新網絡環境下應用層DDoS攻擊的剖析與防御
應用層DDoS攻擊分析
1.Net-DDoS攻擊與App-DDoS攻擊
按攻擊所針對的網絡層次可以把DDoS攻擊分為：網絡層DDoS（Net-DDoS）攻擊和App-DDoS攻擊。Net-DDoS攻擊主要是利用了現有低層（包括IP層和TCP層）協議的漏洞來發動攻擊。典型的攻擊方式是：使用偽造IP地址的攻擊節點向目標主機發送大量攻擊分組（TCP、ICMP、UDP等分組），利用TCP的三次握手機制使目標服務器為維護一個非常大的半開放連接列表而消耗非常多的CPU和內存資源，最終因為堆棧溢出而導致系統崩潰無法為正常用戶提供服務。
App-DDoS攻擊雖然還是利用洪水式的攻擊方法，但與Net-DDoS攻擊不同的是它利用了高層協議，例如HTTP。由于高層協議的多樣性與復雜性，App-DDoS攻擊很難被檢測到，而且高層協議通常具有較強的功能，可以實現多種復雜的功能，因此App-DDoS攻擊所產生的破壞力遠大于傳統的Net-DDoS攻擊。App-DDoS攻擊有以下兩種攻擊方式：帶寬耗盡型和主機資源耗盡型。帶寬耗盡型（例如HTTPFlooding）的目標是通過大量合法的HTTP請求占用目標網絡的帶寬，使正常用戶無法進行Web訪問。攻擊的具體實現可以有多種不同的方式。攻擊者可以通過單線程或多線程向目標Web服務器發送大量的HTTP請求，這些請求可以隨機生成也可以通過攔截用戶的正常請求序列然后重放產生。請求內容可以是Web服務器上的正常頁面（例如主頁），也可以是重定向頁面、頭信息或某些錯誤文檔，更復雜的可以是對動態內容、數據庫查詢的請求。攻擊者甚至可以模擬搜索引擎采用遞歸方式，即從一個給定的HTTP鏈接開始，然后以遞歸的方式順著指定網站上所有的鏈接訪問，這也叫爬蟲下載（spidering）。主機資源耗盡型與HTTPFlooding不同，其目的是為了耗盡目標主機的資源（例如：CPU、存儲器、Socket等）。攻擊者用少量的HTTP請求促使服務器返回大文件（例如圖像、視頻文件等），或促使服務器運行一些復雜的腳本程序（例如復雜的數據處理、密碼計算與驗證等）。這種方式不需要很高的攻擊速率就可以迅速耗盡主機的資源，而且更具有隱蔽性。
與傳統基于低層協議的DDoS攻擊相比，App-DDoS攻擊具有以下特點：
首先，它利用了高層協議（HTTP）實現。許多基于Web的應用（例如HTTP或HTTPS）通過開放的TCP端口（如TCP端口80與443）為客戶提供服務，因此低層的檢測系統很難判斷經過這些開放端口的用戶請求是來自于正常用戶還是來自于攻擊者。這導致針對Web應用的App-DDoS攻擊請求可以順利穿越基于低層協議的檢測系統，通過開放的TCP80端口直接到達Web服務器或網絡數據庫（見圖1）。
圖1App-DDoS攻擊流
其次，由于App-DDoS攻擊是以高層信息流（HTTP流）作為攻擊手段，其實現是以正常TCP連接和IP分組為前提，因此形成攻擊的HTTP流不具備傳統DDoS攻擊的標志性特征（例如：TCP半開放連接和畸形IP數據報等），而且它無法采用虛假IP地址（虛假IP地址無法建立有效的TCP連接）的方法。越來越多的主機（包括個人主機和企業大型主機）全天候地連接互聯網，為這種攻擊提供了有利的條件和環境。
