搜索

[9068] 2015-06-27_DDoS攻击的发展和应对

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-06-27_DDoS攻击的发展和应对 D D o S 攻 击 的 发 展 和 应 对 黑 屏   F r e e B u f   2 0 1 5 - 0 6 - 2 7 微 信 号 微 信 号 f r e e b u f 尽 可 能 地 对 被 攻 击 目 标 造 成 最 大 程 度 的 资 源 破 坏 是 尽 可 能 地 对 被 攻 击 目 标 造 成 最 大 程 度 的 资 源 破 坏 是 D D o S 攻 击 的 根 本 初 衷 。 站 在 这 个 角 度 上 来 看 攻 击 的 根 本 初 衷 。 站 在 这 个 角 度 上 来 看 D D o S 攻 击 的 发 展 ， 攻 击 的 发 展 ， 可 以 梳 理 出 清 晰 的 脉 络 。 可 以 梳 理 出 清 晰 的 脉 络 。 三 个 发 展 阶 段 三 个 发 展 阶 段 曾 经 有 安 全 专 家 把 D D o S 攻 击 比 作 互 联 网 “ 核 武 器 ” ： 一 旦 调 动 足 够 数 量 遍 布 互 联 网 的 “ 肉 鸡 ” 和 存 在 各 种 协 议 漏 洞 的 开 放 服 务 器 ， 就 可 以 瘫 痪 掉 任 何 互 联 网 业 务 。 尽 可 能 地 对 被 攻 击 目 标 造 成 最 大 程 度 的 资 源 破 坏 是 D D o S 攻 击 的 根 本 初 衷 。 站 在 这 个 角 度 上 来 看 D D o S 攻 击 的 发 展 ， 可 以 梳 理 出 清 晰 的 脉 络 。 D D o S 攻 击 的 发 展 趋 势 呈 明 显 的 三 个 阶 段 性 ： 攻 击 的 发 展 趋 势 呈 明 显 的 三 个 阶 段 性 ： 第 一 阶 段 ： 由 个 人 计 算 机 组 建 僵 尸 网 络 ， 发 动 D D o S 攻 击 ； 第 二 阶 段 ： 利 用 互 联 网 开 放 服 务 器 （ 如 D N S 、 N T P ） 发 起 反 射 攻 击 ； 第 三 阶 段 ： 利 用 智 能 ／ I o T 设 备 协 议 （ 如 S S D P ） 的 脆 弱 性 发 起 反 射 攻 击 。 如 下 图 所 示 ： 图 1 :   D D o S 攻 击 的 发 展 来 自 僵 尸 网 络 的 D D o S
最 为 传 统 的 最 为 传 统 的 D D o S 攻 击 多 利 用 僵 尸 主 机 （ 攻 击 多 利 用 僵 尸 主 机 （ Z o m b i e s ， 又 叫 肉 鸡 ） 组 成 僵 尸 网 络 来 发 起 。 ， 又 叫 肉 鸡 ） 组 成 僵 尸 网 络 来 发 起 。 图 2 :   典 型 的 僵 尸 网 络 架 构 “ 肉 鸡 ” 是 指 中 了 木 马 ， 或 者 被 一 些 人 留 了 后 门 的 计 算 机 ， 成 为 “ 肉 鸡 ” 的 计 算 机 可 以 被 黑 客 远 程 操 控 。 “ 肉 鸡 ” 的 存 在 多 由 于 用 户 系 统 存 在 各 种 脆 弱 性 导 致 ， 系 统 一 旦 被 入 侵 ， 黑 客 可 获 得 控 制 权 。 黑 客 在 这 些 “ 肉 鸡 ” 所 有 者 不 知 情 的 情 况 下 ， 发 起 对 既 定 攻 击 目 标 的 攻 击 。 其 中 一 种 比 较 典 型 的 攻 击 就 是 D D o S 攻 击 。 在 我 们 遇 到 的 一 些 实 际 攻 击 事 件 中 ， 从 攻 击 流 量 中 分 析 来 看 ， 来 源 非 常 分 散 ， 全 国 各 地 都 有 ， 此 类 攻 击 很 可 能 就 是 由 大 量 受 操 控 “ 肉 鸡 “ 组 成 的 僵 尸 网 络 发 起 。 