隨著COVID-19的出現，各行各業需要適應遠程工作以及對互聯網連接變得日益依賴，越來越多類型的企業成為了DDoS攻擊組織誘人且有利可圖的目標。根據提供分布式拒絕服務攻擊（DDoS）緩解服務的多家公司統計，2020年疫情驅動之下，DDoS攻擊規模、頻率，以及受害者數量和多樣性均突破歷史極值，2020年是DDoS攻擊紀錄頻頻被破的一年。阿卡邁公司在報告中表示：2020年出現了全球最大型DDoS敲詐勒索攻擊，受害客戶比以往任何一年都多，每秒百萬包數（Mpps）突破歷史紀錄，正在遭受或即將遭受攻擊而急需防護的新客戶數量也創了歷史新高。本文系統的對DDoS攻擊進行技術分析和檢測防御方法介紹，以便提升企業網絡安全防護水平。
一、DDoS攻擊介紹
1.1概念介紹
（ 1 ） DoS攻擊：（Denial of Service）拒絕服務攻擊，這種攻擊行為是使目標服務器充斥大量要回復的信息，消耗網絡帶寬或系統資源，導致網絡或系統不勝負荷而停止提供正常的網絡服務。
（ 2 ） DDoS攻擊：（Distributed Denial of Service）分布式拒絕服務攻擊，這種是攻擊者利用Internet上現有機器及系統的漏洞，攻占大量聯網主機（俗稱肉雞），使其成為攻擊者的代理。當被控制的機器達到一定數量后，攻擊者通過發送指令操縱這些攻擊機同時向目標主機或網絡發起DoS攻擊，大量消耗其網絡帶寬和系統資源，導致該網絡或系統癱瘓或停止提供正常的網絡服務。由于DDoS的分布式特征，它具有了比DoS遠為強大的攻擊力和破壞性。
圖1 DDoS攻擊示意圖
1.2攻擊原理
如圖2所示，一個比較完善的DDoS攻擊體系分成四大部分，分別是攻擊者（attacker也可以稱為master）、控制傀儡機（ handler）、攻擊傀儡機（demon，又可稱agent）和受害著（victim）。第2和第3部分，分別用做控制和實際發起攻擊。第2部分的控制機只發布令而不參與實際的攻擊，第3部分攻擊傀儡機上發出DDoS的實際攻擊包。對第2和第3部分計算機，攻擊者有控制權或者是部分的控制權，并把相應的DDoS程序上傳到這些平臺上，這些程序與正常的程序一樣運行并等待來自攻擊者的指令，通常它還會利用各種手段隱藏自己不被別人發現。在平時，這些傀儡機器并沒有什么異常，只是一旦攻擊者連接到它們進行控制，并發出指令的時候，攻擊愧儡機就成為攻擊者去發起攻擊了。
圖2 分布式拒絕服務攻擊體系結構
之所以采用這樣的結構，一個重要目的是隔離網絡聯系，隱藏保護攻擊者，使其不會在攻擊進行時受到監控系統的跟蹤。同時也能夠更好地協調進攻，因為攻擊執行器的數目太多，同時由一個系統來發布命令會造成控制系統的網絡阻塞，影響攻擊的突然性和協同性。而且，流量的突然增大也容易暴露攻擊者的位置和意圖。整個過程可分為：
（ 1 ） 掃描大量主機以尋找可入侵主機目標；
（ 2 ） 有安全漏洞的主機并獲取控制權；
?。?3 ） 入侵主機中安裝攻擊程序；
（ 4 ） 用己入侵主機繼續進行掃描和入侵。
當受控制的攻擊代理機達到攻擊者滿意的數量時，攻擊者就可以通過攻擊主控機隨時發出擊指令。由于攻擊主控機的位置非常靈活，而且發布命令的時間很短，所以非常隱蔽以定位。一旦攻擊的命令傳送到攻擊操縱機，主控機就可以關閉或脫離網絡，以逃避追蹤要著，攻擊操縱機將命令發布到各個攻擊代理機。在攻擊代理機接到攻擊命令后，就開始向目標主機發出大量的服務請求數據包。這些數據包經過偽裝，使被攻擊者無法識別它的來源面，并且這些包所請求的服務往往要消耗較大的系統資源，如CPU或網絡帶寬。如果數百臺甚至上千臺攻擊代理機同時攻擊一個目標，就會導致目標主機網絡和系統資源的耗盡，從而停止服務。有時，甚至會導致系統崩潰。