此外，由于高層的服務和協議差異很大，App-DDoS攻擊可以有多種不同的形式，而且一個簡單的HTTP請求往往可以觸發服務器執行一系列復雜的操作，例如：數據庫查詢、密碼驗證等，所以通過大量傀儡機向目標發送海量分組的攻擊方式并不是App-DDoS攻擊的惟一選擇，它可以用低速率的請求、少量的攻擊節點實現傳統DDoS的攻擊效果，這給現有的檢測帶來了很大困難。2004年的蠕蟲病毒“Mydoom”及其后來的變體“Mytob”就是典型的HTTPFlooding攻擊案例，而且也顯示出目前DDoS攻擊的發展趨勢。該病毒采用了常用的Web服務器請求技術，通過模仿瀏覽器IE的請求文本，使Web服務器難以區分正常的和異常的HTTP請求，從而提高了攻擊的破壞能力。由于所有的攻擊請求都是由合法分組構成，不具備傳統DDoS攻擊流的特征，因此攻擊請求順利穿越所有基于IP層和TCP層的檢測系統，最終導致SCO和微軟等知名網站的服務器崩潰。
2.DDoS的攻擊環境
DDoS攻擊所處的背景環境可以分為：平穩背景流環境和突發流環境。平穩背景流是指那些流量隨時間變化不大的網站，許多普通網站的流量都具有平穩的特性。突發流是現代網絡流的一種新現象，近幾年開始受到網絡研究者的關注。對于Web應用來說，突發流是指海量的正常Web用戶同時訪問某一特殊的網站，從而導致Web服務器的訪問量和相關網絡的流量產生巨大的波動。典型的突發流事例包括：1998年世界杯Web網站，2000年悉尼奧運會網站，2000、2001、2002年澳大利亞網球公開賽等體育網站的訪問流量隨比賽日程表出現的顯著波動；“911”恐怖襲擊后CNN網站訪問量的突增；Linux“紅帽子”發布的首天，發布網站的訪問量出現戲劇性的波動等。
可以預測，隨著Web應用的不斷推廣，平穩背景流不再是互聯網流量的惟一特征，具有突發流特征的Web網站將不斷地增加，例如：網上拍賣活動、視頻點播、大型活動的現場直播等。而且網絡技術的發展也為突發流提供了有利的條件，例如近年風靡全球的P2P就是一種具有典型突發流特性的網絡。與傳統的平穩數據流不同，突發流嚴重影響著通信網絡和設備的性能，因此，如何有效處理突發流及區分隱藏于突發流中的DDoS攻擊將成為網絡研究中的新問題。
3.不同DDoS攻擊的檢測
根據上述分析，可以把現有的DDoS攻擊劃分為以下4種類別：平穩背景流下的Net-DDoS攻擊；平穩背景流下的App-DDoS攻擊；突發流下的Net-DDoS攻擊；突發流下的App-DDoS攻擊。
平穩背景流下的Net-DDoS攻擊檢測是目前研究得最多、最成熟的一種，而且已經有許多有效的檢測方案，這些方案主要通過TCP段或IP包的頭信息實現攻擊檢測。例如：Cabrera等基于MIB（管理信息數據庫）把ICMP、UDP和TCP的分組統計異常映射到特定的DDoS攻擊，通過匹配分析實測分組屬性與特定DDoS攻擊的異常特征來實現檢測；Jin等假定DDoS的攻擊源是虛假IP地址，通過到達分組的IP地址與TTL（生存時間）來判斷是否存在基于虛假IP地址的DDoS攻擊。Kim等計算到達分組在給定的正常流模式下合法性的或然概率，通過或然概率檢測DDoS攻擊；Chen等通過檢測到達分組流在頻率域中特定頻率點的異常實現脈沖式攻擊的檢測。
平穩背景流下的App-DDoS攻擊檢測/防御可以有以下的方法：
（1）請求速率/QoS控制
