CTI論壇(ctiforum)2月22日消息（記者 李文杰): 2016年1月2日，BBC遭受了針對其所有應(yīng)用的網(wǎng)絡(luò)攻擊。此次攻擊導(dǎo)致了至少3個小時的應(yīng)用不可用。此次DDoS攻擊超過600Gbps--這是有史以來規(guī)模最大的一次DDoS攻擊。NewWorldHackers黑客組織聲稱對此次攻擊負(fù)責(zé)，該組織中的成員還發(fā)表了多篇文章，詳述此次事件。其中一個主要觀點(diǎn)就是，該黑客組織成功避開了亞馬遜的安全措施，利用管理者權(quán)限發(fā)起了攻擊。
亞馬遜擁有巨大的供其用戶使用的基礎(chǔ)架構(gòu)資源，其存在的資源被濫用風(fēng)險（如發(fā)起大型DDoS攻擊）一直以來都在被大家討論。
該組織是如何利用亞馬遜的基礎(chǔ)架構(gòu)生成高流量攻擊的？
亞馬遜的AWS安全白皮書中指出，亞馬遜已采用了多種技術(shù)來防止此類情況的發(fā)生。我們看一下幾個重要的技術(shù)及其對生成大型攻擊意味著什么：
防欺詐：亞馬遜彈性計(jì)算云(EC2)實(shí)例不能發(fā)送虛假的網(wǎng)絡(luò)流量。由AWS控制的托管防火墻基礎(chǔ)架構(gòu)不允許實(shí)例發(fā)送源IP或MAC地址不屬于自己地址范圍的的數(shù)據(jù)流。因此可以防御幾乎所有的大流量網(wǎng)絡(luò)層攻擊，如：欺詐洪水、反射和放大式洪水。
網(wǎng)絡(luò)監(jiān)控及防護(hù)措施：AWS采用了各種各樣的自動化監(jiān)控系統(tǒng)，可以提供很高的服務(wù)性能和可用性。AWS監(jiān)控工具可以在入口和出口通信點(diǎn)處檢測不尋常的或未經(jīng)授權(quán)的活動。這些工具可以監(jiān)控服務(wù)器和網(wǎng)絡(luò)的使用情況、端口掃描活動、應(yīng)用使用情況和未經(jīng)授權(quán)的入侵嘗試。這些工具還可以設(shè)置針對于不尋�；顒拥淖远x性能指標(biāo)閾值。因此，任何在網(wǎng)絡(luò)中流動的不尋常流量都可以被檢測出來，并引發(fā)相關(guān)節(jié)點(diǎn)的關(guān)閉。
DDoS防護(hù)措施：部署了專有的防護(hù)系統(tǒng)。盡管關(guān)于系統(tǒng)的詳細(xì)描述沒有披露出來，但仍有一些用于保護(hù)這些系統(tǒng)的監(jiān)控和自動化防護(hù)措施。
濫用報(bào)告：亞馬遜的客戶可以向亞馬遜報(bào)告賬戶的濫用情況。亞馬遜調(diào)查團(tuán)隊(duì)會研究每一份報(bào)告，并采取相應(yīng)的行動。因此，一般可以認(rèn)為，當(dāng)一個攻擊被報(bào)告后，亞馬遜應(yīng)該會針對攻擊采取及時的行動。
其它措施：部署了訪問控制、防掃描、加密和隔離措施，以防范此類情況的出現(xiàn)。
攻擊確實(shí)是由亞馬遜發(fā)起的可能性有多大呢？雖然我們已經(jīng)意識到，發(fā)起大流量攻擊是一個很具有挑戰(zhàn)性的任務(wù)，但我們不妨換個方法，如果攻擊容量不是那么高會怎樣呢？如果攻擊更復(fù)雜、更巧妙又會怎樣呢？
開始動態(tài)IP攻擊--帶來同樣的毀滅性結(jié)果
動態(tài)IP攻擊的目標(biāo)是應(yīng)用層。他們利用真實(shí)的IP地址完成與服務(wù)器之間的三次握手，也能夠規(guī)避諸如JavaScript質(zhì)詢等緩解技術(shù)。通過恰當(dāng)?shù)姆椒ǚ职l(fā)這類攻擊，攻擊者能夠成功做到讓檢測措施幾乎無法區(qū)分攻擊者和合法用戶。
攻擊者會采用各種各樣的技術(shù)來規(guī)避常見的防御機(jī)制。無頭瀏覽器的使用、規(guī)避技術(shù)、加密和特定的模仿用戶行為都是這些技術(shù)的范例。當(dāng)這樣的攻擊分布在海量源中時，每個源的速率就會變得很低，這使得應(yīng)用速率限制機(jī)制也無法將其檢測出來。由于在不影響正常操作的前提下公有云不易被添加到訪問列表中，因此，如果這樣的攻擊源自于主要的公有云基礎(chǔ)架構(gòu)，就會給緩解系統(tǒng)帶來更多挑戰(zhàn)。
我們再重新審視一下針對上述安全措施的動態(tài)IP攻擊：
防欺詐：應(yīng)用攻擊需要完整的會話，因此不會出現(xiàn)相關(guān)的IP欺詐，而且會創(chuàng)建真正的會話。然而，利用亞馬遜提供的地址范圍，IP可以頻繁改變。
網(wǎng)絡(luò)監(jiān)控及防護(hù)措施：復(fù)雜攻擊會在每個源節(jié)點(diǎn)采用低帶寬，但會進(jìn)行高頻率分發(fā)來隱藏攻擊。這樣的話，每個信息源看起來都是合法的。
DDoS防護(hù)措施：低流量攻擊可以躲過任何監(jiān)控措施的檢測，只可能在最終目的地位置被發(fā)現(xiàn)。事實(shí)上，即使在最終目的地位置也還是難于進(jìn)行朋友和敵人的區(qū)分。
濫用報(bào)告：為了報(bào)告濫用情況，首先需要確認(rèn)的是被濫用的信息源，并將這些上報(bào)給亞馬遜。當(dāng)信息源表現(xiàn)的像普通用戶一樣時，這幾乎是一個不可能完成的任務(wù)。
其它措施：當(dāng)僅使用在通常執(zhí)行策略內(nèi)的可接受行為機(jī)制時，仍然可以生成帶有上述屬性但仍在合理使用標(biāo)準(zhǔn)內(nèi)的攻擊。
總而言之，考慮到現(xiàn)有的安全措施，利用亞馬遜或其它任何公有云服務(wù)生成攻擊并不容易實(shí)現(xiàn)，但同時我們也知道，多數(shù)安全措施都是為了防御傳統(tǒng)的、與網(wǎng)絡(luò)相關(guān)的DDoS攻擊類型。我們相信，越來越多的攻擊者正在快速掌握高復(fù)雜度攻擊方式，這種高復(fù)雜度攻擊變得越來越難于探測和控制，這就意味著毀滅性結(jié)果的風(fēng)險越來越高。
關(guān)于Radware
Radware(NASDAQ:RDWR)是為虛擬數(shù)據(jù)中心和云數(shù)據(jù)中心提供應(yīng)用交付和應(yīng)用安全解決方案的全球領(lǐng)導(dǎo)者。Radware屢獲殊榮的解決方案為關(guān)鍵業(yè)務(wù)應(yīng)用提供充分的彈性、最大的IT效率和完整的業(yè)務(wù)靈敏性。Radware解決方案幫助全球上萬家企業(yè)和運(yùn)營商快速應(yīng)對市場挑戰(zhàn)，保持業(yè)務(wù)的連續(xù)性，在實(shí)現(xiàn)最高生產(chǎn)效率的同時有效降低成本。
