DDoS攻击缓解:可利用云服务,不过要注意……

本文涉及的产品
全局流量管理 GTM,标准版 1个月
云解析 DNS,旗舰版 1个月
云解析DNS,个人版 1个月
简介:

任何遭遇过DDoS攻击的企业都知道这种攻击会造成严重的破坏。除了显而易见的影响,例如性能下降或企业网站完全无法访问,还有不太明显的影响,例如,如果企业在IaaS或甚至主机托管提供商那儿选择“基于使用量的定价”,DDoS攻击会给企业造成财务损失。当这些企业需要为带宽或CPU时间付费时,DDoS相关的成本影响非常显著。

鉴于分布式拒绝服务(DDoS)攻击可能会带来非常严重的后果,我们看到市场上涌现出很多专门防御或缓解这种类型攻击的技术。这些技术依靠不同的机制;例如,一种技术利用云计算来缓解DDoS攻击的影响,它会通过云服务提供商的DNS重置路由过滤有问题的流量。最常见的方法是调整DNS记录将对客户Web服务器的请求发送至云服务提供商,云服务提供商作为入站请求的反向代理,他们会过滤恶意流量并将合法流量返回给客户。

这种解决方案有很多优势:它不需要修改客户的网站,不需要部署新硬件,并可以快速启用或禁用。然而,依靠DNS重置路由也可能让问题复杂化。由于流量会首先通过DNS解析到达云服务提供商,攻击可绕过域名解析(例如直接瞄准底层客户IP地址),使其完全可以绕过这种保护机制。

CloudPiercer

从实践来看,这里带来的启示是:隐藏客户想要保护的服务的源IP很重要。事实上,这种缓解服务带来的价值与获取原始信息的难易程度有关,这些信息隐藏得越好,攻击者越难发起攻击。

这是比利时Leuven大学和纽约州立大学Stony Brook分校研究人员提出的观点,他们对很多用于发现服务器(这些服务器受基于DDoS防护技术保护)原始IP的技术进行了测试。他们查看了IP历史数据库、解析到原始IP的子域名(例如用于SSH连接的子域名)、DNS信息(例如不指向云服务提供商的MX记录)、可能包含IP信息的文件、引用和证书信息。他们的CloudPiercer研究网站提供了一种扫描工具来为管理员部署各种方法,帮助他们了解其环境是否存在风险。

这种方法很重要的原因不仅在于大部分网站都容易受到攻击,也因为这些方法很可能被精明的攻击者利用。例如,在CloudPiercer网站的部署会查看PHP信息文件;然而,这些肯定不是唯一包含服务器IP地址的文件:备份文件或脚本也可能包含这些信息。

我们可以做些什么?

对于基于云的DDoS防护,受云计算保护的Web服务器的原始IP暴露可不是什么好事儿,这应该引起安全人员的关注。要紧的是,如果使用基于云的DDoS防护服务,他们可以怎么做来确保受到保护?对于正在评估DDoS缓解工具和战略的企业,这会有什么影响?

对于已经在使用云服务作为其DDoS防护战略一部分的企业,他们必须了解他们是否正在暴露这些信息,以及他们是否在采取措施来防止这些信息在今后被泄露。为了确定他们现在是否在泄露这些信息,第一步可以利用CloudPiercer研究团队提供的免费的扫描器。但是,这个工具并没有涵盖其他方面,有些企业可能希望采取更全面的分析。例如,他们可能想要评估渗透测试是否可确保这些信息得到了真正的隐蔽。

在他们了解他们目前是否受到了影响后,他们可建立流程来确保这些信息在之后不会被泄露。对于不同的公司,可能会选择不同的方法,但他们可以考虑定期扫描、检索主机IP的内容变化,以及评估这些变化、针对该问题或其他适合环境的其他技术对开发人员进行教育。

对于正在评估基于云的DDoS防护工具及服务的企业,重要的是认识到这个问题的存在,并围绕这个问题制定计划。有些解决方案可能涉及构建上述程序来最大限度减少/防止信息泄露。这意味着基于设备的内部部署解决方案更加重要,因为我们可以预测挑战,保持企业隐蔽性以及考虑在云中运行但利用BGP的服务,很多供应提供两种选项。