Ranjan等使用統計方法判斷每個HTTP會話的異常性，然后通過控制HTTP速率抵御攻擊。
（2）基于“Puzzle”的方法
Kandula等應用基于“Puzzle”的方法實現App-DDoS攻擊的檢測與防御，它的主要思路是：攻擊常常是由程序執行，而程序只能按預先設計的方案進行，不具有人的智能性，因此，當懷疑服務器處于攻擊威脅時，可以生成一些簡單的問題要求用戶回答，如果返回的結果正確說明是正常用戶，否則就是攻擊源。
（3）基于“進攻”的防御方法
Walfish等認為，通過觸發所有的客戶（包括正常用戶與攻擊者）提高其請求速率可以有效排擠攻擊者。其依據是攻擊發生時，攻擊者通常已經耗盡自身的鏈路帶寬，而正常用戶的帶寬有較大的冗余，因此提高正常用戶的請求速率可以有效降低攻擊者對服務器入口處的帶寬占有率。
對于突發流下的Net-DDoS攻擊檢測可以利用正常流與異常流的特征差異實現。這是因為盡管突發流的流量很大，但是組成正常突發流的IP分組及相應的TCP連接都是正常，而用于Net-DDoS攻擊的分組或連接通常都具有以下的特征：畸形結構的IP分組、不完整的TCP連接等。因此，這一特征也可以有效用于攻擊的檢測與過濾。
從現有的研究看，針對突發流環境下的App-DDoS攻擊檢測進行研究的文獻并不多見。由于突發性與大流量是突發流與App-DDoS攻擊的共同特征，因此，傳統用于處理DDoS攻擊的請求速率/QoS控制方法并不能有效區分正常突發流用戶的請求與App-DDoS攻擊請求。這是由于：首先，對匯聚流進行速率監控只能起到預警的作用，無法區分出攻擊請求分組，如果采用隨機丟棄客戶請求分組的辦法緩解服務器端的Web流量有可能把正常用戶的請求丟棄從而影響合法用戶的訪問。其次，由于App-DDoS可以采用低速的攻擊方式（例如：復雜的腳本程序與數據庫查詢），因此速率控制不一定能保證有效，而且速率控制一般只能適用于具有平穩特性的流的檢測，無法應用于突發流和App-DDoS攻擊流同時發生的場景。對每個Web用戶分別進行HTTP請求速率監控也不足以有效檢測App-DDoS攻擊，因為攻擊者可以利用現有的工具對攻擊流進行成形，例如：采用間歇性脈沖方式的低速率攻擊，在脈沖期間采用較高的速率攻擊，脈沖結束后，攻擊暫停等待下一個攻擊脈沖的到來，這使每個攻擊節點的平均請求速率非常低，不容易被檢測。再次，對現代Web服務器及網絡，隨著用戶端帶寬和Web頁面復雜性的不斷增長，正常用戶的每次點擊瀏覽行為有可能產生每秒幾十個HTTP請求，這種速率已經與“Mydoom”的攻擊速率相當。
現有基于流特征的檢測方法一般隱含假設條件：攻擊流與正常流存在統計上的差異，但是這個假設并不適用于突發流環境下的App-DDoS攻擊檢測。由于App-DDoS攻擊者可以利用HTTP仿真工具組織攻擊流，使攻擊流模仿正常用戶的請求流特性（包括HTTP請求速率、TCP連接特性、IP分組流特性等），因此，上述基于流特性的檢測方法也不適用于這一類攻擊。
