DDOS - Part 2

什么是SSDP DDoS攻击？

简单服务发现协议（SSDP）攻击是基于反射的分布式拒绝服务（DDoS）攻击，利用通用即插即用（UPnP）网络协议，以便将大量的流量发送到目标受害者，压倒性目标的基础设施和使其资源脱机。

SSDP攻击如何工作？

一般情况下，SSDP协议用于允许UPnP设备向网络上的其他设备广播其存在。例如，当UPnP打印机连接到典型网络时，它在接收到 IP地址之后，打印机能够通过向称为组播地址的特殊IP地址发送消息来向网络上的计算机通告其服务。多播地址然后告诉网络上所有的计算机关于新的打印机。一旦计算机听到关于打印机的发现信息，它就向打印机发出请求，以完整地描述其服务。然后，打印机将直接对该计算机进行响应，并提供其所提供的所有内容。SSDP攻击通过要求设备对目标受害者做出响应，利用最终的服务请求。

以下是典型SSDP DDoS攻击的6个步骤：

1.首先，攻击者进行扫描，寻找可用作放大因子的即插即用设备。
2.随着攻击者发现网络设备，他们创建了所有响应的设备的列表。
3.攻击者使用目标受害者的欺骗地址创建 UDP数据包。
4.攻击者然后使用僵尸网络向每个即插即用设备发送欺骗性发现数据包，通过设置某些标志，特别是ssdp：rootdevice或ssdp：all请求尽可能多的数据。
5.因此，每个设备将向目标受害者发送一个数据量高达攻击者请求大约30倍的数据。
6.然后，目标从所有设备接收大量流量，并且变得不堪重负，可能导致对合法流量的拒绝服务。

SSDP攻击如何缓解？

对于网络管理员来说，一个关键的缓解措施是在防火墙上阻止端口1900上的传入UDP流量。如果流量不足以压倒网络基础架构，则从该端口过滤流量将可能减轻此类攻击。要深入了解SSDP攻击和更多的缓解策略，请浏览有关SSDP攻击的技术细节。

你想知道你是否有一个可以用于DDoS攻击的易受攻击的SSDP服务？如前所述，我们创建了一个免费的工具来检查您的公共IP是否有任何暴露的SSDP设备。检查SSDP DDoS漏洞。

什么是DNS放大攻击？

这种DDoS攻击是基于反射的体积分布式拒绝服务（DDoS）攻击，其中攻击者利用开放DNS解析器的功能，以便以放大的流量来压倒目标服务器或网络，从而使服务器和其周边基础设施无法进入。

DNS放大攻击如何工作？

所有放大攻击都会利用攻击者与目标网络资源之间的带宽消耗差异。当成本的差异在许多请求中被放大时，由此造成的流量可能会破坏网络基础设施。通过发送导致大量响应的小型查询，恶意用户能够从更少的角度获得更多。通过使僵尸网络中的每个机器人都有相似的请求来乘以这个放大倍率，攻击者既可以从检测中进行混淆，也可以获得大大增加攻击流量的好处。

DNS扩大攻击中的一个机器人可以被认为是一个恶意的少年打电话给餐厅的上下文，并说“我会有一件事，请打电话给我，告诉我我的整个订单。”当餐厅要求一个回拨号码，给出的数字是目标受害者的电话号码。然后，该目标从餐厅接收到他们没有请求的大量信息的呼叫。

由于每个机器人要求使用被欺骗的IP地址打开DNS解析器，IP地址已被更改为目标受害者的真实源IP地址，则目标接收到来自DNS解析器的响应。为了创建大量的流量，攻击者以一种可以从DNS解析器生成尽可能大的响应的方式来构造请求。因此，目标接收到攻击者的初始流量的放大，并且它们的网络被伪造的流量阻塞，导致拒绝服务。

DNS扩展可以分为四个步骤：

1.攻击者使用受损端点将具有欺骗IP地址的UDP数据包发送到DNS递归。数据包上的欺骗地址指向受害者的真实IP地址。
2.每个UDP数据包向DNS解析器发出请求，通常会传递诸如“ANY”之类的参数，以便尽可能接收最大的响应。
收到请求后，通过响应尝试有用的DNS解析器向欺骗的IP地址发送大量响应。
3.目标的IP地址接收到响应，并且周围的网络基础设施变得不堪重负，流量很大，导致拒绝服务。
4.虽然一些请求不足以占用网络基础架构，但是当该序列在多个请求和DNS解析器之间相乘时，目标接收的数据的放大可能是巨大的。探索有关反射攻击的更多技术细节。

如何减轻DNS放大攻击？

对于运行网站或服务的个人或公司，减轻选择是有限的。这是因为个人的服务器虽然可能是目标，但并不是感觉到体积攻击的主要影响。由于产生的流量大，服务器周围的基础设施感受到影响。互联网服务提供商（ISP）或其他上游基础架构提供商可能无法处理传入的流量，而不会被淹没。因此，ISP可能会将目标受害者的IP地址的所有流量黑洞，保护自己并将目标的站点脱机。除了防垃圾防御服务，如Cloudflare DDoS保护之外，缓解策略主要是预防性的互联网基础架构解决方案。

减少打开DNS解析器的总数

DNS扩展攻击的重要组成部分是访问开放的DNS解析器。通过配置不良的DNS解析器暴露于Internet，所有攻击者需要做的是使用DNS解析器来发现它。理想情况下，DNS解析程序只能将其服务提供给来自受信任域的设备。在基于反射的攻击的情况下，开放的DNS解析程序将响应来自互联网上任何地方的查询，从而有可能被利用。限制DNS解析器，以便它只响应来自可信来源的查询，使服务器成为任何类型的扩增攻击的不良载体。

