隨著網路攻擊日益複雜，DDoS 攻擊已成為網路安全領域最嚴峻的挑戰之一。傳統的集中式防禦架構，雖易於佈署，但先天限制使其難以應付大規模攻擊。單點故障的風險，加上有限的擴充套件性，使得企業在面對高流量攻擊時，服務穩定性岌岌可危。分層式防禦透過多層保護機制，一定程度上減輕了中心節點的壓力，但也並非完美方案。高層節點仍可能成為攻擊目標，且檢測覆寫範圍有限。分散式防禦架構的出現，則為 DDoS 防禦帶來了新的希望。透過自治協作的機制，分散式系統展現出更高的擴充套件性和彈性，即使部分節點失效，整體系統仍能正常運作。然而，決策依賴不完整資訊以及警示資訊不足，仍是分散式防禦需要克服的挑戰。未來，結合機器學習和威脅情報，開發更智慧的分散式防禦系統，將是重要的發展方向。除了架構的演進，DDoS 防禦也需考量佈署位置。主機端防禦著重於單機資料分析，而網路端防禦則透過監控網路流量來識別異常行為。此外，依據佈署位置的不同，又可分為受害者端、中間端和來源端防禦。受害者端防禦作為最後一道防線，適用於低流量攻擊或補充其他防禦手段。來源端防禦雖能防患於未然，但佈署成本高昂，且容易誤判。中間網路防禦理論上可行，但實際佈署難度極高。選擇合適的 DDoS 防禦方案，需要考量多重因素，並根據實際需求制定最佳策略。
行動裝置殭屍網路：挑戰與趨勢
殭屍網路不僅限於傳統的電腦，行動裝置也日益成為駭客們的目標。行動殭屍網路利用智慧型手機和平板電腦電腦的普及，發動各種惡意攻擊。以下是一些值得關注的行動殭屍網路案例：
Android 殭屍網路：行動惡意程式的新溫床
Android 系統的開放性使其成為行動殭屍網路的熱門目標。惡意程式感染使用者手機後，會接收來自遠端伺服器的指令，讓駭客得以控制受感染的裝置。
MDK：中國最大的行動殭屍網路
MDK 被認為是中國最大的行動殭屍網路，能夠迅速感染大量裝置。它是 Android.Backscript 的變種，使用 AES 加密演算法來保護資料。
Zeus：社工手法與銀行詐騙
Zeus 殭屍網路主要透過社交工程手法，感染各種行動作業系統，包括 Windows Mobile、Android、Symbian 和 BlackBerry。Zeus 會傳送包含假網址的簡訊，誘騙使用者下載惡意安全憑證，進而竊取銀行傳送的訊息，進行非法交易驗證。
DroidDream：隱匿的夜間攻擊者
DroidDream 是一個設計精巧、隱匿性高的殭屍網路，不會異常佔用 CPU、記憶體或其他資源，難以被察覺。它通常在夜間（晚上 11 點到早上 8 點）啟動，嘗試取得受感染手機的 root 許可權，並透過安裝第二個應用程式來竊取機密資訊。
Tiger：監聽你的每一句話
Tiger 不僅能竊取私人簡訊資料，還能錄製語音通話內容，甚至背景聲音。它是一個完全由簡訊控制的殭屍網路，能夠檢測和揭露 C&C 訊息。
玄貓對殭屍網路設計的觀察
設計有效的 DDoS 攻擊工具時，行動殭屍網路與傳統殭屍網路的需求有所不同。相較於傳統殭屍網路，行動殭屍網路在頻寬、電池續航力、安全性管理和防火牆保護方面都面臨更多限制。攻擊者和防禦者都需要意識到這些問題。
殭屍網路設計的關鍵因素
在設計殭屍網路架構時，DDoS 攻擊者通常會考慮以下因素：
- 分散式 vs. 集中式： 行動殭屍網路更適合分散式架構，以降低單點故障的風險。
- 隱匿性： 行動裝置資源有限，殭屍網路需要盡可能隱藏其活動，避免被使用者發現。
- 控制方式： 透過 SMS 或其他隱蔽管道進行控制，避免被網路監控系統檢測到。
- 攻擊目標： 針對行動網路特性設計攻擊方式，例如 SMS 垃圾郵件、DDoS 攻擊和點選詐欺。
