史上大型DDoS攻擊:每秒5億個數據包
作者:安全牛 來源:安全牛 日期:2019-02-14 浏覽

分布式拒絕服務攻擊(DDoS)無需占用太多帶寬即可産生破壞效果,且很難緩解。



今年初,Imperva應客戶要求緩解了一起每秒數據包數量超5億個的DDoS攻擊,可能是按數據包規模計的史上最大型DDoS攻擊。


1月10號的攻擊是所謂的SYN洪水攻擊——攻擊者通過發送超出目標計算機處理能力的TCP連接請求令該主機掉線。Imperva稱,本次攻擊中所用洪水數據包既有正常SYN包,也有大小在800-900字節之間的超大SYN包,源IP地址和端口也是高度隨機的。


攻擊者往往綜合接纳正常包和超大包攻擊,正常SYN包耗盡CPU等服務器資源,而超大SYN包用于堵塞網絡。


Imperva的調查發現,1月初的攻擊接纳了兩個已知工具,一個用于發起正常SYN流量洪水,另一個制造超大SYN包攻擊。這兩個工具似乎是差异作者編寫,然後被人組合使用在了互聯網曆史上最密集的網絡基礎設施DDoS攻擊上。


公司企業和媒體往往傾向于關注DDoS攻擊的規模。但實際上,規模並不是攻擊緩解難度或破壞水平的最佳反映。每秒包數量(PPS)是個更好的指標。


去年GitHub遭受的攻擊,其峰值流量達到1.35TB每秒,堪稱史上最大帶寬密集型DDoS攻擊。該攻擊吸引了大量關注,常被當作大型DDoS攻擊可致巨大挑戰的典型例子。


緩解難點


從緩解的立場看,提供足夠的網絡帶寬可以減弱這種攻擊。當下的DDoS攻擊緩解及防護服務傾向于提供遠超目前最大型DDoS攻擊規模的帶寬。這使得攻擊規模不再成爲令公司企業頭痛的問題。


但處理涉超高PPS的攻擊就是另一碼事了,因爲評估每個包所需的計算處理能力才是個中關鍵。限制網絡路由器、交換機和服務提供商用以緩解DDoS攻擊的設備的,不是數據包的大小,而是其産生速度。緩解高PPS攻擊需要的處理能力,遠遠超出了當前絕大多數網絡設備路由或交換數據包的能力。


“公司企業提供帶寬容量,所以大小往往成爲衡量DDoS攻擊的標准度量。但高PPS攻擊才是公司企業更應該關注的方向。


好比說,GitHub攻擊案例中,DDoS流量主要由差异服務器的相同端口發出的大數據包組成,PPS速率相對較低,爲1.296億。而本月初Imperva緩解的這起攻擊,從隨機源地址發出的包數量幾乎是GitHub攻擊的4倍。“


高PPS攻擊更難以産生,因爲需要更多的計算資源;同理,其緩解也需要更多計算資源。公司企業應更爲關注高PPS攻擊。


DDoS攻擊的影響最終取決于攻擊方式和目標企業的脆弱性。運用得當的話,無論是高帶寬的攻擊還是高PPS的攻擊,都能造成災難性後果。提前預測多方式DDoS攻擊的發展是不行能的。差异方式帶來差异的緩解挑戰。


好比說,高PPS攻擊不會像高帶寬攻擊那樣頻繁地堵塞鏈路。高帶寬攻擊往往對無辜路人造成連帶傷害,用網絡擁塞將他們一起擠掉線。


Imperva十大DDoS攻擊趨勢:

https://www.imperva.com/docs/DS_Incapsula_The_Top_10_DDoS_Attack_Trends_ebook.pdf


Imperva報告:

https://www.imperva.com/blog/this-ddos-attack-unleashed-the-most-packets-per-second-ever-heres-why-thats-important/