源IP验证 – 停止出站网络的欺骗性数据包

由于攻击者僵尸网络发送的UDP请求必须具有欺骗受害者IP地址的源IP地址，因此降低基于UDP的放大攻击的有效性的关键组件是Internet服务提供商（ISP）拒绝任何内部流量欺骗IP地址。如果从网络内部发送一个数据包，源地址使其看起来像源自网络外部，那么它很可能是一个欺骗的数据包，可以丢弃。Cloudflare强烈建议所有提供商实施入侵过滤，并且有时将与不知不觉中参与DDoS攻击并帮助他们实现其漏洞的ISP接触。

什么是NTP扩增攻击？

NTP扩增攻击是基于反射的体积分布式拒绝服务（DDoS）攻击，其中攻击者利用网络时间协议（NTP）服务器功能，以便以放大的UDP 流量淹没目标网络或服务器，使目标及其周边基础设施无法进入定期流量。

NTP放大攻击如何工作？

所有放大攻击利用攻击者与目标网络资源之间的带宽成本差异。当成本的差异在许多请求中被放大时，由此造成的流量可能会破坏网络基础设施。通过发送导致大量响应的小型查询，恶意用户能够从更少的角度获得更多。当通过使僵尸网络中的每个机器人发出类似的请求来乘以该放大倍数时，攻击者既被检测并且获得了大大增加的攻击流量的好处。

DNS泛滥攻击与DNS放大攻击不同。与DNS洪水不同，DNS放大攻击反映和放大不安全的DNS服务器的流量，以隐藏攻击的起源并提高其有效性。DNS扩展攻击使用具有较小带宽连接的设备向不安全的DNS服务器发出大量请求。这些设备对于非常大的DNS记录提出了许多小的请求，但是在提出请求时，攻击者将返回地址设置为预期的受害者。扩展允许攻击者只用有限的攻击资源来取出更大的目标。

NTP扩充，很像DNS扩展，可以在恶意的少年打电话给餐厅的上下文中说，“我会有一件事，请打电话给我，告诉我我的整个订单。”当餐厅要求一个回拨号码，给出的数字是目标受害者的电话号码。然后，该目标从餐厅接收到他们没有请求的大量信息的呼叫。

网络时间协议旨在允许互联网连接的设备同步其内部时钟，并在互联网架构中起重要作用。通过利用某些NTP服务器上启用的monlist命令，攻击者能够将其初始请求流量乘以一个较大的响应。默认情况下，在旧设备上启用此命令，并响应已向NTP服务器发出的请求的最近600个源IP地址。来自其存储器中具有600个地址的服务器的monlist请求将比初始请求大206倍。这意味着拥有1 GB互联网流量的攻击者可能会发生200多GB的攻击，导致攻击流量大幅增加。

NTP扩增攻击可以分为四个步骤：

1.攻击者使用僵尸网络将具有欺骗IP地址的UDP数据包发送到启用其monlist命令的NTP服务器。每个数据包上的欺骗IP地址指向受害者的真实IP地址。
2.每个UDP数据包使用其monlist命令向NTP服务器发出请求，导致响应很大。
3.然后，服务器使用结果数据对欺骗地址进行响应。
4.目标的IP地址接收到响应，并且周围的网络基础设施变得不堪重负，流量很大，导致拒绝服务。

由于攻击流量看起来像来自有效服务器的合法流量，因此减轻这种攻击流量而不会将真正的NTP服务器从合法活动阻止，这是困难的。由于UDP数据包不需要握手，NTP服务器将向目标服务器发送大量响应，而不会验证该请求是否正确。这些事实加上内置命令，默认情况下发送一个很大的响应，使NTP服务器成为DDoS放大攻击的出色反映源。

如何减轻NTP扩增攻击？

禁用monlist – 减少支持monlist命令的NTP服务器数量。

修补monlist漏洞的简单解决方案是禁用该命令。版本4.2.7之前的所有版本的NTP软件默认情况下都是易受攻击的。通过将NTP服务器升级到4.2.7或更高版本，该命令被禁用，修补漏洞。如果不能升级，按照US-CERT说明将允许服务器的管理员进行必要的更改。

源IP验证 – 停止出现网络的欺骗性数据包

由于攻击者僵尸网络发送的UDP请求必须具有欺骗受害者IP地址的源IP地址，因此降低基于UDP的放大攻击的有效性的关键组件是Internet服务提供商（ISP）拒绝任何内部流量欺骗IP地址。如果从网络内部发送一个数据包，源地址使其看起来像源自网络外部，那么它很可能是一个欺骗的数据包，可以丢弃。Cloudflare强烈建议所有提供商实施入侵过滤，并且有时将与不知不觉参与DDoS攻击（违反BCP38）的ISP接触，并帮助他们实现其漏洞。

在NTP服务器上禁用monlist并在网络上实现入侵过滤，目前允许IP欺骗的组合是在到达其预期网络之前停止此类攻击的有效方法。

DDOS词汇解释

DDoS攻击

分布式拒绝服务（DDoS）攻击是恶意尝试通过大量互联网流量压倒目标或其周边基础设施来破坏目标服务器，服务或网络的正常流量。DDoS攻击通过利用多个受损的计算机系统作为攻击流量来实现有效性。被利用的机器可以包括计算机和其他网络资源，如IoT设备。从高层次来看，DDoS攻击就像是阻止堵塞高速公路的交通堵塞，防止定期流量到达目的地。

DDoS黑洞路由（空路由）

DDoS黑洞路由/过滤（有时称为黑洞）是减轻DDoS攻击的对策，其中网络流量被路由到“黑洞”，丢失。当没有具体限制条件实施黑洞筛选时，合法和恶意网络流量将路由到空路由或黑洞，并从网络中丢弃。当使用无连接的协议（如UDP）时，不会将丢弃数据的通知返回给源。对于需要握手连接到目标系统的面向TCP的面向连接的协议，如果数据被丢弃，将返回通知。