P2P 通訊的優勢
P2P 殭屍網路通訊優於集中式網路。P2P 通訊通常難以被防禦者幹擾。此外，單個殭屍程式的故障不會對整個網路產生太大影響。在這種設計中，由於指令透過 P2P 網路中的中間節點傳遞，分析師更難以識別殭屍網路控制器並確定網路規模。
殭屍網路規模並非越大越好
殭屍網路的規模並非越大越好。規模越大，殭屍網路的能見度越高。一個規模相對較小的殭屍網路（例如 15000 到 20000 個殭屍程式）如果能夠適當利用其組合頻寬並進行熟練的編碼，也能有效地破壞受害者的網站或伺服器。通常，低速率攻擊（完整攻擊的 50-70%）加上脈衝、振幅和間隔的隨機變化，更有可能繞過防禦系統。
行動殭屍網路的獨特之處
隨著殭屍網路技術的快速發展和智慧型手機的日益普及，行動殭屍網路已成為攻擊者發動蜂窩網路攻擊（如 SMS 垃圾郵件、DDoS 攻擊和點選詐欺）的有效平台。與傳統殭屍網路相比，行動殭屍網路的設計受到裝置特定資源限制（例如電池壽命）和靈活性的影響。行動殭屍網路的程式設計師必須注意這些因素。此外，智慧型手機通常更容易受到攻擊，因為透過 SMS 命令和控制系統或藍牙存取手機很容易。此外，行動殭屍網路的 P2P 拓撲允許殭屍網路主機和殭屍程式以 P2P 方式發布和搜尋命令，使得檢測和破壞更加困難。攻擊規劃者和設計者也更喜歡在行動殭屍網路通訊中使用 HTTP，因為它有助於隱藏通訊內容。
行動殭屍網路的威脅日益嚴峻，防禦者需要採取更有效的措施來應對。
DDoS 檢測：防禦網路攻擊的第一道防線
現今世界正以驚人的速度電腦化和網路化。為了支援這種驚人的成長，服務提供者正竭盡全力提供最優質的服務。在這種競爭激烈的環境中，安全是一個非常重要的議題。正如我們在前幾章討論的那樣，入侵或攻擊可能是快速或緩慢的。當 DDoS 攻擊在很短的時間內（例如幾分之一分鐘）產生大量封包或極高的流量以擾亂服務時，我們稱之為快速攻擊。如果攻擊需要幾分鐘或幾小時才能完成，則稱為慢速攻擊。
為了應對網路和資源面臨的外部和內部威脅的快速出現，研究人員已經研究了各種方法，例如入侵檢測系統 (IDS)、入侵防禦系統 (IPS)、入侵回應系統 (IRS) 和入侵容錯系統 (ITS)。其中，IDS 和 IPS 是分層安全基礎設施的重要組成部分。正如第 2 章討論的那樣，為了對網路或系統執行攻擊，攻擊者通常遵循四個主要步驟：(a) 攻擊者掃描整個網路以尋找和招募易受攻擊的主機；(b) 然後，易受攻擊的主機被惡意程式或後門程式利用而被攻擊者入侵；(c) 攻擊者感染受入侵的主機，為有效發動攻擊建立基礎；(d) 最後，使用受入侵的主機發動攻擊。
DDoS 防禦系統架構：監控、偵測與反應
分散式阻斷服務（DDoS）攻擊對網路服務構成嚴重威脅，有效的防禦機制至關重要。一個通用的 DDoS 防禦系統通常包含三個核心模組：監控、偵測與反應。
網路流量監控：掌握服務狀態
監控模組負責收集網路中各個節點的狀態資訊，比對當前活動與預期行為是否一致。這不僅限於外部流量，內部流量的監控也同樣重要。如同玄貓在為某企業客戶進行資安健檢時發現，忽略內部流量監控可能導致未能及時發現內部主機參與未授權活動。
識別未授權服務：內外兼顧
監控模組的另一項重要功能是識別網路中未經授權的服務。玄貓認為，為了有效識別這些服務，必須同時檢查外部和內部流量。如果只關注外部流量，很容易忽略內部主機參與的未授權活動。
異常行為偵測：即時警示
偵測模組的目標是識別網路中的任何濫用或異常行為，並向管理員產生報告。雖然此模組可以嘗試阻止入侵，但這並非其主要職責。偵測模組側重於識別潛在的入侵模式、事件或活動，並及時以有意義的方式報告。
