搜索

[11032] 2017-02-16_GoogleProjectShield如何抵御DDoS攻击？这个案例可以初探端倪

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-02-16_GoogleProjectShield如何抵御DDoS攻击？这个案例可以初探端倪 G o o g l e   P r o j e c t   S h i e l d 如 何 抵 御 D D o S 攻 击 ？ 这 个 案 例 可 以 初 探 端 倪 c l o u d s   F r e e B u f   2 0 1 7 - 0 2 - 1 6 对 安 全 专 家 对 安 全 专 家 B r i a n   K r e b s 来 说 ， 去 年 来 说 ， 去 年 9 月 的 第 三 个 星 期 可 以 算 是 一 段 暗 无 天 日 的 时 光 ， 大 量 持 续 不 断 的 月 的 第 三 个 星 期 可 以 算 是 一 段 暗 无 天 日 的 时 光 ， 大 量 持 续 不 断 的 D o S 攻 击 波 涌 向 其 个 人 攻 击 波 涌 向 其 个 人 网 站 网 站 K r e b s O n S e c u r i t y ， 峰 值 攻 击 曾 流 量 超 过 每 秒 ， 峰 值 攻 击 曾 流 量 超 过 每 秒   6 2 0 G b p s ， 最 终 ， ， 最 终 ， C D N 服 务 商 服 务 商 A k a m a i 也 无 防 护 之 计 可 施 ， 选 择 将 也 无 防 护 之 计 可 施 ， 选 择 将 K r e b s 网 网 站 下 线 。 站 下 线 。 然 而 ， 仅 在 三 天 之 后 ， 然 而 ， 仅 在 三 天 之 后 ， K r e b s O n S e c u r i t y 就 在 谷 歌 就 在 谷 歌 P r o j e c t   S h i e l d （ 护 盾 项 目 ） 的 保 护 下 ， （ 护 盾 项 目 ） 的 保 护 下 ， 正 常 上 线 正 常 上 线 “ 重 生 重 生 ” 了 。 今 天 就 让 我 们 了 。 今 天 就 让 我 们 随 着 随 着 F r e e B u f 来 一 起 了 解 下 谷 歌 来 一 起 了 解 下 谷 歌 P r o j e c t   S h i e l d 的 这 桩 的 这 桩 “ 壮 举 壮 举 ” 。 。 P r o j e c t   S h i e l d 是 谷 歌 最 早 在 2 0 1 3 年 推 出 的 ， 保 护 第 三 方 网 站 的 免 费 抗 D 服 务 ， 它 利 用 谷 歌 基 础 设 施 技 术 来 重 定 向 和 缓 解 D D o S 攻 击 流 量 ， 以 抵 御 各 类 D D o S 攻 击 。 P r o j e c t   S h i e l d 保 护 网 站 主 要 为 那 些 没 专 业 能 力 部 署 安 全 防 护 的 体 量 较 小 网 站 ， 并 优 先 为 记 者 、 媒 体 、 选 举 和 人 权 相 关 网 站 提 供 保 护 。 （ 更 多 详 情 参 考 P r o j e c t   S h i e l d 官 网 ）
据 谷 歌 安 全 工 程 师 D a m i a n   M e n s c h e r 在 最 近 的 E n i g m a 安 全 会 议 上 透 露 ， 在 K r e b s 向 P r o j e c t   S h i e l d 提 出 网 站 保 护 请 求 之 后 ， 谷 歌 安 全 团 队 经 过 一 番 风 险 权 衡 后 同 意 了 这 项 服 务 。 M e n s c h e r 回 忆 了 当 时 团 队 的 讨 论 情 景 ： “ 如 果 这 些 僵 尸 网 络 对 g o o g l e . c o m 发 起 攻 击 后 果 将 会 怎 样 ？ 会 让 我 们 的 努 力 白 费 吗 ？ 这 种 可 能 不 能 完 全 排 除 。 