另外，這樣還可以阻塞目標網絡的防火墻和路由器等網絡設備，進一步加重網絡擁塞狀況。于是，目標主機根本無法為正常用戶提供任何服務。攻擊者所用的協議都是一些非常常見的協議和服務。這樣，系統管理員就難于區分惡意請求和正常連接請求，從而無法有效分離出攻擊數據包，提升防御難度。
二、DDoS攻擊方式
分布式拒絕服務攻擊的精髓是：利用分布式的客戶端，向目標發起大量看上去合法的請求，消耗或者占用大量資源，從而達到拒絕服務的目的。按照攻擊對象的不同，將DDoS的攻擊方式分成4類，分別是攻擊網絡帶寬、攻擊系統、攻擊應用、混合攻擊。
2.1攻擊網絡帶寬資源
由于網絡帶寬是有限的，攻擊者利用分布式的傀儡主機向目標網絡發送大量的網絡數據包，占滿被攻擊者的全部帶寬，從而造成正常請求無法響應。具體內容如圖2.1。
2.1.1 直接攻擊
直接攻擊是指攻擊者利用控制的大量主機對受害者發送大量的數據流量，使得受害者的網絡帶寬被占據，并大量消耗服務器和網絡設備的處理能力，達到拒絕服務攻擊的目的。例如ICMP/IGMP洪水攻擊，UDP洪水攻擊等都是典型的DDoS直接攻擊方式。
2.1.2 反射和放大攻擊
直接攻擊不僅效率低而且容易被追蹤，所以攻擊者更多地選擇反射攻擊。反射攻擊又稱DRDoS（DistributedReflectionDenialofService，分布式反射拒絕服務），是指攻擊者利用路由器、服務器等設施對請求產生應答，從而反射出大量的流量對受害者進行攻擊的一種DDoS攻擊方式。這種攻擊方式隱蔽，更大危害還來自于使用反射過程的放大。放大是一種特殊的反射攻擊，其特殊之處在于反射器對于網絡流量具有放大作用，可以將攻擊者較小的流量放大成較大流量，從而造成更加嚴重的帶寬消耗。
2.1.3 鏈路攻擊
攻擊鏈路與前面提到的攻擊方法不同，攻擊對象不是服務器而是骨干網絡上的帶寬資源。一種典型的鏈路攻擊方式是Coremelt攻擊。首先，攻擊者通過traceroute等手段確定各個僵尸主機與攻擊鏈路之間的位置關系。然后，由攻擊者將僵尸網絡分成兩部分，并控制這兩部分之間通過骨干網絡進行通信。大量的數據包通過骨干網絡，將會造成骨干網絡的擁堵和延時。從骨干網絡上來看，通過網絡的數據包是真實存在的，并沒有任何有效的方式將真正的數據包與拒絕服務攻擊的數據區分開來，這樣使得這種攻擊方式更加隱蔽和難以防范。
圖3 攻擊網絡帶寬資源
2.2攻擊系統資源
2.2.1 攻擊TCP連接
TCP是一種面向連接的、可靠的、基于字節流量的傳輸層控制協議。由于在設計之初考慮更多的是協議的可用性，缺乏對協議的安全性進行周密比較和詳細描述，因此TCP協議存在許多安全缺陷和安全問題。TCP連接洪水攻擊的原理，就是在建立三次握手過程中，服務器會創建并保存TCP連接信息，該信息會被保存在連接表中。但是，連接表中的空間是有限的，一旦連接表中存儲的數據超過了其最大數目，服務器就無法創建新的TCP連接。攻擊者利用大量的受控主機，占據連接表中所有空間，使得目標無法建立新的TCP連接。當大量的受控主機進行攻擊時，其攻擊效果非常明顯。攻擊手段主要有：SYN洪水攻擊、PSH+ACK洪水攻擊、RST攻擊、Sockstress攻擊等。
2.2.2 攻擊SSL連接
安全套接字（SecureSocketsLayer,SSL）是為網絡通信協議提供安全及數據完整性的一種安全協議。其在傳輸層對數據進行加密，然而SSL協議在加密、解密和密鑰協商的過程中會消耗大量的系統資源。SSL洪水攻擊的原理，就是在SSL握手過程中，無論接收的數據是否有效，只能先進行解密才能進行驗證，所以攻擊者利用這個特性，向被攻擊者發送大量的無用數據，消耗目標大量的計算資源。
