Transcript 攻击者
李晗 [email protected] 2012年11月 网络如同江河湖海 假如流量并不清洁 泼掉脏水的同时孩子怎么办 流量清洗产品的定义和核心问题 • 定义：用于准确识别网络中的异常流量， 丢弃其中的异常流量，保证正常流量通行 的网络安全设备。 • 核心问题：如何准确区分网络中的异常流 量和正常流量？ 流量清洗培训三部曲 • 《流量清洗产品概述和关键技术介绍》 • 《抗攻击原理和算法介绍》 • 《DNS安全》 目录 1 流量清洗产品的前世今生 2 流量清洗产品的部署特点 3 流量清洗产品与防火墙的区别 4 如何设计一个好的流量清洗产品 5 黑客常用攻击手法简析 6 流量清洗的主要对象DDOS • 最早的DOS：1988年11月2日，一个叫RobertMorris的美国大学生写 了一个蠕虫程序，导致当时因特网上约15%的电脑受感染停止运行。 巧合的是，这个人的父亲老Morris是UNIX的创始人之一，专门帮助政 府对抗电脑犯罪。 • DDOS经历了三个发展阶段： 1、技术发展阶段。从上世纪90年代起，因特网开始普及，涌现了大 量的DOS技术，很多现在仍然很有效，包括synflood，smurf等。 2、从实验室向“产业化”过渡阶段。2000年前后，DDOS出现，雅 虎、亚马逊等多个著名网站遭受攻击并瘫痪。 3、商业时代。近些年，网络快速发展，接入带宽快速增长，个人电 脑性能大幅提高，DDOS攻击越来越频繁，出现了很多专业出租 “botnet”网络的DDOS攻击产业。 DDOS攻击的本质 • 利用木桶原理，寻找并利用系统资源的瓶 颈 • 阻塞和耗尽 DDOS攻击分类 • 连接耗尽型，包括SYN flood，连接数攻击 等； • 带宽耗尽型，包括Ack flood，UDP flood， ICMP flood，分片攻击等； • 针对特定应用，包括HTTP Get flood，CC ，HTTP POST慢速攻击，DNS flood，以 及针对各种游戏和数据库的攻击方式。 DDOS举例—SYN flood SYN Flood 攻击原理 就是让 你白等 为何还 没回应 攻击表象 伪造地址进行SYN 请求 • SYN_RECV状态 SYN （我可以连接吗？） • 半开连接队列 不能建立正常的连接！ – 遍历，消耗CPU和 内存 – SYN|ACK 重试 – SYN Timeout：30 秒~2分钟 受害者 • 攻击者 我没 发过 请求 无暇理睬正常的连接 请求—拒绝服务 DDOS举例—连接数攻击 Connection Flood 攻击原理 攻击表象 大量tcp connect 正常tcp connect 正常tcp connect 攻击者 正常用户 利用真实 IP 地址（代理 服务器、广告页面）在服 务器上建立大量连接 • 服务器上残余连接(WAIT 状态)过多，效率降低， 甚至资源耗尽，无法响应 • 蠕虫传播过程中会出现 大量源IP地址相同的包， 对于 TCP 蠕虫则表现为 大范围扫描行为 • 消耗骨干设备的资源， 如防火墙的连接数 这么多？ 正常tcp connect 正常tcp connect 正常tcp connect 正常tcp connect • 受害者 不能建立正常的连接 DDOS举例—UDP flood 网卡出口 堵塞，收 不了数据 包了 UDP Flood 攻击原理 占用 UDP （非业务数据） UDP （大包/负载） 带宽 受害者 攻击表象 • 大量UDP冲击服务器 • 受害者带宽消耗 • UDP Flood流量不仅仅影 响服务器，还会对整个传 输链路造成阻塞 攻击者 2015/4/13 13 分片攻击 • 有些系统会对分片报文重组。为此，系统 必须保持所有未完成的数据包的分片（直 到超时或满足其他条件）。 • 攻击者伪造并发送大量的分片，但却不让 这些分片构成完整的数据包，以此占用系 统CPU和内存，构成拒绝服务攻击。 • 攻击者还可以发送偏移量有重叠的分片消 耗系统资源。 