可用性威胁：拒绝服务

2023年10月12日23:55:01评论10 views字数 8550阅读28分30秒阅读模式

可用性是大量威胁和攻击的目标，其中最突出的是分布式拒绝服务（DDoS）。

分布式拒绝服务（DDoS）的目标是破坏系统和数据的可用性，尽管它不是一种新的威胁，但它在网络安全威胁中的地位不容小觑^[1][2]。它可以使用户无法访问系统或服务器资源，主要通过耗尽服务及其资源或使网络基础设施过载来实现^[3]。

在防御机制和策略变得更加强大的同时，攻击者也在提高他们的技术。例如，勒索拒绝服务（RDoS）混合了传统DDoS，同时大幅减少了执行攻击所需的资源。网络犯罪集团（例如，Fancy Bear、Cozy Bear、Lazarus Group和Armada Collective）通过对大量目标企业进行分析，以找出系统薄弱和易受攻击的企业。然后，他们通过发送勒索信来威胁这些企业，要求他们支付赎金，否则就会对其系统进行攻击^[4][5]。得益于网络犯罪服务（CaaS）工具，发起RDoS攻击变得越来越简单，但却难以发现其来源。

1.趋势

DDoS是IT系统最严重的威胁之一，它通过耗尽IT系统的资源来进行攻击，导致性能下降、数据丢失和服务中断^[6]。DDoS攻击最近转向了移动设备和基于传感器的场景，在这些场景中，设备和传感器的可用性因电池消耗加快而降低。

在2021-2022年，尽管新冠疫情对DDoS产生了重要影响，但俄罗斯-乌克兰网络战却导致DDoS攻击达到了前所未有的态势。DDoS威胁最终成为继海、陆、空甚至太空战之后的第五维度的战争^[7]。敲诈勒索的威胁水平呈爆炸式增长，使DDoS成为一种国家支持的攻击。在这种背景下，一方面云计算越来越多地被用作DDoS攻击的威胁载体，另一方面则成为被攻击的主要目标^[8]。

1.1 攻击规模越来越大，也越来越复杂

DDoS攻击的规模和复杂性在不断地增加。根据NETSCOUT[9]及其最近的威胁情报报告：攻击者正不断创新和适应新技术，包括使用服务级僵尸网络、DDoS-for-Hire服务，以及使用直接路径攻击，使得造成的威胁进一步加大。

根据F5Labs的数据^[10]，DDoS攻击规模在2021年显著增加，出现了许多Tbps级的攻击。按大小分析，虽然大多数攻击都很小，但与较小的攻击相比，1到3Gbps之间的攻击更加普遍。同样，10到30Gbps之间的攻击比6到10Gbps之间的攻击更多。F5Labs还发现应用攻击（+2.2%）和协议攻击（+4.7%）数量增加，容量攻击（-6.9%）减少。这表明攻击的复杂性在增加。事实上，防范协议攻击和应用攻击更具挑战性，因为它们可以作为真正的应用程序流量出现。它们导致了基于TCP的攻击数量的增加，这对于攻击复杂的协议和应用程序是必须的^[11]。

Cloudfare记录了最大的HTTP攻击之一，峰值为17.2Mrps（每秒请求数），目标是金融服务行业的客户^[12]。Cloudfare还观察到，在2021年11月，最大的DDoS攻击达到了略低于2Tbps的峰值。该攻击属于DNS放大攻击和UDP泛洪攻击相结合的多矢量攻击，持续时间为一分钟。与F5Labs类似，Cloudfare观察到，虽然大多数攻击规模较小，但也有较大的攻击。太比特级攻击在2021年下半年有所增加^[13]。

根据Neustar的数据^[14]，2021年是DDoS攻击规模最大、最激烈、攻击时间最长的一年。

1.2 DDoS攻击越来越多地转向移动网络和物联网

正如ETL 2021中已经讨论过的那样：传统的DDoS正在向移动网络和物联网方向发展。传感器等设备是DDoS攻击的目标，因为它们资源受限，往往导致安全保护不佳。

这一趋势在上一个报道期内也得到了证实，当时DDoS攻击经常从受损的服务器或消费设备（如物联网产品和宽带路由器）发起^[10]。例如，Mozi僵尸网络仍然使用八年前发现的漏洞，并对未经修补的设备进行破坏，构建了庞大的僵尸网络。美国国家标准与技术研究所（NIST）的一项实验也证实了这一点，NIST研究人员观察到，“admin”（用户名）和“1234”（密码）是针对物联网的攻击中最常见的组合^[15]。

