分布式拒絕服務(wù)攻擊(DDoS)無需占用太多帶寬即可產(chǎn)生破壞效果，且很難緩解。

[[257062]] 

今年初，Imperva應(yīng)客戶要求緩解了一起每秒數(shù)據(jù)包數(shù)量超5億個的DDoS攻擊，可能是按數(shù)據(jù)包規(guī)模計的史上最大型DDoS攻擊。

1月10號的攻擊是所謂的SYN洪水攻擊——攻擊者通過發(fā)送超出目標計算機處理能力的TCP連接請求令該主機掉線。Imperva稱，本次攻擊中所用洪水數(shù)據(jù)包既有正常SYN包，也有大小在800-900字節(jié)之間的超大SYN包，源IP地址和端口也是高度隨機的。

攻擊者往往綜合采用正常包和超大包攻擊，正常SYN包耗盡CPU等服務(wù)器資源，而超大SYN包用于阻塞網(wǎng)絡(luò)。

Imperva的調(diào)查發(fā)現(xiàn)，1月初的攻擊采用了兩個已知工具，一個用于發(fā)起正常SYN流量洪水，另一個制造超大SYN包攻擊。這兩個工具似乎是不同作者編寫，然后被人組合使用在了互聯(lián)網(wǎng)歷史上最密集的網(wǎng)絡(luò)基礎(chǔ)設(shè)施DDoS攻擊上。

公司企業(yè)和媒體往往傾向于關(guān)注DDoS攻擊的規(guī)模。但實際上，規(guī)模并不是攻擊緩解難度或破壞程度的最佳反映。每秒包數(shù)量(PPS)是個更好的指標。

去年GitHub遭受的攻擊，其峰值流量達到1.35TB每秒，堪稱史上最大帶寬密集型DDoS攻擊。該攻擊吸引了大量關(guān)注，常被當作大型DDoS攻擊可致巨大挑戰(zhàn)的典型例子。

緩解難點

從緩解的立場看，提供足夠的網(wǎng)絡(luò)帶寬可以減弱這種攻擊。當下的DDoS攻擊緩解及防護服務(wù)傾向于提供遠超目前最大型DDoS攻擊規(guī)模的帶寬。這使得攻擊規(guī)模不再成為令公司企業(yè)頭痛的問題。

但處理涉超高PPS的攻擊就是另一碼事了，因為評估每個包所需的計算處理能力才是個中關(guān)鍵。限制網(wǎng)絡(luò)路由器、交換機和服務(wù)提供商用以緩解DDoS攻擊的設(shè)備的，不是數(shù)據(jù)包的大小，而是其產(chǎn)生速度。緩解高PPS攻擊需要的處理能力，遠遠超出了當前絕大多數(shù)網(wǎng)絡(luò)設(shè)備路由或交換數(shù)據(jù)包的能力。

“公司企業(yè)提供帶寬容量，所以大小往往成為衡量DDoS攻擊的標準度量。但高PPS攻擊才是公司企業(yè)更應(yīng)該關(guān)注的方向。

比如說，GitHub攻擊案例中，DDoS流量主要由不同服務(wù)器的相同端口發(fā)出的大數(shù)據(jù)包組成，PPS速率相對較低，為1.296億。而本月初Imperva緩解的這起攻擊，從隨機源地址發(fā)出的包數(shù)量幾乎是GitHub攻擊的4倍。“

高PPS攻擊更難以產(chǎn)生，因為需要更多的計算資源;同理，其緩解也需要更多計算資源。公司企業(yè)應(yīng)更為關(guān)注高PPS攻擊。

DDoS攻擊的影響最終取決于攻擊方式和目標企業(yè)的脆弱性。運用得當?shù)脑挘瑹o論是高帶寬的攻擊還是高PPS的攻擊，都能造成災(zāi)難性后果。提前預(yù)測多方式DDoS攻擊的發(fā)展是不可能的。不同方式帶來不同的緩解挑戰(zhàn)。

比如說，高PPS攻擊不會像高帶寬攻擊那樣頻繁地阻塞鏈路。高帶寬攻擊往往對無辜路人造成連帶傷害，用網(wǎng)絡(luò)擁塞將他們一起擠掉線。

Imperva十大DDoS攻擊趨勢：

https://www.imperva.com/docs/DS_Incapsula_The_Top_10_DDoS_Attack_Trends_ebook.pdf

Imperva報告：

https://www.imperva.com/blog/this-ddos-attack-unleashed-the-most-packets-per-second-ever-heres-why-thats-important/