DDOS攻击方式和防护方法的研究

徐 斌

（南京铁道职业技术学院信息管理中心 江苏 210015）

0 引言

Incapsula公司今年发表了一篇有关DDoS（分布式拒绝服务）攻击的趋势分析文章，称2014年DDoS攻击正呈现出更大、更快、更强、更聪明的趋势。他们发现，2014年以来DDoS攻击呈现出了快速飙升的势头，与去年同期相比，今年的 DDoS攻击行为增加了240%。

1 当前DDOS的现状

现阶段的DDOS攻击呈现出了下面两个特点：

（1）攻击活跃。结合各方统计数据可以看出，现阶段的DDOS攻击活动还处在一个高发期，无论是在持续增长的大小、速度、持续时间和复杂性上，都有了比较明显的增长。一方面，低技术门槛的特点使得DDOS攻击变成了一种简单高效、极易实施的行为；另一方面，大量的缺乏安全措施的终端/服务器，也为DDOS的攻击提供了数量可观的僵尸资源，使得发动攻击成为可能。

（2）攻击目标对象清晰，攻击目的明确。数据中心一直是DDoS攻击的重灾区。在数据中心，排名前三的被攻击业务分别为电子商务、在线游戏、DNS服务。尤其是针对DNS服务的攻击影响面最广，对互联网基础架构所造成的威胁也最严重。政治上的恶意动机、对手之间的恶意竞争、敲诈勒索等经济犯罪，是黑客发起DDOS的主要目的。

2 DDOS的主要攻击方式分析

2.1 大流量冲击型

大流量攻击一方面使得基础网络的出口拥塞、带宽被占满，正常的业务流量无法得到带宽保证，另一方面基础网络的安全设备、服务器主机等设备也因为过量的负载导致CPU繁忙甚至挂死，整个网络可能瘫痪并无法继续对外提供服务，主要的攻击形式如下所述。

2.1.1 以SYN Flood为代表的有状态协议报文攻击

SYN Flood攻击是目前使用最为广泛的攻击方式，它充分利用了TCP协议三次握手机制的特点，伪造大量的源IP和端口的SYN报文，在向服务器端发送第一个SYN报文后，不再继续发送后续响应报文，导致服务器端在发送SYN+ACK的响应报文后，因为收不到响应报文而长时间的保持TCP连接，最终导致服务器因为存在大量的半连接而资源耗尽而造成拒绝服务，通过对僵尸网络大量“肉鸡”主机的控制很容易形成大规模的SYN Flood攻击。

除了传统的SYN报文攻击之外，攻击者还可以在这个基础上进行变形形成新的类似攻击，例如使用ACK报文进行Flood攻击、构造超长字节数目的攻击报文、修改TCP头的TCP标志位使得协议状态机混乱的攻击、短时间内大量建立完整TCP连接使得应用程序的TCP并发连接数达到极限值从而造成拒绝服务，这是目前使用比较多的攻击方式

2.1.2 以UDP/ICMP Flood为代表的无状态协议报文攻击

基于UDP协议的DDOS比较简单易行。黑客只需要伪造大量IP地址和小字节的UDP报文，针对特定的应用服务器及其端口号，连续大量发包冲击诸如DNS域名解析服务器、Radius认证服务器及流媒体视频服务器等。这些攻击报文将导致目标服务器始终处在繁忙状态，从而影响正常UDP消息的处理。其他诸如ICMP Flood攻击，其原理也和UDP比较类似。

2.2 应用层资源消耗型

应用层攻击不是依靠超大规模的流量取胜，其主要是通过模拟用户发送请求，对特定的应用或服务的资源进行消耗占用，利用较小的流量攻击就可以耗尽应用层资源并拒绝提供服务，这其中以HTTP GET和DNS Query为典型代表。

2.2.1 HTTP GET攻击

作为CC（Challenge Collapsar）攻击的一种主要表现形式，HTTP GET的攻击目前比较流行。攻击者可能通过单主机构造多个IP地址或者通过控制的大量的僵尸主机，在和服务器建立正常的 TCP连接，之后不断的向目标服务器特定页面发起HTTP GET请求来达到拒绝服务攻击的目的.

2.2.2 DNS查询的泛洪攻击

黑客通过利用僵尸网络（或模拟大量 IP地址）基于真实DNS协议发起大量DNS Query域名查询请求，导致DNS服务器资源被大量消耗，网络带宽被占用耗尽，使得无法传送正常DNS查询请求；或者发送大量非法域名查询报文引起DNS服务器持续进行迭代查询，从而达到用小流量实现攻击的效果，比如5.19安全事件，暴风影音的DNS攻击事件。

3 DDOS攻击的主要防护方式分析

考虑到DDOS攻击的多样性，现阶段没有办法完全杜绝这种攻击行为的发生，但是我们可以做到减少被DDOS攻击，在遭受DDOS攻击之后快速恢复业务。接下来将从四个方面进行分析。

3.1 网络安全管理员通过合理的配置实现攻击预防

在运维管理过程中，网络安全管理员除了调整 WEB服务器负载，做好业务之间的冗余备份和负载均衡外，还可以关注以下几个方面的配置调整，以减少被攻击的风险。

确保所有服务器采用最新系统，并打上安全补丁，避免服务器本身的安全漏洞被黑客控制和利用。同时关闭不需要使用的服务和端口，禁止使用网络访问程序如Telnet、FTP、Rlogin等，必要的话使用类似SSH等加密访问程序，避免这些端口被攻击者利用。

