搜索

[9360] 2015-09-19_浅析大规模DDOS防御架构：应对T级攻防

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-17
2015-09-19_浅析大规模DDOS防御架构：应对T级攻防 浅 析 大 规 模 D D O S 防 御 架 构 ： 应 对 T 级 攻 防 a y a z 3 r o   F r e e B u f   2 0 1 5 - 0 9 - 1 9 本 文 作 者 ： a y a z 3 r o D D O S 分 类 分 类 在 讲 防 御 之 前 简 单 介 绍 一 下 各 类 攻 击 ， 因 为 D D O S 是 一 类 攻 击 而 并 不 是 一 种 攻 击 ， 并 且 D D O S 的 防 御 是 一 个 可 以 做 到 相 对 自 动 化 但 做 不 到 绝 对 自 动 化 的 过 程 ， 很 多 演 进 的 攻 击 方 式 自 动 化 不 一 定 能 识 别 ， 还 是 需 要 进 一 步 的 专 家 肉 眼 判 断 。 网 络 层 攻 击 网 络 层 攻 击 S y n - f l o o d 利 用 T C P 建 立 连 接 时 3 次 握 手 的 “ 漏 洞 ” ， 通 过 原 始 套 接 字 发 送 源 地 址 虚 假 的 S Y N 报 文 ， 使 目 标 主 机 永 远 无 法 完 成 3 次 握 手 ， 占 满 了 系 统 的 协 议 栈 队 列 ， 资 源 得 不 到 释 放 ， 进 而 拒 绝 服 务 ， 是 互 联 网 中 最 主 要 的 D D O S 攻 击 形 式 之 一 。 网 上 有 一 些 加 固 的 方 法 ， 例 如 调 整 内 核 参 数 的 方 法 ， 可 以 减 少 等 待 及 重 试 ， 加 速 资 源 释 放 ， 在 小 流 量 s y n - f l o o d 的 情 况 下 可 以 缓 解 ， 但 流 量 稍 大 时 完 全 不 抵 用 。 防 御 s y n - f l o o d 的 常 见 方 法 有 ： s y n   p r o x y 、 s y n   c o o k i e s 、 首 包 （ 第 一 次 请 求 的 s y n 包 ） 丢 弃 等 。 A C K - f l o o d 对 于 虚 假 的 A C K 包 ， 目 标 设 备 会 直 接 回 复 R S T 包 丢 弃 连 接 ， 所 以 伤 害 值 远 不 如 s y n - f l o o d 。 D D O S 的 一 种 原 始 方 式 。 U D P - f l o o d 使 用 原 始 套 接 字 伪 造 大 量 虚 假 源 地 址 的 U D P 包 ， 目 前 以 D N S 协 议 为 主 。 I C M P - f l o o d P i n g 洪 水 ， 比 较 古 老 的 方 式 。 应 用 层 攻 击 应 用 层 攻 击 C C C h a l l e n g e C o l l a p s a r 的 名 字 源 于 挑 战 国 内 知 名 安 全 厂 商 绿 盟 的 抗 D D O S 设 备 - “ 黑 洞 ” ， 通 过 b o t n e t 的 傀 儡 主 机 或 寻 找 匿 名 代 理 服 务
器 ， 向 目 标 发 起 大 量 真 实 的 h t t p 请 求 ， 最 终 消 耗 掉 大 量 的 并 发 资 源 ， 拖 慢 整 个 网 站 甚 至 彻 底 拒 绝 服 务 。 互 联 网 的 架 构 追 求 扩 展 性 本 质 上 是 为 了 提 高 并 发 能 力 ， 各 种 S Q L 性 能 优 化 措 施 ： 消 除 慢 查 询 、 分 表 分 库 、 索 引 、 优 化 数 据 结 构 、 限 制 搜 索 频 率 等 本 质 都 是 为 了 解 决 资 源 消 耗 。 