指紋共享與流量清洗

      這種新的利用僵尸網(wǎng)絡(luò)的DDoS攻擊已經(jīng)給服務(wù)供應(yīng)商網(wǎng)絡(luò)帶來了非常嚴(yán)重的后果。由于互聯(lián)網(wǎng)的性質(zhì),DDoS攻擊永遠(yuǎn)不可能被停止。即使沒有僵尸和復(fù)雜的工具，任何人都可以用一些手段鼓勵(lì)網(wǎng)民同時(shí)訪問一個(gè)網(wǎng)站，建立一個(gè)有效的洪水般的流量，以擾亂該網(wǎng)站的穩(wěn)定。

      如果異常流量是截然不同的，那么它可以被丟棄在網(wǎng)絡(luò)入口點(diǎn)，盡量不妨礙正常流量。例如，要在上游路由器過濾所有ICMP回應(yīng)以中斷Flooding襲擊。即使當(dāng)攻擊發(fā)送隨機(jī)的數(shù)據(jù)包時(shí),“不尋常”的網(wǎng)絡(luò)流量也可以放心丟棄，降低到安全帶寬。李青山指出：企業(yè)若要尋求真正有效的解決方案，應(yīng)當(dāng)從兩方面著手：第一、減少企業(yè)內(nèi)部的網(wǎng)絡(luò)服務(wù)使用，例如杜絕P2P下載、禁止登錄未知網(wǎng)站等。第二、選擇一套智能化的防護(hù)系統(tǒng)，在不改變網(wǎng)絡(luò)原有架構(gòu)的前提下，實(shí)現(xiàn)動(dòng)態(tài)防護(hù)，從根本上解決DDoS的防護(hù)問題和其他隱蔽攻擊問題。

      羅馬倫博士說，衡量DDoS攻擊主要方式，可以通過ATLAS系統(tǒng)，并結(jié)合Arbor Peakflow部署的客戶數(shù)據(jù)和Darknet傳感器，觀察檢視惡意流量穿越骨干網(wǎng)的情報(bào)。

      另外，惡意流量清洗策略可以說是應(yīng)付大規(guī)模DDoS攻擊最成功的策略，是采取多方位手段的組合。如果來源的IP地址可確定，攻擊應(yīng)該被阻斷在源頭上；或如果ISP無法聯(lián)系源頭，路由策略可以用來減少攻擊通路（通過執(zhí)行單播反向路徑轉(zhuǎn)發(fā)的路由器）。根據(jù)攻擊類型，防御技術(shù)如SYN Proxy同步代理一樣也可以工作。此外，不同級(jí)別的流量可以在線速DPI過濾設(shè)備上整型限速到可接受的水平。

      羅馬倫博士介紹，面對(duì)每秒數(shù)萬兆的攻擊規(guī)模，沒有ISP可以與這一攻擊流量抗衡并維持正常的服務(wù)水平,因此必須深入與其他互聯(lián)網(wǎng)服務(wù)供應(yīng)商合作，以幫助過濾流量,這就是Arbor Networks發(fā)揮了重要保護(hù)作用的原因。Arbor建立自動(dòng)化流程，如指紋共享聯(lián)盟，聯(lián)盟中的電信公司在全球范圍跨越公司和地域的邊界以阻止網(wǎng)絡(luò)攻擊。

      據(jù)悉，Arbor Networks增加了PeakflowSP指紋共享力度，使電信公司自動(dòng)分享攻擊指紋而不透露任何競(jìng)爭(zhēng)信息。這樣，可以讓相關(guān)的服務(wù)供應(yīng)商建立基準(zhǔn)網(wǎng)絡(luò)檔案并發(fā)現(xiàn)任何偏離正?；€的流量，然后標(biāo)示為異常,再?zèng)Q定是否異常是一個(gè)合理的流量爆發(fā)，例如某個(gè)網(wǎng)上活動(dòng)，或者是真正的惡意攻擊。從而網(wǎng)絡(luò)運(yùn)營(yíng)商可以決定是否進(jìn)行流量清洗或不干預(yù)。

      當(dāng)它被認(rèn)定為惡意攻擊時(shí)，Peakflow SP將為服務(wù)提供商自動(dòng)生成指紋并將有選擇的和同行共享。網(wǎng)絡(luò)管理員擁有絕對(duì)控制權(quán)，收到共享指紋的網(wǎng)絡(luò)伙伴也不必直連。指紋的接收者可以選擇接受或拒絕傳入的指紋。