但 如 果 类 似 的 攻 击 可 以 击 溃 我 们 ， 那 么 任 何 时 候 它 对 我 们 来 说 都 是 一 种 潜 在 风 险 ， 所 以 ， 从 这 个 角 度 上 来 说 ， 我 们 不 存 在 任 何 损 失 ， 应 该 积 极 去 应 对 。 ” 经 过 一 个 小 时 的 讨 论 后 ， M e n s c h e r 的 团 队 迅 速 达 成 了 帮 助 K r e b s 的 决 定 。 然 而 ， 前 期 却 经 历 了 冗 长 的 流 程 。 首 先 一 点 就 是 ， 网 站 所 有 人 必 须 证 明 其 对 网 站 的 控 制 权 ， 而 此 时 K r e b s 网 站 正 处 于 下 线 状 态 ， 而 且 域 名 管 理 系 统 为 防 止 域 名 劫 持 攻 击 ， 把 其 域 名 （ k r e b s o n s e c u r i t y . c o m ） 又 设 置 为 锁 定 状 态 。 最 终 ， 当 P r o j e c t   S h i e l d 为 K r e b s O n S e c u r i t y 提 供 上 线 保 护 之 后 的 1 4 分 钟 ， 新 一 轮 D D o S 攻 击 开 始 了 。 第 一 波 攻 击 是 足 可 以 瘫 痪 大 量 网 站 的 每 秒 1 亿 3 0 0 0 万 的 S Y N 洪 水 包 ， 但 面 对 谷 歌 的 基 础 设 施 ， 这 算 是 九 牛 一 毛 ； 一 分 钟 后 ， 攻 击 强 度 增 加 ， 来 自 1 4 5 , 0 0 0 个 不 同 I P 发 起 了 每 秒 2 5 0 , 0 0 0 次 H T T P 请 求 ， 毫 无 疑 问 ， 这 是 M i r a i 僵 尸 网 络 的 特 征 。 随 后 ， 攻 击 者 以 多 种 方 式 发 起 了 攻 击 ， 包 括 1 4 0 G b p s 的 D N S 放 大 攻 击 和 每 秒 4 0 0 万 s y n - a c k 包 的 s y n - a c k a 洪 水 攻 击 。
在 攻 击 开 始 后 的 第 四 个 小 时 ， K r e b s O n S e c u r i t y 经 历 了 更 强 的 攻 击 流 量 ， 1 7 5 , 0 0 0 个 不 同 I P 发 起 了 每 秒 4 5 0 , 0 0 0 次 H T T P 请 求 ， 好 在 有 P r o j e c t   S h i e l d 的 保 护 ， 这 也 没 能 对 K r e b s O n S e c u r i t y 造 成 直 接 影 响 。 攻 击 在 开 始 的 两 个 星 期 最 为 强 烈 ， 随 后 ， 攻 击 者 加 入 了 一 系 列 新 型 攻 击 技 术 ， 包 括 一 种 名 为 W o r d P r e s s   p i n g b a c k 的 攻 击 ， 该 攻 击 会 发 起 对 目 标 网 站 的 大 量 内 容 请 求 ， 导 致 网 站 瘫 痪 。 由 于 该 攻 击 方 式 的 每 个 内 容 请 求 包 内 ， 包 含 了 一 个 带 有 “ W o r d P r e s s   p i n g b a c k ” 的 用 户 代 理 广 播 字 段 ， 所 以 ， G o o g l e 有 效 地 对 这 些 请 求 作 出 了 阻 止 。 另 外 的 C a c h e - B u s t i n g 攻 击 也 同 样 被 P r o j e c t   S h i e l d 成 功 阻 挡 。 W o r d P r e s s 的 P i n g b a c k 功 能 中 文 解 释 是 “ 引 用 ” ， 当 你 的 文 章 有 引 用 别 人 的 内 容 时 （ 通 常 内 容 里 有 加 上 对 方 的 超 链 接 ） ， 一 旦 文 章 发 表 后 ， 就 会 自 动 启 动 P i n g b a c k 功 能 ， 这 功 能 会 发 送 一 个 P i n g 给 对 方 ， 会 以 评 论 的 方 式 呈 现 。 W o r d P r e s s 的 p i n g b a c k 服 务 可 被 D D o S 攻 击 利 用 ， 这 个 漏 洞 早 有 披 露 ， 但 至 今 仍 有 大 量 网 站 存 在 此 问 题 。 