DDoS攻击的分布式协同防御

Size: px

Start display at page:

Download "DDoS攻击的分布式协同防御"

礼南富
5 years ago
Views:

1 DDoS 攻击的分布式协同防御龚俭东南大学计算机科学与工程学院 CERNET 华东北地区网络中心

2 大纲主干网安全的研究热点 DDoS 攻击 DDoS 监测 DDoS 防御 Hydra 系统 SEU 2

3 HSARPA 的网络空间安全战略研究计划 Research Theme 3:Network Security Security Protections for DNS Security Protocols for the Routing Infrastructure Next-Generation DDoS Defense: 大规模, 溯源 Network Measurement and Mapping:Enrich Modeling of Internet Attacks: 恶意代码行为 Network Reputation and Risk Analysis: 风险管理 SEU 3

4 DDoS 的攻击目标 Saturate critical services, e.g. DNS, Firewall prevent access to a particular service disrupt connections between two networks SEU 4

5 DDoS 的攻击放大 Spam mails based on address book Handler Agents/Zombies SYN flooding 用于直接 DDoS 攻击的放大网络 SEU 5

6 分布式反射服务失效攻击 DRDoS Small requests Servers Large responses Handler Agents/Zombies Reflectors SEU 6

7 特点 DRDoS 攻击者的隐蔽性 - 被攻击者收到的是放大器发送的散射流量, 攻击者的标识被隐藏 ; 攻击源的广泛性 - 攻击者可同时使用多个放大器, 使得在一个上行信道上产生广泛分布的攻击流量 ; 显著的倍增性 - 被攻击者收到的攻击流量远大于攻击者发送给放大器的流量可用于 DRDoS 的协议具有下列特征请求与响应之间存在明显的流量差 ;bps 或 pps 不需要或没有恰当的握手机制, 因此可以源冒充 SEU 7

8 协议放大率分析 Amplification Hell: Revisiting Network Protocols for DDoS Abuse Christian Rossow,NDSS 14, February 2014, San Diego, CA, USA SEU 8

9 协议放大器调查 Amplification Hell: Revisiting Network Protocols for DDoS Abuse Christian Rossow,NDSS 14, February 2014, San Diego, CA, USA SEU 9

Arbor 的调查结果 - 普遍性 Arbor 调查了 1500 家大型企业, 包括 Tier1 和 Tier2 的 ISP The report provides the results of Arbor Network s ninth annual Worldwide Infrastructure Security Survey.

10 Arbor 的调查结果 - 普遍性 Arbor 调查了 1500 家大型企业, 包括 Tier1 和 Tier2 的 ISP The report provides the results of Arbor Network s ninth annual Worldwide Infrastructure Security Survey. The survey covers a 12-month period from Nov through the end of Oct This report documents the collective experiences, observations and concerns of the operational security community in SEU 10

11 Arbor 的调查结果 - 动机游戏破坏政治突发示威个人恩怨赌博故障竞争操控犯罪 SEU 11

12 Arbor 的调查结果 - 强度 The targets of these largest reported attacks of over 100Gbps have all been UDP/53 or TCP/80, or the combination of both of these. SEU 12

13 感知影响失效东南大学 13

14 新动向 2014 年 12 月号, 阿里云计算宣布遭到 14 小时的 DDoS 攻击, 峰值强度达到 453.8Gb/s; 2014 年 9 月, 一个由 1.2 万 -1.5 万个由无线 AP 家用恒温器烘干机等物联网设备构成的僵尸网络在亚洲和美国发起了多次 DDoS 攻击, 峰值强度达到 215Gb/s; 2014 年, 江苏基础电信企业的 DNS 服务器被由无线 AP 视频监控设备和机顶盒设备构成的僵尸网络实施泛查询攻击, 强度达到 400 万 QPS SEU 14