而 C C 大 有 反 其 道 而 行 之 的 意 味 ， 占 满 服 务 器 并 发 连 接 数 ， 尽 可 能 使 请 求 避 开 缓 存 而 直 接 读 数 据 库 ， 读 数 据 库 要 找 最 消 耗 资 源 的 查 询 ， 最 好 无 法 利 用 索 引 ， 每 个 查 询 都 全 表 扫 描 ， 这 样 就 能 用 最 小 的 攻 击 资 源 起 到 最 大 的 拒 绝 服 务 效 果 。 互 联 网 产 品 和 服 务 依 靠 数 据 分 析 来 驱 动 改 进 和 持 续 运 营 ， 所 以 除 了 前 端 的 A P P 、 中 间 件 和 数 据 库 这 类 O L T P 系 统 ， 后 面 还 有 O L A P ， 从 日 志 收 集 ， 存 储 到 数 据 处 理 和 分 析 的 大 数 据 平 台 。 当 C C 攻 击 发 生 时 ， 不 仅 O L T P 的 部 分 受 到 了 影 响 ， 实 际 上 C C 会 产 生 大 量 日 志 ， 直 接 会 对 后 面 的 O L A P 产 生 影 响 ， 影 响 包 括 两 个 层 面 ， 一 个 当 日 的 数 据 统 计 完 全 是 错 误 的 。 第 二 个 层 面 因 C C 期 间 访 问 日 志 剧 增 也 会 加 大 后 端 数 据 处 理 的 负 担 。 C C 是 目 前 应 用 层 攻 击 的 主 要 手 段 之 一 ， 在 防 御 上 有 一 些 方 法 ， 但 不 能 完 美 解 决 这 个 问 题 。 是 目 前 应 用 层 攻 击 的 主 要 手 段 之 一 ， 在 防 御 上 有 一 些 方 法 ， 但 不 能 完 美 解 决 这 个 问 题 。 D N S   f l o o d 伪 造 源 地 址 的 海 量 D N S 请 求 ， 用 于 是 淹 没 目 标 的 D N S 服 务 器 。 对 于 攻 击 特 定 企 业 权 威 D N S 的 场 景 ， 可 以 将 源 地 址 设 置 为 各 大 I S P   D N S 服 务 器 的 i p 地 址 以 突 破 白 名 单 限 制 ， 将 查 询 的 内 容 改 为 针 对 目 标 企 业 的 域 名 做 随 机 化 处 理 ， 当 查 询 无 法 命 中 缓 存 时 ， 服 务 器 负 载 会 进 一 步 增 大 。 D N S 不 只 在 U D P - 5 3 提 供 服 务 ， 同 样 在 T C P 协 议 提 供 服 务 ， 所 以 防 御 的 一 种 思 路 就 是 将 U D P 的 查 询 强 制 转 为 T C P ， 要 求 溯 源 ， 如 果 是 假 的 源 地 址 ， 就 不 再 回 应 。 对 于 企 业 自 有 权 威 D N S 服 务 器 而 言 ， 正 常 请 求 多 来 自 于 I S P 的 域 名 递 归 解 析 ， 所 以 将 白 名 单 设 置 为 I S P 的 D N S   s e r v e r 列 表 。 对 于 源 地 址 伪 造 成 I S P   D N S 的 请 求 ， 可 以 通 过 T T L 值 进 一 步 判 断 。 慢 速 连 接 攻 击 慢 速 连 接 攻 击 针 对 h t t p 协 议 ， 以 知 名 的 s l o w l o r i s 攻 击 为 起 源 ： 先 建 立 h t t p 连 接 ， 设 置 一 个 较 大 的 c o n t e n t - l e n g t h ， 每 次 只 发 送 很 少 的 字 节 ， 让 服 务 器 一 直 以 为 h t t p 头 部 没 有 传 输 完 成 ， 这 样 的 连 接 一 多 很 快 就 会 出 现 连 接 耗 尽 。 目 前 出 现 了 一 些 变 种 ， h t t p 慢 速 的 p o s t 请 求 和 慢 速 的 r e a d 请 求 都 是 基 于 相 同 的 原 理 。 