DDOS防护（共4篇）
DDOS防护 篇1
摘要：DDoS攻击仍旧是现在网络上主要的一类攻击手段, 并且呈现上升趋势。本文先介绍了DDOS攻击的现状, 然后对大流量冲击型和应用层资源消耗型这两种主要的攻击方式做了分析, 然后提出了通过合理配置、防火墙、基于流量模型自学习的攻击检测方法和基于云计算服务等实现DDOS攻击防护。
0 引言
Incapsula公司今年发表了一篇有关DDoS (分布式拒绝服务) 攻击的趋势分析文章, 称2014年DDoS攻击正呈现出更大、更快、更强、更聪明的趋势。他们发现, 2014年以来DDoS攻击呈现出了快速飙升的势头, 与去年同期相比, 今年的DDoS攻击行为增加了240%。
1 当前DDOS的现状
现阶段的DDOS攻击呈现出了下面两个特点:
(1) 攻击活跃。结合各方统计数据可以看出, 现阶段的DDOS攻击活动还处在一个高发期, 无论是在持续增长的大小、速度、持续时间和复杂性上, 都有了比较明显的增长。一方面, 低技术门槛的特点使得DDOS攻击变成了一种简单高效、极易实施的行为;另一方面, 大量的缺乏安全措施的终端/服务器, 也为DDOS的攻击提供了数量可观的僵尸资源, 使得发动攻击成为可能。
(2) 攻击目标对象清晰, 攻击目的明确。数据中心一直是DDoS攻击的重灾区。在数据中心, 排名前三的被攻击业务分别为电子商务、在线游戏、DNS服务。尤其是针对DNS服务的攻击影响面最广, 对互联网基础架构所造成的威胁也最严重。政治上的恶意动机、对手之间的恶意竞争、敲诈勒索等经济犯罪, 是黑客发起DDOS的主要目的。
2 DDOS的主要攻击方式分析
2.1 大流量冲击型
大流量攻击一方面使得基础网络的出口拥塞、带宽被占满, 正常的业务流量无法得到带宽保证, 另一方面基础网络的安全设备、服务器主机等设备也因为过量的负载导致CPU繁忙甚至挂死, 整个网络可能瘫痪并无法继续对外提供服务, 主要的攻击形式如下所述。
2.1.1 以 SYN Flood 为代表的有状态协议报文攻击
SYN Flood攻击是目前使用最为广泛的攻击方式, 它充分利用了TCP协议三次握手机制的特点, 伪造大量的源IP和端口的SYN报文, 在向服务器端发送第一个SYN报文后, 不再继续发送后续响应报文, 导致服务器端在发送SYN+ACK的响应报文后, 因为收不到响应报文而长时间的保持TCP连接, 最终导致服务器因为存在大量的半连接而资源耗尽而造成拒绝服务, 通过对僵尸网络大量“肉鸡”主机的控制很容易形成大规模的SYN Flood攻击。
除了传统的SYN报文攻击之外, 攻击者还可以在这个基础上进行变形形成新的类似攻击, 例如使用ACK报文进行Flood攻击、构造超长字节数目的攻击报文、修改TCP头的TCP标志位使得协议状态机混乱的攻击、短时间内大量建立完整TCP连接使得应用程序的TCP并发连接数达到极限值从而造成拒绝服务, 这是目前使用比较多的攻击方式
2.1.2 以 UDP/ICMP Flood 为代表的无状态协议报文攻击
基于UDP协议的DDOS比较简单易行。黑客只需要伪造大量IP地址和小字节的UDP报文, 针对特定的应用服务器及其端口号, 连续大量发包冲击诸如DNS域名解析服务器、Radius认证服务器及流媒体视频服务器等。这些攻击报文将导致目标服务器始终处在繁忙状态, 从而影响正常UDP消息的处理。其他诸如ICMP Flood攻击, 其原理也和UDP比较类似。
2.2 应用层资源消耗型
应用层攻击不是依靠超大规模的流量取胜, 其主要是通过模拟用户发送请求, 对特定的应用或服务的资源进行消耗占用, 利用较小的流量攻击就可以耗尽应用层资源并拒绝提供服务, 这其中以HTTP GET和DNS Query为典型代表。
2.2.1 HTTP GET 攻击
作为CC (Challenge Collapsar) 攻击的一种主要表现形式, HTTP GET的攻击目前比较流行。攻击者可能通过单主机构造多个IP地址或者通过控制的大量的僵尸主机, 在和服务器建立正常的TCP连接, 之后不断的向目标服务器特定页面发起HTTP GET请求来达到拒绝服务攻击的目的.
