今天，分布式拒絕服務(wù)攻擊已經(jīng)和我們?cè)谇ъ甑拈_(kāi)端所見(jiàn)到的嬰兒期的DDoS不同。它們變得越來(lái)越精致和狡猾，而且造成的后果也遠(yuǎn)不只讓服務(wù)器宕機(jī)這么簡(jiǎn)單。
在DDoS剛興起的早期，大體量的攻擊很流行。受政治或經(jīng)濟(jì)因素驅(qū)動(dòng)的攻擊者會(huì)控制成千上萬(wàn)個(gè)“肉雞”來(lái)對(duì)某個(gè)特定目標(biāo)發(fā)動(dòng)攻擊，從而宕掉他們的服務(wù)器。雖然這樣的攻擊現(xiàn)在也很常見(jiàn)，但是越來(lái)越多的攻擊者開(kāi)始傾向于更為復(fù)雜的攻擊——“暗黑”DDoS，也可以稱之為煙幕攻擊。
發(fā)動(dòng)DDoS攻擊的目的是為了掩蓋真實(shí)的攻擊，偷取數(shù)據(jù)。
一家專門研究和模擬DDoS攻擊的咨詢公司 Nimbus DDoS表示，在這種模式下，攻擊者并不會(huì)利用拒絕服務(wù)來(lái)敲詐或是報(bào)復(fù)他們的目標(biāo)；相反，這只是一種達(dá)到最終結(jié)果的手段。攻擊者發(fā)動(dòng)這樣的攻擊可以誤導(dǎo)目標(biāo)機(jī)構(gòu)的管理員，并擠占有價(jià)值的時(shí)間和資源以至于他們無(wú)暇顧及內(nèi)部網(wǎng)絡(luò)發(fā)生的其它安全事件。
這是一種針對(duì)人而不是基礎(chǔ)設(shè)施的攻擊。關(guān)鍵點(diǎn)在于盡可能長(zhǎng)時(shí)間地拖住目標(biāo)機(jī)構(gòu)的工作人員，而這是使擁有合格人員的安全運(yùn)維中心徹底癱瘓的最有效的辦法之一。
暗黑DDoS攻擊只是為了搞掉目標(biāo)的網(wǎng)絡(luò)的可見(jiàn)性，大多數(shù)情況下，流量洪峰將致使網(wǎng)絡(luò)設(shè)備上某些探測(cè)異常行為的工具不能有效工作或者完全失效。這些設(shè)備通常設(shè)有一個(gè)閾值，如果通信量過(guò)大它就無(wú)法再繼續(xù)工作，所以這些攻擊就會(huì)逃過(guò)過(guò)濾，被設(shè)備默認(rèn)為進(jìn)入目標(biāo)網(wǎng)絡(luò)。
暗黑技巧
一場(chǎng)暗黑DDoS攻擊通常都是一個(gè)更復(fù)雜犯罪的標(biāo)志。對(duì)于工程師而言，一場(chǎng)這樣的攻擊會(huì)誤導(dǎo)目標(biāo)對(duì)于其它安全事件的判斷。如果攻擊者處理得當(dāng)，它甚至可以通過(guò)強(qiáng)迫目標(biāo)公司的管理人員因難于處理通信量問(wèn)題改變他們的基礎(chǔ)設(shè)施，從而產(chǎn)生意想不到的效果。事實(shí)上，在某些情況下，網(wǎng)絡(luò)運(yùn)營(yíng)或者安全部門的人員確實(shí)會(huì)降低他們?cè)诹鞒躺系陌踩砸詰?yīng)對(duì)流量洪峰。
不像傳統(tǒng)的攻擊，暗黑DDoS的攻擊者不會(huì)試圖通過(guò)毀滅性的流量洪峰使目標(biāo)宕機(jī)。因?yàn)橄戮€反而令攻擊無(wú)法繼續(xù)。暗黑DDoS攻擊的特征往往和我們平時(shí)所能看到的那些針對(duì)企業(yè)的大體量攻擊不同，比如經(jīng)常是不到1Gbit每秒的攻擊，用以產(chǎn)生大量的安全事件，以及有效的掩蓋入侵。