D O S 攻 击 攻 击 有 些 服 务 器 程 序 存 在 b u g 、 安 全 漏 洞 ， 或 架 构 性 缺 陷 ， 攻 击 者 可 以 通 过 构 造 的 畸 形 请 求 发 送 给 服 务 器 ， 服 务 器 因 不 能 正 确 处 理 恶 意 请 求 而 陷 入 僵 死 状 态 ， 导 致 拒 绝 服 务 。 例 如 某 些 版 本 的 a p p 服 务 器 程 序 存 在 缓 冲 区 溢 出 ， 漏 洞 可 以 触 发 但 无 法 得 到 s h e l l ， 攻 击 者 可 以 改 变 程 序 执 行 流 程 使 其 跳 转 到 空 指 针 或 无 法 处 理 的 地 址 ， 用 户 态 的 错 误 会 导 致 进 程 挂 起 ， 如 果 错 误 不 能 被 内 核 回 收 则 可 能 使 系 统 当 掉 。 这 类 问 题 效 果 也 表 现 为 拒 绝 服 务 ， 但 本 质 上 属 于 漏 洞 ， 可 以 通 过 p a t c h 程 序 的 最 新 版 本 解 决 ， 笔 者 认 为 不 属 于 D D O S 的 范 畴 。 攻 击 方 式 攻 击 方 式 混 合 型 混 合 型 在 实 际 大 流 量 的 攻 击 中 ， 通 常 并 不 是 以 上 述 一 种 数 据 类 型 来 攻 击 ， 往 往 是 混 杂 了 T C P 和 U D P 流 量 ， 网 络 层 和 应 用 层 攻 击 同 时 进 行 。 反 射 型 反 射 型
2 0 0 4 年 时 D R D O S 第 一 次 披 露 ， 通 过 将 S Y N 包 的 源 地 址 设 置 为 目 标 地 址 ， 然 后 向 大 量 的 真 实 T C P 服 务 器 发 送 T C P 的 S Y N 包 ， 而 这 些 收 到 S Y N 包 的 T C P   s e r v e r 为 了 完 成 3 次 握 手 把 S Y N | A C K 包 “ 应 答 ” 给 目 标 地 址 ， 完 成 了 一 次 “ 反 射 ” 攻 击 ， 攻 击 者 隐 藏 了 自 身 . 但 有 个 问 题 是 攻 击 者 制 造 的 流 量 和 目 标 收 到 的 攻 击 流 量 是 1 : 1 ， 且 S Y N | A C K 包 到 达 目 标 后 马 上 被 回 以 R S T 包 ， 整 个 攻 击 的 投 资 回 报 率 不 高 。 反 射 型 攻 击 的 本 质 是 利 用 “ 质 询 - 应 答 ” 式 协 议 ， 将 质 询 包 的 源 地 址 通 过 原 始 套 接 字 伪 造 设 置 为 目 标 地 址 ， 则 应 答 的 “ 回 包 ” 都 被 发 送 至 目 标 ， 如 果 回 包 体 积 比 较 大 或 协 议 支 持 递 归 效 果 ， 攻 击 流 量 会 被 放 大 ， 成 为 一 种 高 性 价 比 的 流 量 型 攻 击 。 反 射 型 攻 击 利 用 的 协 议 目 前 包 括 N T P 、 C h a r g e n 、 S S D P 、 D N S 、 R P C   p o r t m a p 等 等 。 流 量 放 大 型 流 量 放 大 型 以 上 面 提 到 的 D R D O S 中 常 见 的 S S D P 协 议 为 例 ， 攻 击 者 将 S e a r c h   t y p e 设 置 为 A L L ， 搜 索 所 有 可 用 的 设 备 和 服 务 ， 这 种 递 归 效 果 产 生 的 放 大 倍 数 是 非 常 大 的 ， 攻 击 者 只 需 要 以 较 小 的 伪 造 源 地 址 的 查 询 流 量 就 可 以 制 造 出 几 十 甚 至 上 百 倍 的 应 答 流 量 发 送 至 目 标 。 脉 冲 型 脉 冲 型 很 多 攻 击 持 续 的 时 间 非 常 短 ， 通 常 5 分 钟 以 内 ， 流 量 图 上 表 现 为 突 刺 状 的 脉 冲 。