2.2.2 DNS 查询的泛洪攻击
黑客通过利用僵尸网络 (或模拟大量IP地址) 基于真实DNS协议发起大量DNS Query域名查询请求, 导致DNS服务器资源被大量消耗, 网络带宽被占用耗尽, 使得无法传送正常DNS查询请求;或者发送大量非法域名查询报文引起DNS服务器持续进行迭代查询, 从而达到用小流量实现攻击的效果, 比如5.19安全事件, 暴风影音的DNS攻击事件。
3 DDOS攻击的主要防护方式分析
考虑到DDOS攻击的多样性, 现阶段没有办法完全杜绝这种攻击行为的发生, 但是我们可以做到减少被DDOS攻击, 在遭受DDOS攻击之后快速恢复业务。接下来将从四个方面进行分析。
3.1 网络安全管理员通过合理的配置实现攻击预防
在运维管理过程中, 网络安全管理员除了调整WEB服务器负载, 做好业务之间的冗余备份和负载均衡外, 还可以关注以下几个方面的配置调整, 以减少被攻击的风险。
确保所有服务器采用最新系统, 并打上安全补丁, 避免服务器本身的安全漏洞被黑客控制和利用。同时关闭不需要使用的服务和端口, 禁止使用网络访问程序如Telnet、FTP、Rlogin等, 必要的话使用类似SSH等加密访问程序, 避免这些端口被攻击者利用。
建设完整的安全日志跟踪系统, 在网络的边缘出口运行端口映射程序或端口扫描程序, 实时监控网络中可能存在的恶意端口扫描等行为, 同时对网络设备、主机/服务器系统的日志进行收集分析, 及时发现可能存在异常的日志行为并进行排查。
3.2 利用防火墙等设备实现DDOS攻击检测
目前的状态检测防火墙等安全设备都具备一定的安全攻击检测能力, 一般其情况下基于对协议报文的状态跟踪, 可以准确发现一些畸形TCP协议报文的攻击。除此之外, 现阶段的典型攻击检测方式还有以下几种。
使能TCP Proxy连接代理技术。防火墙产品可以利用TCPProxy代理功能, 实现对攻击报文的准确识别。通过这种代理技术可以准确的识别基于TCP连接状态的攻击报文, 如针对SYN Flood攻击, TCP半连接状态攻击等。
智能会话管理技术。TCP连接并发的攻击, 因为其本身有完整的TCP三次握手, 因此常规的TCP代理技术并不能有效检测。为了避免这种情况, 防火墙产品可以在TCP代理的基础上进一步改进, 在TCP连接建立后, 防火墙会主动检测该TCP连接的流量大小, 如果设备存在大量的没有流量的空连接, 则设备会主动将该TCP连接进行老化, 避免这些空连接占用耗尽服务器的会话资源。
HTTP两次重定向技术。在接受到HTTP Get请求之前, 安全设备会与客户端浏览器进行虚拟连接, 待浏览器发送HTTPGet报文请求后, 将所要GET的URL进行重定向发向该浏览器, 等待浏览器发起对该重定向链接的访问。如果浏览器再次发起该请求, 则将该客户端加入到信任的IP列表, 并再次重定向到浏览器所要请求的正确URL, 后续可以根据该IP地址黑白名单信誉列表转发。
3.3 基于流量模型自学习的攻击检测方法
对于部分缺乏状态的协议报文攻击, 因攻击报文属于正常报文, 很难以通用的检测技术判断是否是攻击报文, 此时可以通过流量自学习模型可以较好的解决这个问题。
在用户的自定义学习周期中, 系统将获取用户在这个时间段内的流量分布情况, 形成包含L4-L7层信息的流量模型。其参数包括但不限于:带宽占用情况、L4层协议端口的流量分布统计、应用层协议的种类及带宽分布、TCP报文带宽速率、会话连接数目及每秒新建速率参数、ICMP/UDP报文的速率、HTTP协议的带宽大小等, 然后形成符合用户流量实际的比对模型, 并作为后续判断网络中是否存在异常流量的标准。流量模型确立后, 系统可以实时监控网络的流量并与模型进行比对, 一旦超出模型标准一定的比例将被定义为异常流量, 此时系统将生成动态过滤规则对网络流量进行过滤和验证, 如验证源IP地址的合法性、对异常的流量进行丢弃, 从而实现对DDOS攻击的防御。
