彻底根治DDoS?只有他们才能做到
解决DDoS问题,有人认为很容易,只需要让ISP(互联网服务商)重写互联网即可。重写互联网标准,尤其是处于路由系统核心位置的边界网关协议(BGP),应得到妥善修订。
BGP真心是个非常糟糕的东西,欧洲网络与信息安全局(ENISA)将称之为“互联网的阿克流斯之踵”。理想世界里,这个东西必须被重写。但现实世界中,情况就复杂了。
除了要让政府监管机构帮助重写互联网路由层这种可怕的想法,这还像是试图完全重建一艘豪华游轮一样匪夷所思。仅仅是因为游轮服役已久,舱门有点关不严实了就要拆了重建是不合理的。这是艘大船,正航行在海洋上,人们都还生活在里面。
无论如何,ISP已经让各种标准帮助阻挡了至少一类DDoS,而且这玩意儿存在16年了。他们所要做的,就是实现和完善它。
反射问题
尽管有很多子类,DDoS攻击可被分为2大类。第一类是直接攻击,设备直接对目标发起流量洪水。
第二类是反射攻击。攻击者通过使用貌似目标的地址,向另一台设备发送数据包,来冒充目标。然后收到数据包的设备就会试图联系目标,实现DDoS攻击并将真正的目标踢掉线。
攻击者将IP包头的源地址字段替换成受害目标的地址,玩弄反射设备,让反射设备不知不觉就成了DDoS攻击的帮凶。这有点像是冒用别人的身份发送信件。其中关键在于放大:这取决于所发数据包的类型,发给目标的响应包可能大上一个数量级。
路由安全相互商定规范(MANRS)解释称:通过确认源地址和使用能阻止错误源IP地址数据包进出网络的反欺骗过滤,ISP可以有效防止第二类DDoS攻击。这是一部分网络运营者提出的宣言,他们希望通过向服务提供商提交最佳实践,来让路由层更加安全。
返回发送者
BCP 38,这个2000年就已出现的标准可以做到这一点。在网络边界设备上实现后,它可以检查入站数据包是否含有客户认可的源IP地址(比如,在恰当的IP段内)。如果不包含正确的源IP地址,数据包即被丢弃。很简单的标准,值得在自身环境中实现。如果所有运营者都实现了这一简单的最佳实践,反射和放大型DDoS攻击将得到大幅减少。
还有其他东西可供ISP阻住这些攻击,比如响应速率限制。权威DNS服务器常被用作反射式攻击中蠢笨且易上当帮凶,因为它们发给受害目标的流量比攻击者发送的还多。这些DNS的运营者,就可以用BIND软件默认自带的一项机制,来限制响应数量。这项机制可以通过检测入站流量的模式,来限制响应,避免对目标造成洪泛攻击。
ping联网(Internet of Ping)
ping包横行的问题亟待解决,因为此类风险正在上升。物联网的出现,让攻击者大把捞取网络摄像头和硬盘录像机(DVR)这种“哑设备”,并将它们指向中意的任何目标。这是一个“ping联网”的世界。
我们正处在用“愤怒的烤面包机军队”(指物联网设备)就能搞摊互联网的时代。鉴于物联网IP地址范围的广大,ISP想要检测和解决这一问题将更加困难。
10月的DNS提供商Dyn遭ping洪水攻击致主流网站掉线的事件,就是物联网ping洪水的真实例证。上千万IP地址发送ping包,而这还只是攻击者的预演热身,正戏会造成何种程度的网络灾难难以想象。
安全大师布鲁斯·施奈尔已经报告过有人正在试图撼动互联网的大门。“我们能对此做什么呢?什么都做不了,真的。”
好吧,还是能做点儿什么的。我们可以恳求ISP们联合起来,开始实现一些预防性技术。我们还可以鼓励物联网厂商们强化物联网设备的安全性。
“恰当的代码签名”什么的可以暂时放下,先从不使用默认登录凭证做起吧。看到Mirai这种没什么技术含量的恶意软件仅使用预置的用户名/口令列表,就拿下了半个Web,这其中必然有什么东西出了问题。
我们该怎样劝服物联网厂商做得更好呢?或许来点儿政府监管比较合适。实际上,有组织已经开始在这两方面做出努力了。
不幸的是,国家、行业政策的制订和实施会非常缓慢,而DDoS数据包则快如闪电。但是,难道不应该是号称“网络看门人”的互联网服务商自己站出来主动来解决这个问题吗?
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/
关注网络尖刀微信公众号
随时掌握互联网精彩
随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 奋力打开改革发展新天地 7908379
- 2 刘强东提前发年终奖 7908551
- 3 国足原主帅李铁已上诉 7874981
- 4 “冷资源”里的“热经济” 7739474
- 5 刘诗诗方辟谣离婚 7669879
- 6 微信可以线上送实体礼物了 7524811
- 7 王鹤棣先天松弛感圣体 7492825
- 8 #胡锡进说吴柳芳转型不易# 7333134
- 9 女子从体检“正常”到癌症仅半个月 7243337
- 10 肖战新片射雕英雄传郭靖造型曝光 7196256