搜索

[9041] 2015-06-18_一次针对贵金属行业的集体DDoS攻击事件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-06-18_一次针对贵金属行业的集体DDoS攻击事件 一 次 针 对 贵 金 属 行 业 的 集 体 D D o S 攻 击 事 件 阿 里 安 全   F r e e B u f   2 0 1 5 - 0 6 - 1 8 微 信 号 ： 微 信 号 ： f r e e b u f 轮 番 攻 击 轮 番 攻 击 2 0 1 5 年 年 6 月 月 1 5 日 日 1 7 点 点 3 1 分 ， 阿 里 云 某 用 户 分 ， 阿 里 云 某 用 户 A 反 馈 业 务 遭 受 到 大 流 量 攻 击 ， 攻 击 峰 值 流 量 超 过 反 馈 业 务 遭 受 到 大 流 量 攻 击 ， 攻 击 峰 值 流 量 超 过 2 0 G b p s 。 经 过 云 盾 安 全 专 。 经 过 云 盾 安 全 专 家 分 析 ， 主 要 攻 击 类 型 为 家 分 析 ， 主 要 攻 击 类 型 为 S Y N   F l o o d 、 、 A C K   F l o o d 、 、 C o n n e c t i o n   F l o o d （ 连 接 耗 尽 ） 、 （ 连 接 耗 尽 ） 、 T C P 连 接 等 网 络 层 连 接 等 网 络 层 D D o S 攻 击 。 在 攻 击 。 在 阿 里 云 云 盾 系 统 的 防 护 下 ， 攻 击 在 阿 里 云 云 盾 系 统 的 防 护 下 ， 攻 击 在 3 0 s 内 被 成 功 拦 截 。 内 被 成 功 拦 截 。 1 8 点 0 4 分 ， 阿 里 云 另 一 个 用 户 B 反 馈 遭 受 到 了 大 流 量 攻 击 ， 经 过 分 析 ， 无 论 从 流 量 还 是 攻 击 类 型 均 与 A 用 户 遭 受 的 攻 击 类 似 。 1 8 点 1 6 分 ， 阿 里 云 再 次 接 到 用 户 C 的 反 馈 ， 遭 到 了 D D o S 攻 击 ， 峰 值 3 0 G b p s 。 分 析 后 发 现 主 要 攻 击 类 型 依 然 为 S Y N   F l o o d 、 A C K   F l o o d 、 C o n n e c t i o n   F l o o d （ 连 接 耗 尽 ） 和 T C P 连 接 。 几 乎 相 同 的 攻 击 手 段 以 及 近 乎 同 等 规 模 的 攻 击 流 量 引 发 了 我 们 的 关 注 。 对 攻 击 行 为 的 分 析 揭 示 了 一 个 有 趣 的 情 况 ： 1 8 点 1 5 分 对 用 户 A 的 攻 击 停 止 ， 1 分 钟 之 后 ， 用 户 C 遭 到 攻 击 。 又 过 了 一 分 钟 ， 攻 击 者 发 现 “ 打 不 动 ” B （ 对 B 的 攻 击 此 时 正 在 进 行 中 ） ， 立 刻 回 头 又 展 开 对 A 的 攻 击 。 一 分 钟 后 ， 对 B 对 攻 击 停 止 ， 对 A 的 攻 击 持 续 。 此 后 的 一 段 时 间 内 ， 黑 客 一 直 在 进 行 短 时 间 大 流 量 的 交 换 攻 击 ， 每 次 持 续 不 超 过 2 分 钟 。 可 见 ， 此 次 攻 击 很 可 能 是 由 同 一 个 或 几 个 攻 击 者 发 起 ， 不 断 尝 试 攻 击 ， 打 打 停 停 ， 并 根 据 攻 击 的 效 果 快 速 切 换 被 攻 击 的 目 标 。 经 过 客 户 经 理 的 确 认 ， 三 个 用 户 均 为 贵 金 属 行 业 用 户 。 这 个 信 息 对 于 接 下 来 的 攻 防 对 抗 至 关 重 要 。 攻 击 还 没 有 结 束 。 攻 击 还 没 有 结 束 。 1 8 点 3 0 分 ， 用 户 D 遭 到 了 类 似 的 D D o S 攻 击 。 该 用 户 是 贵 金 属 行 业 比 较 有 影 响 力 的 企 业 客 户 。 1 8 点 4 2 分 ， 用 户 E 也 遭 到 同 样 的 攻 击 。 有 了 之 前 的 攻 击 分 析 ， 对 D 和 E 的 D D o S 被 迅 速 拦 截 。
攻 击 过 程 此 后 的 一 段 时 间 ， 攻 击 者 仍 不 断 尝 试 攻 击 多 个 网 站 ， 经 过 分 析 发 现 目 标 均 是 针 对 贵 金 属 行 业 内 多 家 有 影 响 力 的 网 站 。 攻 击 被 云 盾 系 统 一 一 化 解 。 攻 击 监 控 曲 线 从 攻 击 监 控 曲 线 上 可 以 观 察 到 有 趣 的 此 起 彼 伏 的 多 起 攻 击 曲 线 ， 从 攻 击 行 为 上 看 ， 黑 客 在 一 个 时 间 段 内 主 要 集 中 在 一 个 到 二 个 目 标 ， 可 能 是 为 了 集 中 攻 击 流 量 的 缘 故 ， 没 有 出 现 太 多 重 合 的 现 象 。 黑 客 对 贵 金 属 行 业 的 整 个 过 程 一 直 持 续 到 晚 上 的 2 3 ： 0 0 结 束 。 云 盾 实 现 了 成 功 防 护 ， 用 户 业 务 得 到 有 效 保 护 。 攻 击 类 型 分 析 及 取 证 攻 击 类 型 分 析 及 取 证 我 们 从 攻 击 类 型 上 进 行 了 分 析 ， 黑 客 在 此 次 攻 击 事 件 中 主 要 采 用 了 S Y N   F l o o d 、 T C P   F l o o d 等 连 接 耗 尽 为 策 略 的 网 络 层 D D o S 攻 击 。 云 盾 在 防 护 此 类 攻 击 的 时 候 ， 主 要 使 用 了 S Y N 源 认 证 的 防 护 机 制 和 针 对 T C P 连 接 的 防 护 算 法 ， 达 到 了 很 好 的 处 置 效 果 。 攻 击 类 型 分 析 从 上 图 可 见 ， 一 半 的 攻 击 是 S Y N   F l o o d 攻 击 。 从 攻 击 流 量 上 看 ， 单 纯 的 S Y N   F l o o d 流 量 曾 一 度 超 过 7 0 M P P S 。 如 下 图 所 示 。