3.4 基于云计算服务实现DDOS攻击防护
在实际的DDOS攻击防护过程中, 面对万兆以上超大规模的攻击流量, 攻击对象的出口带宽可能被完全拥塞, 此时企业内部的DDOS检测和防护措施已经无法解决问题, 租用高性能的运营商的云计算DDOS服务成为现实的选择。云计算服务商的主要优势是其超高的攻击检测性能和城域网内部就地清除攻击报文的能力。另外除了上述提到的一些攻击检测方式外, 云计算服务商还可以充分利用云安全检测机制来识别攻击。比较典型的有基于IP信誉和恶意URL地址库的识别机制。对于恶意的IP地址和和恶意URL链接访问流量直接拦截丢弃, 最大限度提升防护效率。
利用云计算服务商实现DDOS攻击防护的工作流程如下:首先, 通过引流技术将需要分析攻击的用户流量引导到DDOS攻击检测平台, 再综合利用检测平台的各种技术最终实现对用户流量的攻击检测;其次, 当攻击检测平台探测到疑似异常攻击流量后, 将用户的疑似攻击流量自动牵引到服务商的流量清洗中心进行恶意流量清除;最后, 攻击清除后的合法流量回注到原有网络, 并上报清洗日志到业务管理中心生成各种攻击报告, 以便提供给云计算DDOS服务的租户审计。
4 结束语
互联网业务和云计算的发展热潮, 将会导致针对云数据中心的DDoS攻击频率大幅增长, 攻击手段也会更加复杂;同时随着全球LTE建设步伐的加快, 移动网络带宽迅速提升, 移动智能终端和应用的不断丰富, 黑客将会在移动互联网嗅到更多的利益引诱, 并可能开始尝试发起DDOS攻击;运营商和云计算服务商需要更多的关注DDOS的攻击危害, 综合多种安全防护手段, 并通过云计算服务DDOS服务租用的方式进行布局。
参考文献
[1]王雪玉.新一波DDOS来袭.金融科技时代, 2013.3.
[2]余双成.DDoS攻击检测技术研究.北京邮电大学硕士论文, 2013.
[3]Mims, Christopher.The Huge DDoS Attack That's Clogging Up the Whole Internet--Right.Now National Journal, 2013.
DDOS防护 篇2
阻击恶意攻击
近日, 长沙警方与香港警方联手侦破了一伙黑客团伙利用DDoS攻击敲诈勒索香港14家金融业公司的案件。
“如果攻击成功, 损失可能不止几百万, 而是上亿甚至更多”。Arbor公司中国区域经理蔡志刚表示。
蔡志刚表示, 目前DDoS攻击频率以每年30%的速度递增, 并且, 一个初中文化的年轻人就可以轻易发起超大规模攻击, 因此急需对DDoS攻击进行防护。
Arbor公司提出了有效的流量清洗解决方案。通过与运营商合作, 在云端部署流量清洗中心Peakflow SP平台, 在面临数据量增长至占满全部带宽的时候启用清洗中心, 过滤恶意流量, 从而有效保证正常流量可以正确地被业务数据中心接收并处理。
应对应用层攻击
相比流量式攻击, 应用层DDoS攻击更加难以防范。Arbor公司针对这类攻击也制定了对应的解决方案, 并提供Pravail APS (可用性保护系统) 防护此类威胁。它是一套可独立使用的清洗解决方案, 包括检测、清洗, 可集中保护企业周边免遭可用性攻击—尤其是能防止应用层DDOS攻击。
DDOS防护 篇3
1.1 运营商网络面临的DDOS攻击威胁