对于没有其他方法阻止攻击的组织，黑洞是广泛可用的选项。这种缓解方法可能会有不良后果，有可能使其成为缓解DDoS攻击的不利选择。类似于抗生素会杀死好的和坏的细菌，当不正确地实施这种DDoS缓解可能会不加区分地破坏网络或服务的流量来源。复杂的攻击还将使用可变的IP地址和攻击向量，这可以限制这种缓解的有效性，作为破坏攻击的唯一手段。当交通流量也受到影响时，使用黑洞路由的关键后果是，

DNS

域名系统（DNS）服务器是互联网的“电话簿”; 它们是互联网设备能够查找其他设备以访问互联网内容的途径。这些服务器维护一个容易记住的域名（www.example.com）的目录，并将这些名称传输到计算机用于彼此连接的机器友好的互联网协议（IP）地址（192.168.1.1）中。

例如，当将域名输入到Web浏览器中时，联系DNS服务器，启动最终将目标网站的IP地址返回给浏览器的处理。

拒绝服务（DoS）

拒绝服务（DoS）网络攻击是一种恶意尝试，通过使其无法使用其预期用户来中断在线服务或网络的正常功能。通常，DoS攻击通过以无意义或恶意数据淹没目标资源来实现，目标是超载系统的资源。当服务器发出请求时，必须为响应提供一定数量的服务器资源。为了超载目标服务器，攻击者产生比服务器可以处理的更多的请求，导致对正常流量的拒绝服务。

超文本传输协议（HTTP）

超文本传输协议是万维网的基础，用于使用超文本链接加载网页。超文本传输协议是一种应用层协议，设计用于在网络设备之间传输信息，并在网络协议栈的其他层之上运行。HTTP上的典型流程涉及客户端机器向服务器发出请求，然后服务器发送响应消息。

HTTP是无状态协议，这意味着每个命令独立于任何其他命令运行。在原始规范中，当为了加载网页而发出HTTP请求时，没有维护用于发出请求的TCP连接。在较新版本的HTTP协议（HTTP 1.1及更高版本）中，持久连接允许多个HTTP请求通过持久TCP连接，从而提高资源消耗。在DoS或DDoS攻击的上下文中，大量的HTTP请求可用于对目标设备进行攻击，并被认为是应用层攻击或第7层攻击的一部分。

互联网控制消息协议（ICMP）

因特网控制消息协议是由网络设备用来进行通信的互联网层协议。网络诊断工具traceroute和ping均使用ICMP进行操作。通常，ICMP回显请求和回应回复消息用于ping网络设备，以便诊断设备的健康和连接以及发送方和设备之间的连接。使用ICMP作为中断手段的网络攻击包括ICMP Flood攻击和“Ping of Death”攻击。

平洪（ICMP Flood）

ping flood是一种拒绝服务攻击，攻击者试图用ICMP回显请求报文来淹没目标设备，导致目标对正常流量无法访问。ICMP请求需要一些服务器资源来处理请求并发送响应，并且还要求传入消息（回显请求）和传出响应（回应 – 回复）两者都有带宽。这种攻击旨在压倒服务器响应请求数量和/或使用虚假流量超载网络连接的能力。

互联网协议（IP）和传输控制协议（TCP）

互联网协议（IP）是互联网的地址系统，具有从源设备向目标设备传递信息包的核心功能。IP是网络连接的主要方式，它建立了互联网的基础。IP不处理数据包排序或错误检查。这样的功能需要另一种协议，通常是TCP。

TCP / IP关系类似于通过邮件向某人发送一个写在谜题上的消息。消息被写下来，拼图被分解成碎片。然后每个片段可以穿过不同的邮政路线，其中一些比其他路线更长。当拼图在穿过不同的路径之后到达时，碎片可能无序。互联网协议确保这些片段到达目的地址。TCP协议可以被认为是另一方面的拼图汇编器，它们以正确的顺序将这些块放在一起，要求丢失的块被重新发送，并让发送方知道拼图已经被接收。TCP在发送最后一个片段之后，保持与发送者之间的连接。

IP是无连接协议，这意味着每个数据单元被单独寻址并从源设备路由到目标设备，并且目标不发送回到源的确认。这就是传输控制协议（TCP）等协议。TCP与IP结合使用，以保持发送方和目标之间的连接，并确保数据包顺序。

例如，当通过TCP发送电子邮件时，建立连接并进行3次握手。首先，源向目标服务器发送SYN“初始请求”数据包，以便开始对话。然后，目标服务器然后发送一个SYN-ACK数据包以同意该过程。最后，源向目标发送ACK数据包，以确认进程，之后可以发送消息内容。在将每个分组发送到互联网之前，电子邮件消息最终被分解成分组，其中它在到达目标设备之前穿过一系列网关，其中组的分组被TCP重新组合成电子邮件的原始内容。

互联网上使用的IP的主要版本是互联网协议版本4（IPv4）。由于IPv4中可能地址总数的大小限制，开发了一种较新的协议。较新的协议被称为IPv6，它使得更多的地址可用，并且越来越多的采用。

IP欺骗

IP欺骗是创建具有修改源地址的IP数据包。恶意演员经常使用的技术是针对目标设备或周边基础设施调用DDoS攻击。在正常的分组中，源IP地址是分组的发送方的地址。

IP欺骗类似于攻击者向包含错误的返回地址的人发送包。如果接收包裹的人希望阻止发件人发送包裹，则从伪造地址中封锁所有包裹将不会很好，因为地址容易更改。另外，如果接收方想要回复地址，他们的响应包将会转到除真实发件人以外的地方。欺骗数据包地址的能力是许多DDoS攻击的核心漏洞。