之 所 以 这 样 的 攻 击 流 行 是 因 为 “ 打 - 打 - 停 - 停 ” 的 效 果 最 好 ， 刚 触 发 防 御 阈 值 ， 防 御 机 制 开 始 生 效 攻 击 就 停 了 ， 周 而 复 始 。 蚊 子 不 叮 你 ， 却 在 耳 边 飞 ， 刚 开 灯 想 打 它 就 跑 没 影 了 ， 当 你 刚 关 灯 它 又 来 了 ， 你 就 没 法 睡 觉 。 自 动 化 的 防 御 机 制 大 部 分 都 是 依 靠 设 置 阈 值 来 触 发 。 尽 管 很 多 厂 商 宣 称 自 己 的 防 御 措 施 都 是 秒 级 响 应 ， 但 实 际 上 比 较 难 。 网 络 层 的 攻 击 检 测 通 常 分 为 逐 流 和 逐 包 ， 前 者 根 据 n e t f l o w 以 一 定 的 抽 样 比 例 （ 例 如 1 0 0 0 : 1 ） 检 测 网 络 是 否 存 在 d d o s 攻 击 ， 这 种 方 式 因 为 是 抽 样 比 例 ， 所 以 精 确 度 较 低 ， 做 不 到 秒 级 响 应 。 第 二 种 逐 包 检 测 ， 检 测 精 度 和 响 应 时 间 较 短 ， 但 成 本 比 较 高 ， 一 般 厂 商 都 不 会 无 视 T C O 全 部 部 署 这 类 方 案 。 即 便 是 逐 包 检 测 ， 其 防 御 清 洗 策 略 的 启 动 也 依 赖 于 阈 值 ， 加 上 清 洗 设 备 一 般 情 况 下 不 会 串 联 部 署 ， 触 发 清 洗 后 需 要 引 流 ， 因 此 大 部 分 场 景 可 以 做 秒 级 检 测 但 做 不 到 秒 级 防 御 ， 近 源 清 洗 尚 且 如 此 ， 云 清 洗 的 触 发 和 转 换 过 程 就 更 慢 了 。 所 以 利 用 防 御 规 则 的 生 效 灰 度 期 ， 在 触 发 防 御 前 完 成 攻 击 会 有 不 错 的 效 果 ， 在 结 果 上 就 表 现 为 脉 冲 。 链 路 泛 洪 链 路 泛 洪 随 着 D D O S 攻 击 技 术 的 发 展 ， 又 出 现 了 一 种 新 型 的 攻 击 方 式 l i n k - f l o o d i n g   a t t a c k ， 这 种 方 式 不 直 接 攻 击 目 标 而 是 以 堵 塞 目 标 网 络 的 上 一 级 链 路 为 目 的 。 对 于 使 用 了 i p   a n y c a s t 的 企 业 网 络 来 说 ， 常 规 的 D D O S 攻 击 流 量 会 被 “ 分 摊 ” 到 不 同 地 址 的 基 础 设 施 ， 这 样 能 有 效 缓 解 大 流 量 攻 击 ， 所 以 攻 击 者 发 明 了 一 种 新 方 法 ， 攻 击 至 目 标 网 络 t r a c e r o u t e 的 倒 数 第 二 跳 ， 即 上 联 路 由 ， 致 使 链 路 拥 塞 。 国 内 I S P 目 前 未 开 放 a n y c a s t ， 所 以 这 种 攻 击 方 式 的 必 要 性 有 待 观 望 。
对 一 级 I S P 和 I X P 的 攻 击 都 可 以 使 链 路 拥 塞 。 多 层 防 御 结 构 多 层 防 御 结 构 D D O S 攻 击 本 质 上 是 一 种 只 能 缓 解 而 不 能 完 全 防 御 的 攻 击 ， 它 不 像 漏 洞 那 样 打 个 补 丁 解 决 了 就 是 解 决 了 ， D D O S 就 算 购 买 和 部 署 了 当 前 市 场 上 比 较 有 竞 争 力 的 防 御 解 决 方 案 也 完 全 谈 不 上 彻 底 根 治 。 防 火 墙 、 I P S 、 W A F 这 些 安 全 产 品 都 号 称 自 己 有 一 定 的 抗 D D O S 能 力 ， 而 实 际 上 他 们 只 针 对 小 流 量 下 ， 应 用 层 的 攻 击 比 较 有 效 ， 对 于 稍 大 流 量 的 D D O S 攻 击 则 无 济 于 事 。 以 2 0 1 5 年 年 中 的 情 况 为 例 ， 国 内 的 D D O S 攻 击 在 一 个 月 内 攻 击 流 量 达 到 3 0 0 G 的 就 将 近 1 0 - 2 0 次 ， 这 个 数 值 将 随 着 国 内 家 庭 宽 带 网 速 提 升 而 进 一 步 放 大 。 对 于 2 0 0 ~ 5 0 0 G 的 攻 击 流 量 该 如 何 防 御 ， 下 来 将 展 示 完 整 的 防 御 结 构 ， 通 常 可 以 分 为 4 层 。
