2015年，對(duì)青云QingCloud來說可謂“流年不利”。繼6月份的雷擊事件后，7月22日下午，青云QingCloud北京二區(qū)IDC遭到DDos攻擊，導(dǎo)致在該片區(qū)的部分網(wǎng)站/APP無法訪問，如：36氪、ENJOY、GitCafe、電視家瀏覽器等，故障持續(xù)2小時(shí)。

此次青云遭受DDoS攻擊，影響波及如此多的客戶，損失不能說不慘重。許多企業(yè)對(duì)DDoS攻擊恨得咬牙切齒，卻很難找到解決辦法。毫無疑問，近期策劃重大DDoS攻擊的那些人對(duì)互聯(lián)網(wǎng)的內(nèi)部運(yùn)作原理有著深入了解。由于攻擊者對(duì)這些專業(yè)知識(shí)的掌握了解，以及一些重要互聯(lián)網(wǎng)協(xié)議缺少基本安全保障，導(dǎo)致當(dāng)談到保護(hù)企業(yè)自身安全和防范這種類型的攻擊時(shí)，許多的企業(yè)處于劣勢(shì)。

這就是為什么許多企業(yè)、政策和行業(yè)組織一直致力于制定廣泛的行業(yè)計(jì)劃，減小危害巨大的DDoS攻擊的發(fā)生率。在大多數(shù)國(guó)家，已通過了宣布DDoS攻擊為非法的法律，比如美國(guó)的《計(jì)算機(jī)欺詐和濫用法案》以及英國(guó)的《計(jì)算機(jī)濫用法案》，但是立法對(duì)網(wǎng)絡(luò)犯罪起不了多大的威脅效果。

本文將主要探討如何減小DDoS攻擊的發(fā)生率和破壞力，以及如何結(jié)合使用內(nèi)部和基于云的DDoS緩解控制措施，盡量減小日益復(fù)雜的DDoS攻擊對(duì)企業(yè)業(yè)務(wù)造成的干擾和破壞。

評(píng)估DDoS攻擊的威脅

DDoS攻擊的破壞力很大，足以威脅到整個(gè)國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施，這個(gè)事實(shí)可以解釋為何諸多政府部門在開始要求：必須制定DDoS緩解方案。比如說，受聯(lián)邦金融機(jī)構(gòu)檢查委員會(huì)監(jiān)管的金融機(jī)構(gòu)現(xiàn)在必須監(jiān)控?zé)o無遭到DDoS攻擊，要有隨時(shí)就能激活的事件響應(yīng)方案，并確保在攻擊持續(xù)期間有足夠的人手，包括求助事先簽好的第三方服務(wù)，如果有的話。還鼓勵(lì)金融機(jī)構(gòu)將攻擊方面的詳情上報(bào)金融服務(wù)信息共享和分析中心以及執(zhí)法部門，幫助其他機(jī)構(gòu)識(shí)別和緩解新的威脅及手法。

針對(duì)DDoS攻擊等網(wǎng)絡(luò)威脅的全球合作在加強(qiáng)。由于僵尸網(wǎng)絡(luò)是一大威脅及常見的DDoS武器，聯(lián)邦調(diào)查局(FBI)和國(guó)土安全部與另外100多個(gè)國(guó)家共享了他們認(rèn)為被感染了DDoS惡意軟件的成千上萬臺(tái)計(jì)算機(jī)的IP地址。白宮網(wǎng)絡(luò)安全辦公室、商務(wù)部、國(guó)土安全部以及行業(yè)僵尸網(wǎng)絡(luò)組織也在緊密地合作，共同對(duì)付和打擊僵尸網(wǎng)絡(luò)。打掉僵尸網(wǎng)絡(luò)無疑有助于改善安全形勢(shì)，但這是一項(xiàng)永遠(yuǎn)不會(huì)結(jié)束的任務(wù)。

實(shí)施DDoS緩解控制措施，對(duì)DDoS攻擊說不!