S Y N   F l o o d 攻 击 流 量 从 下 图 的 抓 包 可 见 ， 攻 击 者 在 攻 击 的 时 候 ， 并 没 有 采 用 大 包 的 方 式 ， 也 就 是 说 ， 黑 客 并 没 有 增 加 S Y N 数 据 包 的 负 载 。 我 们 推 测 ， 黑 客 采 用 非 常 传 统 的 方 式 而 没 有 制 造 畸 形 数 据 包 ， 可 能 是 希 图 绕 过 云 盾 非 正 常 数 据 包 的 检 测 策 略 。 攻 击 S Y N 包 S Y N   F l o o d 过 时 了 吗 ？ 过 时 了 吗 ？ S Y N   F l o o d 作 为 最 为 传 统 的 D D o S 攻 击 手 段 之 一 。 很 多 安 全 专 家 认 为 S Y N   F l o o d 已 经 过 时 ， 将 逐 渐 被 应 用 层 D D o S 攻 击 取 代 。 真 的 是 这 样 吗 ？ 在 2 0 1 4 年 1 2 月 底 创 造 互 联 网 历 史 上 最 大 攻 击 流 量 — — 4 5 3 G   D D o S 攻 击 事 件 中 ， 对 阿 里 云 某 游 戏 用 户 的 近 三 分 之 一 的 攻 击 流 量 是 S Y N   F l o o d ， 如 下 图 所 示 ：
三 分 之 一 的 攻 击 是 S Y N   F l o o d S Y N   F l o o d 并 没 有 过 时 。 我 们 从 A k a m a i 在 5 月 份 发 布 的 S O T I （ S t a t e   o f   t h e   I n t e r n e t ） 报 告 中 也 可 以 得 到 一 定 程 度 的 佐 证 ： D D o S 攻 击 分 布 （ S o u r c e ： 2 0 1 5   Q 1   A k a m a i ’ s   S t a t e   o f   t h e   I n t e r n e t / S e c u r i t y   R e p o r t ） A k a m a i 的 统 计 数 据 表 明 ， S Y N   F l o o d   攻 击 是 T O P 2 的 D D o S 攻 击 方 式 （ 1 5 . 7 9 % ） 。 为 什 么 如 此 “ 原 始 ” 的 D D o S 攻 击 手 段 仍 被 黑 客 如 此 大 规 模 的 使 用 呢 ？ 我 们 认 为 ， 一 方 面 由 于 发 起 攻 击 的 门 槛 很 低 ， 工 具 丰 富 ， 操 作 方 便 ， 成 本 低 ， 所 以 一 直 深 受 黑 客 喜 爱 ； 另 一 方 面 ， S Y N   F l o o d 攻 击 自 身 也 在 不 断 发 展 ， 比 如 增 加 P a y l o a d 大 小 等 方 式 ， 提 高 攻 击 的 效 率 。 行 业 攻 击 渐 成 趋 势 行 业 攻 击 渐 成 趋 势 在 “ 6 . 1 5 事 件 ” 结 束 后 ， 阿 里 云 云 盾 安 全 团 队 进 行 了 复 盘 分 析 。 在 整 个 “ 6 . 1 5 事 件 ” 过 程 中 ， 一 共 有 数 十 个 阿 里 云 用 户 集 中 遭 到 D D o S 攻 击 。 “ 集 中 ” 体 现 在 时 间 段 上 的 集 中 、 攻 击 手 段 上 的 集 中 ， 以 及 被 攻 击 对 象 行 业 属 性 上 的 集 中 — — 基 本 上 为 贵 金 属 行 业 用 户 。 这 让 我 们 想 到 了 不 久 前 另 一 起 具 有 明 显 行 业 属 性 的 D D o S 攻 击 事 件 ， 在 那 次 事 件 中 ， 主 要 的 被 攻 击 对 象 是 旅 游 行 业 用 户 。 这 是 一 个 值 得 关 注 的 现 象 。 之 前 ， 类 似 的 攻 击 行 为 更 多 出 现 在 游 戏 行 业 ， 多 源 于 行 业 内 进 行 的 恶 意 竞 争 目 的 ， 在 游 戏 行 业 之 外 的 旅 游 行 业 、 贵 金 属 行 业 出 现 类 似 的 集 体 性 攻 击 事 件 尚 不 多 见 。 我 们 认 为 ， 面 对 一 个 行 业 进 行 的 集 体 攻 击 其 背 后 可 能 有 明 显 的 黑 产 属 性 ， 同 时 攻 击 也 从 单 一 攻 击 者 ／ 组 织 向 产 业 化 和 集 团 式 作 战 过 渡 。
*   作 者 ： 阿 里 云 云 盾 安 全 运 营 团 队 , 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理