Jung等使用兩個屬性區分DoS攻擊和正常突發流：DoS攻擊是由少量攻擊主機急劇增長的請求率產生，而正常突發流是由客戶數量的增長造成的；DoS攻擊者通常是新用戶，而正常突發流下的用戶通常在突發流產生前都訪問過該網站。因此通過約束每個訪問客戶機可使用的資源（如：TCP連接數、占用CPU時間、占用緩存大小及用戶響應時間）及比較新客戶的比率來區分DoS攻擊和正常突發流。但是，對于現代網絡而言，這種方法的效果并不明顯。首先，Web應用的客戶數量很大，因此不可能逐一確定每個客戶可使用的合法資源數量，而且假設攻擊由少量節點產生只能適用于傳統的DoS攻擊，隨著網絡的普及化，這種假設不適用于現代高速網絡下的DDoS攻擊。近期的互聯網調查發現，現代的DDoS攻擊通常與“僵尸網絡”結合在一起，因此攻擊者本身就能形成一個龐大的網絡。另外，僅通過IP地址區分攻擊也是不可行，因為App-DDoS攻擊請求通常由病毒程序產生，而病毒程序有可能駐留在合法的客戶機上。
基于“Puzzle”的方法雖然具有檢測與防御的功能，但是同樣具有一些不足：需要得到客戶端的支持；會干擾Web用戶的正常瀏覽；沒有辦法解決攻擊程序與正常用戶同處于一個終端的情況；有可能導致互聯網中的搜索引擎和緩存/代理等無法正常工作；由于基于“Puzzle”的方法需要耗費大量服務器的資源（CPU計算、內存等），在突發流環境下，難以實時處理海量的用戶信息，而且其本身很容易成為DDoS攻擊的目標。
基于“進攻”的方法同樣需要客戶端的支持，而且它的另外一個假設是服務器入口處具有足夠的帶寬，這在實際網絡中是不可能實現的。
由此可見，單靠傳統的分組特征、流特征、速率分析來檢測與控制突發流環境下的App-DDoS攻擊是不夠的。
4.基于訪問行為的防御
按照網絡分層模型的理論，不同層次的信息流應該在對應的層次進行處理。App-DDoS是一種高層攻擊行為，簡單地通過判斷每一個進入服務器的IP分組、TCP連接來實現高層攻擊檢測顯然是不夠的，而孤立地判斷每一個HTTP請求的正常性也不足以有效地檢測App-DDoS攻擊。針對App-DDoS攻擊的檢測系統應該建立在對應的層次才能獲取足夠的檢測信息，并且尋找有效的觀測信號來實現檢測，如圖2所示。
圖2不同層次的檢測機制
Web挖掘的研究指出通過對Web用戶的訪問頁面進行內容監控和分析，可以挖掘出用戶的興趣，而且其他一些研究也指出一個Web網站僅有10%的內容被客戶高頻訪問（約90%），而且文件被訪問的概率呈Zipf分布。這說明盡管訪問者各不相同，但是在一定的時期內他們對給定的Web服務器的訪問興趣和訪問行為是非常近似的。已有的研究也表明，對于突發流的場景，劇增的流量主要是由于用戶數量的增長而產生的，不同用戶的訪問行為（包括用戶的訪問焦點、點擊Web頁面的次序、瀏覽時間間隔等）卻是非常近似的，所以高層的Web用戶訪問行為特征可以作為App-DDoS攻擊檢測的有效信號。下面進一步討論這種方法的有效性。
用戶的訪問行為可以由3個因素描述：HTTP請求速率、頁面閱讀時間和請求對象序列（包括請求對象與各請求的先后次序）。因此，App-DDoS攻擊者（或者具有一定智能的攻擊程序）可以從這3個方面模仿正常用戶行為：小的HTTP請求速率、大的頁面瀏覽時間和仿真的HTTP請求序列。前兩者會降低攻擊效果，而且只能通過增加被感染的計算機來彌補，提高了攻擊難度。仿真HTTP請求序列包括兩方面內容：
（1）仿真正常HTTP的流特征
這可以通過HTTP模擬工具實現，通過這種方法形成的攻擊流具有一般正常流的特征屬性（例如：到達率、閱讀時間），因此不容易被檢測出來。
（2）仿真正常用戶的HTTP請求對象