監督式與非監督式方法：兩種偵測策略
偵測模組通常分析相關的網路流量資訊，以識別潛在的安全漏洞。這可以透過兩種主要方法實作：
- 監督式方法：使用先前的入侵知識。
- 非監督式方法：不使用先前的入侵知識。
主動與被動反應：雙管齊下
反應模組通常包含兩個基本組成部分：被動元件和主動元件。
- 被動元件：檢查系統的組態檔案，以檢測不明智的設定；檢查密碼檔案，以檢測不明智的密碼；以及檢查其他系統區域，以檢測策略違規行為。
- 主動元件：對已知的攻擊方法做出反應並產生系統回應。它可以透過多種方式回應可疑事件，包括顯示警示、記錄事件，甚至呼叫管理員。
DDoS 防禦方案分類別：從控制方式到技術應用
DDoS 防禦方案可以根據多種因素進行分類別，包括所使用的方法、應用的控制性質、使用的基礎設施、使用的佈署策略以及應用的技術型別。
根據使用方法的分類別：四大目標
DDoS 防禦方法主要圍繞四個目標展開：
- 早期偵測：儘早發現 DDoS 攻擊。
- 預防：盡可能阻止 DDoS 攻擊的發生。
- 適當反應：在偵測到 DDoS 攻擊時採取適當的行動。
- 容錯能力：提高受害者網路的容錯能力。
入侵偵測系統（IDS）：監控與警示
入侵偵測系統（IDS）是一種應用程式，用於監控網路或系統中的惡意活動或策略違規行為。某些系統可能還會嘗試阻止入侵，但這通常不是 IDS 的主要功能。如果 IDS 檢測到任何威脅、異常模式或策略違規行為，它會向系統或網路管理員發出警示。
IDS 的基本組成：管理、監控、偵測與警示
一個典型的 IDS 包含四個基本元件：
- 管理元件：監控網路中的流量。它向監控元件提供流量資訊以進行分析。
- 監控元件：監控流量並分析網路的行為。
- 偵測元件：檢測相對於網路正常工作狀態的任何可疑行為。如果檢測到任何異常行為，它會與警示產生元件通訊。
- 警示產生元件：如果檢測到流量中的任何異常情況，警示產生元件會發出警示以通知管理員，以便可以適當地處理入侵。
根據控制性質的分類別：集中式、階層式與分散式
DDoS 防禦系統還可以根據用於對抗 DDoS 攻擊的控制結構進行分類別。主要有三種基本方法來控制 DDoS 攻擊的偵測和預防：集中式、階層式和分散式。
集中式 DDoS 防禦：單點風險
在集中式防禦系統中，每個偵測引擎在本地產生警示，並將其傳送到中央伺服器。伺服器嘗試關聯和分析這些警示。使用這種方法，可以根據所有可用的警示資訊做出準確的偵測決策。
集中式防禦的限制：單點故障
這種方法的主要限制是中央伺服器非常脆弱。此伺服器的任何故障都會導致整個關聯過程當機。此外，中央伺服器應準備好處理在短時間間隔內從本地偵測元素接收到的大量資料。
玄貓認為，在設計 DDoS 防禦系統時，必須仔細權衡各種方法的優缺點，並根據實際需求選擇最合適的方案。
DDoS防禦的演進：從單點到分散式智慧防禦
DDoS（分散式阻斷服務）攻擊一直是網路安全領域的頭號威脅之一。隨著攻擊手法不斷演進，傳統的防禦策略已顯得捉襟見肘。今天，玄貓將帶領大家探討DDoS防禦的各種架構，從集中式防禦到更具彈性的分散式防禦，並分享我對未來防禦趨勢的看法。
集中式防禦的困境：單點故障與擴充套件性挑戰
在早期的DDoS防禦中，集中式架構是最常見的選擇。這種架構依賴於一個中央伺服器來分析和過濾所有流量。雖然集中式防禦在小型網路中可能有效，但它存在一些嚴重的缺陷：
- 單點故障： 中央伺服器一旦當機，整個網路將暴露在攻擊之下。