DDOS举例—Teardrop Teardrop 攻击 服务器 系统崩溃 发送大量UDP病态分片数据包 UDP Fragments UDP Fragments UDP Fragments UDP Fragments UDP Fragments 受害者 攻击者 攻击表现 发送大量的UDP病态分 片数据包 早期操作系统收到含有 重叠偏移的伪造分片数 据包时将会出现系统崩 溃、重启等现象 现在的操作系统虽不至 于崩溃、重启，但是处 理分片的性能并不高， 疲于应付 无暇理睬正常的连接请 求—拒绝服务 DDOS举例—CC/HTTPGet flood 流量清洗前世 在流量清洗产品问世前，会采用以下办法 • 黑洞技术：将路由指向不存在的地址 • 路由器上：ACL，反向地址查询，限速 • 防火墙：状态检查，访问控制 • IPS：特征过滤 为应对DDOS产生的清洗技术 • SYN Cookie • 基于流量特征聚类的攻击特征提取 • 基于网络中各种标志位TCP报文的比例关 系检测攻击 • 基于流量自相似性的检测 • 基于服务器的认证机制 • 基于拥塞控制的防范机制 • Trackback 流量清洗产品的特点 • • • • • • • 适合串联和旁路部署 经常和检测设备搭配使用 支持多种路由和VPN相关的协议 转发不受新建连接数限制 可以抵御大规模的DDOS攻击 存在很多相对复杂的阈值配置 经常需要抓包分析攻击报文 回顾与提问 1、DDOS都有哪些常见种类？主要的攻击原 理是什么？ 2、为什么流量清洗产品面世之前的很多 DDOS防范技术无法很好的防御DDOS攻击 ？ 目录 1 流量清洗产品的前世今生 2 流量清洗产品的部署特点 3 流量清洗产品与防火墙的区别 4 如何设计一个好的流量清洗产品 5 黑客常用攻击手法简析 6 流量清洗产品的部署方案分类 • 串联线模式 • 思科提出的flow检测+动态牵引+清洗方案 • 华为提出的DPI检测+TOS标记牵引+清洗方 案 串联线模式 192.178.0.0 Trust 区域 联通 Channel 3G 192.168.0.0 Trust 区域 电信 Guard 10G 10G 1G 192.158.0.0 服务器群组 1G Cernet Flow检测+动态牵引+清洗方案 旁路部署的环路问题 旁路部署的环路问题 Ip route 10.1.2.0 255.255.255.0 10.1.2.2 Ip route 10.1.2.2 255.255.255.255 10.1.3.1 10.1.3.1 Leadsec-Detector leadsec-Guard 10.1.1.2 目标主机10.1.2.2 规避环路：PBR注入 旁路部署的环路问题 Ip rout 10.1.2.0 255.255.255.0 10.1.2.2 Ip rout 10.1.2.2 255.255.255.255 10.1.3.1 10.1.3.1 Leadsec-Detector interface Guard ip address 10.1.3.2 255.255.255.0 ip policy route-map pbr ! ip access-list extended guard permit ip any any ! route-map pbr permit 10 match ip address guard set ip next-hop 10.1.1.2 10.1.1.2 目标主机10.1.2.2 leadsec-Guard 规避环路的方法 Guard Guard 二层回注 PBR回注 环路问题 解决方案 Guard GRE Guard VRF GRE回注 MPLS回注 GRE 旁路的优势和劣势 优势： • 部署简单，不需要改变原有网络拓扑 • 性价比高，100G的网络第一期可以先部署 10G的清洗 • 不会引起单点故障 • 方便扩容，集群更容易部署 劣势： • 针对应用层的攻击，尤其是慢速攻击，flow 检查无法检测到 • 清洗设备不能实时学习正常数据 针对应用层防护的旁路改进部署 DPI检测+TOS标记牵引+清洗 待检测流量 任务目标 丢弃流量 管理设备 DPI 任务目标 清洗策略 分流路由器 标记流量 正常无标记流量 清洗结果 清洗设备 丢弃流量 回顾与提问 • • • • 流量清洗产品都有哪些常见的部署方式？ 旁路部署的关键技术问题是什么？ 旁路部署有哪些优势？ 思科和华为的方案孰优孰劣？ 目录 1 流量清洗产品的前世今生 2 流量清洗产品的部署特点 3 流量清洗产品与防火墙的区别 4 如何设计一个好的流量清洗产品 5 黑客常用攻击手法简析 6 流量清洗产品与防火墙的区别 • 部署方式：支持旁路，串联时一般采用线 模式。 • 功能：防火墙的主要功能是地址转换和访 问控制等；流量清洗的主要功能是抗攻击 ，而且相对防火墙而言功能数量比较少。 • 关键指标：防火墙的关键指标是稳定性和 功能全面，其次是性能；流量清洗产品的 关键指标是抗攻击能力和性能，其次是稳 定性。 