15 NBOSv3.0 SEU 15

16 NBOS 对 DDoS 攻击的检测 % % 0.126% 62.97% 次 % 5.857% 2.105% 0.507% 0.293% 0.381% SEU 16

17 检测到的最大强度攻击 SYN-Flooding SEU 17

18 XXX.XXX 内部视频监控设备海康威视高危漏洞事件

19 多种僵尸网络控制 XXX.XXX XXX.XXX

20 DDoS 攻击行为 2015 年 3 月 - 今 2042 次 DDoS 攻击 SYNFLOOD 攻击

21 XXX.XXX 中国知网镜像服务器教学资源参考数据库装有瑞星杀毒系统

22 多个僵尸网络控制服务器 XXX.XXX XXX.XXX XXX.XXXX 相同控制协议

23 活跃的 DDoS 攻击行为 ~ 今余起攻击 SYNFLOOD

24 NBOS 的观测 SEU 24

25 宿端防御机制在被攻击的宿点网络边界部署检测与防御系统, 保护宿点服务的可用性目标明确但效果可能不好, 因为无法抑制源点源端防御机制在攻击源点的网络边界部署检测与阻截系统, 拦截或限制攻击流量可使攻击抑制效果最大化, 但源点难以发现且缺乏利益驱动力主干网防御机制 DDoS 的防御架构在互联网主干网中部署检测与阻截系统, 拦截或限制攻击流量检测难度介于宿端防御机制和源端防御机制之间, 防御效果也介于两者之间需要协同机制支持以达到理想的防御效果由于作为 ISP 有服务质量保证的责任, 因此对攻击防御有一定的利益驱动力 SEU 25

26 基于统计方法针对 Flooding 类型的攻击, 基于流量的统计特征来进行异常检测, 重点是一些典型报文 ( 例如 TCP 的 SYN 报文 ) 的统计特征这类方法的部署没有限制, 在源端主干网和宿端均可进行流量的异常检测软计算方法对不精确性和不确定性有一定容忍程度的异常检测方法, 包括神经网络方法遗传算法等等这类法较多是用在宿端或主干网, 针对放大类攻击进行流量的异常检测基于知识的检测方法 DDoS 的检测方法针对基于协议及其实现的漏洞类型的攻击, 基于预定义的攻击特征或模板进行检测, 多部署在宿端或主干网中 SEU 26

27 Arbor 的调查结果 - 检测 SEU 27

28 DDoS 防御面临的挑战随路检测方式的有效性 : 检测系统同时也受到攻击而无法正常工作 ; 响应的有效性 : 攻击检测的及时性, 自适应的检测与响应联动机制, 广泛的攻击抑制协同机制 ; 流量相似性的干扰 : 低速 DDoS 与正常流量相似, 一般 DDoS 与突发流量相似, 相似性导致检测精度过低 ; 检测系统对新的未知类型攻击的适应性 : 检测系统如何进化 ; 检测与防御系统的可部署性 : 对现有网络及其设备不产生负面影响 ; 检测与防御系统的性能要求 : 能够适应网络流量的增长现状和设备性能约束 ; 伪造源地址的攻击源追踪 : 需要协同机制的支持 SEU 28

29 学术界的思路 FireCol relies on a distributed architecture composed of multiple IPSs forming overlay networks of protection rings around subscribed customers. Participating IPSs along the path to a subscribed customer collaborate (vertical communication) by computing and exchanging belief scores on potential attacks. 协同防御的要点在于在攻击强度增强到单一防御系统不能处理之前就开始对其进行阻断, 这要求在主干网中离被攻击对象尽可能远的地方就开始对攻击进行逐步地和协同地检测与拦截, 以期同时解决攻击的大规模和源冒充问题 FireCol: A Collaborative Protection Network for the Detection of Flooding DDoS Attacks Jérôme François, et.al.,ieee/acm TRANSACTIONS ON NETWORKING, VOL. 20, NO. 6, pp , DECEMBER 2012 SEU 29

30 Arbor 的调查结果 - 攻击阻断对防火墙的使用比例在下降, 因为它会成为状态消耗类攻击的对象, 从而成为瓶颈, 因此更多的用户选择使用智能阻断系统, 例如黑洞 SEU 30

31 基本防御机制洗流 In-line 方法 ACL: 粗粒度过滤 IPS: 细粒度过滤引流 Remote Triggered Black Hole (RTBH) 可以基于宿地址或源地址 SEU 31