- 擴充套件性限制： 隨著網路規模的增長，中央伺服器可能成為效能瓶頸。
- 缺乏彈性： 無法根據不同區域或應用程式的需求進行定製化防禦。
玄貓在過去參與過多個大型網站的DDoS防禦系統設計，我發現集中式架構在面對高流量攻擊時，往往難以維持服務的穩定性。
分層式防禦：多層保護，減輕中心壓力
為了克服集中式防禦的缺點，分層式DDoS防禦應運而生。在這種架構中，系統被劃分為多個子系統，每個子系統負責特定區域或功能的防禦。底層系統負責檢測和過濾流量，而高層系統則負責關聯警示和協調防禦。
分層式防禦的優點包括：
- 提高擴充套件性： 將防禦任務分散到多個子系統，減輕了中央伺服器的壓力。
- 增強彈性： 即使部分子系統失效，其他子系統仍然可以繼續提供保護。
- 定製化防禦： 每個子系統可以根據自身的需求進行定製化組態。
然而，分層式防禦仍然存在一些挑戰：
- 中心節點的脆弱性： 儘管壓力有所減輕，但高層節點仍然可能成為攻擊目標。
- 檢測覆寫範圍的限制： 高層節點對輸入的抽象程度較高，可能無法檢測到所有攻擊。
分散式防禦：自治協作，開發堅不可摧的防線
為了實作更強大的DDoS防禦能力，分散式架構成為了新的發展方向。在分散式防禦系統中，不存在中央控制單元，所有節點都是自治的，並透過相互協作來實作整體防禦。
分散式防禦的優勢包括：
- 高擴充套件性： 可以輕鬆擴充套件到大型網路，無需擔心中心節點的瓶頸。
- 高彈性： 即使部分節點失效，整個系統仍然可以繼續執行。
- 更強的抗攻擊能力： 由於沒有中心節點，攻擊者難以找到突破口。
當然，分散式防禦也面臨一些挑戰：
- 決策依賴不完整資訊： 每個節點只能取得部分網路資訊，可能影響決策的準確性。
- 警示資訊不足： 單一特徵的警示資訊可能難以檢測到大規模分散式攻擊。
玄貓認為，分散式防禦是未來DDoS防禦的重要趨勢。透過結合機器學習和威脅情報，我們可以構建出更加智慧和高效的分散式防禦系統。
根據基礎設施的防禦：主機端 vs. 網路端
DDoS防禦系統還可以根據其佈署位置分為主機端和網路端兩種。
主機端防禦
主機端DDoS防禦系統在單個電腦上分析資料。通常，它使用根據代理程式的網路架構，其中軟體代理程式駐留在系統中的每個主機上。檢測和防禦引擎處理自動累積的資料，例如事件和核心日誌。此類別DDoS防禦系統還監控活動，例如哪個程式存取哪些資源，並相應地標記異常使用情況。
根據佈署位置的防禦：受害者端、中間端和來源端
DDoS防禦系統還可以根據其佈署位置進行分類別，分為受害者端、中間端和來源端系統。
- 受害者端系統： 佈署在受害者網路中，用於檢測和過濾惡意流量。
- 中間端系統： 佈署在網路的中間節點，例如ISP的路由器上，用於檢測和阻止DDoS攻擊。
- 來源端系統： 佈署在攻擊來源附近，用於阻止惡意流量的產生。
DDoS 防禦方案：玄貓的深度解析與實戰經驗
分散式阻斷服務（DDoS）攻擊持續進化，對網路服務造成嚴重威脅。身為一位在網路安全領域打滾多年的專家，玄貓親眼見證了各種DDoS攻擊手法的演變。因此，選擇合適的防禦方案至關重要。本文將探討不同DDoS防禦方案，並分享玄貓在實戰中累積的經驗與見解。
受害者端防禦：最後一道防線？
佈署與運作
受害者端DDoS防禦系統通常佈署在受害者網路的路由器中。這類別系統透過儲存已知的入侵特徵或正常行為模式來進行檢測。隨著新的資訊不斷出現，處理元件會更新這些資訊。入侵特徵和誤報等重要事件的處理程式也會隨之更新。處理元件負責頻繁儲存組態資料，這些資料是在中間階段產生的結果。
優缺點分析