不同的表现形态 • 流量清洗产品往往采用线模式或接口转发 等比较古怪的转发行为来优化转发性能， 而且流量清洗产品不需要会话和连接跟踪 ，因此转发性能也不依赖于新建连接数和 并发连接数。 • 流量清洗产品的配置项相对较少，主要是 抗攻击相关的功能和统计配置，以及部署 相关的配置。 • 由于上述原因，流量清洗产品容易做到比 较稳定，主要PK项是抗攻击算法和性能。 目录 1 流量清洗产品的前世今生 2 流量清洗产品的部署特点 3 流量清洗产品与防火墙的区别 4 如何设计一个好的流量清洗产品 5 黑客常用攻击手法简析 评价标准 • 高性能，包括小包抗攻击性能和转发性能 ，性能计量不用bps，而是用pps • 抗攻击算法可以抵御尽量多的DDOS攻击种 类和手法 • 支持方便的抓包分析和攻击取证 • 配置简单方便 • 支持各类串联和旁路部署 • 方便集群和扩容 高性能设计思路 • 摒弃防火墙的设计思路，转发不需要会话 和连接跟踪。 • 根据流量清洗产品的网络部署方式比较少 的特点，对转发进行优化。线模式，接口 转发等。 • 需要抗攻击模块分析的大部分报文可以不 走协议栈，以提高性能。 • 对抗攻击功能中的过滤报文部分进行性能 优化，比如采用ASIC加速等方式。 配置设计思路 • 抗攻击算法比较复杂，初次接触的工程师 不容易搞懂，因此相关的阈值和算法配置 需要尽量简化，并提供配置模板。 • 提供流量自学习功能实现自动或半自动配 置。 • 在菜单上分列流量牵引、流量清洗和流量 统计等项，方便用户配置。大部分抗攻击 功能都是针对目的进行防护，因此采用保 护IP来配置抗攻击策略比较合适。 目录 1 流量清洗产品的前世今生 2 流量清洗产品的部署特点 3 流量清洗产品与防火墙的区别 4 如何设计一个好的流量清洗产品 5 黑客常用攻击手法简析 6 黑客惯用的DDOS三十六计 浑水摸鱼 • 伪造大量有效的源地址，消耗网络带宽或 用数据包淹没受害者，从中渔利。 Udpflood，icmpflood等。 网卡出口 堵塞，收 不了数据 包了 不管三 七二十 一，多 发报文 占带宽 UDP （非业务数据） ICMP （大包/负载） 受害者 攻击者 瞒天过海 • 通过代理或僵尸网络建立大量正常连接， 消耗服务资源。连接数攻击，http get flood 等。 借刀杀人 • 采用受害者的IP作为源IP，向正常网络发送 大量报文，利用这些正常PC的回应报文达 到攻击受害者的目的。Smurf,fraggle等。 放大网络 DoS攻击 ICMP请求 被攻击者 攻击者 源IP=被攻击者 的IP 目的IP=指向网 络或子网的广播 暗渡陈仓 • 利用很多攻击防范设备会将正常访问加入 白名单的特性，利用正常访问的IP发动攻击 。改良后的synflood，dns query flood等。 源IP伪造成已经加入白名单的正常IP 通过白名单 检查，绕过 DDOS检查 大量攻击报文 攻击者 大量攻击报文 大量攻击报文 大量攻击报文 正常访问IP加入白名单 正常tcp connect 控制一些PC进行正 常访问和应用 受害者 笑里藏刀 • 利用一些协议的缺陷，发动看似很慢速的 攻击，由于流量很小不易被检测到，达到 拒绝服务的攻击目的。http post慢速攻击， SSL慢速攻击等。 每个连接 都在发报 文，不能 中断 HTTP连接，指定POST内容长度为1000 HTTP POST请求连接1，每10秒发送1个字节 HTTP POST请求连接2，每10秒发送1个字节 攻击者 HTTP POST请求连接3，每10秒发送1个字节 HTTP POST请求连接4，每10秒发送1个字节 受害者 正常tcp 正常HTTP请求 connect 正常用户 不能建立正常的连接 偷梁换柱 • DNS投毒，将一个合法域名的IP更换为自 己指定的IP，达到不可告人的目的。 NS请求hhh.baidu.com DNS请求：hhh.baidu.com 攻击者 2.NS请求www.baidu.com 3.返回202.108.22.5 权威DNS服务器 一级DNS服务器 查 询 5.HTTP访问 百度服务器 70.35.29.162 202.108.22.5 1. www.baidu.com 4. 返 回 大量DNS响应：随机匹配ID 附加域改为www.baidu.com 70.35.29.162 伪造DNS服务器 返 回 HTTP访问 用户 黑网欲 客络 兵硝 知 临烟 退 城四敌 下起之 策 且 听 下 次 分 解 谢谢