分布式拒绝服务攻击

定义

分布式拒绝服务攻击(英文名 distributed denial of service attack,缩写 DDoS)指采用协作方式,利用网络中位置分散的大量主机向目标发起的拒绝服务攻击^[1]。其直接目的是削弱目标系统的效能或占尽其资源,使网站、邮件服务、域名系统、网络应用等无法正常响应。

它与传统的拒绝服务攻击同属一类,区别在于攻击流量来自多台受控主机而非少数几台,因而规模更大、来源更分散。按攻击数据包所处的协议层次,可分为基于网络传输层协议的攻击和基于应用层协议的攻击;前者包括 SYN 洪泛、ICMP 洪泛、UDP 洪泛、IP 包分片洪泛等,后者包括 HTTP 洪泛、SIP 洪泛、DNS 请求洪泛等^[1]。

原理

基于僵尸网络发动的攻击通常包含四个要素:发动攻击的实际攻击者、用于下达命令的主控机、实际发出流量的僵尸主机群,以及被攻击的目标主机或网络^[1]。攻击者通过主控机把命令传给分散在各处的被控设备,让它们在同一时段向目标发送请求,从而把众多主机的带宽和处理能力汇集到一处^[1]。

从被消耗的资源看,攻击可分为针对网络带宽、针对连接资源和针对计算资源几类^[2]。带宽型攻击用海量数据包占满链路;连接型攻击利用 TCP 握手过程,大量发送源地址伪造的 SYN 包,使服务器维持大量半开连接而耗尽连接表;计算型攻击则模拟正常请求频繁访问页面或数据库,拖垮处理能力^[3]。

反射放大是一种常见的增强手法:攻击者把请求的源地址伪造成受害者的地址,发给互联网上开放的第三方服务器,这些服务器按源地址把应答回给受害者,若应答报文远大于请求报文,攻击流量即被成倍放大^[2]。常被利用的协议包括 DNS、NTP、SNMP、CharGen 和 SSDP 等,其中 NTP 的放大倍数在实验中可达数百倍,Memcached 协议的放大比例更高^[4][5]。放大效果常以带宽放大因子衡量,即应答报文字节数与请求报文字节数之比^[6]。

发展历程

早期的分布式攻击主要依靠入侵个人计算机组建僵尸网络,被植入木马或后门的机器在用户不知情时可被远程操控,单台设备能力有限,但数量累积后的总流量相当可观^[7]。

随着开放服务器的增多,利用 DNS、NTP、SNMP 等协议实施反射攻击的做法逐渐流行,攻击者得以用较小的请求流量换取数倍乃至数百倍的应答流量^[7]。2013 年 3 月,有组织遭受借助开放 DNS 的反射攻击,流量被放大约百倍,峰值达到 300 Gbit/s;2014 年初又出现了利用 NTP 服务放大流量的攻击事件^[8]。

在相关协议的开放服务逐步得到修复后,攻击者的关注点转向家用路由器、网络摄像头、打印机等智能设备,这些设备普遍采用即插即用协议,通过 SSDP 相互发现,同样可被伪造成反射器使用^[7]。2021 年,有研究提出利用部分网络中间盒对 TCP 会话识别不严的缺陷实现 TCP 反射放大,使原本难以放大的 TCP 协议也具备了放大效果^[9]。

应用

这类攻击主要被用于使目标服务中断,受影响的通常是网站、电子邮件服务、域名解析系统及各类网络应用。在攻击流量过大时,系统不能及时处理正常请求,可用性随即下降。

从防护角度看,应对手段包括流量清洗、弹性扩容、基于行为分析的识别以及通过内容分发网络隐藏真实服务器地址等^[3]。攻击流量也常被用作掩护,在安全团队集中处置洪水流量时配合其他入侵行为。此外,带宽耗尽型攻击在全部 DDoS 攻击中占比较高,是防护中的重点对象^[10]。

局限

现有防御手段难以从根本上杜绝这类攻击。带宽型攻击只要流量超过链路容量就会生效,补丁和升级无法消除这一物理与协议层面的上限^[11]。

溯源同样困难。僵尸主机分布在全球各地,攻击指令经多层代理转发,源地址又常被伪造,真实控制者不易定位^[3]。反射攻击因为多了一层第三方服务器中转,比直接伪造源地址的攻击更难追踪^[2]。

清洗与扩容也有边界。中小规模机构可负担的防护方案在面对超大流量时仍可能失效,大流量攻击的处置需要持续投入带宽和清洗资源^[3]。同时,当参与攻击的主机足够多、每台只需发出很小的流量时,区分恶意流量与正常用户请求会变得十分困难^[4]。

参见

• 拒绝服务攻击 —— 单台或少数主机发起的同类攻击,是分布式拒绝服务攻击的基础形式

• 僵尸网络 —— 由大量被控设备组成、常用于发动此类攻击的网络

• 域名系统 —— 常被直接洪泛或被用作反射放大的协议之一

• 内容分发网络 —— 可用于隐藏源站地址并分担攻击流量的架构

• SYN洪泛 —— 利用 TCP 握手过程消耗连接资源的典型攻击方式

• 流量清洗 —— 识别并过滤异常流量的主要防护手段