“2013年热点DDoS攻击事情深度剖析”

本篇文章1289字，读完约3分钟

年3月，欧洲反垃圾邮件企业spamhaus网站遭遇史上最大的流量ddos攻击，攻击流量峰值达到300gbps。 spamhaus是一家致力于反垃圾邮件的非营利组织，总部设在伦敦和日内瓦。 spamhaus维护着被许多大学/研究机构、互联网提供商、军事机构和商业公司广泛采用的巨大垃圾邮件黑名单。 此次攻击被怀疑是由于荷兰托管公司cyberbunker不满并多次被spamhaus列为垃圾邮件黑名单而发生的。

分解事情

年3月18日，spamhaus网站开始遭受ddos攻击，攻击流量迅速上升到75gbps，无法访问网站。 截至3月27日，攻击流量峰值达到300gbps，为史上最大的ddos攻击。 巨大的攻击流量聚集在欧洲几个一级运营商的互联网内部，欧洲地区的互联网拥挤不堪。 在这次攻击防御过程中，首先各个isp试图采用黑名单拦截攻击，从而失效。 spamhaus立即向专门提供站点保护和ddos流量清洗的cdn服务提供商cloudflare企业寻求了支持。 最终，cloudflare通过any_cast技术比较有效地缓解了攻击，cloudflare基于any_cast路由协议的最短路由技术，逐一实现了全球20个spamhaus的访问流量。

在这次攻击中，攻击者利用现网络数量庞大的开放dns服务器，使用dns反射攻击轻松地将攻击流量扩大了100倍。 攻击过程中使用了约3万台开放的dns服务器。 攻击者向这些开放的dns服务器发送ripe域名解析请求，并将源ip地址伪造为spamhaus的ip地址。 dns请求数据的长度约为36字节，响应数据的长度约为3000字节，通过dns开放服务器的反射可以轻松地将攻击流量扩大100倍。 攻击者只需要控制能够产生3gbps流量的僵尸互联网，就可以轻松实施300gbps的大规模攻击。 攻击中，各dns服务器发出的流量仅为10mbps，这样小的攻击流量很难被dns业务监控系统监控。 实际上，开放式dns服务器在网络上数量庞大，远远超过了3万台。 如果网络继续保持开放的dns服务器的无管理状态，则利用开放的dns系统进行的dns反射攻击会变多，攻击规模也会变大。

事情影响

这次攻击让人们意识到，开放dns服务器是网络定时炸弹，如果不加以管理，未来的某一天会爆发更大规模的ddos攻击。 这次与spamhaus的ddos攻击，影响了整个欧洲网络的正常访问。 从这个角度来说，网络安全不是某个公司的责任，而是整个社会的共同责任。

但是，从此次攻击的解决结果来看，为公司客户提供ddos流量清洗服务的cloudflare采用基于any_cast技术的云清洗方案成功进行了此次攻击，向人们展示了缓解超大规模ddos攻击的处理方法，从而降低了mssp的价格。 网络确实需要像cloudflare一样，用可以在全世界部署清洁中心的mssp来保护，但仅靠依赖于互联网访问而出口部署的安全防御系统，无法独立应对超大流量的ddos攻击。 预计将来，为了提供强大的anti-ddos saas服务，在各大洲部署清洗中心将成为基本的isp选择。