32 BGP Flowspec 可以使用的过滤测度源 / 宿地址前缀 IP 报头的 Protocol 字段源 / 宿端口 ICMP 的 type 和 code 字段 TCP 的 Flag 报文长度 DSCP 字段 Fragment 字段使用 Extended Communities 定义过滤动作 0x8006:traffic-rate (rate 0 表示丢弃该流所有报文 ) 0x8007:traffic-action 0x8008:redirect to VRF 0x8009:traffic-marking RFC Remote Triggered Black Hole Filtering with Unicast Reverse Path Forwarding (urpf) RFC Dissemination of Flow Specification Rules RFC Clarification of the Flowspec Redirect Extended Community SEU 32

with next hop set to predefined black-hole route RFC 5635 - Remote Triggered Black Hole Filtering with Unicast Reverse Path

33 Inter-domain Flowspec injection D/RTBH 按流规范处理所有发往 victim 的流量 Remotely Trigged Black Hole Filtering at Peer SP edge Victim 发布 BGP 路由通告 Victim RTBH RTBH Firewall IPS Internet 正常流量攻击流量 BGP 路由通告 Service Provider Network Forwarded to null0 Enterprise or IDC BGP Prefix with next hop set to predefined black-hole route RFC Remote Triggered Black Hole Filtering with Unicast Reverse Path Forwarding (urpf) RFC Dissemination of Flow Specification Rules RFC Clarification of the Flowspec Redirect Extended Community SEU 33

34 Intra-domain Flowspec injection D/RTBH 按流规范处理所有发往 victim 的流量 Remotely Trigged Black Hole Filtering at Peer SP edge Victim RTBH RTBH Firewall IPS Internet 正常流量攻击流量 BGP 路由通告 SP 发布 BGP 路由通告 Service Provider Network Enterprise or IDC BGP Prefix with next hop set to predefined black-hole route SEU 34

35 Intelligent DDoS Mitigation System 手术式阻断 (Surgical Mitigation) 基于 DPI 技术的洗流技术, 从流量中将攻击流剔除 ; 通常是网络基础设施中的一个共享资源 ( 系统 ); 攻击流量需要在正常路由表 (GRT) 中重定向以通过这个系统 (Traffic Diversion or Offramping), 按规则过滤后再 ( 隧道或 VPN) 转发到实际的宿端 (Traffic Reinjection or Onramping); SEU 35

36 DDoS Mitigation Appliance Surgical Diversion Using BGP Flowspec Redirect to VRF Action 使用 VPN 进行重定向流量的传输 Redirect to VRF Scrubbing Center Mitigation Appliance Traffic Reinjection Victim Internet Firewall IPS BGP Flowspec 仅将过滤出的特定流量重定向给洗流中心 Dirty VRF 正常流量攻击流量 BGP Flowspec Diversion Detection & Control Internet Enterprise or IDC SEU 36

37 Hydra2.0 系统 HYDRA1.0 ( 混合检测响应系统, HYbrid Detection Response Agent) 系统是在国家科技支撑计划课题新一代可信任互联网安全和网络服务和 211 二期 CERNET 建设项目支持研制的网络安全事件应急响应系统 Traffic diversion & Scrubbing 手工配置 GE 环境 Hydra2.0 系统基于 SDN 技术 Scrubbing & Intrusion detection & Sniffing SEU 37

38 Hydra2.0 系统架构正常流量攻击流量采集流量省网 A Openflow 交换机 Openflow CHAIRS Netflow SDN 控制器主干网 SDN 控制器 HYDRA 调用控制器 API Openflow 交换机省网 B SEU 38

39 Hydra2.0 测试 SEU 39

40 Hydra2.0 测试 SEU 40

41 Hydra2.0 测试 SEU 41

42 小结 DDoS 攻击广泛存在并具有一定威胁在 CERNET 内的观测是每月数十万起对 DDoS 攻击及其防御的研究是热点 RTBH 是 BCP DDoS 攻击的遏制需要协同机制支持逐步地感知和阻截主机安全管理仍然是重点问题僵尸主机网站漏洞管理意识和能力的提高 SEU 42

43 谢谢! SEU 43

財金資訊-80期.indd

財金資訊-80期.indd IPv6 / LINE YouTube TCP/IP TCP (Transmission Control Protocol) IP (Internet Protocol) (node) (address) IPv4 168.95.1.1 IPv4 1981 RFC 791 --IP IPv4 32 2 32 42 IP (Internet Service Provider ISP) IP IP IPv4