1.3 DDoS和网络战

俄乌战争对DDoS产生了重大影响，与DDoS相关的攻击中有很大一部分与这一事件有关，涉及从国家到简单用户不同层次的参与者。F5Labs报告称，2021年第三季度各国发生了多起出于政治动机的DDoS攻击。

Cloudfare在其“2022年第一季度DDoS攻击趋势^[16]”文件中讨论了俄乌战争在形成DDoS当前态势中的重要作用。战争双方都是大规模攻击的目标。乌克兰宣布自己是包括DDoS攻击在内的网络攻击的目标^[17][18]。俄罗斯数字发展和通信部宣布，本国DDoS攻击数量达到了前所未有的水平^[19]。

1.4 DDoS和COVID-19

根据ETL 2021的数据，在新冠流行期间，DDoS和RDoS攻击的数量在2020年7月至8月开始有所增加，主要针对全球范围内的电子商务、金融和旅游行业^[20]。这一趋势在2021年和2022年继续显现。例如，用于抗击新冠的网站成为DDoS攻击的主要目标。2022年8月，菲律宾的疫苗接种注册门户网站遭到DDoS攻击^[21]。此外，意大利和保加利亚与新冠相关的服务受到DDoS攻击，包括欧盟在内的政府机构也成为DDoS勒索攻击的受害者，关键服务受到影响。

1.5 勒索拒绝服务（RDoS）

勒索拒绝服务（RDoS）是拒绝服务攻击的新前沿。RDoS攻击的目标是一些脆弱系统，然后对目标实施攻击，最终迫使其支付大量赎金。RDoS有两种形式：攻击优先和勒索优先。攻击优先是指DDoS攻击展开后，被攻击方需要支付相应赎金来阻止它。勒索优先是指攻击方先发送一封勒索信，包含一份已经对其展开过小规模DDoS攻击的证明，并威胁其支付赎金。RDoS是一种复杂的攻击，混合了多种方法和技术，如拒绝服务、勒索软件和身份欺骗等^[22]。

RDoS攻击的目标是ISP、金融机构和中小型企业（SMBs），其成功得益于线上服务的普及。除了传统的窃取受害者数据并威胁公布的双重勒索方式外，RDoS的威胁目标也在不断扩大，包括受害者的客户、商业伙伴和员工。

根据Cloudfare 2021年第四季度的数据，RDoS攻击同比增长29%，环比增长175%^[13]。由于俄乌战争导致拒绝服务攻击数量增加，这些数字可能在2022年第一季度有所下降^[16]。

1.6 从基于UDP攻击转向基于TCP攻击

随着对协议和应用程序的攻击日益增多，2021年基于TCP的攻击急剧增加^[10]。平均而言，2021年TCP DDoS攻击几乎是2020年的两倍，占所有攻击的27%，增长了10%^[10]。

这种攻击由马里兰大学和科罗拉多大学博尔德分校在理论上定义，旨在将中间件武器化，以实现TCP反射放大攻击^[23][24]。根据研究人员的解释，基于TCP放大攻击是可能的，并且可以比著名的基于UDP放大攻击高好几个数量级。2022年初，Akamai安全研究人员检测并分析了TCP反射攻击，峰值为11Gbps，速度为1.5Mpps^[25]。

1.7 云和DDoS

云计算的快速应用，加上其逐渐向边缘计算的方向发展，为网络犯罪分子提供了大量的攻击面^[26]。在新冠肺炎的影响下，出现的远程工作、在线教育等，进一步加剧了这一迁移。我们所付出的代价是，针对云资源的DDoS攻击风险增加。云带来了一种虚假的安全感，减少了相关组织在监视云基础设施和平台上所花费的精力。因此，网络犯罪分子瞄准云服务，并利用云资产和配置管理方面的缺陷，来执行分布式拒绝服务攻击。

1.8 DDoS攻击分布

1.8.1 地理分布

2021年至2022年DDoS攻击的地理分布呈现如下亮点^[27]：

1.美国和中国在DDoS攻击的目标国家中排名靠前。香港在2021年第三季度和第四季度的排名大幅上升，排名第二。

2.德国、英国、法国和加拿大在整个时期都名列前茅。

3.美国、荷兰和德国是僵尸网络C&C分布最多的国家，平均占比分别为48.49%、9.17%和8.69%。

Cloudfare分析了DDoS在应用（L7）层和网络（L3/L4）层之间的地理分布，并考虑了攻击流量占总流量的百分比^[27][13][16]。

1.应用层：中国和美国通常是应用层攻击的主要目标。唯一的例外是：2021年第三季度，英国和加拿大的公司分别跃升为第二和第三大目标国家；2021年第四季度，加拿大排名第二，中国排名第八。