圖4 攻擊系統資源
2.3攻擊應用資源
2.3.1 攻擊DNS服務
DNS服務是網絡服務中一項核心服務，對DNS服務器攻擊造成的影響更具威脅性。針對DNS服務器的攻擊，主要有DNSQUERY洪水攻擊和DNSNXDOMAIN攻擊兩類。DNSQUERY洪水攻擊是利用大量的查詢請求，使得DNS服務器進行大量查詢，消耗其大量的計算和存儲資源，使得DNS服務器的服務質量下降，甚至完全停止服務。在發起該攻擊方式時，考慮到DNS服務器的查詢方式，需要發送大量的不同域名的地址查詢，而且盡量不要選擇存儲在DNS緩存記錄里面的域名。DNSNXDO-MAIN攻擊是DNSQUERY洪水攻擊的一種變種，后者攻擊時發送的是真實的域名地址，前者則發送大量不存在的域名地址，使得DNS服務器進行大量遞歸查詢，從而使得正常的請求速度變慢，甚至是拒絕服務。
2.3.2 攻擊Web服務
隨著Web的迅速發展，人們的生活因此而變得方便快捷，大量的商務也因此更加方便。所以一旦Web服務器遭到拒絕服務攻擊，那么就會對其承載的大量服務造成巨大的影響。攻擊Web服務器，常用的手段包括HTTP（s）洪水攻擊、Slowloris攻擊、慢速POST請求攻擊、數據處理過程攻擊等。
圖5 攻擊應用資源
2.4混合攻擊
攻擊者在實施攻擊過程中，并不在意使用了哪種攻擊手段，而更加在意是否能夠達到拒絕服務攻擊的效果。所以，攻擊者常常使用其能夠使用的所有攻擊手段進行攻擊，稱這種攻擊為混合攻擊。這些攻擊方式是相輔相成、互相補充的，對于受害者來說，要面對不同協議、不同資源的攻擊，更加難以防范，其處理拒絕服務攻擊的成本也會大幅提高，這種攻擊更加具有針對性。
除上述提到的攻擊方式外，拒絕服務攻擊還可與其它攻擊方式相互混合使用。以達到混淆視聽，難以防范的目的。
三、DDoS攻擊檢測及防御
3.1檢測原理
常見的入侵檢測方法分為誤用檢測和異常檢測兩種。
3.1.1 誤用檢測
誤用檢測主要是根據已知的攻擊特征直接檢測入侵行為。首先對異常信息源建模分析提取特征向量，根據特征設計針對性的特征檢測算法，若新數據樣本檢測出相應的特征值，則發布預警或進行反應。
優點：特異性，檢測速度快，誤報率低，能迅速發現已知的安全威脅。
缺點：需要人為更新特征庫，提取特征碼，而攻擊者可以針對某一特征碼進行繞過。
3.1.2 異常檢測
異常檢測主要是檢測偏離正常數據的行為。首先對信息源進行建模分析，創建正常的系統或者網絡的基準輪廓。若新數據樣本偏離或者超出當前正常模式輪廓，異常檢測系統就發布預警或進行反應。由于檢測系統是根據正常情況定制描繪出系統或網絡的正常輪廓，對于外部攻擊，攻擊者很難在攻擊時不偏離正常輪廓，因此很容易被異常檢測系統偵測到；同理，異常檢測系統也可以檢測來自內部的攻擊。另外，異常檢測系統還有能力檢測以前未知的攻擊。
優點：異常檢測旨在發現偏離，而不是具體入侵特征，因而通用性較強，對突發的新型異常事件有很好的預警作用，利于人們宏觀防御，目前大部分網絡異常流量檢測系統均采用異常檢測系統。
缺點：首先只有對初始系統進行訓練，才能創建正常的輪廓模型；其次，調整和維護輪廓模型也較為復雜和耗時，創建錯誤的輪廓模型可能導致較高的誤報率。最后，一些精心構造惡意攻擊，可利用異常檢測訓練系統使其逐漸接受惡意行為，造成漏報。
3.2檢測方法
一般檢測DDoS攻擊依靠網絡流量實時監測系統或者業務系統本身運行狀態參數。具體檢測方法如下：
3.2.1 基于網絡流量實時監測系統