这 4 层 不 是 严 格 意 义 上 的 纵 深 防 御 关 系 ， 也 不 是 在 所 有 的 防 御 中 4 层 都 会 参 与 ， 可 能 有 时 候 只 是 其 中 的 2 层 参 与 防 御 。 但 对 于 超 大 流 量 攻 击 而 言 ， 4 层 就 是 防 御 机 制 的 全 部 ， 再 没 有 其 他 手 段 了 。 跟 厂 商 们 的 市 场 宣 传 可 能 有 所 不 同 ， 大 流 量 攻 击 的 防 护 并 不 是 像 某 些 厂 商 宣 称 的 那 样 靠 厂 商 单 方 面 就 能 解 决 的 ， 而 是 多 层 共 同 参 与 防 御 的 结 果 。 I S P / W A N 层 层 这 一 层 通 常 对 最 终 用 户 不 可 见 ， 如 果 只 是 中 小 企 业 ， 那 这 一 层 可 能 真 的 不 会 接 触 到 。 但 如 果 是 大 型 互 联 网 公 司 ， 公 有 云 厂 商 ， 甚 至 是 云 清 洗 厂 商 ， 这 层 是 必 不 可 少 的 。 因 为 当 流 量 超 过 自 己 能 处 理 的 极 限 时 必 须 要 借 助 电 信 运 营 商 的 能 力 。 大 型 互 联 网 公 司 虽 然 自 身 储 备 的 带 宽 比 较 大 ， 但 还 没 到 达 轻 松 抵 抗 大 流 量 D D O S 的 程 度 ， 毕 竟 带 宽 是 所 有 I D C 成 本 中 最 贵 的 资 源 没 有 之 一 。 目 前 无 论 是 云 计 算 厂 商 ， 大 型 互 联 网 公 司 向 外 宣 称 的 成 功 抵 御 2 0 0 G 以 上 攻 击 的 新 闻 背 后 都 用 到 了 运 营 商 的 抗 D 能 力 。 另 外 像 第 三 方 的 云 清 洗 平 台 他 们 实 际 上 或 多 或 少 的 依 赖 电 信 运 营 商 ， 如 果 只 依 靠 本 身 的 清 洗 能 力 ， 都 是 非 常 有 限 的 。
目 前 如 中 国 电 信 的 专 门 做 抗 D D O S 的 云 堤 提 供 了 [ 近 源 清 洗 ] 和 [ 流 量 压 制 ] 的 服 务 ， 对 于 购 买 其 服 务 的 厂 商 来 说 可 以 自 定 义 需 要 黑 洞 路 由 的 I P 与 电 信 的 设 备 联 动 ， 黑 洞 路 由 是 一 种 简 单 粗 暴 的 方 法 ， 除 了 攻 击 流 量 ， 部 分 真 实 用 户 的 访 问 也 会 被 一 起 黑 洞 掉 ， 对 用 户 体 验 是 一 种 打 折 扣 的 行 为 ， 本 质 上 属 于 为 了 保 障 留 给 其 余 用 户 的 链 路 带 宽 的 弃 卒 保 帅 的 做 法 。 之 所 以 还 会 有 这 种 收 费 服 务 是 因 为 假 如 不 这 么 做 ， 全 站 服 务 会 对 所 有 用 户 彻 底 无 法 访 问 。 对 于 云 清 洗 厂 商 而 言 ， 实 际 上 也 需 要 借 助 黑 洞 路 由 与 电 信 联 动 。 相 比 之 下 ， 对 攻 击 流 量 的 牵 引 ， 清 洗 ， 回 注 的 防 御 方 式 对 用 户 体 验 的 挑 战 没 那 么 大 ， 但 是 跟 黑 洞 路 由 比 防 御 方 的 成 本 比 较 高 ， 且 触 发 到 响 应 的 延 时 较 大 。 在 运 营 商 防 御 这 一 层 的 主 要 的 参 与 者 是 大 型 互 联 网 公 司 ， 公 有 云 厂 商 ， 云 清 洗 厂 商 ， 其 最 大 的 意 义 在 于 应 对 超 过 自 身 带 宽 储 备 和 自 身 D D O S 防 御 能 力 之 外 的 超 大 攻 击 流 量 时 作 为 补 充 性 的 缓 解 措 施 。 C D N / I n t e r n e t 层 层
