隨著 DDoS 攻擊的日益複雜和頻繁，傳統的防禦措施如流量清洗和負載平衡已不足以保障關鍵服務的持續可用性。DDoS 容錯架構作為一種主動防禦策略，旨在即使在遭受攻擊的情況下，也能維持系統的核心功能。根據入侵偵測系統（IDS）的容錯架構，例如 DIT 和 HACQIT，透過即時監控和分析網路流量，識別並隔離惡意行為，但其資源消耗較大，且可能存在誤判。另一種根據中介層演算法的方法，例如 MAFTIA，則透過投票演算法和門檻加密等技術，在應用程式層面提升系統的韌性，但需要對現有系統進行修改，可能增加複雜性。SCIT（自我淨化入侵容錯）架構則透過定期清理和角色輪換，降低伺服器被入侵的風險，並有效限制攻擊視窗。此外，SCIT/HES（硬體增強型 SCIT）更進一步透過硬體層面的強化，提升了系統的安全性。除了 SCIT，軟體重啟、FOREVER 和 Fireflies 等技術也提供了不同的容錯策略。選擇合適的容錯方案需考量應用程式特性、攻擊型別和成本等因素。
抵禦 DDoS 攻擊：多樣化的容錯方法與技術解析
面對日益猖獗的分散式阻斷服務（DDoS）攻擊，如何確保關鍵服務的持續可用性，已成為現代網路安全領域的重要課題。除了傳統的流量清洗和過濾技術外，更進階的容錯架構與演算法正逐漸受到重視。本文將探討幾種重要的 DDoS 容錯方法，並分析其優缺點，為構建更具韌性的系統提供參考。
根據入侵偵測系統（IDS）的容錯架構：主動防禦與即時回應
根據 IDS 的容錯架構，主要透過監控網路流量和系統行為，及時發現並回應潛在的攻擊。這類別架構通常包含多個安全區域和層級，以隔離和控制攻擊的影響範圍。
- DPASA（可存活 JBI 的分散式策略感知能力架構）： DPASA 整合了多種防禦機制，能夠預防、偵測和回應已知與未知的入侵行為。它利用多個安全區域和層級來保護資產和資源，最內層的主機負責安全防禦，代理伺服器則負責攔截來自外部區域的流量。DPASA 的核心在於其網路入侵偵測系統（NIDS），能夠即時監控和分析網路流量，識別惡意行為。
- Willow 架構： Willow 架構旨在保護分散式運算環境中的關鍵應用程式。它包含多個元件，用於識別惡意活動導致的故障、分析系統漏洞，以及在檢測到惡意活動後執行重新組態。Willow 架構的關鍵在於其重新組態元件，能夠監控應用程式主機，有效感知網路狀態，分析變化，並評估所需的組態變更。
- DIT（可靠入侵容錯架構）： DIT 是一種自適應的入侵容錯架構，透過一組中介代理和監控系統，提供入侵警示資訊。它不僅能夠檢測入侵，還能使用協定來識別異常行為。
- HACQIT（入侵容錯服務品質的分層自適應控制）： HACQIT 旨在提供關鍵的使用者服務，同時允許效能降低最多 25%。它透過主動防禦和設計多樣性來增強標準的容錯能力，並防止帶外控制系統的重複錯誤。HACQIT 的優勢在於能夠有效地利用多樣性進行入侵檢測，防止重複攻擊成功，並透過持續的線上修復提供入侵還原。
- ITSI（入侵容錯伺服器基礎設施）： ITSI 能夠在網路層檢測入侵，隔離入侵，阻止其從一個主機自由擴散到另一個主機，並繼續為合法使用者提供服務。它使用智慧型網路介面卡（NIC）來識別入侵，並在檢測到入侵後，幫助快速還原。
玄貓觀點： 儘管根據 IDS 的容錯架構能夠有效檢測和回應入侵，但它們通常需要大量的處理資源來分析、監控和檢測異常行為。此外，額外的硬體和軟體成本以及管理負擔也是需要考慮的因素。
根據中介層演算法的方法：強化韌性的多重防護
除了根據 IDS 的架構外，還有一些系統專注於開發特殊的中介層演算法，例如門檻加密、投票演算法和分散式冗餘散射（FRS），以增強系統的韌性。