可 见 ， “ 肉 鸡 ” 对 于 互 联 网 、 特 别 是 网 站 系 统 的 威 胁 是 很 大 的 。 即 便 单 个 “ 肉 鸡 ” 的 攻 击 能 力 有 限 ， 但 如 果 肉 鸡 数 量 很 多 ， 汇 总 后 的 攻 击 流 量 也 将 是 惊 人 的 。 利 用 开 放 服 务 器 的 反 射 放 大 利 用 开 放 服 务 器 的 反 射 放 大 虽 然 肉 鸡 的 效 果 显 著 ， 但 是 无 论 组 建 还 是 僵 尸 网 络 的 维 护 都 需 要 较 高 的 成 本 ， 伴 随 黑 客 不 断 对 更 低 成 本 获 得 更 大 效 果 的 追 求 ， 利 用 互 联 网 开 放 服 务 器 发 起 反 射 拒 绝 服 务 攻 击 逐 渐 流 行 。 图 3 :   利 用 N T P 服 务 器 发 起 反 射 攻 击
反 射 拒 绝 服 务 攻 击 又 称 D R D o S 攻 击 （ D i s t r i b u t e d   R e f l e c t i o n   D e n i a l   o f   S e r v i c e ） ， 或 分 布 式 反 射 拒 绝 服 务 攻 击 。 其 原 理 是 黑 客 伪 造 成 被 攻 击 者 的 I P 地 址 ， 向 互 联 网 上 大 量 开 放 特 定 服 务 的 服 务 器 发 起 请 求 ， 接 收 到 请 求 的 那 些 主 机 根 据 源 I P 地 址 将 响 应 数 据 包 返 回 给 受 害 者 。 整 个 过 程 中 ， 返 回 响 应 的 服 务 器 并 不 知 道 请 求 源 的 恶 意 动 机 。 黑 客 往 往 会 选 择 那 些 响 应 包 远 大 于 请 求 包 的 服 务 来 利 用 ， 这 样 才 可 以 以 较 小 的 流 量 换 取 更 大 的 流 量 ， 获 得 几 倍 甚 至 几 十 倍 的 放 大 效 果 。 一 般 来 说 ， 可 以 被 利 用 来 做 放 大 反 射 攻 击 的 服 务 包 括 D N S 服 务 、 N T P 服 务 、 S N M P 服 务 、 C h a r g e n 服 务 等 。 根 据 U S - C E R T 在 2 0 1 4 年 1 月 发 布 的 预 警 （ A l e r t   T A 1 4 - 0 1 7 A ） ， D N S 、 N T P 、 S N M P 等 协 议 的 反 射 放 大 效 果 以 及 脆 弱 性 如 下 图 所 示 ： 图 4 :   反 射 放 大 攻 击 效 果 和 脆 弱 性 一 览 从 上 图 可 见 ， 利 用 N T P 协 议 的 反 射 放 大 效 果 最 好 ， 超 过 5 0 0 倍 。 也 就 是 说 攻 击 者 只 需 要 发 起 1 0 0 M b p s 的 请 求 流 量 ， 经 过 N T P 服 务 器 的 反 射 放 大 ， 可 以 换 来 5 G b p s 的 攻 击 流 量 。 2 0 1 4 年 2 月 ， 在 国 外 某 云 计 算 服 务 提 供 商 遭 受 的 4 0 0 G b p s   D D o S 攻 击 中 ， 黑 客 就 采 用 了 N T P   反 射 放 大 攻 击 。 S S D P 攻 击 的 崛 起 攻 击 的 崛 起 一 方 面 ， 随 着 互 联 网 上 存 在 D N S 、 N T P 、 S N M P 等 协 议 脆 弱 性 的 开 放 服 务 漏 洞 不 断 被 修 复 ， 可 以 用 来 发 起 反 射 攻 击 的 服 务 器 数 量 数 量 越 来 越 少 。 