?。?1 ） 發現網絡流量突然暴增，出現異常變化。
?。?2 ） 個別網絡協議（如：ICMP、UDP、TCP；HTTP、DNS等）突然暴增。
?。?3 ） 出現相同源地址的大量數據包、大量垃圾數據包。
3.2.2 基于設備運行狀態
?。?1 ） 監控業務系統性能，網絡設備、服務器CUP占用率突然增高。
?。?2 ） 業務系統的業務請求連接突然大量增加。
（ 3 ） 服務器出現大量垃圾數據包。
?。?4 ） 將服務器網絡斷開后，異常狀態消失。
3.3防御方法
隨著這幾年DDoS攻擊越來越智能化，發起DDoS攻擊不再需要很高的技術能力，在很多提供在線攻擊服務的網站上只要支付幾美元，然后輸入IP或域名，就可以對目標發起DDoS攻擊。2020年5G網絡的商業化導致未來智能物聯網設備越來越多，僵尸網絡“肉雞”規模將越來越大，成本將越來越低，這直接導致DDoS攻擊頻率將不斷提升。企業想要保障服務器穩定運行，必須重視網絡安全防護，接入專業的高防服務，比如游盾云防護DDoS高防，基于云計算的分布式集群防御搭建，每個節點服務器配置多個IP地址，T級的DDoS防御流量保障服務器穩定運行。特別是電商、金融、培訓、美容、游戲等DDoS“重災區”行業，更應該重視網絡安全防護，避免因DDoS攻擊導致業務中斷造成經濟損失和用戶流失。
一般DDoS攻擊防御方法如下：
?。?1 ） 過濾不必要的服務和端口：可以使用Inexpress、Express、Forwarding等工具來過濾不必要的服務和端口，即在路由器上過濾假IP。比如Cisco公司的CEF（Cisco Express Forwarding）可以針對封包Source IP和Routing Table做比較，并加以過濾。只開放服務端口成為目前很多服務器的流行做法，例如www服務器那么只開放80而將其他所有端口關閉或在防火墻上做阻止策略。
?。?2 ） 異常流量的清洗過濾：通過DDoS硬件防火墻對異常流量的清洗過濾，通過數據包的規則過濾、數據流指紋檢測過濾、及數據包內容定制過濾等頂尖技術能準確判斷外來訪問流量是否正常，進一步將異常流量禁止過濾。單臺負載每秒可防御800-927萬個syn攻擊包。
（ 3 ） 分布式集群防御：這是目前網絡安全界防御大規模DDoS攻擊的最有效辦法。分布式集群防御的特點是在每個節點服務器配置多個IP地址（負載均衡），并且每個節點能承受不低于10G的DDoS攻擊，如一個節點受攻擊無法提供服務，系統將會根據優先級設置自動切換另一個節點，并將攻擊者的數據包全部返回發送點，使攻擊源成為癱瘓狀態，從更為深度的安全防護角度去影響企業的安全執行決策。
?。?4 ） 高防智能DNS解析：高智能DNS解析系統與DDoS防御系統的完美結合，為企業提供對抗新興安全威脅的超級檢測功能。它顛覆了傳統一個域名對應一個鏡像的做法，智能根據用戶的上網路線將DNS解析請求解析到用戶所屬網絡的服務器。同時智能DNS解析系統還有宕機檢測功能，隨時可將癱瘓的服務器IP智能更換成正常服務器IP，為企業的網絡保持一個永不宕機的服務狀態。
四、結論
隨著全球互聯網業務和云計算的發展熱潮，可以預見到，針對特定服務、大小型企業甚至公共和非營利組織的DDoS攻擊頻率還會大幅度增長，攻擊手段也會更加復雜。雖然無法完全阻止DDoS攻擊的發生，但一些有效的DDoS攻擊保護技術和方法可用于增強基礎設施抵御DDoS攻擊并減輕其后果。有效地對付DDoS攻擊是一個系統工程，不僅需要技術人員去探索新的防護手段，網絡使用者也要具備網絡攻擊基本的防護意識，只有將技術手段和人員素質結合到一起才能最大限度的發揮網絡防護的效能。