当目标是以流量压倒一个目标时，欺骗行为经常用于DDoS攻击。欺骗可用于掩盖恶意源的身份，防止缓解工作。如果源IP地址被伪造并持续随机化，则阻止恶意请求是困难的。因为攻击的来源可以被欺骗，所以很难过滤掉所有坏的流量。

欺骗也可以用于欺骗另一个设备的身份，从而将响应发送到该目标设备。诸如NTP扩展和DNS扩展的体积攻击利用了此漏洞。修改源IP的能力是TCP / IP设计固有的，使其成为持续的漏洞。网络管理员可以通过遵循BCP38，不允许在网络内创建欺骗性数据包来缓解这一点。

与DDoS攻击相切，欺骗也可以伪装为另一个设备，以便回避身份验证，并获取访问或“劫持”用户的会话。

恶意软件

恶意软件，恶意软件和恶意软件，是一个通用术语，可以指病毒，蠕虫，木马，ransomware，间谍软件，广告软件和其他类型的故意恶意软件。

恶意软件的目的是破坏设备的正常操作。这种中断的范围可以在设备上显示广告而不同意获得计算机的root访问。恶意软件可能会尝试从用户中混淆自己，以便静静收集信息，或者可能锁定系统并保存赎金数据。在DDoS攻击中，诸如未来的恶意软件会影响易受攻击的设备，将其转变为攻击者控制下的机器人。一旦修改，这些设备就可以用来作为僵尸网络的一部分进行DDoS攻击。

OSI模型

开放系统互连模型（OSI模型）定义了七个协议层中网络连接的组件。它是一个概念框架，可用于了解网络连接背后的组件，并且有助于了解DDoS攻击的类型。

每个层都处理一个特定的工作，并与其上面和下面的层进行通信。DDoS攻击针对网络连接的特定层次; 应用层攻击目标层7和协议层攻击目标层3和4。

用户数据报协议（UPD），UPD / IP

UDP是在协议栈的传输层操作的通信协议。像TCP一样，UDP协议也运行在IP协议之上，可以称为UDP / IP。UDP是无连接传输模型，不需要源和目标设备之间的状态连接。因此，UDP不具有TCP的错误检查和排序功能，并且在不需要错误检查并且速度很重要时最好地使用。UDP通常用于时间敏感通信，其中丢弃数据包比等待更好。使用此协议发送语音和视频流量，因为它们都是时间敏感的，旨在处理一定程度的丢失。同样，因为DNS和NTP服务器都需要快速高效，它们通过UDP进行操作。包括DNS放大和NTP放大在内的体积式DDoS攻击可以利用这些服务器，目的是通过UDP流量来淹没目标。

Web应用防火墙（WAF）

WAF或Web应用程序防火墙通过过滤和监视Web应用程序和Internet之间的HTTP流量来帮助保护Web应用程序。它通常保护Web应用程序免受诸如跨站点伪造，跨站点脚本和SQL注入等攻击。WAF是协议层7的防御（在OSI模型中），并不是为了防御所有类型的攻击而设计的。这种攻击缓解方法通常是一套工具的一部分，它们一起为一系列攻击向量创造了一个整体的防御。

通过在Web应用程序前部署一个WAF，屏幕就放置在Web应用程序和互联网之间。代理服务器通过使用中间人来保护客户端机器的身份，WAF是一种反向代理，通过在到达服务器之前让客户端通过WAF来保护服务器免受暴露。

WAF通过一系列通常称为策略的规则运行。这些策略旨在通过过滤恶意流量来防范应用程序中的漏洞。WAF的值部分来自于可以实施策略修改的速度和容易程度，允许对不同攻击向量的更快响应。在DDoS攻击中，通过修改WAF策略可以快速实现速率限制。应用程序防火墙可以实现为物理硬件，也可以是软件解决方案。

什么是DDOS僵尸网络？

什么是僵尸网络？

僵尸网络是指一组受恶意软件感染并受到恶意演员控制的计算机。术语僵尸网络是一个从机器人和网络这个词的portmanteau，每个被感染的设备被称为机器人。僵尸网络可以设计为完成非法或恶意的任务，包括发送垃圾邮件，窃取数据， ransomware，欺诈性地点击广告或分布式拒绝服务（DDoS）攻击。

虽然一些恶意软件（例如ransomware）会直接影响设备的所有者，但DDoS僵尸网络恶意软件可以具有不同的可见性级别; 某些恶意软件被设计为完全控制设备，而其他恶意软件以静默方式作为后台进程运行，同时静默地等待来自攻击者或“bot herder”的指令。

自我传播的僵尸网络通过各种不同的渠道招募额外的机器人。感染途径包括利用网站漏洞，特洛伊木马恶意软件，以及破解弱认证来获取远程访问权限。一旦获得访问权限，所有这些感染方法都会导致在目标设备上安装恶意软件，从而允许操作员进行远程控制。一旦设备被感染，它可能会尝试通过招募周围网络中的其他硬件设备来自我传播僵尸网络恶意软件。

虽然在一个特定的僵尸网络中精确确定机器人的数量是不可行的，但在复杂僵尸网络中机器人总数的估计范围从几千到一百万不等。

为什么会创建僵尸网络？

使用僵尸网络的原因范围从行动主义到国家赞助的中断，许多攻击只是为了获利而进行。在线招聘僵尸网络服务相对便宜，特别是与他们可能造成的损害的数量有关。创建僵尸网络的障碍也足以使其成为一些软件开发商的有利可图的业务，特别是在法规和执法有限的地理位置。这种组合导致在线服务的扩散，提供攻击。

僵尸网络如何控制？

僵尸网络的核心特征是能够从机器人牧民接收更新的指令。与网络中的每个机器人进行通信的能力允许攻击者替代攻击向量，更改目标IP地址，终止攻击和其他自定义操作。僵尸网络设计有所不同，但控制结构可以分为两大类：