当前, 运营商骨干网和各地市城域网, 宽带用户多、网络结构复杂、业务流量大, DDOS攻击导致的网络安全问题时有发生, 导致IP网络整体服务质量下降, 已经严重威胁到运营商IP网络的正常业务;当3G商用, 智能化终端和宽带化3G网络与互联网接轨, 无线网络也将面对诸多互联网安全问题, 这将会使缺乏固网DDOS防范经验的电信运营商面临巨大挑战。
1.2 电信运营商对DDOS攻击防护需求
目前各大电信运营商只部署有过滤垃圾短信这种传统无线业务的网关设备, 尚未对3G移动互联网的到来做好骨干流量和城域网流量管控、清洗方面的准备, 运营商急需使用高效、成熟DDOS防御产品, 能够实现对DDOS攻击安全防护的高端网络安全产品市场需求空间巨大, 主要表现在如下方面:
(1) 应用于全国各省、市级电信运营商IDC、增值业务部。
(2) 应用于移动、联通等移动运营商的3G网络接入, 为3G网络拒绝服务攻击防御提供可靠的防御工具。
(3) 应用于大型企业及大型网络服务商, 这些企业通常涉及跨区域的网络通信及网上业务。
2、主要厂家拒绝服务攻击防御产品介绍
2.1 主流厂家产品简介
2.1.1 JUNIPER NetScreen-5000系列
Juniper主推一体化模块式解决方案, 路由器、业务部署系统 (SDX) 和入侵检测与防护 (IDP) 产品结合在一起。
2.1.2 Nokia SC6600信息安全网关
SC6600安装简易, 管理方便。采用包括多重扫毒技术、宏摘除、层次式过滤的复合防护 (Statistical ProtectionTM) 技术, 采用专用安全操作系统。
2.1.3 CISCO Guard XT
采用分布部署方式, 多级检测采用集成式动态过滤和主动核查、“杀手”技术等多种检测技术, 支持独特的集群体系结构, 多级监控和报告。
2.1.4 绿盟Defender4000
作为异常流量清洗设备, 与监测中心、监控管理中心共同构建异常流量净化系统。采用了多个并行的专业高性能网络处理器, 高效处理DDOS攻击, 通过集群部署, 可以轻松应对10G+海量拒绝服务攻击。
2.2 华通产品说明
中华通信系统有限责任公司研发的基于ISP网络的分布式拒绝服务攻击防御系统 (ChinaComm IDPS100) 为软硬件结合产品, 产品包括流量检测组件和流量牵引清洗组件, 根据ISP网络应用需求和网络规模, 系统可部署为流量检测设备或检测清洗一体化设备。产品能够实现电信级ISP网络的流量采集和流量分析, 具有ISP网络异常流量与拒绝服务攻击检测告警、网络异常流量与拒绝服务攻击流量牵引、清洗防御、各类流量报表、系统安全日志审计、系统安全管理控制等主要的功能。本产品属于分布式设计模式, 即系统是由探测器设备和流量牵引设备共同组成的防御系统。系统的流量探测器在旁路方式外还提供串联接入方式, 具备入侵检测、防火墙、流量监控功能, 流量牵引设备支持集群工作方式。
3、华通产品 (ChinaComm IDPS100) 技术性能
3.1 产品功能特点
3.1.1 流量探测器功能特点
(1) 采用双子系统架构。为防止过大流量对系统的冲击造成系统超载、运行缓慢甚至当机, 系统采用独创的双子系统架构。该架构将入侵检测模块和流量侦测模块分为两个完全独立的系统, 通过总线相连, 在互不影响的同时又能够保证信息的共享及功能联动。
(2) 采用针对拒绝服务攻击特别优化的入侵检测模块。入侵检测模块采用中华通信自主研发的针对DDOS攻击的入侵监测模块。能够对流量进行深层检测。能够发现并抵御多数DoS攻击、以及蠕虫、木马等恶意代码, 并对流量侦测模块提交的可疑流量进行检测, 进一步判断是否为攻击流量。