C D N 并 不 是 一 种 抗 D D O S 的 产 品 ， 但 对 于 w e b 类 服 务 而 言 ， 他 却 正 好 有 一 定 的 抗 D D O S 能 力 ， 以 大 型 电 商 的 抢 购 为 例 ， 这 个 访 问 量 非 常 大 ， 从 很 多 指 标 上 看 不 亚 于 D D O S 的 C C ， 而 在 平 台 侧 实 际 上 在 C D N 层 面 用 验 证 码 过 滤 了 绝 大 多 数 请 求 ， 最 后 到 达 数 据 库 的 请 求 只 占 整 体 请 求 量 的 很 小 一 部 分 。 对 h t t p   C C 类 型 的 D D O S ， 不 会 直 接 到 源 站 ， C D N 会 先 通 过 自 身 的 带 宽 硬 抗 ， 抗 不 了 的 或 者 穿 透 C D N 的 动 态 请 求 会 到 源 站 ， 如 果 源 站 前 端 的 抗 D D O S 能 力 或 者 源 站 前 的 带 宽 比 较 有 限 ， 就 会 被 彻 底 D D O S 。 云 清 洗 厂 商 提 出 的 策 略 是 ， 预 先 设 置 好 网 站 的 C N A M E ， 将 域 名 指 向 云 清 洗 厂 商 的 D N S 服 务 器 ， 在 一 般 情 况 下 ， 云 清 洗 厂 商 的 D N S 仍 将 穿 透 C D N 的 回 源 的 请 求 指 向 源 站 ， 在 检 测 到 攻 击 发 生 时 ， 域 名 指 向 自 己 的 清 洗 集 群 ， 然 后 再 将 清 洗 后 的 流 量 回 源 。 检 测 方 式 主 要 是 在 客 户 网 站 前 部 署 反 向 代 理 （ n g i n x ） ， 托 管 所 有 的 并 发 连 接 。 在 对 攻 击 流 量 进 行 分 流 的 时 候 ， 准 备 好 一 个 域 名 到 I P 的 地 址 池 ， 当 I P 被 攻 击 时 封 禁 并 启 用 地 址 池 中 的 下 一 个 I P ， 如 此 往 复 。 以 上 是 类 C l o u d f l a r e 的 解 决 方 案 ， 国 内 云 清 洗 厂 商 的 实 现 原 理 都 相 似 。 不 过 这 类 方 案 都 有 一 个 通 病 ， 由 于 国 内 环 境 不 支 持 a n y c a s t ， 通 过 D N S 引 流 的 方 式 需 要 比 较 长 的 生 效 时 间 ， 这 个 时 间 依 赖 于 D N S 递 归 生 效 的 时 长 ， 对 自 身 完 全 不 可 控 。 同 时 C D N 仅 对 w e b 类 服 务 有 效 ， 对 游 戏 类 T C P 直 连 的 服 务 无 效 。 网 上 很 多 使 用 此 类 抗 D 服 务 的 过 程 可 以 概 括 为 一 句 话 ： 更 改 C N A M E 指 向 ， 等 待 D N S 递 归 生 效 。 D C 层 层 D a t a c e n t e r 这 一 层 的 D D O S 防 御 属 于 近 目 的 清 洗 ， 就 是 在 D C 出 口 的 地 方 部 署 A D S 设 备 。 目 前 国 内 厂 商 华 为 的 A n t i - d d o s 产 品 的 最 高 型 号 支 持 T 级 高 达 1 4 4 0 G b p s 带 宽 的 防 护 。 原 理 大 致 如 下 图 所 示 ， 在 D C 出 口 以 镜 像 或 分 光 部 署 D D O S 探 针 （ 检 测 设 备 ） ， 当 检 测 到 攻 击 发 生 时 ， 将 流 量 牵 引 到 旁 路 部 署 的 D D O S 清 洗 设 备 ， 再 将 经 过 清 洗 的 正 常 流 量 回 注 到 业 务 主 机 ， 以 此 完 成 一 轮 闭 环 。