客户端/服务器僵尸网络模型

客户端/服务器模型模拟模拟传统的远程工作站工作流程，其中每个单独的机器连接到集中式服务器（或少量集中式服务器），以访问信息。在该模型中，每个机器人将连接到命令控制中心（CnC）资源，如Web域或IRC通道，以便接收指令。通过使用这些集中的存储库为僵尸网络提供新的命令，攻击者只需要修改每个僵尸网络从命令中心消耗的源资源，以便将指令更新到受感染的计算机。控制僵尸网络的集中式服务器可能是攻击者拥有和操作的设备，也可能是被感染的设备。

已经观察到一些受欢迎的集中僵尸网络拓扑，包括：

星网拓扑

多服务器网络拓扑

分层网络拓扑

在任何这些客户端/服务器型号中，每个机器人将连接到像Web域或IRC通道的命令中心资源，以便接收指令。通过使用这些集中的存储库为僵尸网络提供新的命令，攻击者只需要修改每个僵尸网络从命令中心消耗的源资源，以便将指令更新到受感染的计算机。

与有限数量的集中来源更新指令到僵尸网络的简单性是这些机器的脆弱性; 为了使用集中式服务器删除僵尸网络，只需要中断服务器。由于这个漏洞，僵尸网络恶意软件的创建者已经发展并转向了一种新模式，通过一个或几个故障点不太容易受到干扰。

对等僵尸网络模型

为了规避客户端/服务器模型的漏洞，僵尸网络最近使用分散式对等文件共享组件进行设计。将控制结构嵌入到僵尸网络中，消除了僵尸网络中存在的单一故障点与集中式服务器，从而使缓解工作更加困难。P2P漫游器既可以是客户端，也可以是命令中心，与邻居节点共同传播数据。

对等僵尸网络维护可信计算机的列表，可以通过它们提供和接收通信并更新其恶意软件。通过限制机器人连接到的其他机器的数量，每个机器人只能暴露在相邻的设备上，使其更难跟踪，更难以缓解。缺乏集中式命令服务器使对等僵尸网络更容易受到僵尸网络创建者以外的其他人的控制。为了防止失去控制，分散的僵尸网络通常被加密，使得访问受到限制。

IoT设备如何成为僵尸网络？

没有人通过他们放在后院的无线闭路电视摄像机来观看鸟饲料，但这并不意味着该设备不能进行必要的网络请求。IoT设备的力量加上弱或配置不良的安全性，会为僵尸网络恶意软件招募新的机器人进入集体。物联网设备的上升为DDoS攻击带来了新的局面，因为许多设备配置不良和易受攻击。

如果IoT设备的漏洞被硬编码到固件中，更新更加困难。为了降低风险，具有过时固件的IoT设备应该被更新，因为默认证书通常与设备的初始安装保持不变。许多折扣制造商的硬件没有激励使他们的设备更安全，从僵尸网络恶意软件到物联网设备的脆弱性仍然是未解决的安全隐患。

现有僵尸网络如何被禁用？

禁用僵尸网络的控制中心：

一旦控制中心被识别就可以更容易地禁用使用命令和控制模式设计的僵尸网络。在故障点切断头部可以使整个僵尸网络脱机。因此，系统管理员和执法官员专注于关闭这些僵尸网络的控制中心。如果指挥中心在执法力度较弱或愿意干预的国家运作，这个过程更加困难。

消除个别设备感染：

对于个别计算机，重新获得对机器的控制的策略包括运行防病毒软件，从安全备份重新安装软件，或者在重新格式化系统后从干净的机器重新启动。对于IoT设备，策略可能包括闪烁固件，运行出厂设置或格式化设备。如果这些选项不可行，则设备制造商或系统管理员可能还可以使用其他策略。

如何保护设备不成为僵尸网络的一部分？

创建安全密码

对于许多易受攻击的设备，减少僵尸网络漏洞的风险可以像将默认用户名和密码更改为不同的管理凭据一样简单。创建一个安全的密码使得暴力破解变得困难，创建一个非常安全的密码使得暴力破裂实际上是不可能的。例如，感染了未来恶意软件的设备将扫描寻找响应设备的IP地址。一旦设备响应ping请求，机器人将尝试使用默认凭据的预设列表登录到找到的设备。如果默认密码已被更改并且已经实现了安全密码，则机器人将放弃并继续前进，寻找更易受攻击的设备。

仅允许受信任地执行第三方代码：

如果您采用软件执行的手机型号，则只能执行白名单应用程序，允许更多的控制来杀死被认为是恶意软件的僵尸网络。只有利用主管软件（即内核）可能会导致设备的利用。这取决于首先有一个安全的内核，大多数IoT设备都没有，更适用于运行第三方软件的机器。

定期系统擦除/恢复：

在一段时间后恢复到一个已知的良好状态将会删除一个系统收集的任何垃圾，包括僵尸网络软件。这种策略作为一种预防措施，确保即使是静默运行的恶意软件也被垃圾丢弃。

实现良好的入口和出口过滤实践：

其他更先进的策略包括网络路由器和防火墙的过滤实践。安全网络设计的原则是分层的：您对公共可用资源的限制最少，同时不断加强您认为敏感的事件的安全性。此外，必须仔细检查跨越这些边界的任何内容：网络流量，USB驱动器等。质量过滤实践增加了在进入或离开网络之前会捕获DDoS恶意软件及其传播和通信方法的可能性。

常见的DDoS攻击有哪些类型？

什么是常见类型的DDoS攻击？

不同的DDoS攻击向量针对网络连接的不同组件。为了了解DDoS攻击是如何工作的，有必要了解如何进行网络连接。互联网上的网络连接由许多不同的组件或“层”组成。就像从头开始建房子一样，模型中的每一步都有不同的目的。以下所示的 OSI模型是用于描述7个不同层中的网络连接的概念框架。

