國家首屆網(wǎng)絡(luò)信息安全宣傳周才剛剛過去， 12月10日就爆發(fā)了國內(nèi)今年規(guī)模最大的針對運營商DNS網(wǎng)絡(luò)的惡性DDoS攻擊事件。攻擊正在發(fā)生，后續(xù)可能有很多變化，先來分析一下，截至目前發(fā)生的事情。
攻擊背景：
從12月10日凌晨開始，現(xiàn)網(wǎng)監(jiān)控到攻擊流量突增的情況，到上午11點開始，攻擊開始活躍，多個省份不斷出現(xiàn)網(wǎng)頁訪問緩慢，甚至無法打開等故障現(xiàn)象。下圖是某省運營商的流量監(jiān)控截圖，從圖中可看出正常訪問流量都在百兆以內(nèi)，高峰時竟然出現(xiàn)了高達(dá)6G的攻擊混合流量，對DNS網(wǎng)絡(luò)的沖擊可想而知。
▲
捕獲到的攻擊樣本如下圖所示：
▲
被攻擊域名1
▲
被攻擊域名2
經(jīng)過分析樣本發(fā)現(xiàn)，12月10日的攻擊主要是針對多個域名(包括arkhamnetwork.org、arkhamnetwork.com、getfastinstagramfollowers.net)的隨機查詢攻擊;11日凌晨攻擊出現(xiàn)變種，出現(xiàn)針對其他域名的攻擊，攻擊源主要來自各省內(nèi)。攻擊者不僅在短暫的時間內(nèi)發(fā)起了峰值大于6G bps的查詢請求(全國范圍內(nèi)大于100G的攻擊)，而且連續(xù)的變換二級域名，造成各省的DNS遞歸服務(wù)器延遲增大，核心解析業(yè)務(wù)受到嚴(yán)重影響。
攻擊過程介紹：
如下圖是DNS的結(jié)構(gòu)圖，這次攻擊發(fā)起的方式有兩種可能：一是攻擊者控制了大量被攻擊省內(nèi)的肉雞;二是利用攻擊工具模擬被攻擊省份的內(nèi)網(wǎng)IP。向DNS的遞歸節(jié)點發(fā)起隨機域名Flood，由于二級域名隨機，且在遞歸服務(wù)器的緩存中并不存在，遞歸服務(wù)器需要不斷的迭代去查詢最終的結(jié)果，從而能進(jìn)一步加劇了遞歸服務(wù)器的負(fù)載，造成服務(wù)器性能耗盡。
▲
DNS結(jié)構(gòu)圖
攻擊者調(diào)用大量肉雞發(fā)起針對多個域名的隨機查詢攻擊，由于本地DNS服務(wù)器上沒有相應(yīng)的記錄，需要向外遞歸查詢，極大的消耗了服務(wù)器性能。
▲
DNS攻擊發(fā)起時過程圖
攻擊防護：
本次攻擊仍在繼續(xù)，攻擊的動機不明確，所以暫時不能從根源處徹底解決問題。網(wǎng)絡(luò)的運維人員只能見招拆招，靈活應(yīng)對。
在防護工具的選擇上，建議用具備專業(yè)DDoS防護能力的專業(yè)設(shè)備。因為基礎(chǔ)的網(wǎng)絡(luò)安全設(shè)備(FW、IPS等)不具備精準(zhǔn)識別此類攻擊的能力，而且他們在攻擊過程中，本身就是脆弱的，極易成為第一塊倒下的多米諾骨牌;其次設(shè)備的處理性能要高，本次攻擊從目前監(jiān)測到的數(shù)據(jù)看，峰值流量已經(jīng)接近10G，要求防護設(shè)備具備高性能的特點。
在具體部署中，建議旁路部署，借助靈活的路由策略可實現(xiàn)清洗能力的共享。清洗能力可輕松覆蓋全省，不留死角。
最后，在應(yīng)急響應(yīng)支持團隊的支持中，要聯(lián)系應(yīng)急支持服務(wù)經(jīng)驗豐富的團隊，以免造成大面積斷網(wǎng)。
綠盟科技攻防團隊在監(jiān)控到攻擊發(fā)生后，立即啟動應(yīng)急處理流程，截至目前，協(xié)助處理的各省的DDoS攻擊現(xiàn)象均已得到有效控制。
京公網(wǎng)安備 11010502049343號