大規(guī)模的應(yīng)用層攻擊可能會破壞混雜的DDOS防御
發(fā)布時間：2020-04-03 點(diǎn)擊數(shù)：110
安全研究人員最近觀察到大型應(yīng)用程序?qū)覦DOS攻擊。黑客在此攻擊中使用了新技術(shù)，可以輕松突破DDOS防御。對于將來的Web應(yīng)用程序運(yùn)營商來說，這可能會成為一個大問題。
攻擊這次攻擊的目標(biāo)是一個中國游戲網(wǎng)站，其峰值為8.7Gbps。受害站點(diǎn)使用了Imperva的DDOS防御服務(wù)。今天是DDOS攻擊帶寬經(jīng)常超過100Gbps的時代。 8.7Gbps似乎不是很大的威脅。但是，此事件在應(yīng)用程序?qū)庸舻臍v史上是前所未有的。
DDOS攻擊將在網(wǎng)絡(luò)層和應(yīng)用程序?qū)又g進(jìn)行攻擊。在網(wǎng)絡(luò)層攻擊中，攻擊者的目標(biāo)是通過各種網(wǎng)絡(luò)協(xié)議發(fā)送惡意數(shù)據(jù)包，吞噬目標(biāo)的全部帶寬并阻塞其網(wǎng)絡(luò)。
應(yīng)用程序級別的攻擊也稱為HTTP洪水，其目的是吞噬目標(biāo)的CPU和內(nèi)存以及其他計算資源，從而使Web服務(wù)器厭倦了對請求的響應(yīng)。一旦達(dá)到請求限制，服務(wù)器將停止響應(yīng)新請求，從而對普通用戶造成DDOS攻擊效果。
相反，HTTP Flood攻擊不同于網(wǎng)絡(luò)層攻擊。 HTTP泛洪不依賴于導(dǎo)致?lián)p壞的發(fā)送數(shù)據(jù)包的數(shù)量，而是依賴于目標(biāo)Web應(yīng)用程序需要處理的請求數(shù)量。迄今為止，最大的HTTP洪泛每秒可以發(fā)出200,000個請求，但是由于每個請求數(shù)據(jù)包的大小非常小，因此其帶寬消耗從未超過500Mbps。
大多數(shù)公司網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)旨在每秒處理100個請求。 Imperva研究人員說，如果未部署反DDOS服務(wù)，并且檢測到并過濾了網(wǎng)絡(luò)釣魚請求，黑客將很容易破壞其操作。
防御為了防止網(wǎng)絡(luò)層攻擊，企業(yè)通常需要首先將所有流量定向到DDOS防御解決方案運(yùn)營商。運(yùn)營商將過濾惡意數(shù)據(jù)包，僅將合法數(shù)據(jù)包發(fā)送給客戶。
防御應(yīng)用程序?qū)庸舻倪^程有所不同：通常是通過在客戶的Web服務(wù)器前面添加特殊的硬件設(shè)備來實現(xiàn)的。
混合DDOS防御解決方案由以上兩種解決方案組成：基于云的網(wǎng)絡(luò)層防御和前端應(yīng)用程序?qū)臃烙５牵瑢τ谶@種8.7Gbps HTTP泛洪攻擊而言，它可能是無能為力的。
由受Nitol惡意軟件感染的設(shè)備組成的僵尸網(wǎng)絡(luò)發(fā)起了攻擊，該攻擊發(fā)送了HTTP POST請求，該請求模仿了百度搜索引擎的爬蟲。請求數(shù)每秒達(dá)到163,000次，試圖將隨機(jī)生成的大容量文件上傳到服務(wù)器。這會產(chǎn)生相當(dāng)大的攻擊帶寬占用空間。
Imperva的研究人員在博客文章中寫道：“只有在建立TCP連接后，才能過濾應(yīng)用層流量。這意味著將允許惡意流量訪問，而這種高帶寬攻擊將造成巨大破壞，這只能是公司使用外部防御時解決的問題?！?/span>
這意味著網(wǎng)絡(luò)層DDOS防御服務(wù)將釋放這些流量，并讓企業(yè)的前端防御解決方案解決，但后者的功能原本是用來處理應(yīng)用程序?qū)庸舻摹５?，惡意?shù)據(jù)包實際上并未到達(dá)應(yīng)用程序?qū)?，因為公司網(wǎng)絡(luò)的上游帶寬無法處理它們生成的流量。這有點(diǎn)像將網(wǎng)絡(luò)層攻擊隱藏在應(yīng)用層攻擊之后。
“確實，當(dāng)今一些大型組織具備10Gb突發(fā)上行鏈路功能。但是，攻擊者可以輕松發(fā)起更多請求或調(diào)用更多僵尸網(wǎng)絡(luò)資源來擴(kuò)大攻擊范圍。因此，第二波攻擊很容易達(dá)到12 To 15Gbps。很少有非通信運(yùn)營商存在機(jī)構(gòu)具有解決這類前端攻擊的基礎(chǔ)架構(gòu)?！?/span>
一些行業(yè)很難應(yīng)對這種高帶寬應(yīng)用層攻擊，例如金融行業(yè)。金融機(jī)構(gòu)的Web應(yīng)用程序需要使用HTTPS來加密數(shù)據(jù)傳輸。另外，由于法規(guī)遵從性要求，為了保護(hù)財務(wù)和個人數(shù)據(jù)，他們還必須終止與企業(yè)內(nèi)部自己的基礎(chǔ)結(jié)構(gòu)的惡意HTTPS鏈接。