針對(duì)分布式拒絕服務(wù)的緩解方案不可忽視，因?yàn)檫@種攻擊的頻率和復(fù)雜性給更多的企業(yè)組織構(gòu)成了威脅。如今的DDoS攻擊結(jié)合了大強(qiáng)度的蠻力攻擊和應(yīng)用程序?qū)庸簦M量造成最大程度的破壞，并躲避檢測(cè)機(jī)制。有些DDoS攻擊利用了成千上萬中招的系統(tǒng)或Web服務(wù)，會(huì)給企業(yè)在成本和聲譽(yù)方面極其重大的破壞，拒絕服務(wù)日益成為高級(jí)針對(duì)性攻擊的一部分。好消息是，你可以使用好多工具，盡量減小這種類型的攻擊給客戶和收入造成的影響。

想緩解DDoS，首先就要確保你已定義了事件響應(yīng)流程，并且明確了責(zé)任，這就需要多個(gè)小組通力合作。DDoS防范規(guī)劃需要安全團(tuán)隊(duì)與網(wǎng)絡(luò)操作人員、服務(wù)器管理員和桌面支持人員以及法律顧問和公關(guān)經(jīng)理攜起手來。

一旦DDoS事件響應(yīng)方案落實(shí)到位，你就可以關(guān)注四大方面的DDoS緩解控制措施，盡量減小DDoS攻擊給業(yè)務(wù)造成的干擾和破壞。在此按重要性順序排列：

?互聯(lián)網(wǎng)服務(wù)提供商(ISP)。大多數(shù)ISP都有“潔凈的網(wǎng)絡(luò)管道”(Clean Pipe)或DDoS緩解服務(wù)，收費(fèi)通常要比標(biāo)準(zhǔn)的帶寬成本高一些。基于ISP的服務(wù)對(duì)許多中小企業(yè)來說很管用，也符合預(yù)算方面的要求。別忘了一點(diǎn)：云服務(wù)提供商和主機(jī)托管商也是ISP。

?DDoS緩解即服務(wù)提供商。如果你有多家ISP，第三方DDoS緩解即服務(wù)提供商也許是一種更明智的選擇，不過基于云的服務(wù)通常成本更高。如果改變DNS或BGP路由，讓攻擊流量通過DDoS SaaS提供商來發(fā)送，你就能過濾掉攻擊流量，無論哪家ISP來為你處理。

?專用的DDoS緩解設(shè)備。你可以在互聯(lián)網(wǎng)接入點(diǎn)部署DDoS緩解設(shè)備，以此保護(hù)服務(wù)器和網(wǎng)絡(luò)。不過，蠻力攻擊可能仍會(huì)耗盡你的所有帶寬――即使服務(wù)器沒有崩潰，客戶們?nèi)詿o法正常訪問。

?基礎(chǔ)設(shè)施部件：比如負(fù)載均衡系統(tǒng)、路由器、交換機(jī)和防火墻。依賴貴企業(yè)的操作基礎(chǔ)設(shè)施來緩解DDoS攻擊是注定失敗的策略，只能對(duì)付最軟弱無力的攻擊。然而，這些部件在協(xié)同緩解DDoS方面卻能夠發(fā)揮作用。

大多數(shù)企業(yè)需要外部服務(wù)和內(nèi)部DDoS緩解能力結(jié)合起來。對(duì)你員工的技能水平作一個(gè)切合實(shí)際的評(píng)估――要是你手下有IT安全人員能檢測(cè)并分析威脅，先從內(nèi)部DDoS緩解開始入手，然后逐漸完善策略，加入外部服務(wù)。要是你沒有足夠的人手或者所需的技能組合，不妨從外部服務(wù)開始入手，考慮將來添加托管CPE(用戶端設(shè)備)緩解能力。

無論你最后選擇了哪種架構(gòu)，每年都要至少測(cè)試兩次DDoS緩解控制措施。如果你借助外部服務(wù)提供商，就要核對(duì)路由和DNS方面的變化，確保流量會(huì)傳送到外部服務(wù)，不會(huì)有重大干擾――另外還要確保能順利切回到直接路由。網(wǎng)絡(luò)配置和DNS路由在正常操作期間常常變動(dòng)――你要在實(shí)際的DDoS攻擊之前弄清楚這一點(diǎn)。

