Defense By Design: How To Dampen DDoS Attacks With A Resilient Network

坚实壁垒源自巧妙设计:如何通过弹性网络抑制 DDoS 攻击

作者 Scott Bowen

分布式拒绝服务 (DDoS) 攻击的历史充满着恶意创新。DDoS 攻击不断变换形式和方法,使人们疲于应对。

针对 DDoS 攻击,没有人能够创造出绝对的有效防护。然而,首席信息官 (CIO)、首席信息安全官 (CISO) 和团队专家确实能通过评估组织内风险、建立弹性网络(结合结构和程序降低系统故障的可能性和影响)进行匹配,有效防备、应对 DDoS 攻击或从该攻击中恢复。

Defense By Design: How To Dampen DDoS Attacks With A Resilient Network
哪怕是短暂的运行中断或减速,都会损害收入、客户服务和声誉。

可以通过其目标进行定义 DDoS 攻击:通过妨碍数字响应减慢或阻止商业活动。攻击者利用多个盗版系统来攻击单个系统,用各方流量使其淹没。

这种攻击能够影响应用层,或堆积在假数据请求之上,或利用垃圾数据使系统崩溃。它们还可以欺骗系统的一部分,然后利用数据请求造成系统另一部分崩溃。

Akamai 副总裁兼总经理 John Summers 说:“DDoS 攻击也可以作为同时遭受的其他攻击(包括窃取敏感数据的 Web 应用程序攻击)的障眼法。”

下一次攻击

2016 年 10 月的大规模 Mirai 僵尸网络攻击与人们以往遇到的攻击都不同。就像 Akamai 的《互联网现状/安全》报告所述的那样,包括 DVR 和网路摄影机在内的约五十多万台设备都变成了“爬虫程序”的攻击同盟。

普渡大学信息保障与安全教育研究中心退休执行董事 Eugene Spafford 认为这么大规模的攻击并不是每天都会发生。他说:“但是以后还会有大规模攻击,可能不常见或没有规律,但终将会发生。”

物联网 (IoT)“攻击面”日益扩张,并将在以后类似的行动中扮演主要角色。Spafford 说:“随着我们的网络用户和事情越来越多,攻击者能够将它们大量破坏,使之变成像僵尸网络一样的东西,DDoS 攻击只会越来越多。”

他指出,迄今为止出于各种原因大部分已知的 DDoS 攻击都是相对短期的,因此,并不是每次攻击都需要很强的恢复力,但需要我们耐心应对。他说:“我不确定今后还会发生多少这样的情况。”

哪怕是短暂的运行中断或减速,都会损害收入、客户服务和声誉。对企业的一次攻击能够危害到整个业务流。例如,对托运人进行一次 DDoS 攻击意味着包裹会在港口堆积如山。产品不能到达零售店或配送点。下游客户陷入困境,商人因与其没有直接关系的问题而赔钱。

评估风险

Duo Security的主要安全分析师、网络安全员 Wendy Nather 说道,并不是每家企业都必须防备诸如大型网络僵尸那种规模或复杂程度的攻击。而是说,每家企业必须评估自己的风险。她指出,“挖掘威胁情报,找出可能有动机攻击他们的主体以及可能使用的攻击类型。”

欧洲某大银行前区域安全领导 Nather 认为,独立零售装备等小型经营不需要像银行那样做出防护。

为了做好准备,首席信息安全官 (CISO) 应该首先评估公司初级市场的风险预测规模和性质,然后制定计划抵御可能性最大的 DDoS 攻击。

对于各个行业及其规定,风险通常具有特异性。国家或地区不同,风险也不同。Spafford 列举了许多管理对企业弹性影响的例子。核电站要求具备计算能力,以抵御非法修改密码的行为。医疗行业的网络必须能够确保病历的机密性。金融行业必须安全保存数据以接受审计。

Spafford 认为,不存在一刀切的管理方法。他说:“您需要了解自己企业在管理环境中的情况”。

为获得弹性而构建

网络体系结构是弹性的基础。组织机构并不想使用完全扁平网络运营。完全扁平网络运营意味着,这个网络在整个机构中使用同一带宽,使系统的每一部分均可利用。攻击其中一部分,就意味着可以访问任何部分。Spafford 说:“良好的安全实践就是对您的网络进行分区。”

换句话说,组织机构应该能够对其网络进行分隔,以防止任何类型攻击的蔓延。棘手的是,随着网络建立或扩大,在希望或需要在不同分区间建立联系却存在风险的情况下,将这个因素包括进去。