(3) 采用先进的检测算法。流量探测器采用中华通信自主开发的基于自相似性模型的动态异常流量监测算法, 能够在DDOS攻击的初始阶段甄别攻击。
3.1.2 流量牵引器功能特点
(1) 高速的攻击处理能力。流量牵引器接入运营商骨干网络, 系统能够有效鉴别攻击流量和正常流量, 对异常攻击流量进行清洗, 有效保证用户正常业务流量的传输。该流量牵引设备支持集群工作模式, 通过集群化部署可以有效地提高系统的处理能力, 使系统能够满足大型ISP网络的需要。
(2) 高效的软硬件平台。在硬件方面, 流量牵引器采用了嵌入式系统设计, 在系统核心实现拒绝服务攻击的防御算法, 并且创造性地将算法实现在网络协议栈的最底层, 完全避免了TCP、UDP和IP等高层系统网络堆栈的处理, 将整个运算代价大大降低, 大大提高了运算速率。
3.2 产品技术创新
3.2.1 实现基于自相似性模型的动态异常流量监测
自相似性 (self-similarity) 是指一个随机过程在各个时间规模上具有相同的统计特性。系统在进入防护DDOS攻击之前, 要对网络中正常的流量进行相应的记录, 用以检测攻击的存在, 尤其对DDOS攻击所利用的报文进行检测和分析。系统分别对各个协议的流量 (或连接数) 最大的IP地址 (源IP和目的IP) 的流量 (或连接数) 进行记录。而通常不同时间段网络流量也相差很大, 简单的计算平均流量无法做快速可靠地发现攻击。因此需要按照时间段的不同对流量生成表项。通过大量测试分析在表项细度和系统性能之间找到一个平衡点。
3.2.2 扫描检测算法
扫描检测模块采用一个基于贝叶斯网络进行TCP包头异常分析的扫描检测方法 (PSDB) 。贝叶斯网络模块学习TCP报文到达每个目的主机和相应目的端口的概率。PSDB使用贝叶斯网络来学习保存被检测子网内主机端口的概率分布。然后概率异常检测操作依据TCP Flag和报文到达的概率计算每个报文的异常度, 并针对个别协议本身的特点对异常值计算进行修正, 将判别为异常报文的信息发送到分析模块。
3.3 产品应用
本产品通常布置于运营商网络中高带宽节点, 如核心交换机等高速转发设备, 通常采用网关接入模式或路接入模式。在大型网络应用时, 可采用牵引器集群工作方式, 可通过部署牵引器集群增强系统处理能力及可靠性。
4、结语
随着我国信息化的快速发展, 各行业对提高整体信息系统的安全防护水平和保障能力提出了更高的要求, 对信息安全技术和产品的需求越来越大。基于ISP网络的拒绝服务攻击防御系统产品的投放市场, 能够填补运营商急需使用高效、成熟DD OS防御产品的需求空间;可以极大地提高电信运营商、ISP、政府的整体网络DDOS防御能力。
系统创新的技术实现模式可以为用户提供更优化的DDOS防御解决方案, 通过建设更安全的DDOS防御系统, 用户可有效降低大规模DDOS类攻击所带来的社会和经济风险, 为我国经济高速发展提供安全的网络环境。
参考文献
[1]李德全《.拒绝服务攻击》.北京:电子工业出版社, 2007年1月.
[2]阳莉《.电信网络分析与设计》.西安:西安电子科技大学出版, 2008年1月.
[3]郝永清《.网络安全攻防实用技术深度案例分析》.北京:科学出版社, 2010年1月.
[4]加拿大.克劳斯《.网络安全保护》.北京:科学出版社, 2009年3月.
[5]孙玉《.电信网络安全总体防卫讨论》.北京:人民邮电出版社, 2008年8月.
[6]Steve Manzuik《.网络安全评估:从漏洞到补丁》.北京:科学出版社, 2009年1月.
[7]王秀利《.网络拥塞控制及拒绝服务攻击防范》.北京:北京邮电大学出版社, 2009年6月.