另 一 方 面 ， 互 联 网 上 家 用 路 由 器 、 网 络 摄 像 头 、 打 印 机 、 智 能 家 电 等 设 备 数 量 的 激 增 ， 让 黑 客 看 到 了 另 一 个 可 以 不 断 挖 掘 的 金 山 。 这 些 智 能 设 备 普 遍 采 用 U P n P （ 即 插 即 用 ） 协 议 作 为 网 络 通 讯 协 议 ，   而 U P n P 设 备 的 发 现 是 通 过 源 端 口 为 1 9 0 0 的 S S D P （ 简 单 服 务 发 现 协 议 ） 进 行 相 互 感 知 。 利 用 S S D P 协 议 进 行 反 射 攻 击 的 原 理 与 利 用 D N S 服 务 、 N T P 服 务 类 似 ， 都 是 伪 造 成 被 攻 击 者 的 I P 地 址 向 互 联 网 上 大 量 的 智 能 设 备 发 起 S S D P 请 求 ， 接 收 到 请 求 的 智 能 设 备 根 据 源 I P 地 址 将 响 应 数 据 包 返 回 给 受 害 者 。
图 5 :   S S D P 反 射 放 大 攻 击 S S D P 反 射 放 大 攻 击 是 一 个 迅 速 崛 起 的 D D o S 攻 击 方 式 。 从 A k a m a i   2 0 1 5   Q 1   S t a t e   o f   t h e   I n t e r n e t   /   S e c u r i t y   R e p o r t 报 告 中 可 以 看 出 ， S S D P 反 射 攻 击 已 经 成 为 T O P 1 的 D D o S 攻 击 方 式 （ 2 0 . 7 8 % ） 。 在 2 0 1 4 年 Q 4 ， S S D P   D D o S 的 比 例 只 有 1 4 % ， 在 2 0 1 4 年 Q 1 ， 则 几 乎 没 有 S S D P 反 射 攻 击 ， 如 下 图 所 示 ：
图 6 :   S S D P 攻 击 所 占 比 例 最 多 根 据 A r b o r   N e t w o r k s 在 2 0 1 5 年 初 发 布 的 《 W o r l d w i d e   I n f r a s t r u c t u r e   S e c u r i t y   R e p o r t 》 ， S S D P 反 射 攻 击 到 2 0 1 4 年 7 月 才 被 关 注 ， 在 2 0 1 4 年 Q 3 - Q 4 期 间 曾 经 打 出 过 若 干 次 超 过 1 0 0 G b p s 的 攻 击 流 量 。 图 7 :   S S D P 攻 击 自 2 0 1 4 年 Q 3 后 异 军 突 起 另 根 据 U S C E R T 的 数 据 ， S S D P 的 放 大 倍 数 是 3 0 倍 ， 虽 然 较 N T P 和 C h a r g e n 等 协 议 的 放 大 倍 数 小 很 多 ， 但 是 由 于 互 联 网 上 智 能 设 备 的 数 量 非 常 庞 大 ， 随 着 I o T 的 发 展 ， 这 个 数 字 更 将 呈 现 几 何 级 数 的 增 加 。 这 无 疑 为 黑 客 提 供 了 丰 富 的 攻 击 来 源 。 S S D P 严 峻 的 形 势 在 阿 里 云 上 同 样 得 到 了 体 现 。 根 据 阿 里 云 云 盾 安 全 运 营 团 队 在 2 0 1 5 年 6 月 的 统 计 ， 在 对 阿 里 云 用 户 的 U D P D D o S 攻 击 中 ， 8 0 % 的 攻 击 方 式 为 S S D P 反 射 放 大 攻 击 。
