是 发 送 客 户 端 的 地 址 。 这 就 是 所 谓 的   N T P   放 大 攻 击 。 可 以 确 定 现 在 正 在 遭 受 这 种 攻 击 ， 因 为 我 们 的 网 络 没 有 发 送 任 何 的   N T P   数 据 包 给   N T P   服 务 器 （ 0 数 据 包 发 送 ， 0 比 特 发 送 ） 如 下 图 ： 更 进 一 步 分 析 ， 我 们 可 以 计 算 出 接 收 到 的   N T P   应 答 包 平 均 大 小 为   4 4 0   字 节 ， 这 明 显 大 于 标 准 的   N T P   应 答 包 （ 9 0 字 节 ） 。 4 4 0   字 节 的 数 据 包 可 能 是 对   m o n l i s t   请 求 进 行 相 应 的 应 答 包 ， N T P   服 务 器 响 应   m o n l i s t   请 求 会 返 回 与   N T P   服 务 器 进 行 过 时 间 同 步 的 最 后   6 0 0   个 客 户 端 的   I P ， 响 应 包 按 照 每   6   个   I P   进 行 分 割 ， 最 多 有   1 0 0   个 响 应 包 。 也 就 是 说 一 个 简 单 的   m o n l i s t   请 求 会 收 到 多 个 大 尺 寸 的 相 应 数 据 包 。 这 就 是 所 谓 的 放 大 攻 击 ， 只 需 一 个 很 小 的 请 求 数 据 包 就 会 收 到 很 大 的 相 应 数 据 包 。 最 后 ， 那 么 攻 击 者 的 客 户 端 是 如 何 发 出   N T P   请 求 的 ？ 这 点 我 们 无 从 得 知 ， 因 为 攻 击 者 在   N T P   请 求 数 据 包 中 成 功 的 伪 造 了 源   I P   地 址 。 我 们 认 为 这 些 客 户 端 都 是 僵 尸 网 络 的 一 部 分 ， 在 统 一 接 收 到 命 令 后 就 开 始 攻 击 目 标 网 络 ， 这 些 僵 尸 网 络 可 能 拥 有 成 千 上 万 的 客 户 端 。
下 图 展 示 了 一 个 命 令 和 控 制 服 务 器 是 如 何 控 制 众 多 僵 尸 节 点 生 成 畸 形 的   N T P   请 求 并 发 向 许 多 服 务 器 ， 进 而 向 目 标 网 络 发 动 N T P   放 大 攻 击 的 。 报 告 中 出 现 的 任 何 本 地 服 务 器 都 需 要 检 测 其 服 务 器 上 是 否 含 有 恶 意 软 件 ， 因 为 这 些 服 务 器 可 能 是 因 为 恶 意 软 件 从 而 变 成 僵 尸 网 络 的 一 个 节 点 也 可 能 其 本 身 就 是 用 于 传 播 恶 意 软 件 的 服 务 器 。 如 何 缓 解 如 何 缓 解   D D o S   攻 击 攻 击 说 到 缓 解   D D o S   攻 击 有 很 多 选 择 ， 但 它 取 决 于 你 当 前 情 况 ， 如 果 你 目 前 正 在 遭 受 攻 击 ， 你 可 能 需 要 ： 1 、 询 问 你 的   I S P   是 否 可 以 屏 蔽 攻 击 流 量 。 大 部 分 情 况 下 这 是 不 行 的 ， 但 如 果 你 是 一 个 教 育 或 政 府 机 构 也 许 可 以 在   I S P   层 面 解 决 这 个 问 题 ； 2 、 如 果 是 自 己 架 设   W E B   应 用 服 务 器 可 以 考 虑 部 署 一 个   D D o S   防 御 系 统 。 高 性 能 的 防 御 系 统 可 以 跟 踪 分 析 攻 击 流 量 并 进 行 清 洗 ， 从 而 抵 御 较 大 规 模 的   D D o S   攻 击 ； 3 、 如 果 你 的 网 站 是 托 管 在 其 他 地 方 ， 那 你 可 以 考 虑 使 用 像   C l o u d f l a r e   D D o s   防 御 设 施 ； 4 、 在 一 些 极 端 情 况 下 ， 我 听 说 过 有 公 司 直 接 通 过 更 换   I S P   来 摆 脱 这 个 问 题 ， 公 司 的 公 网   I P   是 唯 一 对 外 的 目 标 ， 通 过 更 换   I S P 可 以 转 移 这 个 目 标 。 * 原 文 地 址 ： n e t f o r t ， F B 小 编 x i a i x 编 译 ， 转 自 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理