攻擊這次攻擊的目標(biāo)是一個中國游戲網(wǎng)站，其峰值為8.7Gbps。受害站點(diǎn)使用了Imperva的DDOS防御服務(wù)。今天是DDOS攻擊帶寬經(jīng)常超過100Gbps的時代。 8.7Gbps似乎不是很大的威脅。但是，此事件在應(yīng)用程序?qū)庸舻臍v史上是前所未有的。
DDOS攻擊將在網(wǎng)絡(luò)層和應(yīng)用程序?qū)又g進(jìn)行攻擊。在網(wǎng)絡(luò)層攻擊中，攻擊者的目標(biāo)是通過各種網(wǎng)絡(luò)協(xié)議發(fā)送惡意數(shù)據(jù)包，吞噬目標(biāo)的全部帶寬并阻塞其網(wǎng)絡(luò)。
應(yīng)用程序級別的攻擊也稱為HTTP洪水，其目的是吞噬目標(biāo)的CPU和內(nèi)存以及其他計算資源，從而使Web服務(wù)器厭倦了對請求的響應(yīng)。一旦達(dá)到請求限制，服務(wù)器將停止響應(yīng)新請求，從而對普通用戶造成DDOS攻擊效果。
相反，HTTP Flood攻擊不同于網(wǎng)絡(luò)層攻擊。 HTTP泛洪不依賴于導(dǎo)致?lián)p壞的發(fā)送數(shù)據(jù)包的數(shù)量，而是依賴于目標(biāo)Web應(yīng)用程序需要處理的請求數(shù)量。迄今為止，最大的HTTP洪泛每秒可以發(fā)出200,000個請求，但是由于每個請求數(shù)據(jù)包的大小非常小，因此其帶寬消耗從未超過500Mbps。
大多數(shù)公司網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)旨在每秒處理100個請求。 Imperva研究人員說，如果未部署反DDOS服務(wù)，并且檢測到并過濾了網(wǎng)絡(luò)釣魚請求，黑客將很容易破壞其操作。
防御為了防止網(wǎng)絡(luò)層攻擊，企業(yè)通常需要首先將所有流量定向到DDOS防御解決方案運(yùn)營商。運(yùn)營商將過濾惡意數(shù)據(jù)包，僅將合法數(shù)據(jù)包發(fā)送給客戶。
防御應(yīng)用程序?qū)庸舻倪^程有所不同：通常是通過在客戶的Web服務(wù)器前面添加特殊的硬件設(shè)備來實現(xiàn)的。
混合DDOS防御解決方案由以上兩種解決方案組成：基于云的網(wǎng)絡(luò)層防御和前端應(yīng)用程序?qū)臃烙５牵瑢τ谶@種8.7Gbps HTTP泛洪攻擊而言，它可能是無能為力的。
由受Nitol惡意軟件感染的設(shè)備組成的僵尸網(wǎng)絡(luò)發(fā)起了攻擊，該攻擊發(fā)送了HTTP POST請求，該請求模仿了百度搜索引擎的爬蟲。請求數(shù)每秒達(dá)到163,000次，試圖將隨機(jī)生成的大容量文件上傳到服務(wù)器。這會產(chǎn)生相當(dāng)大的攻擊帶寬占用空間。
Imperva的研究人員在博客文章中寫道：“只有在建立TCP連接后，才能過濾應(yīng)用層流量。這意味著將允許惡意流量訪問，而這種高帶寬攻擊將造成巨大破壞，這只能是公司使用外部防御時解決的問題?！?/span>
這意味著網(wǎng)絡(luò)層DDOS防御服務(wù)將釋放這些流量，并讓企業(yè)的前端防御解決方案解決，但后者的功能原本是用來處理應(yīng)用程序?qū)庸舻摹５?，惡意?shù)據(jù)包實際上并未到達(dá)應(yīng)用程序?qū)?，因為公司網(wǎng)絡(luò)的上游帶寬無法處理它們生成的流量。這有點(diǎn)像將網(wǎng)絡(luò)層攻擊隱藏在應(yīng)用層攻擊之后。
“確實，當(dāng)今一些大型組織具備10Gb突發(fā)上行鏈路功能。但是，攻擊者可以輕松發(fā)起更多請求或調(diào)用更多僵尸網(wǎng)絡(luò)資源來擴(kuò)大攻擊范圍。因此，第二波攻擊很容易達(dá)到12 To 15Gbps。很少有非通信運(yùn)營商存在機(jī)構(gòu)具有解決這類前端攻擊的基礎(chǔ)架構(gòu)?！?/span>
一些行業(yè)很難應(yīng)對這種高帶寬應(yīng)用層攻擊，例如金融行業(yè)。金融機(jī)構(gòu)的Web應(yīng)用程序需要使用HTTPS來加密數(shù)據(jù)傳輸。另外，由于法規(guī)遵從性要求，為了保護(hù)財務(wù)和個人數(shù)據(jù)，他們還必須終止與企業(yè)內(nèi)部自己的基礎(chǔ)結(jié)構(gòu)的惡意HTTPS鏈接。
因此，應(yīng)用程序級DDOS保護(hù)方案只能在解密數(shù)據(jù)后過濾請求。此外，他們必須在組織內(nèi)部執(zhí)行此操作。
以上來自云網(wǎng)時代小編的分享，云網(wǎng)時代為大家提供專業(yè)化深圳服務(wù)器租用，深圳服務(wù)器托管，深圳主機(jī)租用，云服務(wù)器租用，香港主機(jī)租用等海內(nèi)外服務(wù)器相關(guān)資源，詳情歡迎咨詢客服了解。