由 于 这 种 D D o S 攻 击 中 流 量 来 自 数 千 个 不 同 I P ， 基 于 网 络 的 防 火 墙 也 无 法 识 别 和 拦 截 ， 只 能 限 制 每 个 I P 地 址 的 访 问 频 率 。 即 使 在 今 天 ， 对 K r e b s O n S e c u r i t y 网 站 的 D D o S 攻 击 也 依 然 存 在 ， 最 坏 的 结 果 只 是 引 起 一 些 短 暂 的 中 断 ， 并 没 有 导 致 长 时 间 的 宕 机 下 线 。 M e n s c h e r 同 时 也 把 此 次 事 件 的 经 验 向 会 议 观 众 作 了 分 享 ： 由 于 我 在 谷 歌 的 多 年 一 直 是 致 力 于 保 护 大 型 网 站 系 统 的 安 全 运 行 ， 成 千 上 万 次 的 查 询 请 求 或 攻 击 对 谷 歌 来 说 影 响 非 常 微 小 ， 然 而 ， 突 然 面 对 一 个 小 型 网 站 的 保 护 ， 我 显 得 有 点 措 手 不 及 。 由 于 K r e b s 的 网 站 原 先 最 多 只 能 承 受 每 秒 2 0 次 的 请 求 ， 但 这 次 攻 击 峰 值 却 达 到 了 每 秒 4 5 0 , 0 0 0 次 请 求 。 面 对 这 种 情 况 ， 作 为 安 全 工 程 师 的 你 会 怎 么 处 理 ？ 这 确 实 有 点 棘 手 。 但 首 先 你 可 以 识 别 和 限 制 攻 击 流 量 ， 然 后 通 过 缓 存 分 散 正 常 流 量 ， 这 样 一 方 面 可 以 给 服 务 器 减 负 ， 另 外 在 服 务 器 出 现 故 障 时 ， 还 能 为 浏 览 用 户 正 常 提 供 缓 存 内 容 ， 形 成 一 个 暂 时 的 “ 在 线 ” 状 态 。 当 问 道 在 D D o S 防 护 商 A k a m a i 宣 布 停 止 为 K r e b s O n S e c u r i t y 提 供 无 偿 保 护 之 后 ， 为 什 么 G o o g l e 愿 意 免 费 提 供 这 项 网 站 保 护 服 务 ？ M e n s c h e r 给 出 了 解 释 ： “ 我 们 暂 且 不 提 规 模 经 济 方 面 的 考 虑 。 因 为 谷 歌 具 备 很 多 方 面 的 技 术 实 力 ， 通 过 这 些 技 术 基 础 设 施 的 共 同 发 挥 ， 完 全 有 能 力 构 建 一 个 有 效 D D o S 后 备 防 御 体 系 。 我 想 A k a m a i 也 希 望 具 备 这 样 的 能 力 ， 但 在 同 一 时 间 两 次 强 大 的 D o S 攻 击 面 前 ， 攻 击 者 发 起 的 各 种 类 型 的 攻 击 占 了 上 风 ， 转 而
慢 慢 蚕 食 了 他 们 的 防 御 能 力 。 ” 对 M e n s c h e r 来 说 ， 最 终 的 体 会 是 ， 像 G o o g l e 这 样 运 行 着 至 关 重 要 的 业 务 ， 一 年 离 线 状 态 不 会 超 过 5 分 钟 的 公 司 ， 有 必 要 作 出 一 些 冒 险 和 挑 战 的 尝 试 。 他 进 一 步 解 释 ， “ 我 是 一 个 唯 物 论 者 ， 在 现 实 中 我 们 总 尝 试 去 分 辨 世 界 是 如 何 运 转 的 ， 但 基 于 此 ， 我 们 必 须 有 正 确 的 问 题 导 向 ， 必 须 去 做 一 些 调 查 研 究 ， 也 必 须 主 动 去 质 疑 一 些 假 设 。 这 种 道 理 与 D D o S 防 御 是 相 似 的 ， 我 们 不 能 总 看 到 眼 前 的 攻 击 ， 还 需 更 加 积 极 、 更 加 冒 险 地 去 应 对 或 挑 战 一 些 未 知 的 攻 击 。 ” * 参 考 来 源 ： a r s t e c h n i c a ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理