當(dāng)前，許多企業(yè)都意識(shí)到DDoS防御對(duì)維護(hù)非凡客戶(hù)體驗(yàn)而言至關(guān)重要。這是為什么呢?因?yàn)榫W(wǎng)絡(luò)攻擊對(duì)加載時(shí)間或最終用戶(hù)體驗(yàn)的影響遠(yuǎn)超過(guò)其他因素，網(wǎng)絡(luò)攻擊是應(yīng)用性能的無(wú)癥狀殺手。

[[208223]]

作為向最終用戶(hù)提供高可用和高性能內(nèi)容的經(jīng)銷(xiāo)商，CDN是客戶(hù)體驗(yàn)的關(guān)鍵。然而，CDN網(wǎng)絡(luò)中的新漏洞也讓很多人想知道CDN本身是否容易遭受到各類(lèi)攻擊侵?jǐn)_，如：循環(huán)攻擊。

那么CDN容易遭受到什么類(lèi)型的攻擊呢?以下是會(huì)危及到CDN的5大威脅，企業(yè)必須對(duì)這些威脅有所防范。

盲點(diǎn)1：動(dòng)態(tài)內(nèi)容攻擊

攻擊者了解到，CDN服務(wù)中的重大盲點(diǎn)是對(duì)動(dòng)態(tài)內(nèi)容請(qǐng)求的處理。由于動(dòng)態(tài)內(nèi)容并沒(méi)有存儲(chǔ)在CDN服務(wù)器中，因此所有動(dòng)態(tài)內(nèi)容請(qǐng)求都會(huì)發(fā)送到源服務(wù)器。攻擊者可以利用這種行為，生成包含HTTP GET請(qǐng)求隨機(jī)參數(shù)的攻擊流量。CDN服務(wù)器可以立即將這些攻擊流量重定向至源服務(wù)器進(jìn)行請(qǐng)求處理。然而，在很多情況下，源服務(wù)器無(wú)法處理所有的攻擊請(qǐng)求，也無(wú)法為合法用戶(hù)提供在線(xiàn)服務(wù)，因此就會(huì)出現(xiàn)拒絕服務(wù)的情況。

許多CDN都能夠限制發(fā)送到受攻擊服務(wù)器的動(dòng)態(tài)請(qǐng)求數(shù)量。這就意味著，他們無(wú)法區(qū)分攻擊者和合法用戶(hù)，速率限制也會(huì)攔截合法用戶(hù)。

盲點(diǎn)2：基于SSL的攻擊

基于SSL的DDoS攻擊的攻擊目標(biāo)是安全在線(xiàn)服務(wù)。這些攻擊容易發(fā)起，但是很難緩解，因此成為了攻擊者的最?lèi)?ài)。為了檢測(cè)并緩解DDoS SSL攻擊，CDN服務(wù)器必須首先利用客戶(hù)的SSL密鑰解密流量。如果客戶(hù)不愿意向CDN提供商提供SSL密鑰，SSL攻擊流量就會(huì)重定向至客戶(hù)的源服務(wù)器，使得客戶(hù)容易受到SSL攻擊侵?jǐn)_。擊中客戶(hù)源服務(wù)器的SSL攻擊可以輕易擊垮安全在線(xiàn)服務(wù)。

在涉及到WAF技術(shù)的DDoS攻擊中，CDN網(wǎng)絡(luò)在可擴(kuò)展性能的每秒SSL連接數(shù)方面還有一個(gè)明顯劣勢(shì)，并可能出現(xiàn)嚴(yán)重的延遲問(wèn)題。

PCI和其它安全合規(guī)性也是一個(gè)問(wèn)題，有時(shí)候會(huì)限制數(shù)據(jù)中心為客戶(hù)提供服務(wù)的能力，這是因?yàn)椴⒉皇撬械腃DN都具備跨所有數(shù)據(jù)中心的PCI合規(guī)性。這可能再次增加延遲并引發(fā)審計(jì)問(wèn)題。

盲點(diǎn)3：針對(duì)非CDN服務(wù)的攻擊

CDN服務(wù)通常只提供給HTTP/S和DNS應(yīng)用。VoIP、郵件、FTP和專(zhuān)用協(xié)議等客戶(hù)數(shù)據(jù)中心的其它在線(xiàn)服務(wù)和應(yīng)用并不是由CDN提供的，因此，流向這些應(yīng)用的流量并不會(huì)通過(guò)CDN發(fā)送。此外，許多Web應(yīng)用也不是由CDN提供服務(wù)的。攻擊者正在利用這一盲點(diǎn)發(fā)起不經(jīng)過(guò)CDN發(fā)送的針對(duì)應(yīng)用的攻擊，并利用可能堵塞客戶(hù)互聯(lián)網(wǎng)管道大規(guī)模攻擊客戶(hù)源服務(wù)器。一旦互聯(lián)網(wǎng)管道被堵塞，客戶(hù)源服務(wù)器中的所有應(yīng)用對(duì)合法用戶(hù)均不可用，包括由CDN提供服務(wù)的應(yīng)用。

盲點(diǎn)4：直接IP攻擊

一旦攻擊者發(fā)起了針對(duì)客戶(hù)源Web服務(wù)器IP地址的直接攻擊，即使是由CDN提供服務(wù)的應(yīng)用也會(huì)遭受到攻擊。這些攻擊可能是UDP洪水或ICMP洪水等不經(jīng)由CDN服務(wù)進(jìn)行傳送的網(wǎng)絡(luò)洪水，將直接擊中客戶(hù)源服務(wù)器。此類(lèi)大流量網(wǎng)絡(luò)攻擊可能堵塞互聯(lián)網(wǎng)管道，關(guān)閉源服務(wù)器中的所有應(yīng)用和在線(xiàn)服務(wù)，包括由CDN提供服務(wù)的應(yīng)用或在線(xiàn)服務(wù)。通常，數(shù)據(jù)中心“防護(hù)”的錯(cuò)誤配置可能導(dǎo)致應(yīng)用直接容易受到攻擊侵?jǐn)_。

盲點(diǎn)5：Web應(yīng)用攻擊

針對(duì)Web應(yīng)用威脅的CDN防護(hù)措施的防護(hù)水平有限，會(huì)將客戶(hù)Web應(yīng)用暴露在數(shù)據(jù)泄露、數(shù)據(jù)竊取和其它常見(jiàn)Web應(yīng)用威脅之下。多數(shù)基于CDN的Web應(yīng)用防火墻的功能也很有限，僅適用于一組基本的預(yù)定義特征碼和規(guī)則。許多基于CDN的WAF不能閱讀HTTP參數(shù)，不會(huì)創(chuàng)建主動(dòng)安全規(guī)則，因此無(wú)法防御零日攻擊和已知威脅。對(duì)于在WAF中為Web應(yīng)用提供優(yōu)化措施的企業(yè)而言，實(shí)現(xiàn)這一防護(hù)水準(zhǔn)所需的成本也是相當(dāng)高的。

除了之前已確認(rèn)的重大盲點(diǎn)外，多數(shù)CDN安全服務(wù)都不夠敏感，因此可能需要數(shù)小時(shí)的手動(dòng)部署才能將安全配置覆蓋到所有網(wǎng)絡(luò)服務(wù)器。安全服務(wù)正在使用速率限制等過(guò)時(shí)的技術(shù)，該技術(shù)在上個(gè)攻擊活動(dòng)中已被證實(shí)效率較低，缺乏網(wǎng)絡(luò)行文分析、質(zhì)詢(xún)-應(yīng)答機(jī)制等功能。