- MAFTIA（適用於網際網路應用程式的惡意和意外容錯）： MAFTIA 是一種開創性的中介層演算法方法，適用於構建大規模的可靠分散式應用程式。它能夠處理意外和惡意故障，並透過投票演算法和 k-門檻加密來實作容錯。MAFTIA 的架構可以分為三個關鍵維度：硬體、本地支援和分散式軟體。硬體維度包括組成物理系統的主機和網路裝置。本地支援服務由作業系統（OS）和執行時期平台提供。
玄貓分析： 根據中介層演算法的方法，透過在應用程式層面實施容錯機制，能夠有效地提高系統的整體韌性。然而，這類別方法通常需要對現有系統進行較大的修改，並且可能引入額外的複雜性。
MAFTIA、PASIS與OASIS：DDoS攻擊下的韌性架構演進
面對日益猖獗的分散式阻斷服務（DDoS）攻擊，傳統的防禦手段往往捉襟見肘。為了提升系統的強韌性，研究人員提出了多種容錯架構，其中MAFTIA、PASIS和OASIS是三個重要的里程碑。
MAFTIA：中介層演算法的容錯機制
MAFTIA（Middleware Algorithm-Based Tolerance Architecture）是一種根據中介層的容錯架構，旨在提供對已知和未知威脅的有效防禦。MAFTIA 的核心在於其分散式的軟體設計，每個節點都具備授權、入侵檢測和可信任第三方等功能。
MAFTIA 的運作框架涉及三個關鍵維度：
- 多樣性（Diversity）：在每個節點內部引入多樣性，例如使用不同的作業系統或軟體版本，以降低單點故障的風險。
- 冗餘性（Redundancy）：佈署多個節點，確保即使部分節點失效，系統仍能繼續運作。
- 動態性（Dynamism）：根據系統的執行狀況和安全態勢，動態調整組態和策略。
雖然MAFTIA已被IBM整合到其產品和服務中，但額外的處理和管理開銷也是需要考慮的成本。我認為，在設計高用性系統時，必須權衡容錯能力與效能之間的平衡。
PASIS：分散式儲存與資訊安全
PASIS（Perpetually Available and Secure Information System）是另一項重要的研究成果，其目標是提供永久可用且安全的資訊系統。PASIS 的架構根據三個基本技術：
- 分散式儲存系統：避免單點故障，確保資料的永續性。
- 門檻資料編碼：提供資訊的可用性和機密性，即使部分節點被攻破，資料仍然安全。
- 動態自我管理：實作自動和即時的資料維護，確保儲存的可靠性和生存性。
PASIS 的客戶端代理與儲存節點建立通訊，對客戶端隱藏了底層分散式的本質。透過門檻秘密分享方案，資料被編碼並分散到多個儲存節點中。根據研究，即使部分節點被入侵，PASIS 也能確保資訊的機密性和可用性。
然而，開發適用於不同客戶端平台的 PASIS 函式庫和代理軟體成本較高，且處理開銷也較大。從我過去的經驗來看，匯入新的安全架構時，除了技術可行性外，成本效益分析也至關重要。
OASIS：有機保障與可存活資訊系統
OASIS（Organically Assured and Survivable Information System）是美國國防高等研究計畫署（DARPA）的一個計畫，旨在提供針對複雜攻擊的防禦能力，確保系統在已知和未來的網路攻擊下仍能持續運作。OASIS 計畫的三個主要目標是：
- 開發使用潛在易受攻擊元件的 ITS（Intrusion Tolerance System，入侵容錯系統）。
- 分析和指定 ITS 的成本效益。
- 為任何 ITS 提供評估和驗證支援。