2.网络层：2021年第三季度，全球DDoS攻击增加了44%，中东和非洲国家遭受的攻击增加了80%，摩洛哥是网络层攻击的头号目标，紧随其后的是亚洲国家。第四季度，摩尔多瓦以最高百分比位居榜首。

1.8.2 行业部门分布

F5Labs观察到，2021年受攻击最多的行业是银行、金融服务和保险（BFSI）行业，攻击占比超过25%^[10]。电信和科技部门分别排在第二位和第四位，教育排在第三位，在9月和1月（新学期开始）受到的攻击最为严重。F5Labs发现，按DDoS类型划分攻击时，电信和教育是攻击数量最多的行业，而包括BFSI在内的其他行业则表现得更为平衡。若考虑到最大的攻击，ISP/Hosting处于领先地位，其次是娱乐、BFSI和科技行业。娱乐是平均攻击规模最大的部门。Neustar还指出，电信和金融行业是DDoS攻击的首选目标，此外，游戏、电子商务和医疗行业也受到疫情期间向在线技术转型的影响^[28]。

Cloudfare还分析了应用（L7）层DDoS攻击的行业分布情况[27][13][16]。2021年第三季度，针对计算机软件、游戏/赌博、IT和互联网公司的攻击平均增加了573%，在2021年第三季度，最主要的目标行业是科技（包括软件、互联网和信息技术）和游戏行业，2021年第四季度为制造业、游戏和商业服务行业，以及2022年第一季度的电子产品、在线媒体和计算机软件。

1.9 攻击载体

F5Labs将DDoS攻击分为容量攻击、应用攻击和协议攻击三大类，并分析了攻击频率^[10]。F5Labs将简单的UDP（非反射）攻击列为2021年频率最高的DDoS攻击方法。然而，尽管容量攻击仍占所有攻击的一半以上（59%），但第三、第四和第五种最常见的攻击类型是基于协议和基于应用程序的。F5Labs观察到的最大的1.4Tbps攻击是基于HTTP（S）拒绝服务技术，这是一种不太常见的DDoS攻击形式，涉及DNS反射和HTTP GET请求。

在2021年，F5Labs还观察到UDP是最常见的传输协议，因为它是无状态的，很容易支持反射攻击，尽管TCP增加了10%，占比达27%^[10]。

相反，Cloudfare报告称SYN泛洪攻击是最受欢迎的攻击方法，UDP在2021年第四季度达到峰值，仍然证实了基于TCP攻击的增加。

1.10 VoIP提供商观察到DDoS勒索攻击的数量有所增加

语音服务提供商正日益成为DDoS网络犯罪分子的首选目标^[29][30]。根据NETSCOUT的数据^[31]，针对VoIP服务的DDoS勒索和RDoS攻击有所增加，并波及了几家SIP/RTP VoIP运营商。首先，攻击的目标是英国的零售和批发VoIP供应商，然后转移到西欧和北美的VoIP运营商。一家VoIP服务提供商报告称，DDoS攻击造成900万至1200万美元的收入损失。

1.11 额外的趋势

1. 正如ETL 21中所指出的，网络犯罪服务工具越来越多地用作辅助工具，以减少管理大容量和复杂攻击所需的工作，使DDoS具有自适应、轻量级和异构性。

2. 人工智能正在渗透到我们的系统中，经常被用作提高系统安全性、检测IT系统异常和自动配置IT资产。它正迅速成为网络犯罪分子攻击的目标。一次成功的攻击可以逆转人工智能模型所做的决定，从而允许网络犯罪分子一边隐藏其活动，一边发起DDoS攻击。

3.F5Labs观察到，与2020年第三季度和2021年第二季度相比，2021年第三季度DDoS攻击数量有所增加^[10]。据Verizon统计，DDoS攻击占总攻击数的46%^[33]。

4.根据NETSCOUT的数据，在2021年下半年，网络犯罪分子发动了大约440万次DDoS攻击。

5.CVE-2021-45105（log4j漏洞）帮助网络犯罪分子在应用程序遇到带有递归查找的输入时，通过无限递归执行拒绝服务攻击^[34]。

参考文献

[1]Federal Office for Information Security (BSI), The State of IT Sec in Germany, September 2020.

