老板,我们的网站又挂了——漫谈 DDoS 攻击

  本文作者 John Ellis 为 Akamai 亚太暨日本地区企业安全总监。

DDoS 工具套组、DDoS-for-hire、比特币、匿名邮件、TOR 连线、及形形色色的攻击动机,皆让网络攻击行动之于个人、骇客组织、网络罪犯都变得更加容易。最新的数据显示,DDoS 的攻击频率、发展成熟度、及规模都呈现成长的趋势。根据 Prolexic 发表的 2014 年第一季全球 DDoS 攻击报告,DDoS 的攻击量与去年同期相比呈现 47% 的成长,而攻击目标所处的产业也变得比以前更为广泛。这些数据充分印证了 DDoS 攻击如今已变得更有效,并成为现今攻击者囊中宝的事实。

进入网络世界

转眼间,互联网已对人类的生活产生前所未有的冲击,举凡在学术研究、多元整合、商务、甚至是战争,也都因互联网的出现,而拓展出更多应用空间。互联网现今的发展与它最原始的样貌,也随着产业的创新与演进而一点一滴的改头换面了。在商业世界中,网络内容重新定义了企业的运作模式,除了电子商务的应用,企业能透过网站与消费者、合作伙伴、供应商进行互动;也逐渐转移关键的专桉流程至互联网,以获得更有效的资源分配与成本效益。

互联网的生活应用涵盖了穿戴式科技、管理电力与水利的整合控制系统、金融体系、音乐串流、行动连网、社群媒体等各大生活面向。上述这些服务与系统运作皆拥有连网的特质,现实生活中,除了我们也不再需要「上网」,而是随时处于「连网」状态,网络攻击亦然。

  分散式阻断服务(DDoS)——破坏性的武器

DDoS 并非网络攻击领域中的新名词,自 1990 年代晚期至 2000 年代早期以来,DDoS 被充分运用在干扰商业组织与政府网站,然而,早期的 DDoS 攻击会因规模与成熟度不足而成功阻挡在前端、抑或有效地被互联网服务供应商(ISP)拦截。

随着市场不断推出新型防御机制,网络攻击也不惶多让,具备突破防御机制更高的本事。攻击的本质是占据实际体积的,攻击方式包括了塞爆连接攻击目标的带宽、以及锁定协定或应用程序内在漏洞,进而瘫痪了网站服务与登录管道,令网络使用者不得其门而入。

  旧潮流再次成为新趋势——反射与放大 UDP 攻击

在时尚产业中,旧潮流总有机会再次成为一股新趋势,使用者资料包通讯协定(UDP)最美妙之处,在于属于「(fire and forget)」类型的通讯协定,其设计主要是针对效率与速度的需求,然缺点则是较缺乏安全与可靠的特性,不过凭着网络通讯最基本的可靠性,它依然成为许多核心网络服务如 DNS(网域名称系统)与 NTP(网络时间协定)较偏好的协定类型。

  我非我——欺骗封包

建于 UDP 的通讯协定如 DNS 与 NTP,不必与现存的 TPC 第四层传输层进行三向沟通便能做出回应,不过这也意味着它将盲目地对任何 IP 位址发出的要求做出回应。不幸的是,这种模式由于容易被伪造,随之出现的第一部分问题是攻击者利用受害者的 IP 位址当作其请求 IP 位址的结果。

  当我问了一个简单的小问题,竟得到一个超大的答案——放大效应

放大攻击的第二部分是由服务构成的要求类型,举例来说,我们可将它想像为一个「生命问题」,攻击者在提出「生命的意义为何?」这个简单问题后,会获得一个复杂难懂的答案。除非我们在说的是《银河便车指南》,那么答案当然就是 42。1

所以,当攻击者假受害者的名义,向为数众多的一般人提出「生命的意义为何?」之后,便会随之产生排山倒海而来的复杂答案,进而让受害者的系统、网络、甚至是 ISP 因此瘫痪,而这些千篇一律的答案即为「阻断服务」。

  我的防火墙可与你抗衡——传统的方法(legacy approach)

第一个对策是让防火墙具备解决问题的能力。普遍而言,这些庞大且成熟的攻击会瘫痪资料中心的网络连结,或是以应用程序架构的攻击类型,伪造成合法网站再加以发动攻击。

举例来说,热门网站流量突然暴增的情况,与攻击者对同一个内容每秒提出上千次的要求,两者的差别为何?你的防火墙在面对相似的情况时,是否具备足以辨识要求来源合法与否的能力?当我们接受了过多所谓「合法」的要求时,网络连结被塞爆的第一类问题也随之出现了。