從玄貓的經驗來看，受害者端檢測方法通常能夠提供比其他方法更高的檢測準確性，因為它有更多的範圍可以分析流量。然而，這種方法的代價是更高的資源消耗。更重要的是，這些方法只有在攻擊到達受害者之後才能檢測到攻擊。當合法的客戶已經受到影響時才檢測到攻擊，這可能是一種得不償失的勝利。
大多數DDoS防禦機制都佈署在受害者端，以便有效地檢測和防禦系統。受害者端檢測系統以被動或主動的方式檢測攻擊。與其他兩種DDoS防禦方法不同，當攻擊流量的速率非常高時，受害者端防禦方法無法提供完整的保護。DDoS攻擊可能已經損壞了受害者網路。因此，在許多高流量攻擊中，根據受害者端的DDoS防禦是不夠的。
此外，當流量速率非常高時，受害者端防禦系統可能會丟棄所有傳入流量，導致合法流量仍然無法透過網路中擁塞的鏈路到達受害者。
玄貓的建議
玄貓認為，受害者端防禦適合作為DDoS防禦體系中的最後一道防線，用以應對低流量攻擊或作為其他防禦手段的補充。
來源端防禦：防患於未然？
運作方式
來源端DDoS防禦系統的運作方式與受害者端防禦類別似。如果我們希望在早期階段阻止入侵，它可以被認為是從佈署角度來看的最佳方法。它不僅能夠防止受害者端的擁塞，還能夠防止整個中間網路的擁塞。來源端防禦可以在攻擊流量到達目標網路之前阻止它，並且還可以透過在攻擊流量與網路中的其他攻擊流量混合之前過濾掉攻擊流量來減少衝突的機會。此外，透過這種DDoS防禦，不僅容易執行追蹤，而且由於來源端的網路流量聚合較低，因此還可以實作高檢測準確性。
挑戰與限制
然而，這種防禦的一個主要困難是，在攻擊期間，攻擊源通常分佈廣泛，並且單個來源的行為幾乎與正常流量相同。此外，從實施的角度來看，在來源端佈署這種防禦系統也非常困難。
玄貓的實戰經驗
玄貓在過去的專案中曾嘗試佈署來源端防禦系統，但發現其佈署和維護成本極高，且容易出現誤判。因此，玄貓建議在特定情況下才考慮使用來源端防禦，例如在大型企業網路中，可以與ISP合作佈署。
中間網路防禦：平衡之道？
設計理念
中間網路防禦旨在透過平衡攻擊檢測準確性和頻寬消耗的問題來克服來源端和受害者端DDoS防禦的侷限性。
佈署難度
這種防禦系統的一個主要困難是其可佈署性。您必須在Internet上的所有路由器中佈署檢測系統才能實作最大的檢測準確性，因為僅在少數路由器上無法使用此方案可能會導致檢測和追蹤過程失敗。因此，這種方案的完全實際實施實際上是不可能的，因為它需要重新組態Internet上的所有路由器。
網路層防禦
根據網路的防禦機制主要佈署在網路系統的路由器上。根據網路的防禦機制的主要優點是，可以在路由器中針對惡意流量採取適當的措施，然後再將此類別惡意流量轉發到受害者機器。在受害者機器的邊緣或核心路由器中過濾可疑的網路流量是根據網路的防禦的另一個優點。一些著名的根據網路的防禦機制是（i）根據路由器的封包過濾[189]，（ii）檢測和過濾惡意路由器[173]和（iii）反推[115]。根據網路的防禦機制的主要缺點是由於網路規模大而導致的開銷。對於針對DDoS攻擊的實時防禦，此類別檢測機制不是很有效。
玄貓的觀點
玄貓認為，中間網路防禦在理論上具有吸引力，但在實際佈署中面臨巨大的挑戰。由於需要協調大量的網路裝置，其實施成本極高。
各種防禦方案的比較
根據位置的這三種DDoS防禦方法的優缺點分析，可以得出以下觀察結果。
- 這三個位置的資源需求並不相同。
- 每個位置都有其優點和缺點，我們在表4.2中清楚地列出了這些優點和缺點。
- 與來源端和中間網路方法相比，合法客戶在受害者端方法中遭受的損失最大。
- 在來源端和中間位置，平衡處理攻擊所需的資源量和合法客戶的流量是更困難的。