部 署 设 备 本 身 并 没 有 太 大 的 技 术 含 量 ， 有 技 术 含 量 的 部 分 都 已 经 被 当 做 防 御 算 法 封 装 在 产 品 盒 子 里 了 。 不 过 要 指 出 的 一 点 是 ， 目 前 市 场 上 的 A D S 盒 子 既 有 的 算 法 和 学 习 能 力 是 有 限 的 ， 他 仍 然 需 要 人 的 介 入 ， 比 如 ： ·   对 业 务 流 量 基 线 的 自 适 应 学 习 能 力 是 有 限 的 ， 例 如 电 商 行 业 双 1 1 大 促 日 子 的 流 量 模 型 可 能 就 超 越 了 A D S 的 学 习 能 力 ， 正 常 流 量 已 经 触 发 攻 击 判 定 ； ·   自 动 化 触 发 机 制 建 立 在 阈 值 之 上 ， 就 意 味 着 不 是 完 全 的 自 动 化 ， 因 为 阈 值 是 一 个 经 验 和 业 务 场 景 相 关 的 值 ； ·   全 局 策 略 是 通 用 性 策 略 ， 不 能 对 每 一 个 子 业 务 起 到 很 好 的 防 御 效 果 ， 有 可 能 子 业 务 已 经 被 D 了 ， 全 局 策 略 还 没 触 发 ； ·   常 见 的 D D O S 类 型 A D S 可 以 自 动 处 理 ， 但 变 换 形 式 的 D D O S 类 型 可 能 还 需 要 人 工 识 别 ； ·   默 认 的 模 板 策 略 可 能 不 适 用 于 某 些 业 务 ， 需 要 自 定 义 。 D D O S 防 御 除 了 整 体 架 构 设 计 外 ， 比 较 需 要 专 业 技 能 的 地 方 就 是 在 上 述 例 子 的 场 景 中 。 目 前 在 A D S 设 备 里 覆 盖 了 3 - 4 、 7 这 三 层 的 解 决 方 案 。
一 般 情 况 下 A D S 设 备 可 以 缓 解 大 部 分 常 见 的 D D O S 攻 击 类 型 ， 相 对 而 言 3 - 4 层 的 攻 击 手 法 比 较 固 定 ， 而 7 层 的 攻 击 ， 由 于 涉 及 的 协 议 较 多 ， 手 法 变 化 层 出 不 穷 ， 所 以 A D S 有 时 候 对 7 层 的 防 护 做 不 到 面 面 俱 到 ， 比 如 对 C C ， A D S 提 供 了 h t t p   3 0 2 ， 验 证 码 等 ， 但 还 是 不 能 很 好 的 解 决 这 个 问 题 。 应 用 层 的 防 护 需 要 结 合 业 务 来 做 ， A D S 则 在 能 利 用 的 场 景 下 承 担 辅 助 角 色 ， 比 如 对 于 游 戏 封 包 的 私 有 协 议 ， 通 过 给 p a c k e t 添 加 指 纹 的 方 式 ， A D S 在 客 户 端 和 服 务 端 中 间 鉴 别 流 入 的 数 据 包 是 否 包 含 指 纹 。 O S / A P P 层 层 这 是 D D O S 的 最 后 一 道 防 线 。 这 一 层 的 意 义 主 要 在 于 漏 过 A D S 设 备 的 流 量 做 最 后 一 次 过 滤 和 缓 解 ， 对 A D S 防 护 不 了 的 应 用 层 协 议 做 补 充 防 护 。 比 如 N T P 反 射 ， 可 以 通 过 服 务 器 配 置 禁 用 m o n l i s t ， 如 果 不 提 供 基 于 U D P 的 服 务 ， 可 以 在 边 界 上 直 接 阻 断 U D P 协 议 。 互 联 网 在 线 服 务 中 最 大 的 比 重 就 是 w e b 服 务 ， 因 此 有 些 互 联 网 公 司 喜 欢 自 己 在 系 统 层 面 去 做 应 用 层 的 D D O S 防 护 ， 例 如 对 抗 C C ， 有 时 这 些 功 能 也 能 顺 带 关 联 到 业 务 安 全 上 ， 比 如 针 对 黄 牛 抢 单 等 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理