  我的 ISP 上有你的号码——传统的方法(legacy approach)

让我们接着谈谈 ISP 的问题,ISP 的挑战在于有些攻击规模壮大到差点超过 400Gbps,此外,大型企业倾向拥有多个 ISP,以作为备援(Redundancy)及负载平衡(Load Balancing)之用途。这种作法除了需要由 ISP 提供「以牙还牙」的缓解能力,也需要 IT 部门劳师动众,整合各个 ISP 以确保缓解方案会持续被付诸执行。

  为什么有人想对我发动攻击?

现在就让我们直捣问题的核心:「为什么会有人想对我的企业发动 DDoS 攻击?」 答案其实相当广泛,必须依各企业不同的本质而定。对政府机构而言,受攻击的原因可能与政策制定或是代表的国家有关;而对电子商务零售商或金融机构而言,则有可能与钱财勒索、或特定的代表人物相关。

事实上,现今的攻击动机形形色色,且几乎任何人都能对其他网站发动攻击,如此普遍的程度意味着:一旦有动机产生,人人都有发动攻击的机会。

  该投降吗? 我又该怎么做? 解决方案

近期的 IDG 研究服务调查显示,现今绝大多数的科技与安全经理人,对网站安全抱持高度顾虑。这份调查将网站安全定义为能保护网站伺服器与使用者,使其免于与资料及系统妥协、及遭受阻断服务的科技与程序,例子包括网站应用程序的防火墙、DDoS 缓解、及使用者认证。在这份调查中,受访者普遍认为网站安全与电子邮件或 FTP 安全同等重要(佔 76%),或认为网站安全更具重要性(佔 14%)。这些由企业 IT 解决的主要问题,需要投入 79% 的时间;其中与安全性相关的问题仅佔 50% 的时间。当然,网站安全并非本次受访者唯一的顾虑,网站可取得性也是受访者常态的答案,紧接着还包括恶意软体、资料损失、及恶意破坏等情况。

  对于想解决 DDoS 攻击问题的组织,我的第一个建议为:仔细思考当企业或组织沦为 DDoS 攻击目标,而陷入被瘫痪的危机时,我们应採取哪些因应与恢复策略?是否需主动与媒体互动?是否有潜在的金融冲击?能忍受处于线下情况的最大时数为何?如何回应股东、利害关係人、及合作伙伴?是否能透过替代方案维持业务运作?该如何进行事后恢复?

以上的问题(或更多)都必须在我们开始投资缓解方案前,亲自审慎思考一遍,并一一找出问题的答案。那么,你决定要如何化解危机了吗?最佳方案又会是什么呢?

  区分机密与非机密

我常常看到许多组织将电子商务、营收及品牌资讯,与一般非机密的应用程序(如:外部浏览内容、电子邮件等)放在同一个网络连结上头,我建议大家花点时间,将所有的应用程序依机密程度分门别类,并分开处理。

  导致失败的一大重点——最脆弱的连结

「你与你最脆弱的连结一样强大」这句俗谚也可用来印证对抗 DDoS 的情况,攻击者能相对轻易地找出你最脆弱的网站连结,并加以攻击。

  分散式攻击需要用分散式防御抗衡

在互联网的各个角落,配置适合你的专属安全防御措施,是对抗分散式攻击的绝佳方法。如果你只是将网站「推送」出去,那么你大可不必接受来自内部 DNS 或 NTP 的流量!Akamai 拥有全球规模最大的分散式防御平台,请试着想像一下你在攻击者经常连线的 ISP 内,拥有专属的安全政策,能在互联网的各个角落有效阻挡负面效应,并加速正面效益是一个多么强而有力的方法啊!

  保护来源

如果你想在网络世界中达到防护效果,却又无法分散流量,那么对整个资料中心进行防护也是一个聪明的策略。透过为 DDoS 攻击而特别设计的缓解服务,进行流量引导规划,例如 Akaami 旗下的 Prolexic 服务,能让你抵御各种类型 DDoS 攻击,其中涵盖各种大小的攻击,以及应用程序层级的成熟型攻击。

加载余下内容▼

相关文章:

;