DDOS防护 篇4
A:Arbor全球高级副总裁Tony King
随着信息通信技术的快速发展, 针对在线网络的攻防战在不断升级。同时不同国家之间的网络攻击也呈现出愈演愈烈的局面, 其中包括了美国、中国、以色列、韩国等大多数国家在内。在当前的网络环境下, 网络安全产业的发展也出现了一些新的变化。近日Arbor全球高级副总裁Tony King与《通信世界》分享了Arbor在该领域的观点。
Q:您如何看待现阶段全球网络攻击的特点?
A:Arbor做过数据统计, 2012年, 大部分的网络攻击持续时间都不足一小时, 同时来自全球的网络攻击中, 从中国发出的攻击占21%, 显而易见, 80%是其他国家发动的攻击。而其他国家发动的攻击, 第一个针对的国家就是中国, 被攻击的目标51%都是中国。
从网络安全攻击的手段来看, IDC成为被攻击的主要目标.网络攻击的最大动机主要体现在政治意见和思想主义, 其中有近三分之一的攻击动机来源于此, 尤其是对于美国、中国这两个全球最大的经济体而言。
DDo S的攻击成为主要的攻击手段, 同时还不断深化变种, 如APT (高级持续性威胁) 攻击时较为隐蔽, 且悄悄进行。除此之外, 通过社交网络向用户的企业网中渗透, 网络攻击也成为一个重要趋势。
Q:一直以来, DDo S的攻击尺度较为平缓, 而今年一场针对欧洲反垃圾邮件组织的大型DDo S攻击又再次将DDo S的防护提升到一个新的高度。其主要呈现出了哪些典型特征?
A:此次攻击实际上是一种情绪的宣泄, 属于超大流量的攻击。目前一般的IDC带宽在2~10G左右, 而从亚太区所看到的平均攻击, 其流量已经达到了60~80G的水平, 远超出现有IDC的负载能力。此次DDo S攻击的最大流量甚至已经达到了300G, 而此后更大的流量攻击将会出现在各个国家。
DDo S的攻击模式已经向多样化发展, 更大流量、更精准将是其发展的最主要方向。在这一背景下, 基于IDC的安全防护也在日趋复杂化。
Q:DDo S攻击的主要影响体现在哪些层面, 该如何应对?
A:目前的DDo S威胁较为复杂的原因在于大容量攻击和复杂应用层威胁。为了有效地解决目前遭受的攻击以及保护服务可用性, 企业组织需要分层的DDo S防御。企业组织必须具有网络边界解决
DDo S的攻击模式已经向多样化发展, 更大流量、更精准将是其发展的最主要方向。在这一背景下, 基于IDC的安全防护也在日趋复杂化。
Tony King
Arbor全球高级副总裁
方案来积极地处理隐秘、复杂的应用层威胁;同时, 他们还需要利用一个基于云的服务提供商提供DDo S保护服务, 以缓解较大的攻击压力, 避免其互联网连接超出负荷。理想的情况是这两个组件一起工作并提供完整、集成、自动化的保护系统, 从而使其免受DDo S威胁的影响。
Q:新的网络安全环境下, 存在哪些产业机遇?
A:这里要特别强调就是安全托管服务这个领域。在攻击威胁的作用下, 安全托管也受到更多的重视。从中国市场来看, 安全托管的发展时间不长, 中国电信、中国联通是最早做安全托管的国内企业。但是总的来看, 时间都不长。但是现在看来, 发展形势不断向好。
从企业客户的角度, 越来越多的企业客户需要这种安全托管服务, 而且他们需要的服务现在已经不仅仅是抵挡传统的大流量攻击, 甚至需要应对低带宽应用层的攻击。
Q:针对DDo S市场的发展变化, Arbor有哪些应对策略?
A:来自第三方的调查显示, 截至去年6月份, Arbor占据全球DDo S安全市场56%的市场份额。同时, Arbor与全球90%以上的运营商、企业客户、银行、政府等保持良好的合作伙伴关系。为了有效应对DDo S的攻击, Arbor正在整合攻击源头、攻击中游、攻击下游整个体系, 从而最有效地进行DDo S防护。
Arbor现已推出了主动式防护的解决方案以应对DDo S攻击, 它的主要优势在于实时更新特征库, 甚至通过清洗来更新, 也就意味着在美国发生的DDo S攻击, 将不会在中国重演。