五次DDOS攻擊 看懂2015年的“網(wǎng)絡(luò)戰(zhàn)場”
搜索一下網(wǎng)絡(luò)安全的相關(guān)新聞，你會發(fā)現(xiàn)發(fā)跡于1999年的DDOS攻擊在今天依舊風(fēng)生水起、猛料不斷，作為網(wǎng)絡(luò)空間中最為簡單粗暴、也最聲名狼藉的攻擊方式，分布式拒絕服務(wù)攻擊(DDOS攻擊) 常常與大規(guī)模掛馬、業(yè)務(wù)中斷、敲詐勒索掛鉤，也正是因為如此，DDOS攻擊仍然是全球大型服務(wù)提供商談虎色變的話題。
為了更好地了解今年的DDOS攻擊趨勢，我們采訪了360安全專家李豐沛，他所在的研究部門擁有著業(yè)界領(lǐng)先的DDOS攻擊可視化能力，雖然受制于很多原因，諸多案例尚不能公布，不過從對方提供的材料與評述里，我們依然可以通過幾個案例勾勒出今年DDOS攻擊的趨勢。
1、跨年之際，一場不精準(zhǔn)的攻擊事件
2014年年末，當(dāng)全世界都在喜迎新年時，DNS服務(wù)提供商 1&1 和 dnsmadeeasy.com 受到猛烈DDOS攻擊，這無疑給2015年開了個壞頭。受到該攻擊的波及，國內(nèi)用戶普遍感覺上網(wǎng)速度變慢。
在這次攻擊事件中，攻擊者攻擊的域名是 "隨機字符串.getfastinstagram
followers.net|com" 和 "隨機字符串.arkhamnetwork.com"。使用隨機字符串.域名的攻擊機制，目標(biāo)是讓DNS服務(wù)器的緩存耗盡，進(jìn)而無法對外提供流暢的服務(wù)。
李豐沛：通常我們都認(rèn)為攻擊者的能力是非常高的，事實上在DDOS戰(zhàn)場未必總是這樣。以上述事件為例，兩個服務(wù)商雖然在國外很有名，但在國內(nèi)使用它們解析的域名并不是太多，按說我國用戶不應(yīng)該受到很多影響。但實際上，由于DNS遞歸查詢的鏈條機制，攻擊者并非每次都在國外的權(quán)威解析服務(wù)器查詢，而是選擇在就近DNS服務(wù)器查詢，我國用戶就受到了連帶傷害。在我們看到的案例中，由于攻擊者水平良莠不齊，“誤傷”時有發(fā)生。
2、借力用力，打癱“軟件代碼之家” GitHub
談到GitHub也許你并不了解，但是在技術(shù)圈里它卻是全球知名。它提供了的軟件代碼托管服務(wù)，也程序員們交流的重要社區(qū)。
今年3月GitHub遭遇大流量DDOS攻擊，攻擊者通過“借力”百度廣告聯(lián)盟的方式發(fā)起了攻擊，挾持后者的JS腳本并將其替換成惡意代碼，最后利用訪問中國網(wǎng)站的海外用戶對GitHub發(fā)動大規(guī)模分布式拒絕服務(wù)攻擊。
由于Github的特殊地位，該事件很快在安全技術(shù)圈發(fā)酵，百度也很快在全站啟用https代替了http，這個多出來的s讓攻擊者的挾持難度大大增加，很多知名網(wǎng)站也做了類似的調(diào)整，未雨綢繆。
李豐沛：這些被挾持的腳本原本是百度用來做廣告統(tǒng)計的，被劫持后，會在網(wǎng)民的瀏覽器上持續(xù)刷新github 的相關(guān)頁面。由于百度統(tǒng)計的腳本覆蓋面積大，即使只有部分地區(qū)用戶訪問，給github帶來的負(fù)載也是其難以承受的。因此，對百度統(tǒng)計腳本的挾持事實上造成了對github的DDoS攻擊。由于事件各相關(guān)方的地位特殊，技術(shù)圈內(nèi)對此事的討論持久而細(xì)致。
3、那段時間，我們哪兒也去不了
5月份發(fā)生了多次互聯(lián)網(wǎng)廠商服務(wù)中斷事件，尤其是針對提供旅行、酒店服務(wù)的廠商。但從奇虎360對流量的監(jiān)測中，并非所有的事件都與DDOS相關(guān)，以攜程為例，其服務(wù)中斷就并不像外界最初猜測的那樣是DDOS攻擊造成的。
另一方面，相關(guān)的旅游服務(wù)商藝龍、去哪兒、途牛則是確確實實的遭到了攻擊，且手法極其類似，可以大致推測這是這是一起針對行業(yè)的攻擊事件。
李豐沛：雖然不能直接下最終定論，但是藝龍、去哪兒、途牛先后被DDoS，發(fā)起時間相鄰、攻擊手法類似，讓人不由得擔(dān)心。這次事件證明黑產(chǎn)組織有攻擊整個行業(yè)能力，那么黑產(chǎn)真的會攻擊某個行業(yè)么?什么時候?
4、高危警報，DNS根服務(wù)器異常流量事件
在2015.11.30～2015.12.01期間，DNS根服務(wù)器收到的流量高的異乎尋常。根服務(wù)器維護(hù)者特意為這個事件撰寫了說明，雖然文檔里并未將其定義為一次攻擊事件，反而特別強調(diào)了訪問量大、來源均勻、請求的域名單一，這些特點與常見的DNS flood DDoS并不一致。
李豐沛：DNS根服務(wù)器在DNS系統(tǒng)中的重要性不言而喻，任何針對根服務(wù)器的攻擊都需要相關(guān)安全人員的高度重視與謹(jǐn)慎應(yīng)對。
5、攻擊者的新玩具，基于 PortMapper/UDP 111 的攻擊出現(xiàn)
UDP反射放大攻擊，是DDoS攻擊的一種常見手段。這種攻擊是基于特定UDP服務(wù)、端口的，是否能夠大規(guī)模使用，要取決于反射源、反射放大系數(shù)是否夠大。
目前比較常見被利用的服務(wù)主要是 NTP/DNS/SSDP，分別對應(yīng)UDP端口 123/53/1900，我們在大量的攻擊事件中也看到上述三種攻擊手段的身影。此外還有較老的服務(wù)Chargen，對應(yīng)端口UDP 19。
然而在今年，基于 PortMapper/UDP 111 的攻擊開始出現(xiàn)，并不斷擴大規(guī)模。2015年4月至6月期間，UDP 111 的流量多次出現(xiàn)了短時、量大的脈沖，7月份開始出現(xiàn)基于PortMapper/UDP111的DDoS事件，8月份國外電信運營商level3發(fā)布blog，向工業(yè)界發(fā)出早期警告，之后PortMapper/UDP111的流量逐月攀升，到12月份已經(jīng)接近Chargen/UDP19的流量，成為攻擊者的“新玩具”。
李豐沛：攻擊者在實戰(zhàn)場地上向我們演示了新的攻擊武器，對于網(wǎng)絡(luò)安全從業(yè)者而言，這毫無疑問是個壞消息。在可預(yù)見的未來，還會有更多的新型DDOS攻擊手段被開發(fā)出來，2016年這個領(lǐng)域的攻防還會繼續(xù)動態(tài)對抗下去。
編輯：CIT03
