DDos攻擊在今天看來(lái)并不新鮮，近兩年來(lái)發(fā)展態(tài)勢(shì)也漸趨平緩，直至一個(gè)月前，歐洲反垃圾郵件組織Spamhaus突然遭受到高達(dá)300Gbps的大流量DDos攻擊。這一輪被認(rèn)為是史上最大的DDos攻擊，讓人們警醒，原來(lái)DDos攻擊手段從未被攻擊者忽略。

這次超大流量DDos攻擊的本質(zhì)是什么?為什么會(huì)在今天出現(xiàn)?對(duì)此類攻擊又該如何防范? 在防DDos攻擊領(lǐng)域耕耘多年的安全公司Arbor近日對(duì)相關(guān)問(wèn)題給出了答案。

問(wèn)：迄今為止，這是最大的DDoS攻擊嗎?

答：是的，而且規(guī)模比以前大得多。之前報(bào)告的(和驗(yàn)證的)最大攻擊約為100Gb/秒。

問(wèn)：這是一種新型的DDoS攻擊嗎?

答：不是的。此次攻擊屬于DNS反射/放大攻擊，而DNS反射/放大攻擊已存在多年了。這種類型的攻擊已被發(fā)現(xiàn)用來(lái)產(chǎn)生近年來(lái)互聯(lián)網(wǎng)上看到的多個(gè)最大攻擊。DNS 反射/放大攻擊利用互聯(lián)網(wǎng)上的DNS 基礎(chǔ)結(jié)構(gòu)來(lái)放大攻擊能夠產(chǎn)生的通信量。DNS 是用于主機(jī)名到IP 地址解析的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的重要組成部分。DNS 反射/放大攻擊通過(guò)使用多個(gè)客戶端肉機(jī)(bots僵尸肉機(jī)) 將查詢發(fā)送到多個(gè)開(kāi)放DNS 解析器中，從而使大量的攻擊流量從廣泛分布源中產(chǎn)生(在Spamhaus襲擊期間，使用了超過(guò)30K開(kāi)放解析器)。

問(wèn)：DNS反射/放大攻擊是如何產(chǎn)生的?

答：兩件事使這些類型的攻擊成為可能：服務(wù)提供商網(wǎng)絡(luò)缺乏入口過(guò)濾(允許流量從虛假源地址轉(zhuǎn)發(fā));因特網(wǎng)上開(kāi)放 DNS 解析器的數(shù)目(可從任何 IP 地址進(jìn)行查詢響應(yīng))。

攻擊者必須能夠假冒目標(biāo)受害人DNS 查詢的源地址。所有組織應(yīng)在他們網(wǎng)絡(luò)的所有邊界實(shí)施 BCP38/84 反欺騙。不幸的是，在今年的Arbor全球網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全報(bào)告(包含2012年) 中，僅 56.9%的調(diào)查對(duì)象表示他們目前正在他們的網(wǎng)絡(luò)邊緣執(zhí)行 BGP 38/84。

這種攻擊的第二個(gè)關(guān)鍵組成部分是因特網(wǎng)上大量可用的開(kāi)放DNS 解析器。目前在互聯(lián)網(wǎng)上預(yù)計(jì)約有 2700 萬(wàn)開(kāi)放DNS 解析器。

問(wèn)：DNSSec(域名系統(tǒng)安全拓展)可幫助處理這些攻擊嗎?

答：不，DNSSec 旨在確保DNS 查詢答復(fù)的真實(shí)并且不被篡改。完全無(wú)助于DNS反射/放大攻擊，相比沒(méi)有DNSSec的情況，具有DNSSec的任何類型查詢都會(huì)生成更顯著的大量回復(fù)數(shù)據(jù)包，實(shí)施DNSSec 實(shí)際上意味著更易將攻擊放大。

問(wèn)：互聯(lián)網(wǎng)基礎(chǔ)設(shè)施幾乎已經(jīng)到了最大的100Gbps。如果是這樣的話，Spamhaus是如何看到300 Gbps的流量的?

答：雖然 100Gb/秒是部署在生產(chǎn)網(wǎng)絡(luò)中的最大單個(gè)物理鏈路速度，但是多個(gè)100Gb/秒物理鏈路結(jié)合在一起，就可以形成大容量邏輯鏈路。

問(wèn)：如何緩解這類攻擊?

答：如果大部分服務(wù)提供商在網(wǎng)絡(luò)邊界執(zhí)行了BCP 38/84，同時(shí)還大幅減少互聯(lián)網(wǎng)上開(kāi)放的DNS 解析器的數(shù)目，那么就可以減小攻擊者的能力，從而降低此類較大攻擊的風(fēng)險(xiǎn)。

我們需要通過(guò)各種機(jī)制來(lái)緩解這些攻擊。我們可通過(guò)IP 篩選器列表，黑/白名單，靈活僵尸去除，和/或攻擊中合適的負(fù)載正則表達(dá)式對(duì)策來(lái)保護(hù)通過(guò)DNS 反射/放大攻擊的最終目標(biāo)服務(wù)器。S/RTBH(基于源的遠(yuǎn)程觸發(fā)黑洞)和FlowSpec(特定流過(guò)濾)也可用于緩和攻擊流量;然而，在應(yīng)用這些機(jī)制時(shí)必須謹(jǐn)慎，因?yàn)檫@有可能阻止所有的流量通過(guò)利用反射攻擊的開(kāi)放的DNS遞歸器。在某些情況下，這可能是最佳行動(dòng)方法。選擇緩解機(jī)制和策略需依賴客觀事實(shí)。

問(wèn)：其他公司可從此次攻擊得到哪些教訓(xùn)?

答：目前的DDoS 威脅很復(fù)雜，由大容量攻擊和復(fù)雜應(yīng)用層威脅構(gòu)成。為了有效地解決我們目前看到的攻擊，保護(hù)服務(wù)可用性，企業(yè)組織需要分層的 DDoS 防御。企業(yè)組織必須具有網(wǎng)絡(luò)邊界解決方案，以積極地處理隱秘、復(fù)雜的應(yīng)用層威脅，還必須利用基于云的服務(wù)提供商提供DDoS 保護(hù)服務(wù)，以減輕大的攻擊。理想的情況是這兩個(gè)組件一起工作并提供完整、集成、自動(dòng)化的保護(hù)系統(tǒng)，從而使其免受DDoS 威脅的影響。

企業(yè)組織還應(yīng)知道，巨大的攻擊可能超過(guò)服務(wù)提供商預(yù)設(shè)的智能緩解能力或?qū)е路?wù)提供商內(nèi)部的通信流量堵塞 (或在其互連點(diǎn))，而導(dǎo)致重大的附加損害(影響攻擊者的非針對(duì)性服務(wù))。在這些情況下，服務(wù)提供商可通過(guò)ACLs，S-RTBH，F(xiàn)lowSpec等來(lái)保護(hù)自己及客戶。

對(duì)終端客戶而言，應(yīng)詢問(wèn)服務(wù)提供商具備多大的智能DDoS 緩解能力;服務(wù)提供商是否已在他們的網(wǎng)絡(luò)上部署了BCP38/84 反欺騙系統(tǒng);服務(wù)提供商是否部署了其它網(wǎng)絡(luò)基礎(chǔ)設(shè)施的當(dāng)前最好實(shí)踐，如Acl (iACLs) 基礎(chǔ)設(shè)施和一般 TTL 安全機(jī)制 (GSTM) ;服務(wù)提供商是否已經(jīng)在他們的網(wǎng)絡(luò)上部署了 S/RTBH 或FlowSpec。