分布式拒絕服務(wù)(DDoS)攻擊的規(guī)模越來越大。根據(jù)供應(yīng)商Arbor Networks和Akamai Technologies的研究表明，2012年DDoS攻擊的平均規(guī)模在1.77Gbps左右。來自Prolexic的DDoS攻擊數(shù)據(jù)表明，攻擊的平均帶寬最高達(dá)到48Gbps，與上一季度增幅超過700%。

大多數(shù)組織都有近10Gbps的互聯(lián)網(wǎng)連接。因此，1.77Gbps的DDoS攻擊影響并不小，但是仍然在可控范圍?，F(xiàn)在，DDoS攻擊的平均范圍已經(jīng)大幅增長，如果一個(gè)組織完全沒有準(zhǔn)備，那么在遇到攻擊時(shí)，應(yīng)急人員甚至完全無法使用互聯(lián)網(wǎng)連接。

這種情況就發(fā)生在2013年3月18日，垃圾郵件過濾公司Spamhaus成為百萬級(jí)DDoS的攻擊目標(biāo)?；ヂ?lián)網(wǎng)服務(wù)提供商報(bào)告說，攻擊的峰值吞吐量達(dá)到了300Gbps。不僅單個(gè)攻擊的吞吐量達(dá)到了歷史最高值，而且它也發(fā)出一個(gè)警告：組織必須重新考慮自己的DDoS攻擊的防御方法。在本文中，我將回顧DDoS功能的基本概念，然后提出一些建議，幫助企業(yè)防御新出現(xiàn)的百萬級(jí)DDoS攻擊。

DDoS攻擊的機(jī)制

傳統(tǒng)的拒絕服務(wù)攻擊通常是指讓信息系統(tǒng)變成無法提供正常服務(wù)。這可能包括從斷電到數(shù)據(jù)包淹沒等各種手段。DDoS之所以越來越難防御，主要是源于它名稱包含的一個(gè)內(nèi)在特性：分布式。DDoS攻擊可以針對(duì)一個(gè)目標(biāo)在多個(gè)位置的多個(gè)系統(tǒng)資源，讓這些目標(biāo)系統(tǒng)完全被擊垮。

發(fā)起DDoS的方法有很多，但是最基本的方法是(也是Spamhaus遇到的那種)，攻擊者偽裝出一個(gè)與攻擊目標(biāo)相同的IP地址。然后，攻擊者向一些預(yù)先選定的DNS服務(wù)器發(fā)送一個(gè)偽裝的DNS請(qǐng)求。當(dāng)DNS服務(wù)器接收到DNS請(qǐng)求時(shí)，服務(wù)器會(huì)檢查其數(shù)據(jù)庫，然后回復(fù)一個(gè)表示沒有包含欺騙性IP地址的DNS記錄的響應(yīng)消息。因?yàn)镈NS響應(yīng)被發(fā)送到欺騙IP地址，也就是說攻擊者設(shè)定的攻擊目標(biāo)會(huì)接收到這個(gè)DNS響應(yīng)，因此無法追蹤到攻擊者來源。專業(yè)級(jí)DDoS會(huì)同時(shí)向大量不同位置的NDS服務(wù)器發(fā)送這樣的請(qǐng)求，從而對(duì)攻擊目標(biāo)網(wǎng)絡(luò)造成嚴(yán)重的影響——大部分網(wǎng)絡(luò)的到達(dá)流量處理容量都有一定的上限。

防御百萬級(jí)DDoS攻擊

一旦企業(yè)理解了DDoS的攻擊方式，他們就必須決定如何應(yīng)付這種攻擊，這是現(xiàn)在幾乎不可避免的狀況。第一個(gè)方法是與一些DDoS防御供應(yīng)商合作，如Arbor、CloudFlare、Akamai、Prolexic等，這是應(yīng)對(duì)最嚴(yán)重攻擊的一個(gè)可行方法。這些公司專門研究如何防御和應(yīng)付可能的惡意流量。然而，如果一個(gè)組織沒有足夠資源購買第三方產(chǎn)品和服務(wù)，那么聰明的安全管理員也會(huì)采取下面這些步驟，盡量減小DDoS攻擊的危害。

首先，安全管理員應(yīng)該先了解他們組織的互聯(lián)網(wǎng)連接。正如前提所提到的，一般組織的平均連接帶寬為10Gbps，所以管理員一定要謹(jǐn)慎處理，保證他們至少要讓自己的產(chǎn)品服務(wù)使用其中大部分的可用吞吐量。此外，安全人員還一定將安全需求報(bào)告給更高一級(jí)的管理人員。即使資源很緊張，也要定期向他們報(bào)告前面提到的統(tǒng)計(jì)信息，讓他們知道現(xiàn)DDoS攻擊的普遍性和潛在危害，這是百利而無一害的做法。

此外，無論網(wǎng)絡(luò)管理員是否遇到過攻擊，他們都應(yīng)該部署一些防御機(jī)制，檢查所有到達(dá)的DNS響應(yīng)。如果到達(dá)的一系列請(qǐng)求以前在本地服務(wù)器上從未記錄過，那么要丟棄這些數(shù)據(jù)包，而不要向外部DNS服務(wù)器發(fā)送不必要的響應(yīng)，從而避免加重問題。

最后還有一個(gè)方法，它有時(shí)候可以直接用于解決前面提到的資源缺乏問題。管理員應(yīng)該考慮更多地將他們的基礎(chǔ)架構(gòu)部署到云上。最初，許多企業(yè)是出于節(jié)約空間的考慮而不想運(yùn)營自己的獨(dú)立數(shù)據(jù)中心，但是云解決方案現(xiàn)在更多是因?yàn)榘踩紤]而受到關(guān)注。

在Spamhaus遇到的攻擊中，Spamhaus使用CloudFlare的云服務(wù)來減輕DDoS的攻擊效果。CloudFlare、Neustar等云服務(wù)提供商會(huì)在全世界的數(shù)據(jù)中心宣布一個(gè)指定客戶的IP地址。這個(gè)分散的方法會(huì)將DDoS流量分散到不同地理位置上，從而減輕攻擊的影響。在出現(xiàn)像Spamhaus遇到的百萬級(jí)DDoS攻擊時(shí)，許多組織本身無法處理如此大規(guī)模的流量，他們必須向云提供商尋找?guī)椭?/p>

結(jié)論

在防御和應(yīng)對(duì)DDoS攻擊時(shí)，保持警惕是至關(guān)重要的。安全管理員必須了解針對(duì)互聯(lián)網(wǎng)系統(tǒng)的最新攻擊趨勢(shì)、策略和流程。各種統(tǒng)計(jì)信息表明，百萬級(jí)DDoS攻擊的規(guī)模和頻率將繼續(xù)增長，所以要做好防御措施應(yīng)對(duì)最壞的情況，比如Spamhaus遇到的攻擊。提前做好準(zhǔn)備是縮小DDoS攻擊范圍和強(qiáng)化潛在攻擊目標(biāo)防御能力的一個(gè)重要步驟。