防止DDoS攻擊

想防止DDoS攻擊，長(zhǎng)期的解決辦法就是加強(qiáng)攻擊者用來發(fā)動(dòng)攻擊的互聯(lián)網(wǎng)協(xié)議，并且要求升級(jí)系統(tǒng)，以便得益于最佳實(shí)踐。比如說，許多DDoS攻擊之所以能得逞，就是因?yàn)楣粽咄ǔ＝柚袭?dāng)受騙的源IP地址來生成流量。IETF Best Common Practices文檔BCP 38建議：網(wǎng)絡(luò)操作人員應(yīng)對(duì)從下游客戶進(jìn)入其網(wǎng)絡(luò)的數(shù)據(jù)包進(jìn)行過濾，丟棄源地址不在其地址范圍內(nèi)的任何數(shù)據(jù)包。這樣可以讓黑客無法發(fā)送聲稱來自另一個(gè)網(wǎng)絡(luò)的數(shù)據(jù)包(即欺詐攻擊)。不過，按BCP 38的要求來做需要一筆支出，卻沒有立竿見影的效果，因而盡管有益于更廣泛的社區(qū)，卻沒有全面實(shí)施起來。

網(wǎng)絡(luò)管理員們可以確保自己遵守其他最佳實(shí)踐，從而加強(qiáng)互聯(lián)網(wǎng)的總體安全。比如說，他們應(yīng)該熟悉國(guó)土安全部頒布的DDoS快速指南(DDoS Quick Guide)，還應(yīng)該落實(shí)開放解析器項(xiàng)目(Open Resolver Project)等項(xiàng)目給予的建議。開放解析器可以回復(fù)針對(duì)域外主機(jī)的遞歸查詢，因而用于DNS放大DDoS攻擊中。該項(xiàng)目已列出了2800萬個(gè)構(gòu)成重大威脅的解析器，并提供了詳細(xì)指導(dǎo)，教人們?nèi)绾闻渲肈NS服務(wù)器，以減小DNS放大攻擊的威脅。

與往常一樣，若能確保已安裝了軟件的最新版本，系統(tǒng)不大容易受到黑客的攻擊，黑客經(jīng)常企圖利用其資源作為DDoS攻擊的一部分。比如說，務(wù)必要更新運(yùn)行BIND的DNS服務(wù)器，因?yàn)榛ヂ?lián)網(wǎng)系統(tǒng)聯(lián)盟(Internet Systems Consortium)現(xiàn)在已將響應(yīng)速率限制(RRL)添加到最佳版本中。RRL可以檢測(cè)表明存在濫用現(xiàn)象的模式，從而有助于緩解DNS放大攻擊，并減少發(fā)送回復(fù)的速率。另外務(wù)必要更新網(wǎng)絡(luò)時(shí)間協(xié)議(NTP)服務(wù)器，因?yàn)?.2.7之前的所有版本都很容易被用于NTP放大攻擊中。

雖然金融機(jī)構(gòu)等大企業(yè)是某些攻擊者眼里的明顯目標(biāo)，但它們至少有財(cái)力和資源來采用最新的安全技術(shù)和最佳實(shí)踐。不過，資源有限的小企業(yè)仍然面臨可能很強(qiáng)大的對(duì)手。這也是谷歌啟動(dòng)護(hù)盾項(xiàng)目(Project Shield)的原因之一：好讓那些運(yùn)行新聞、人權(quán)或選舉方面網(wǎng)站的組織機(jī)構(gòu)可以通過谷歌龐大的DDoS緩解基礎(chǔ)設(shè)施來發(fā)布其內(nèi)容。這種類型的計(jì)劃主要旨在確保潛在的受害者有足夠的資源來抵御攻擊，從而消除DDoS攻擊的影響。

全面共享DDoS緩解資源、實(shí)施行業(yè)最佳實(shí)踐可能很費(fèi)時(shí)間和資源，而且可能無法立即帶來回報(bào)，但是互聯(lián)網(wǎng)是個(gè)整體性的社區(qū)項(xiàng)目，打擊DDoS攻擊是大家共同的責(zé)任。除非人人都出一份力，否則再多的計(jì)劃也無法讓我們擺脫該死的DDoS攻擊。