建设完整的安全日志跟踪系统，在网络的边缘出口运行端口映射程序或端口扫描程序，实时监控网络中可能存在的恶意端口扫描等行为，同时对网络设备、主机/服务器系统的日志进行收集分析，及时发现可能存在异常的日志行为并进行排查。

3.2 利用防火墙等设备实现DDOS攻击检测

目前的状态检测防火墙等安全设备都具备一定的安全攻击检测能力，一般其情况下基于对协议报文的状态跟踪，可以准确发现一些畸形TCP协议报文的攻击。除此之外，现阶段的典型攻击检测方式还有以下几种。

使能TCP Proxy连接代理技术。防火墙产品可以利用TCP Proxy代理功能，实现对攻击报文的准确识别。通过这种代理技术可以准确的识别基于 TCP连接状态的攻击报文，如针对SYN Flood攻击，TCP半连接状态攻击等。

智能会话管理技术。TCP连接并发的攻击，因为其本身有完整的TCP 三次握手，因此常规的TCP 代理技术并不能有效检测。为了避免这种情况，防火墙产品可以在TCP代理的基础上进一步改进，在TCP连接建立后，防火墙会主动检测该TCP连接的流量大小，如果设备存在大量的没有流量的空连接，则设备会主动将该TCP连接进行老化，避免这些空连接占用耗尽服务器的会话资源。

HTTP两次重定向技术。在接受到HTTP Get请求之前，安全设备会与客户端浏览器进行虚拟连接，待浏览器发送 HTTP Get报文请求后，将所要GET的URL进行重定向发向该浏览器，等待浏览器发起对该重定向链接的访问。如果浏览器再次发起该请求，则将该客户端加入到信任的IP列表，并再次重定向到浏览器所要请求的正确 URL，后续可以根据该 IP地址黑白名单信誉列表转发。

3.3 基于流量模型自学习的攻击检测方法

对于部分缺乏状态的协议报文攻击，因攻击报文属于正常报文，很难以通用的检测技术判断是否是攻击报文，此时可以通过流量自学习模型可以较好的解决这个问题。

在用户的自定义学习周期中，系统将获取用户在这个时间段内的流量分布情况，形成包含L4-L7层信息的流量模型。其参数包括但不限于：带宽占用情况、L4层协议端口的流量分布统计、应用层协议的种类及带宽分布、TCP报文带宽速率、会话连接数目及每秒新建速率参数、ICMP/UDP报文的速率、HTTP协议的带宽大小等，然后形成符合用户流量实际的比对模型，并作为后续判断网络中是否存在异常流量的标准。流量模型确立后，系统可以实时监控网络的流量并与模型进行比对，一旦超出模型标准一定的比例将被定义为异常流量，此时系统将生成动态过滤规则对网络流量进行过滤和验证，如验证源IP地址的合法性、对异常的流量进行丢弃，从而实现对DDOS攻击的防御。

3.4 基于云计算服务实现DDOS攻击防护

在实际的DDOS攻击防护过程中，面对万兆以上超大规模的攻击流量，攻击对象的出口带宽可能被完全拥塞，此时企业内部的DDOS检测和防护措施已经无法解决问题，租用高性能的运营商的云计算DDOS服务成为现实的选择。云计算服务商的主要优势是其超高的攻击检测性能和城域网内部就地清除攻击报文的能力。另外除了上述提到的一些攻击检测方式外，云计算服务商还可以充分利用云安全检测机制来识别攻击。比较典型的有基于IP信誉和恶意URL地址库的识别机制。对于恶意的IP地址和和恶意 URL链接访问流量直接拦截丢弃，最大限度提升防护效率。

利用云计算服务商实现DDOS攻击防护的工作流程如下：首先，通过引流技术将需要分析攻击的用户流量引导到DDOS攻击检测平台，再综合利用检测平台的各种技术最终实现对用户流量的攻击检测；其次，当攻击检测平台探测到疑似异常攻击流量后，将用户的疑似攻击流量自动牵引到服务商的流量清洗中心进行恶意流量清除；最后，攻击清除后的合法流量回注到原有网络，并上报清洗日志到业务管理中心生成各种攻击报告，以便提供给云计算DDOS服务的租户审计。

4 结束语

互联网业务和云计算的发展热潮，将会导致针对云数据中心的DDoS攻击频率大幅增长，攻击手段也会更加复杂；同时随着全球LTE建设步伐的加快，移动网络带宽迅速提升，移动智能终端和应用的不断丰富，黑客将会在移动互联网嗅到更多的利益引诱，并可能开始尝试发起DDOS攻击；运营商和云计算服务商需要更多的关注DDOS的攻击危害，综合多种安全防护手段，并通过云计算服务DDOS服务租用的方式进行布局。

[1]王雪玉.新一波DDOS来袭.金融科技时代，2013.3.

[2]余双成.DDoS攻击检测技术研究.北京邮电大学硕士论文，2013.

[3]Mims，Christopher.The Huge DDoS Attack That's Clogging Up the Whole Internet--Right.Now National Journal，2013.