簡單的方法可能有4種：隨機生成、預設、在線攔截并重放請求序列或者直接操控。第一種方法是由攻擊程序隨機生成請求對象或者隨機點擊鏈接。由于是隨機生成，所以其訪問的內容與正常用戶相比將不具有明確的目的性。第二種方法是由攻擊程序預先設定一個攻擊的HTTP請求序列，所表現出來的特征是周期性地重復瀏覽某些相同的頁面對象。第三種方法是攔截所在客戶機的請求片斷然后重放，但是由于被感染的客戶機不一定會訪問被攻擊目標的Web服務器，因此這種方法并不能達到預期的攻擊效果。第四種辦法是攻擊者設置一個中心控制點，周期性與病毒程序通信，并發布新的HTTP攻擊請求序列。但由于這種方法需要不斷和控制點通信，容易暴露控制者所在位置，并且這種外部連接容易被客戶機上的病毒檢測系統或者防火墻所察覺和阻斷。從搜集到的資料看，目前已經出現的，也是最簡單有效的攻擊方法是利用HTTP中的“GET/”方法直接請求網站主頁。它僅需要目標網站的域名而不需要指定具體的對象文件名，因此簡化了攻擊程序。另外，主頁一般是網站上被高頻訪問的頁面，因此通過請求主頁發動的DDoS攻擊不容易被檢測到。
可見，盡管攻擊者可以模仿瀏覽器發送HTTP請求，并通過仿真工具重新整合攻擊流的流特性，使其接近客戶的流特性，但是它始終無法實時、動態地跟蹤和模仿正常用戶的訪問行為，因為只有Web服務器記錄了所有訪問者的訪問記錄，而這些分析結果是攻擊者無法獲取的。
基于用戶行為的App-DDoS攻擊檢測方法如圖3所示。首先，利用大量正常用戶的歷史訪問記錄建立用戶的Web訪問輪廓（profile），現有的Web挖掘技術可以實現這一功能。其次，利用建立的Web訪問輪廓比較待測量用戶訪問行為的偏離程度，按照偏離程度的大小對不同Web用戶的請求進行排隊，偏離程度小的優先得到服務器的響應，偏離程度大的在資源緊張時將被丟棄。考慮到App-DDoS攻擊是建立在正常TCP連接的基礎上，單純通過高層丟棄或過濾攻擊請求并不能有效地根治App-DDoS攻擊，因為被攻擊者操控的傀儡節點會繼續不斷地向目標服務器發出攻擊請求，這些攻擊請求會促使服務器與傀儡節點繼續建立新的TCP連接，從而耗費服務器資源。所以，對于這種持續不斷的TCP連接請求，可以粗略判斷為由攻擊程序自動產生，因而較為徹底地抵御這種攻擊的方法就是在高層進行檢測過濾的基礎上，進一步在傳輸層阻塞傀儡節點的TCP連接請求或隔離來自該IP地址的分組。由于App-DDoS攻擊只能使用真實的IP地址，這種阻塞方法可以起到明顯的抵御作用。
圖3基于用戶行為的App-DDoS檢測機制
5.結束語
本文剖析了應用層DDoS攻擊的原理，分析了現有的DDoS攻擊檢測方法在處理突發流環境下的App-DDoS攻擊上的不足，從用戶訪問行為的角度提出了一種有效檢測突發流下App-DDoS攻擊的方法。該方法與傳統針對Net-DDoS攻擊的方案分屬不同的網絡層次，因此，可以作為現有DDoS防御體系的必要補充，在高層為Web服務器提供安全保障。利用不同的協議，基于應用層的DDoS攻擊并不局限于暴力的洪水式攻擊，可以有多種不同的表現形式，例如：Web蠕蟲的傳播、針對FTP服務器的攻擊、針對無線傳感器的攻擊及在具有顯著突發流特性的P2P網絡中的入侵與攻擊行為等。因此，對于App-DDoS攻擊檢測來說，本文的研究僅是一個開始，許多問題還需要進一步的探討。
【編輯推薦】