ITUA（Intrusion Tolerance by Unpredictable Adaptation）是 OASIS 計畫中的一個專案，它是一種根據中介層演算法的方法，提供有效的容錯服務。ITUA 是一個分散式物件框架，使用群組通訊和密碼學協定，在物件層級自適應地保護應用程式。
ITUA 的架構支援：
- 隔離受損資源。
- 從故障中還原。
- 優雅降級。
ITUA 使用入侵容錯閘道來保護物件之間的通訊，並管理多個以分散方式組織的冗餘主機，以提供持續的容錯支援。
自我淨化入侵容錯（SCIT）：根據還原的方法
與前述架構不同，根據還原的架構假設系統一旦上線，隨時可能受到入侵。因此，定期將系統還原到已知的良好狀態至關重要。
自我淨化入侵容錯（SCIT）是一種有效的可還原入侵容錯系統，它使用定期還原策略，並使用冗餘伺服器來維持服務可用性。SCIT 由一個 SCIT 控制器和多個冗餘伺服器組成。SCIT 伺服器可以處於四種不同的狀態：
- 活動狀態：伺服器線上上並接受來自外部世界的請求。
- 寬限期：伺服器不與外部世界通訊，僅處理在活動期間收到的請求。
- 淨化期：伺服器離線，還原系統組態檔案、服務檔案等。
- 備用期：伺服器等待進入活動狀態。
SCIT 使用一組相同的伺服器，並在這些伺服器之間應用迴圈淨化，以將系統還原到其原始映像。SCIT 模型具有多個顯著優勢：
- 適用於任何開放的網際網路伺服器，例如 Web 和網域名稱系統伺服器。
- 架構簡單，不依賴入侵檢測。
SCIT 的核心元件是其控制器，負責管理伺服器進出淨化模式的輪換。控制器演算法會考慮群組基數、伺服器的淨化週期時間以及所需的線上伺服器數量。該演算法的實作根據虛擬化技術。
Huang 等人根據 SCIT 架構開發了多種補救機制，以應對各種未知攻擊。
## 如何開發堅如磐石的服務：解析DDoS容錯方法與SCIT架構
面對日益猖獗的DDoS攻擊，如何確保服務的持續可用性成為了現代網路安全的核心挑戰。傳統的防禦方法往往難以應對大規模、複雜多變的攻擊，因此，DDoS容錯技術應運而生。本文將探討DDoS容錯的各種方法，並重點分析一種名為SCIT（Self-Cleansing Intrusion Tolerance）的創新架構，看看如何透過它來提升系統的韌性。
### 傳統DDoS防禦的困境：為何需要容錯？
在探討容錯技術之前，讓玄貓先來回顧一下傳統的DDoS防禦手段。常見的方法包括：
* **流量清洗**：過濾惡意流量，保留合法流量。
* **負載平衡**：將流量分散到多個伺服器，避免單點過載。
* **入侵檢測與防禦系統（IDS/IPS）**：識別並阻止惡意行為。
然而，這些方法在面對新型DDoS攻擊時，往往顯得力不從心。例如，應用層DDoS攻擊（如HTTP Flood）模擬正常使用者行為，難以與合法流量區分。此外，攻擊者還可能利用殭屍網路發動大規模攻擊，使傳統防禦措施不堪重負。
因此，僅僅依靠防禦是不夠的，我們需要一種能夠在攻擊發生時，依然保證服務可用性的方法，這就是DDoS容錯技術的核心思想。
### SCIT：一種自我淨化的入侵容錯架構
SCIT是一種獨特的架構，它透過週期性的自我清理和角色輪換，來降低伺服器被攻擊者利用的風險。在SCIT架構中，伺服器並非一成不變地提供單一服務，而是不斷地在不同的角色之間切換，並定期進行清理，以消除潛在的威脅。
#### SCIT運作機制：動態防禦的核心
SCIT架構的核心思想是"動態防禦"。每個伺服器在其生命週期內，都會經歷以下幾個階段：