下 图 是 在 黑 客 对 阿 里 云 某 用 户 攻 击 中 捕 获 的 数 据 包 ， 源 端 口 为 1 9 0 0 是 S S D P   反 射 放 大 攻 击 的 重 要 特 征 之 一 ： 图 8 :   S S D P 攻 击 数 据 包 随 着 物 联 网 和 智 能 设 备 的 快 速 发 展 和 普 及 ， 利 用 智 能 设 备 展 开 D D o S 攻 击 会 越 来 越 普 遍 。 如 何 应 对 ？ 如 何 应 对 ？ 对 于 D D o S 攻 击 ， 普 遍 采 用 的 防 护 手 段 包 括 ： （ 1 ） 源 验 证 ／ 反 向 探 测 ， 对 源 进 行 探 测 和 人 机 识 别 ， 段 包 括 c o o k i e 、 识 别 码 等 ； （ 2 ） 限 源 ， 即 对 源 I P 或 协 议 进 行 限 制 ， b l a c k l i s t 是 一 个 常 见 手 段 ； （ 3 ） 特 征 丢 弃 ， 依 据 数 据 包 的 特 征 或 访 问 行 为 进 行 丢 弃 ， 如 基 于 P a y l o a d 特 征 、 发 包 行 为 特 征 、 Q P S 特 征 等 ； （ 4 ） 限 速 ， 对 流 量 ／ 访 问 的 速 率 进 行 限 流 。 特 别 对 于 大 流 量 D D o S 攻 击 的 防 护 ， 与 电 信 运 营 商 配 合 也 是 必 不 可 少 的 。 其 中 包 括 与 运 营 商 配 合 实 施 就 源 清 洗 ， 以 及 在 运 营 商 侧 路 由 器 上 对 特 定 协 议 或 特 定 来 源 的 I P 进 行 限 制 都 是 降 低 防 护 开 销 的 办 法 。 当 然 ， 针 对 于 网 络 层 D D o S 攻 击 （ L a y e r - 4   D D o S ） 和 应 用 层 D D o S （ L a y e r - 7   D D o S ） 攻 击 不 同 的 攻 击 策 略 ， 在 具 体 防 护 时 ， 采 取 的 手 段 也 不 尽 相 同 。 这 里 不 再 赘 述 。 此 外 ， 对 于 网 站 来 说 ， 通 过 C D N 进 行 D D o S 防 护 也 是 一 个 不 错 的 手 段 ， C D N 多 节 点 彼 此 互 备 ， 以 及 对 协 议 的 限 制 ， 具 有 与 生 俱 来 的 抗 D D o S 能 力 和 高 可 用 性 。 同 时 ， C D N 往 往 与 云 W A F 系 统 配 合 工 作 ， 两 者 协 同 成 为 防 护 H T T P   F l o o d 的 利 器 。 上 面 的 方 法 是 否 就 是 防 御 上 面 的 方 法 是 否 就 是 防 御 D D o S 攻 击 的 全 部 了 呢 ？ 攻 击 的 全 部 了 呢 ？   N O ！ ！ 随 着 大 数 据 的 兴 起 ， 依 托 用 户 访 问 数 据 、 包 括 Q P S ， I P － c o o k i e ， I P － R e q u e s t 分 布 、 页 面 点 击 等 行 为 数 据 结 合 信 誉 机 制 建 立 起 完 整 的 可 视 化 防 御 系 统 。 结 合 威 胁 情 报 ， 建 立 起 运 营 商 ／ I S P ／ D C ／ 区 域 信 息 库 、 I P 地 址 黑 名 单 、 代 理 库 、 黑 暗 网 络 库 等 丰 富 的 情 报 库 ， 线 上 、 线 下 进 行 关 联 分 析 ， 一 方 面 将 防 御 时 间 点 提 前 ， 甚 至 在 攻 击 发 起 之 前 就 可 以 预 知 ； 另 一 方 面 溯 源 追 踪 到 攻 击 者 ， 有 效 打 击 攻 击 者 的 嚣 张 气 焰 。 *   作 者 ： B l a c k s c r e e n （ 阿 里 巴 巴 集 团 安 全 部 ） ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理