企业应该认真思考这个问题,并将其融进安全规划中,因为DDoS缓解非常重要,如果想从所购买的服务中获取最大的价值,企业就需要认真理解和规划这一问题。


作者:Ed Moyle

来源:51CTO

相关文章
|
6天前
|
弹性计算 负载均衡 网络协议
在缓解DDoS攻击方面,如何优化业务架构?
**缓解DDoS攻击的策略:** 1. 缩小暴露面,隔离业务并隐藏非必需服务端口。 2. 使用VPC以增强内网安全。 3. 优化业务架构,进行压力测试,部署弹性伸缩和负载均衡。 4. 优化DNS解析,智能解析并屏蔽异常DNS响应。 5. 提供充足带宽以防攻击时影响正常流量。 6. 服务器安全加固,更新补丁,限制服务和端口,使用防火墙。 7. 建立应急响应预案,定期演练。 8. 考虑采用Web应用防火墙和专业DDoS防护服务。
139 17
|
2天前
|
Cloud Native 安全 网络协议
有没有一些开源的工具可以帮助我抵御DDoS攻击?
开源DDoS防护工具包括: 1. ExaBGP:多功能BGP工具,用于流量保护。 2. DDoS-Ripper:DDoS攻击服务器,产生大量流量。 3. mCaptcha:无感知验证码,防御垃圾信息和DDoS。 4. Gatekeeper:首个开源DDoS防护系统。 5. Curiefense:统一的云原生应用保护平台,内置DDoS防护。 6. XDP-Firewall:利用Linux XDP快速阻断恶意流量的防火墙。
|
19天前
|
负载均衡 监控 网络协议
高防服务器如何处理DDoS攻击?关于高防服务器的一些技术细节
DDoS攻击是网络威胁,通过大量请求淹没服务器。防御措施包括:备份网站以备切换,拦截异常HTTP请求,增加带宽抵御流量攻击,使用CDN分发内容并隐藏源IP。防御策略涉及流量清洗、黑洞路由、负载均衡等。硬件如防火墙、IDS/IPS也重要,云服务提供自动防护和弹性扩容。
|
26天前
|
弹性计算 负载均衡 监控
DDoS 攻击与防御技术
DDOS攻击一直是互联网通讯的一大诟病,它跟互联网通讯方式相互依存,下面介绍一些关于防ddos攻击的方案和想法。
160 4
|
2天前
|
网络协议 网络安全
有哪些常见的DDoS攻击类型?
DDoS攻击可分为三类:网络层(ICMP Flood, ARP Flood, IP分片)、传输层(SYN Flood, ACK Flood, UDP Flood)和应用层(DNS Flood, HTTP Flood, CC攻击),目标是消耗带宽、资源或使服务不可用。
|
12天前
|
安全 网络安全
安全----DDOS攻击解析,预防DDOS攻击的反击时ip封禁
安全----DDOS攻击解析,预防DDOS攻击的反击时ip封禁
|
19天前
|
Shell 网络安全 Apache
详细解读DDOS攻击应用
详细解读DDOS攻击应用
12 0
|
2月前
|
运维 安全 网络安全
DDoS攻击升级,解读防御DDoS攻击的几大有效方法
DDoS攻击升级,解读防御DDoS攻击的几大有效方法
81 0
|
1月前
|
弹性计算 负载均衡 监控
防御DDoS攻击:策略与技术深度解析
【6月更文挑战第12天】本文深入探讨了防御DDoS攻击的策略和技术。DDoS攻击通过僵尸网络耗尽目标系统资源,特点是分布式、高流量和隐蔽性。防御策略包括监控预警、流量清洗、负载均衡、弹性伸缩及灾备恢复。技术手段涉及IP信誉系统、深度包检测、行为分析、流量镜像与回放及云防护服务。综合运用这些方法能有效提升抗DDoS攻击能力,保障网络安全。
|
1月前
|
安全 网络安全 调度
游戏行业如何做好安全,避免DDOS攻击
随着网络游戏行业的迅速发展,网络游戏问题也不可忽视,特别是目前网络攻击频发,DDoS攻击的简单化以及普及化,对游戏来说存在非常大的安全威胁。