而且，暗黑DDoS的出現(xiàn)會(huì)逐漸改變DDoS的運(yùn)作方式。當(dāng)然，我們?nèi)钥梢钥吹綌?shù)百Gbit每秒的攻擊，但是它們的規(guī)模會(huì)越來(lái)越小，更具針對(duì)性而且持續(xù)時(shí)間更短。有很多統(tǒng)計(jì)均顯示， 小于1Gbit每秒量級(jí)的DDoS攻擊越來(lái)越多，超過(guò)95%的攻擊僅持續(xù)了30分鐘甚至更短。
危險(xiǎn)不在于“拒絕服務(wù)”，而在于攻擊本身。
暗黑DDoS為更復(fù)雜的以偷取數(shù)據(jù)為主要目的入侵留出足夠的帶寬，并且消耗防護(hù)資源、使安全人員分心，以掩蓋真正的攻擊。
而且這種攻擊可以避開(kāi)那些用來(lái)應(yīng)付大體量的DDoS攻擊的流量清洗技術(shù)，因此應(yīng)該把暗黑DDoS視作一種嚴(yán)重威脅來(lái)考慮。
真實(shí)的暗黑DDoS攻擊什么樣？
大多數(shù)入侵都始于對(duì)整個(gè)網(wǎng)絡(luò)的掃描以便找到一個(gè)潛在的入口，而掃描行為是非常容易觀察到的，所以煙幕攻擊可以被用來(lái)模糊這種行為使你很難發(fā)現(xiàn)它。
攻擊者進(jìn)入網(wǎng)絡(luò)后同樣會(huì)使用煙幕攻擊來(lái)隱藏他們的活動(dòng)。因?yàn)楣粽邿o(wú)法確切地知道他們會(huì)在目標(biāo)的網(wǎng)絡(luò)環(huán)境中留下什么痕跡。要知道，從目標(biāo)網(wǎng)絡(luò)中拖走客戶數(shù)據(jù)庫(kù)或者大量的信息資產(chǎn)是很容易被發(fā)現(xiàn)的。于是，用于掩蓋行為的“煙幕”會(huì)非常有幫助。
即使有了“煙幕”的幫助，攻擊者還會(huì)在目標(biāo)機(jī)構(gòu)的網(wǎng)絡(luò)變換技巧，不斷地嘗試以找出在當(dāng)前網(wǎng)絡(luò)環(huán)境中最有效的辦法，給保護(hù)系統(tǒng)的安全人員帶來(lái)了很大的困難。
數(shù)年前，研究人員就發(fā)現(xiàn)了一個(gè)暗黑DDoS攻擊，以轉(zhuǎn)移系統(tǒng)管理員的注意力，然后在DDoS攻擊的掩蓋下，使用偽造的自動(dòng)清算轉(zhuǎn)賬(ACH)從被入侵的賬戶中盜取資金。
最為公眾熟知的一暗黑DDoS攻擊的實(shí)例，就是去年10月發(fā)生的TalkTalk數(shù)據(jù)泄露事件。在這起事件中，攻擊者用大流量淹沒(méi)了企業(yè)的網(wǎng)站，在工作人員疲于應(yīng)付的時(shí)候，進(jìn)入系統(tǒng)盜取客戶數(shù)據(jù)。類似的還有，今年八月，歐洲最大的移動(dòng)電話零售商 Carphone Warehouse 在被大流量攻擊淹沒(méi)后，240萬(wàn)的客戶個(gè)人數(shù)據(jù)泄露。
保持警惕
但暗黑DDoS攻擊并非萬(wàn)能，它也是可以被檢測(cè)到的。
首先需要了解自己的網(wǎng)絡(luò)服務(wù)，了解正常的通信流量。可以通過(guò)一些培訓(xùn)去幫助運(yùn)維人員識(shí)別小體量的DDoS，并且把這種攻擊作為需要對(duì)可疑活動(dòng)監(jiān)測(cè)的標(biāo)識(shí)。
“雖然金融機(jī)構(gòu)是暗黑DDoS的主要目標(biāo)，但金融并不是唯一一個(gè)被這種攻擊瞄準(zhǔn)的行業(yè)。”
DDoS攻擊與日俱增，并且簡(jiǎn)單地破壞企業(yè)的網(wǎng)絡(luò)已不再是攻擊者的唯一目標(biāo)。它很可能是更更具危險(xiǎn)與破壞力的潛在威脅的征兆，正所謂：山雨欲來(lái)風(fēng)滿樓。
京公網(wǎng)安備 11010502049343號(hào)