虽然几乎所有的DDoS攻击都涉及到具有流量的目标设备或网络压倒一切，但是攻击可以分为三类。攻击者可以利用一个或多个不同的攻击向量，或者潜在地基于目标采取的对策来循环攻击向量。

应用层攻击

攻击目标：

有时被称为第7层DDoS攻击（参考OSI模型的第7层），这些攻击的目标是耗尽目标资源。这些攻击的目标是在服务器上生成网页并传递 HTTP请求的层。单个HTTP请求在客户端方便执行，并且由于服务器通常必须加载多个文件并运行数据库查询才能创建网页，因此目标服务器可能需要响应。第7层攻击难以保护，因为流量可能难以标记为恶意。

HTTP Flood攻击

这种攻击类似于在许多不同的计算机上一次又一次地在网络浏览器中重新刷新 – 大量的HTTP请求使服务器泛滥，导致拒绝服务。

这种攻击范围从简单到复杂。更简单的实现可以访问具有相同范围的攻击IP地址，引荐来源和用户代理的一个URL。复杂版本可能使用大量攻击IP地址，并使用随机引用和用户代理来定位随机URL。

协议攻击

攻击目标：

协议攻击也称为耗尽国家的攻击，通过消耗Web应用程序服务器或中间资源（如防火墙和负载平衡器）的所有可用状态表容量来导致服务中断。协议攻击利用协议栈第3层和第4层的缺点，使目标无法访问。

协议攻击范例：

SYN Flood攻击

SYN Flood攻击类似于供应室中的一名工作人员，接收来自商店前面的请求。工作人员收到请求，取出包装，并在将包装送到前面等待确认。然后，工作人员可以获得更多的包请求，无需确认，直到它们不再携带任何更多的包，变得不知所措，并且请求开始没有得到答复。

此攻击通过向目标发送大量具有欺骗性源IP地址的TCP“初始连接请求”SYN数据包来利用 TCP握手。目标机器响应每个连接请求，然后等待握手中的最后一步，从不发生，从而在进程中耗尽目标的资源。

容量攻击

攻击目标：

这种类型的攻击尝试通过在目标和较大的Internet之间消耗所有可用带宽来创建拥塞。大量的数据通过使用一种形式的放大或者创建大量流量的另一种手段（例如来自僵尸网络的请求）被发送到目标。

放大攻击范例：

DNS扩增攻击

一个 DNS放大攻击就像如果有人打电话给餐厅和说：“我所拥有的一切的一个，请给我打电话，告诉我，我的整个秩序，”他们给回调的电话号码是目标的数量。只需很少的努力，就会产生很长的反应。

通过向具有欺骗 IP地址（目标的真实IP地址）的开放DNS服务器发出请求，目标IP地址接收来自服务器的响应。攻击者构造请求，使得DNS服务器用大量数据对目标进行响应。因此，目标接收到攻击者初始查询的放大。

减轻DDoS攻击的过程是什么？

减轻DDoS攻击的关键是区分攻击和正常流量。例如，如果产品发布有一个公司的网站淹没了渴望的客户，那么切断所有流量就是一个错误。如果那家公司突然从已知不良行为者的流量急剧增加，那么减轻攻击的努力可能是必要的。困难在于它将真正的客户和攻击流量分开。

在现代互联网中，DDoS流量有多种形式。流量可能因设计而异，从单一源攻击到复杂和自适应多向量攻击。多向量DDoS攻击使用多种攻击途径，以不同的方式压制目标，可能会分散任何轨迹上的缓解工作。同时针对多层协议栈的攻击，例如与HTTP洪泛（目标层7）相结合的DNS放大（目标层3/4））是多向量DDoS的示例。

减轻多向量DDoS攻击需要采取多种策略来对抗不同的轨迹。一般来说，攻击越复杂，流量越难以与正常流量分离，攻击者的目标就是尽可能地融合，使缓解效率尽可能低。减少或限制交通流量的缓解措施可能导致交通不畅，攻击也可能修改并适应规避对策。为了克服复杂的破坏性尝试，分层解决方案将给予最大的好处。

黑洞路由

几乎所有网络管理员可以使用的一个解决方案就是创建一个黑洞路由，并将流量引入该路由。在最简单的形式中，当没有具体的限制标准实现黑洞筛选时，合法和恶意网络流量将路由到空路由或黑洞并从网络中丢弃。如果Internet属性遇到DDoS攻击，则该物业的Internet服务提供商（ISP）可将所有站点的流量发送到黑洞作为防御。

速率限制

限制服务器在某个时间窗口中接受的请求数量也是减轻拒绝服务攻击的一种方式。虽然速率限制对于减缓网页刮板窃取内容和减轻暴力登录尝试是有用的，但单靠这种尝试可能不足以有效地处理复杂的DDoS攻击。然而，速率限制是有效的DDoS缓解策略中的有用组件。了解 Cloudflare的速率限制。

Web应用程序防火墙

Web应用程序防火墙（WAF）是可以帮助缓解第7层DDoS攻击的工具。通过在互联网和源服务器之间放置WAF，WAF可以作为反向代理，保护目标服务器免受某些类型的恶意流量的影响。通过基于用于识别DDoS工具的一系列规则过滤请求，可能会阻碍第7层攻击。有效WAF的一个关键价值是能够快速实施自定义规则以应对攻击。了解 Cloudflare的WAF。

任播网络扩散

这种缓解方法使用Anycast网络将分布式服务器网络上的攻击流量分散到网络吸收流量。像将一条冲水河流分开的较小渠道一样，这种方法将分布式攻击流量的影响扩大到可管理的地步，扩大了任何破坏性的能力。

Anycast网络缓解DDoS攻击的可靠性取决于攻击的大小以及网络的大小和效率。Cloudflare实施的DDoS缓解的一个重要部分是使用Anycast分布式网络。Cloudflare具有10 TBPS网络，比所记录的最大的DDoS攻击大一个数量级。