1. **清理（Cleansing）**：伺服器首先處於離線狀態，進行徹底的清理，移除潛在的惡意程式或組態。
2. **線上服務（Online Service）**：清理完成後，伺服器上線提供服務，例如Web服務、郵件服務或DNS服務。
3. **角色輪換（Role Rotation）**：伺服器在不同的服務角色之間輪換，增加攻擊者鎖定目標的難度。
這種週期性的清理和輪換機制，有助於：
* **限制攻擊視窗**：減少伺服器暴露在網路上的時間，降低被攻擊的機率。
* **消除潛在威脅**：定期清理可以移除潛在的惡意程式，防止攻擊者建立持久的立足點。
* **增加攻擊難度**：角色輪換使得攻擊者難以鎖定特定目標，提高攻擊成本。
#### SCIT/HES：硬體加速的SCIT架構
儘管SCIT在軟體層面具有一定的優勢，但其運作機制也可能被未知的攻擊所利用。為了克服這個問題，研究人員提出了SCIT/HES（SCIT/Hardware Enhancement System），一種根據硬體的通用SCIT框架。
SCIT/HES旨在解決軟體SCIT的兩個主要缺點：
1. **軟體易受攻擊**：軟體實作可能受到複雜性和新型漏洞的影響而被破壞。
2. **線上伺服器不可靠**：由於未知漏洞的存在，線上伺服器隨時可能被攻陷。
SCIT/HES透過硬體層面的強化，保證了SCIT的六個關鍵安全特性：
1. **定期重置和清理**：伺服器定期重置並清理。
2. **唯讀安全裝置**：關鍵檔案僅從唯讀和安全裝置載入。
3. **乾淨狀態啟動**：伺服器從乾淨（就緒）狀態轉換到指定的線上服務角色。
4. **離線安全操作**：關鍵安全操作僅在離線清理狀態下執行。
5. **隔離線上伺服器**：線上伺服器與內部網路和受信任的儲存隔離。
6. **隔離安全控制器**：安全控制器保持隔離。
此外，SCIT/HES還解決了擴充套件性、通用性和單點故障消除等問題。
### 其他DDoS容錯方法
除了SCIT之外，還有一些其他的DDoS容錯方法值得關注：
* **軟體重啟（Software Rejuvenation）**：透過定期重啟應用程式或系統，來清除累積的錯誤和漏洞。Aung等人提出了一種根據軟體重啟的叢集還原模型，透過分析應用程式元件的漏洞，選擇合適的行程進行重啟。
* **FOREVER（Fault/intrusiOn REmoVal through Evolution & Recovery）**：透過進化和還原技術來消除故障和入侵。FOREVER透過協調不同副本的還原，來保證服務的可用性。它需要完善的故障檢測、時鐘同步和總排序多播等服務。
* **Fireflies**：一種支援入侵容錯網路覆寫的可擴充套件協定。Fireflies將成員分為正確、停止和拜占庭三種狀態，允許正確的成員執行Gossip和Ping等協定。
### 玄貓的經驗分享：如何選擇合適的容錯方案？
在實際應用中，選擇合適的DDoS容錯方案需要綜合考慮多個因素，包括：
* **應用程式特性**：不同的應用程式對可用性的要求不同，需要選擇適合的容錯級別。
* **攻擊型別**：不同的攻擊型別需要不同的容錯策略。
* **成本**：容錯方案的實施和維護成本需要納入考量。
玄貓建議，可以從以下幾個方面入手：
1. **風險評估**：評估應用程式面臨的DDoS風險，包括攻擊的可能性、影響範圍和潛在損失。
2. **需求分析**：明確應用程式對可用性、效能和安全性的需求。
3. **方案比較**：比較不同的容錯方案，選擇最適合的方案。
4. **測試與驗證**：在實際環境中測試和驗證容錯方案的有效性。