      檢測(cè)與安全的統(tǒng)一

      如果說基線概念的出現(xiàn)代表著網(wǎng)絡(luò)性能分析階段與異常行為檢測(cè)階段的臨界點(diǎn)，那東軟NetEye異常流量分析與檢測(cè)系統(tǒng)（NTARS）所具備的多種響應(yīng)能力則把行為檢測(cè)與安全防護(hù)兩大職能分類進(jìn)行了有機(jī)統(tǒng)一。

      李青山解釋，為了將混雜在正常業(yè)務(wù)應(yīng)用流量中、大量消耗網(wǎng)絡(luò)帶寬的類DDoS異常行為(如Worm、Spam)準(zhǔn)確識(shí)別出來，NTARS專門增加了基于樣本描述的特征匹配檢測(cè)引擎，為應(yīng)用層內(nèi)部的異常行為進(jìn)行專項(xiàng)檢測(cè)，把DDoS防護(hù)范圍從單純的傳輸層以下進(jìn)一步擴(kuò)大到OSI所有層面。

      筆者發(fā)現(xiàn)，NetEye安全實(shí)驗(yàn)室提供持續(xù)更新的特征規(guī)則庫。該特征庫采用了東軟公司自主產(chǎn)權(quán)的NEL語言對(duì)業(yè)內(nèi)已知有關(guān)網(wǎng)絡(luò)安全的異常行為進(jìn)行了嚴(yán)格、精確的特征描述，是NTARS進(jìn)行應(yīng)用層異常識(shí)別的技術(shù)基礎(chǔ)。

      盡管NTARS采用了旁路的部署方式，卻輕松實(shí)現(xiàn)了對(duì)DDoS等異常行為的主動(dòng)干預(yù)，從而將其與單純的檢測(cè)報(bào)警類設(shè)備涇渭分明的區(qū)別開來。

      中國(guó)移動(dòng)通信集團(tuán)公司某技術(shù)人員說，對(duì)于源目的IP或者服務(wù)類型較為確定的DDoS流量，NTARS能夠通過BGP、OSPF協(xié)議與指定路由設(shè)備進(jìn)行通信或直接進(jìn)行CLI靜態(tài)路由配置，設(shè)置Black hole黑洞路由，從而使路由設(shè)備將異常流量直接拋棄。相對(duì)于ACL訪問控制規(guī)則Deny操作而言，Black hole可實(shí)現(xiàn)更快的處理速度，避免NTARS所加載的反響抑制措施對(duì)路由設(shè)備造成額外的處理負(fù)荷。

      NTARS在對(duì)異常流量作為正確判斷后，將通過BGP或CLI方式對(duì)可疑流量進(jìn)行選擇性牽引，誘導(dǎo)路由設(shè)備將可疑流量轉(zhuǎn)發(fā)至特定安全過濾設(shè)備，如防火墻、IPS或防病毒安全網(wǎng)關(guān)。

      經(jīng)過濾凈化后的流量將按照管理員預(yù)設(shè)策略重新進(jìn)入原有路由路徑中，從而實(shí)現(xiàn)對(duì)高帶寬流量有選擇、分層次的深度過濾分析作業(yè)，清除DDoS對(duì)業(yè)務(wù)的影響。

      DDoS癥狀辨析

      寬帶互聯(lián)網(wǎng)為DDoS提供了極為有利的物理?xiàng)l件，以千兆為級(jí)別的電信骨干節(jié)點(diǎn)之間的連接，使得攻擊可以從更遠(yuǎn)的地方發(fā)起，攻擊者所操控僵尸機(jī)可以在分布在更大的范圍，選擇靈活性更高，攻擊也更加隱蔽。

      當(dāng)企業(yè)的主機(jī)服務(wù)器被DDOS攻擊時(shí)，通常會(huì)產(chǎn)生如下現(xiàn)象：

      1.系統(tǒng)服務(wù)器CPU利用率極高，處理速度緩慢，甚至宕機(jī)；

      2.高流量無用數(shù)據(jù)造成網(wǎng)絡(luò)擁塞，使受害主機(jī)無法正常和外界通訊；

      3.反復(fù)高速的發(fā)出特定的服務(wù)請(qǐng)求，使受害主機(jī)無法及時(shí)處理所有正常請(qǐng)求；

      4.被攻擊主機(jī)上有大量等待的TCP連接；

      5.被DDoS攻擊后，服務(wù)器出現(xiàn)木馬、溢出等異?，F(xiàn)象。

      這些現(xiàn)象的出現(xiàn)導(dǎo)致企業(yè)的業(yè)務(wù)無法正常進(jìn)行，用戶的訪問請(qǐng)求被阻斷，企業(yè)也因此蒙受巨大的經(jīng)濟(jì)損失和名譽(yù)損失。

yajing