什么是DDoS攻击？

分布式拒绝服务（DDoS）攻击是恶意的行为，通过大量互联网流量压倒目标或其周围的基础架构来破坏目标服务器，服务或网络的正常流量。DDoS攻击通过利用多个受损的计算机系统作为攻击流量来实现有效性。被利用的机器可以包括计算机和其他网络资源，如IoT设备。从高层次来看，DDoS攻击就像堵塞高速公路的交通堵塞，防止定期流量到达目的地。

DDoS攻击如何工作？

DDoS攻击需要攻击者才能控制网络机器网络，以便进行攻击。计算机和其他机器（如IoT设备）被恶意软件感染，将其转换为僵尸（或僵尸）。然后，攻击者可以远程控制一组僵尸网络（botnet）。

一旦僵尸网络建立起来，攻击者就可以通过远程控制方法向每个机器人发送更新的指令来指导机器。当受害者的 IP地址被僵尸网络定位时，每个机器人将通过向目标发送请求进行响应，可能导致目标服务器或网络溢出容量，导致对正常流量的拒绝服务。因为每个机器人是一个合法的互联网设备，因此将攻击流量与正常流量分开可能是困难的。

DDoS有哪些攻击类型？

DDoS攻击有许多不同的形式，从Smurfs 到Teardrops, 到Pings of Death. 。以下是有关常见攻击类型和扩增方法的详细信息。

攻击类：四种常见的攻击类型

TCP连接攻击 – 占用连接

这些尝试将所有可用的连接用于基础设施设备，如负载平衡器，防火墙和应用程序服务器。即使能够维持数百万连接状态的设备也可以被这些攻击所取消。

容量攻击 – 使用带宽

这些尝试在目标网络/服务内或目标网络/服务与互联网的其余部分之间消耗带宽。这些攻击只是造成拥塞。

碎片攻击 – 数据包

这些发送大量的TCP或UDP片段给受害者，压倒了受害者重新组合流的能力，并严重降低了性能。

应用攻击 – 定位应用

这些尝试压倒应用程序或服务的特定方面，并且即使在产生低流量速率的极少数攻击机（使得它们难以检测和减轻）中也是有效的。

放大：两种攻击可以使他们可以发送的流量倍增。

DNS反射 – 小请求，大回复。

通过伪造受害者的IP地址，攻击者可以向DNS服务器发送小的请求，并要求向受害者发送一个大的回复。这样一来，攻击者就可以从僵尸网络中获得每个请求的大小可以达到70x的大小，从而更容易压制目标。

充电反射 – 稳定的文字流。

大多数计算机和互联网连接的打印机支持称为Chargen的过时的测试服务，该测试服务允许某人使用随机字符流来请求设备进行回复。Chargen可用作扩展类似于上述DNS攻击的攻击手段。

什么是DDoS，它如何缓解？

什么是DDoS – 如何缓解？

记住，面对企业面临的最严重的计算机安全问题是使用哪种防病毒程序，修改密码的频率以及Linux是否比Windows更安全？

今天，这些是小问题，与您早晨的咖啡中是否含有一种或两种相同的重要程度。那些生计取决于他们的网站和服务器的可靠性和正常运行时间的人更多地关注应对 – 最大的是持续的DDoS攻击威胁。

防止和减轻对数据中心和服务器的DDoS攻击的全面，主动的计划对于在线运行的任何公司或组织至关重要。

什么是DDoS？

DDoS代表分布式拒绝服务。破坏主机或服务器与尝试访问主机或服务器的Internet之间的互联网连接是一个全面而恶意的尝试。

简单的拒绝服务攻击相对容易被排斥，因为它只源自有限数量的来源。然而，分布式拒绝服务使用技术（例如使用僵尸网络）同时从数百台，数千台甚至数十万台计算机上产生大量涌入的流量。这一级别的互联网流量旨在压倒向用户提供内容或其他资源的机器，而且几乎不可能在不使用专门的方法和工具的情况下进行战斗。

大多数DDoS攻击本质上都是“容量”的，连接的庞大数量意味着耗尽所有服务器的可用带宽，并迫使它脱机。其他方法更具体地用于使用机器的资源（“协议”攻击）或针对服务器上运行的特定应用程序（“应用程序层”或“第7层”攻击））显然合法的数据请求。后者是最难减轻的。

对企业和组织的DDoS攻击越来越频繁，越来越强大，成本越来越高。调查显示，每年有多达一半的公司被瞄准，DDoS期间的网站或服务器停机时间通常持续6-24个小时，平均每个企业在攻击期间每小时损失约40,000美元（不包括隐藏费用，例如那些由于失去客户信心）。

任何在线的公司都没有完整的DDoS预防和减轻计划，最终将付出代价。

DDoS如何缓解？

DDoS攻击的一部分涉及预防。这通过“阻止所有的门”，黑客和其他坏人通常启动他们的游戏（这包括强化防火墙和负载均衡器，阻止未使用的端口和实现数据包限制的措施）的组合完成，强大的监控软件，也阻止问题IP，并且具有过多的带宽，并且尽可能多地分发流量，以便承受体积爆炸的机器或数据中心。

然而，一些攻击是无法预防的。更大的问题是阻止他们取消您的服务器，并拒绝为客户提供服务。但DDoS如何缓解？

最有效的方法是使第三方服务的服务“刷新”流量，只允许合法请求将其一直运行到公司的服务器或基础设施。在攻击的第一个迹象上，所有前往目标机器的流量都直接重新路由到在云上运行的DDoS缓解服务。通过综合分析，绿灯流量不发送滞后时间到达目的地，恶意流量被完全阻止，可疑流量进一步检查，直到被分类为止。通过这种方法，数据中心和服务器保持完全的活动，并且能够为合法的客户端提供服务，而攻击的首要任务则被发送到不会造成麻烦的云端。

