DoS 防範

Tags:
Categories:

DDoS 防範

DDoS 定義

兩種 DoS 攻擊方式:

  • 使服務崩潰
  • 使網路壅塞

攻擊類型

攻擊類型攻擊方式應對方式
Distributed DoS多台獨立 IP 的機器同時開始攻擊1. 降級服務 2. 黑名單 3. 關閉網路設備
Yo-yo attack 悠悠球攻擊對有自動擴展資源能力的服務, 在資源減少的間隙進行攻擊黑名單
Application layer attacks 應用層攻擊針對特定的功能或特性進行攻擊，LAND 攻擊屬於這種類型黑名單
LANS這種攻擊方式採用了特別構造的 TCP SYN 數據包（通常用於開啟一個新的連接），使目標機器開啟一個源地址與目標地址均為自身 IP 地址的空連接，持續地自我應答，消耗系統資源直至崩潰。這種攻擊方法與 SYN 洪水攻擊並不相同。黑名單
Advanced persistent DoS 高級持續性 DoS反偵查/目標明確/逃避反制/長時間攻擊/大算力/多線程攻擊降級服務
HTTP slow POST DoS attack 慢 post 攻擊創造合法連接後以極慢的速度發送大量數據, 導致伺服器資源耗盡降級服務
Challenge Collapsar (CC) attack 挑戰 Collapsar (CC) 攻擊將標準合法請求頻繁發送，該請求會佔用較多資源，比如搜尋引擎會佔用大量的記憶體降級服務，內容識別
ICMP flood Internet 控制訊息協定 (ICMP) 洪水大量 ping/錯誤 ping 包 /Ping of death(malformed ping packet)降級服務
永久拒絕服務攻擊 Permanent denial-of-service attacks對硬體進行攻擊內容識別
反射攻擊 Reflected attack向第三方發送請求，通過偽造地址，將回覆引導至真正受害者ddos 範疇
Amplification 放大利用一些服務作為反射器，將流量放大ddos 範疇
Mirai botnet 僵屍網路利用被控制的物聯網設備ddos 範疇
SACK Panic 麻袋恐慌操作最大段大小和選擇性確認，導致重傳內容識別
Shrew attack 泼婦攻擊利用 TCP 重傳逾時機制的弱點，使用短暫的同步流量突發中斷同一鏈路上的 TCP 連接逾時丟棄
慢讀攻擊 Slow Read attack和慢 post 類似，發送合法請求，但讀取非常慢， 以耗盡連接池，通過為 TCP Receive Window 大小公告一個非常小的數字來實現逾時斷連，降級服務，黑名單
SYN flood SYN 洪水發送大量 TCP/SYN 數據包， 導致伺服器產生半開連接逾時機制
泪珠攻擊 Teardrop attacks向目標機器發送帶有重疊、超大有效載荷的損壞 IP 片段內容識別
TTL 過期攻擊當由於 TTL 過期而丟棄數據包時，路由器 CPU 必須生成並發送 ICMP 逾時回應。生成許多 ​​ 這樣的回應會使路由器的 CPU 過載丟棄流量
UPnP 攻擊基於 DNS 放大技術，但攻擊機制是一個 UPnP 路由器，它將請求從一個外部源轉發到另一個源，而忽略 UPnP 行為規則降級服務
SSDP 反射攻擊許多設備，包括一些住宅路由器，都在 UPnP 軟體中存在漏洞，攻擊者可以利用該漏洞從端號碼 1900 獲取對他們選擇的目標地址的回覆。降級服務， 封禁端口
ARP 欺騙將 MAC 地址與另一台計算機或閘道（如路由器）的 IP 地址相關聯，導致原本用於原始真實 IP 的流量重新路由到攻擊者，導致拒絕服務。ddos 範疇

防範措施

  1. 識別攻擊流量
    • 破壞服務
      • 識別流量內容
    • 壅塞服務
      • 記錄訪問時間
  2. 對攻擊流量進行處理
    • 丟棄攻擊流量
    • 封禁攻擊 ip
      • ipv4 ip 數量有限, 容易構造黑名單
      • ipv6 數量較多, 不容易構造黑名單. 可以使用 ipv6 的地址段, 但有錯封禁的風險
    • 控制訪問頻率

開源工具

攻擊工具

防禦工具

流量監控