Nather 认为,从结构上来讲,弹性网络应该也有大量组件冗余,能够改变不同设备间的流量路由(如需要)。

她说,如果一个网络依赖不同应用层间(例如多个复杂网络)的高通流量,那么在后端不应该只有一个数据库。

Nather 强调了两个关键策略:弹性网络应该具有多个控制点。在这些点处,管理员能够登录并作出修改。它不应该依赖单一互联网服务提供商,而是应该通过多个提供商获得多个潜在访问点。

为攻击做准备

要应对世界上所有类型的攻击,单靠创立一套程序是行不通的,特别是考虑到 DDoS 攻击变化多端。但是制定一份协议并将其记录在“运行手册”中,对于遭遇攻击时阐明分工大有帮助。

Nather 认为,在创立攻击程序时,组织机构需指定监督输入流量的负责人以获取潜在的攻击模式,确保员工能够将自己的发现汇报给合适的组织管理层人员。

Nather 说,在遭受攻击时,“您需要知道如何告知高层管理人员、法律人员和公共关系人员和商人。”“可能还需要牵涉到执法机关。”

Spafford 说,系统操作员应该提前知道如何堵住或关掉系统的主要输入连接,然后恢复所需的服务连接。

Nather 说,就攻击排练而言,“成功的企业确实经常这样做”。根据具体的攻击情境,公司业务和技术部代表应该通过电话会议或开会聚在一起对每个人进行分工。

Nather 说:“实践就像肌肉增强训练”。

弹性在行动

当发生攻击 — 企业准备充分却没有完全警惕时,企业最起码需即刻使用较大带宽和更多主机功率来应对。Spafford 说:“如果我的带宽和主机数量多于攻击的量,那么问题就解决了”。

基础设施可以设在云端。Summers 提醒道:“即使是最大的组织也没有能力抵抗最大规模的攻击”。“确保弹性的唯一方法是具备请求式云层和高度扩展能力。”

Spafford 说,组织机构还须能灵活改变 IP 地址、域名和路由,如此一来,目标系统才能根据攻击性质转移到不同地址和硬件中。

另外,不要忽略您所用域名系统 (DNS) 的质量。您的服务提供商为您设定的默认 DNS 可能不具备应对攻击所需的能力。如可以,使用备用 DNS 提供商。这样,如若您的主要 DNS 遭受 DDoS 攻击影响到您的业务,您就可以换上备用的 DNS。

有时组织机构能“吞掉”攻击。也就是说,以攻击者认为的方式引导攻击流量,那么流量就会到达预定目标,但实际上被送到了一个控制室。在这个控制室,可以对流量进行分析。

Nather 认为,接下来,如果您的公司团队有技术人员或您能够通过第三方盟友访问它们,那么您可以进行实时取证分析,发现和利用攻击应用自身存在的弱点,破坏或终止其功能。

行动后反思

一旦击退攻击,Spafford 建议进行行动后反思,在反思中提出以下问题:

  • 我们很快检测到攻击了吗?
  • 我们采取适当措施继续公司认为重要的服务了吗?
  • 我们的应对有效吗?
  • 我们忽略攻击的某些方面了吗?
  • 我们有没有忽略一些后果?

将这些行动后反思分享给您的一些伙伴和盟友,比如您的 DDoS 防护服务或安全顾问。如果盟友“在攻击前或攻击过程中向您提供了相关信息,您充分利用这些信息了吗?”Spafford 说。

弹性的好处

Summers 认为,弹性影响企业业务底线。他说:“有效抵抗 DDoS 攻击,意味着企业业务停工期较短,换言之客户服务和经营活动不受影响,收入损失的风险也随之较低。”

弹性确保您能兑现对您的优质客户体验承诺。您的客户能够快速找到自己想要的东西,买下它,然后去忙自己的事情。在这个客户为数字原住民的时代,客户希望得到最佳电子商务性能,因此网络减速再小也会损害业务。

最后,强大的弹性网络能够使您的公司免受最新的 DDoS 攻击。Spafford 说,如果您的声誉依靠的是您持续经营和沟通的能力,那么您就需要这样一个网络,即一个能够击退或抵消攻击影响的网络。

作为一名自由作家和编辑,Scott Bowen 一直为 True/Slant.com、ForbesTraveler.com 和《财富-小型企业》(Fortune Small Business) 杂志撰稿。他的小说已经被收录到了 Tight Lines: Ten Years of the Yale Anglers' Journal。

Related CIO Content