相同的技术可以在内部实现，具有额外的硬件，软件和带宽，但成本对于大多数公司来说是禁止的。内部的DDoS预防以及第三方DDoS缓解是对大多数潜在目标（包括任何在线业务人员）都有意义的方法。

现代DDoS保护技术

过去的好日子里，打击网站或服务器的“坏家伙”意图只是不得不发起DoS（拒绝服务）攻击，一再地从自己的电脑上ping目标，直到目标机被淹没，下。这些现象比较容易打倒，特别是随着带宽成本的下降; 毕竟，如果目标人员有足够的能力来吸引攻击，直到违规的知识产权被禁止或请求全部被阻止，那么就没有任何后果。

对于每一个措施，通常都有一个对策。在这种情况下，坏家伙转移到DDoS（分布式拒绝服务）攻击，首先妥协和使用像大学之类的大型系统，并最终发现他们可以通过分布和分布来建立隐匿的计算机隐蔽网络在这些机器上运行恶意软件。这给了他们“僵尸网络”，无论目标可用的带宽多少，这些僵尸网络都可能迅速发展到能够压倒任何目标的大小。

这些只是黑客和互联网服务提供商或大型公司运行自己的服务器安装之间的连续猫和鼠游戏的第一集。今天，僵尸网络仍然广泛使用，但是他们可以发起的攻击类型已经大大扩展，使DDoS保护和减轻措施比以往任何时候都更具挑战性。

看看不同类型的攻击已经变得普遍，“好人”如何实现DDoS保护，以打击他们。

容量攻击

正如我们所讨论的，ping攻击（也称为ICMP Flood）是DDoS攻击的最简单类型，仍然是DDoS的最常见类型。Arbor Networks的一项研究报告指出，65％的攻击都是体力量的。它们意味着压倒服务器接收和响应所有请求的能力 – 换句话说，纯粹的卷是为了降低服务器，这就是为什么这些类型的爆炸被称为体积攻击。类似的和稍微复杂的方法是用UDP（用户数据报协议）请求压倒服务器上的随机端口，并绑定机器，因为它试图找到请求的计算机，然后发送“目的地不可达”的响应。欺骗这些请求来自的IP，或使用放大技术来几何增加其数量，

减轻这些攻击的传统方法是实施严格的防火墙规则，并使用路由器访问控制列表，阻止分片ping请求和丢弃垃圾数据包，使用负载平衡器扩展流量洪泛，如果不需要则完全阻止ICMP和UDP如果您不需要它们（通常不是，特别是主要用于服务游戏数据或处理广播的UDP）。更先进的DDoS保护技术也有助于防止或减轻体积攻击的影响。

协议攻击

如果您将体积攻击视为简单的暴力，则可以将协议攻击（通常称为状态耗尽攻击）描述为目标暴力。这些爆炸仍然依赖于流量传播Web服务器，但是通过使用服务器可以维护的并发连接数来集中影响中断服务器的正常运行。一些常见的目标是连接状态表，用于控制负载平衡器，防火墙和其他关键功能，以保护机器。Arbor报道说，大约20％的DDoS爆破是协议攻击。

最常见的是被称为死亡平台，其中大量碎片整理的ping数据包被发送到目标，这必须使用大量的资源来重新组合数据包，并且由于缓冲区过载或尝试响应ping而经常崩溃。另一个被称为Slowloris，它向服务器发送大量部分请求，以尽可能长地保持尽可能多的连接。目标是使用所有可用的连接并拒绝合法的客户端访问机器。利用TCP连接过程使用的序列的SYN Flood也采取类似的方法。

针对协议攻击的DDoS保护措施可以包括更快的超时请求，使用DDoS缓解设备来保护易受攻击的防御，如防火墙和负载平衡器，使用SYN cookie跟踪TCP连接并从恶意的缓存中筛选合法请求，并使用SYN缓存同时减少SYN接收的定时器设置。再次，我们接下来看的更先进的技术也可以大大的帮助。

应用层攻击

目前看到的最恶毒的DDoS攻击针对特定的服务器应用程序，如HTTP和DNS服务，所谓的应用层或七层攻击。20％以上的攻击使用这些方法，但它们是最难以缓解的，因为它们旨在模拟真实的访问者在进行请求时的行为。它还需要较少的流量来启动应用程序层攻击，因此监视系统通常需要更长的时间来识别出正在进行的DDoS攻击。

这些代码中最常见的包括HTTP洪水，其中正常的GET和POST请求（不是畸形或欺骗）强制服务器使用不成比例的资源来响应。例如，它们可能涉及并发和重复下载网站元素。其他类型是利用开放的NTP服务器来放大少量查询的效果的NTP（网络时间协议）放大攻击以及以类似的方式利用DNS（域名系统）服务器的DNS放大攻击。

应用层攻击是最难打倒的。通过IP仔细监控和跟踪Web活动，并将其与IP信誉记录匹配，坏机器人封锁以及需要执行JavaScript功能（如CAPCHAs）有时可帮助钝化HTTP洪水，但第7层攻击也需要更高级的DDoS保护措施，例如作为缓存服务器的使用，以及高级过滤和负载平衡技术。另一种有效的方法是将流量划分为“白名单”，“黑名单”和“灰色”类别的技术，将灰色流量转移到可以进行额外测试的独立的隔离服务器。

然而，猫和老鼠的游戏将持续相当长的一段时间，特别是随着DDoS攻击进入多层次，涉及两种或所有三种不同类型的可能的攻击。例如，体积性攻击可以用作转移，以利用系统的资源，并使其容易受到更复杂的应用程序级攻击。顶级提供商不断完善和测试新的DDoS保护和缓解技术，使其尽可能远离坏家伙。