[[171711]]

任何遭遇過DDoS攻擊的企業(yè)都知道這種攻擊會造成嚴(yán)重的破壞。除了顯而易見的影響，例如性能下降或企業(yè)網(wǎng)站完全無法訪問，還有不太明顯的影響，例如，如果企業(yè)在IaaS或甚至主機(jī)托管提供商那兒選擇“基于使用量的定價(jià)”，DDoS攻擊會給企業(yè)造成財(cái)務(wù)損失。當(dāng)這些企業(yè)需要為帶寬或CPU時(shí)間付費(fèi)時(shí)，DDoS相關(guān)的成本影響非常顯著。

鑒于分布式拒絕服務(wù)(DDoS)攻擊可能會帶來非常嚴(yán)重的后果，我們看到市場上涌現(xiàn)出很多專門防御或緩解這種類型攻擊的技術(shù)。這些技術(shù)依靠不同的機(jī)制;例如，一種技術(shù)利用云計(jì)算來緩解DDoS攻擊的影響，它會通過云服務(wù)提供商的DNS重置路由過濾有問題的流量。最常見的方法是調(diào)整DNS記錄將對客戶Web服務(wù)器的請求發(fā)送至云服務(wù)提供商，云服務(wù)提供商作為入站請求的反向代理，他們會過濾惡意流量并將合法流量返回給客戶。

這種解決方案有很多優(yōu)勢：它不需要修改客戶的網(wǎng)站，不需要部署新硬件，并可以快速啟用或禁用。然而，依靠DNS重置路由也可能讓問題復(fù)雜化。由于流量會首先通過DNS解析到達(dá)云服務(wù)提供商，攻擊可繞過域名解析(例如直接瞄準(zhǔn)底層客戶IP地址)，使其完全可以繞過這種保護(hù)機(jī)制。

CloudPiercer

從實(shí)踐來看，這里帶來的啟示是：隱藏客戶想要保護(hù)的服務(wù)的源IP很重要。事實(shí)上，這種緩解服務(wù)帶來的價(jià)值與獲取原始信息的難易程度有關(guān)，這些信息隱藏得越好，攻擊者越難發(fā)起攻擊。

這是比利時(shí)Leuven大學(xué)和紐約州立大學(xué)Stony Brook分校研究人員提出的觀點(diǎn)，他們對很多用于發(fā)現(xiàn)服務(wù)器(這些服務(wù)器受基于DDoS防護(hù)技術(shù)保護(hù))原始IP的技術(shù)進(jìn)行了測試。他們查看了IP歷史數(shù)據(jù)庫、解析到原始IP的子域名(例如用于SSH連接的子域名)、DNS信息(例如不指向云服務(wù)提供商的MX記錄)、可能包含IP信息的文件、引用和證書信息。他們的CloudPiercer研究網(wǎng)站提供了一種掃描工具來為管理員部署各種方法，幫助他們了解其環(huán)境是否存在風(fēng)險(xiǎn)。

這種方法很重要的原因不僅在于大部分網(wǎng)站都容易受到攻擊，也因?yàn)檫@些方法很可能被精明的攻擊者利用。例如，在CloudPiercer網(wǎng)站的部署會查看PHP信息文件;然而，這些肯定不是唯一包含服務(wù)器IP地址的文件：備份文件或腳本也可能包含這些信息。

我們可以做些什么?

對于基于云的DDoS防護(hù)，受云計(jì)算保護(hù)的Web服務(wù)器的原始IP暴露可不是什么好事兒，這應(yīng)該引起安全人員的關(guān)注。要緊的是，如果使用基于云的DDoS防護(hù)服務(wù)，他們可以怎么做來確保受到保護(hù)?對于正在評估DDoS緩解工具和戰(zhàn)略的企業(yè)，這會有什么影響?

對于已經(jīng)在使用云服務(wù)作為其DDoS防護(hù)戰(zhàn)略一部分的企業(yè)，他們必須了解他們是否正在暴露這些信息，以及他們是否在采取措施來防止這些信息在今后被泄露。為了確定他們現(xiàn)在是否在泄露這些信息，第一步可以利用CloudPiercer研究團(tuán)隊(duì)提供的免費(fèi)的掃描器。但是，這個工具并沒有涵蓋其他方面，有些企業(yè)可能希望采取更全面的分析。例如，他們可能想要評估滲透測試是否可確保這些信息得到了真正的隱蔽。

在他們了解他們目前是否受到了影響后，他們可建立流程來確保這些信息在之后不會被泄露。對于不同的公司，可能會選擇不同的方法，但他們可以考慮定期掃描、檢索主機(jī)IP的內(nèi)容變化，以及評估這些變化、針對該問題或其他適合環(huán)境的其他技術(shù)對開發(fā)人員進(jìn)行教育。

對于正在評估基于云的DDoS防護(hù)工具及服務(wù)的企業(yè)，重要的是認(rèn)識到這個問題的存在，并圍繞這個問題制定計(jì)劃。有些解決方案可能涉及構(gòu)建上述程序來最大限度減少/防止信息泄露。這意味著基于設(shè)備的內(nèi)部部署解決方案更加重要，因?yàn)槲覀兛梢灶A(yù)測挑戰(zhàn)，保持企業(yè)隱蔽性以及考慮在云中運(yùn)行但利用BGP的服務(wù)，很多供應(yīng)提供兩種選項(xiàng)。

企業(yè)應(yīng)該認(rèn)真思考這個問題，并將其融進(jìn)安全規(guī)劃中，因?yàn)镈DoS緩解非常重要，如果想從所購買的服務(wù)中獲取最大的價(jià)值，企業(yè)就需要認(rèn)真理解和規(guī)劃這一問題。