[2]Europol, Internet Organised Crime Threat Assessment (IOCTA) 2020, https://www.europol.europa.eu/activities-services/main-reports/internetorganised-crime-threat-assessment-iocta-2020.

[3]CISA, Understanding Denial-of-Service Attacks, November 2019. https://www.uscert.gov/ncas/tips/ST04-015.

[4]Sergiu Gatlan, 'FBI: Thousands of orgs targeted by RDoS extortion campaign' September 2020, https://www.bleepingcomputer.com/news/security/fbi-thousands-of-orgs-targeted-by-rdos-extortion-campaign/.

[5]CloudBric, DDoS Extortion Campaigns (Ransom DDoS, or RDoS) To Watch Out For, https://www.cloudbric.com/blog/2020/11/ddos-rdos-extortionransomware-campaign/.

[6]H2020 EU Project CONCORDIA, Deliverable D4.1 - 1st year report on cybersecurity threats, https://www.concordia-h2020.eu/wpcontent/uploads/2020/06/D4.1_Ready_for_Submission_D4.1-final_revised.pdf.

[7]Vova Kamenker, DDoS Threats: The Fifth Dimension of Warfare, September 2021, https://blog.mazebolt.com/ddosthreats-the-fifth-dimension-of-warfare.

[8]Tom Emmons. 2021: Volumetric DDoS Attacks Rising Fast, March 2021, https://blogs.akamai.com/2021/03/2021-volumetric-ddos-attacks-rising-fast.html.

[9]https://www.netscout.com/threatreport.

[10]David Warburton, 2022 Application Protection Report: DDoS Attack Trends, March 2022, https://www.f5.com/labs/articles/threat-intelligence/2022-application-protection-report-ddos-attack-trends.

[11]Mitre Att&ck, Endpoint Denial of Service, https://attack.mitre.org/techniques/T1499/.

[12]https://blog.cloudflare.com/cloudflare-thwarts-17-2m-rps-ddos-attack-the-largest-ever-reported/.

[13]https://blog.cloudflare.com/ddos-attack-trends-for-2021-q4/.

[14]Neustar, Cyber Threats & Trends Report: Defending Against A New Cybercrime Economy.

[15]ESET Threat Report, T3 2021.

[16]https://blog.cloudflare.com/ddos-attack-trends-for-2022-q1/.

[17]https://www.bbc.com/news/technology-60500618.

[18]https://www.netscout.com/blog/asert/ddos-threat-landscape-ukraine.

[19]https://www.nbcnews.com/tech/security/hacktivists-new-veteran-target-russia-one-cybers-oldest-tools-rcna20652.

[20]ETH Zürich, Center for Security Studies (CSS), The Evolving Cyber Threat Landscape during the COVID Crisis, 2020.

[21]https://www.manilatimes.net/2021/08/14/opinion/columns/cyberhackers-sabotaging-manilas-vaccination-program/1810897.

[22]Neustar, Pay Or Else: DDoS Ransom Attacks.

[23]https://www.usenix.org/system/files/sec21fall-bock.pdf.

[24]https://portswigger.net/daily-swig/nation-state-threat-how-ddos-over-tcp-technique-could-amplify-attacks.

[25]https://www.akamai.com/blog/security/tcp-middlebox-reflection.

[26]Accenture-2021-Cyber-Threat-Intelligence-Report fornito da enisa.

[27]https://blog.cloudflare.com/ddos-attack-trends-for-2021-q3/.

[28]Neustar, DDoS DISRUPTION IMPACTS - The Need for Always-On Security.

[29]https://news.lumen.com/2022-02-17-Lumen-scrubbed-more-than-20,000-enterprise-DDoS-attacks-in-2021.

[30]Neustar, Cyber Threats & Trends Report: Defending Against A New Cybercrime Economy.

[31]ISSUE 8: FINDINGS FROM 2ND HALF 2021 NETSCOUT THREAT INTELLIGENCE REPORT, https://www.netscout.com/sites/default/files/2022-03/ThreatReport_2H2021_WEB.pdf.

[32]Acronis_Cyber_Threat_Report_2022_1649135585.

[33]The Global Economic Forum, The Global Risks Report 2021 16th Edition, 2021, http://www3.weforum.org/docs/WEF_The_Global_Risks_Report_2021.pdf.

[34]Accenture-2021-Cyber-Threat-Intelligence-Report.

中国保密协会

科学技术分会

长按扫码关注我们