建站
咨詢
售后
建站咨詢
新聞中心
互聯(lián)網(wǎng)根服務(wù)器上周遭到協(xié)同分布式拒絕服務(wù)(DDoS)攻擊，13個(gè)關(guān)鍵服務(wù)器有3個(gè)在幾個(gè)小時(shí)里基本癱瘓。
此前的幾天，珍妮特學(xué)術(shù)網(wǎng)絡(luò)(Janet academic network)受到類似的DDoS攻擊。
根據(jù)周二根服務(wù)器運(yùn)營商公布的第一手分析資料，攻擊發(fā)生的時(shí)間為北京時(shí)間2015年11月30日下午2:50至5:30之間，第二天又發(fā)生了一個(gè)小時(shí)的攻擊。
許多根服務(wù)器(盡管不是全部根服務(wù)器)收到每秒大約500萬的查詢，足以導(dǎo)致網(wǎng)絡(luò)連接超載，進(jìn)而引起B(yǎng)、C、G和H根服務(wù)器響應(yīng)超時(shí)。這些查詢查的是同一個(gè)域名，查詢是有效的DNS包;第二天攻擊用了和第一天不同的域名。
到最后，受攻擊的幾個(gè)運(yùn)營商采用了反制措施，并獲得某種程度上的成功。目前，有關(guān)方面正在進(jìn)行分析工作，目的是要準(zhǔn)確地確定攻擊的形式和發(fā)起攻擊的地點(diǎn)。
也許最令人關(guān)注的是，即便是用了應(yīng)對此類攻擊的任播(Anycast)技術(shù)，一些服務(wù)器仍然垮掉。
根服務(wù)器是互聯(lián)網(wǎng)的支柱，互聯(lián)網(wǎng)的域名系統(tǒng)以根服務(wù)器為本。域名系統(tǒng)有點(diǎn)像個(gè)全球電話號碼簿，互聯(lián)網(wǎng)所有的其他部件都要用到它。
基于互聯(lián)網(wǎng)的設(shè)計(jì)原理，這些服務(wù)器本身的流量相對較低，特別是如果將其和谷歌處理的流量相比。即便這些服務(wù)器都下線也不會(huì)即時(shí)對大面積的互聯(lián)網(wǎng)造成影響，因?yàn)檫@些根服務(wù)器存儲(chǔ)和共享的信息已經(jīng)被存在成千上萬的其他服務(wù)器里。
但話又說回來，任何對DNS基礎(chǔ)架構(gòu)的攻擊都備受重視。如果根服務(wù)器發(fā)生故障的時(shí)間超過一天，就會(huì)開始在全球網(wǎng)絡(luò)導(dǎo)致嚴(yán)重的問題。
RIPE阿特拉斯監(jiān)測系統(tǒng)的圖顯示了攻擊的影響
解決方法是什么?
根服務(wù)器運(yùn)營商已經(jīng)特別提到一個(gè)使這種攻擊成為可能的問題：大量互聯(lián)網(wǎng)服務(wù)供應(yīng)商未能實(shí)現(xiàn)網(wǎng)絡(luò)入口過濾;網(wǎng)絡(luò)入口過濾可以限制互聯(lián)網(wǎng)偽裝包，偽裝包可用于DDoS攻擊。但有分析顯示，82%的互聯(lián)網(wǎng)流量已經(jīng)不能被偽裝了，原因是BCP38標(biāo)準(zhǔn)得到廣泛實(shí)施。
F根服務(wù)器運(yùn)營商Paul Vixie提出的另一個(gè)解決方案是開發(fā)一個(gè)問責(zé)模式 ，對那些允許攻擊包經(jīng)過自己網(wǎng)絡(luò)的網(wǎng)絡(luò)運(yùn)營商實(shí)行懲罰。
Vixie 上個(gè)月在一篇博文里表示，“在信用卡、提款卡和電匯這一行里，州法律和聯(lián)邦法律都明確對欺詐交易參與者的法律責(zé)任立了條文?！?/p>
他表示，“在這一行里，參與者這樣那樣的投資都會(huì)在法律責(zé)任方面保護(hù)自己，即使他們可能會(huì)覺得防止欺詐的真正責(zé)任應(yīng)該是別人的事?！?/p>
他還指，“而我們在對付DDoS攻擊時(shí)沒有這種東西，那些成為僵尸網(wǎng)絡(luò)一部分的設(shè)備的擁有者、用于反射和放大DDoS攻擊的開放服務(wù)器運(yùn)營商以及那些允許源地址偽裝的網(wǎng)絡(luò)所有者和經(jīng)營者，他們的瀆職行為不可避免地導(dǎo)致了DDoS包的出現(xiàn)，但他們卻不需要負(fù)擔(dān)任何成本?！?/p>
罕見的事件
這次對根服務(wù)器的攻擊是三次具有顯著規(guī)模的持續(xù)攻擊中的一次。最厲害的一次是2007年那次，當(dāng)時(shí)一個(gè)約有5000臺計(jì)算機(jī)的僵尸網(wǎng)絡(luò)大量發(fā)包對4個(gè)根服務(wù)器進(jìn)行攻擊，兩波的攻擊最終導(dǎo)致2個(gè)根服務(wù)器癱瘓了幾個(gè)小時(shí)。
盡管后來發(fā)現(xiàn)2007年這次的攻擊流量來自韓國，但一般認(rèn)為攻擊是從美國控制的。上周攻擊的細(xì)節(jié)尚未有定論。
運(yùn)營商的第一手分析稱，“值得注意的一個(gè)事實(shí)是，源地址的分布廣泛而且均勻，而查詢名稱卻不是。所以這次的事件與典型的DNS放大攻擊不同。在DNS放大攻擊里，DNS域名服務(wù)器(包括DNS根域名服務(wù)器)被用來作為反射點(diǎn)去擊跨第三方?！?/p>
但他們做出的結(jié)論是，整個(gè)系統(tǒng)在遭到攻擊時(shí)表現(xiàn)相當(dāng)不錯(cuò)：“DNS根域名服務(wù)器系統(tǒng)的運(yùn)作達(dá)到了設(shè)計(jì)目的;系統(tǒng)在面對從大規(guī)模攻擊時(shí)展示了整體上的穩(wěn)健性。”
內(nèi)幕是什么?
2007攻擊和這次攻擊的動(dòng)機(jī)均未能被確定。
通常情況下，DDoS攻擊是為了從公司獲取金錢，或是為了表明政治立場。但對全球互聯(lián)網(wǎng)所依賴的基石本身進(jìn)行進(jìn)攻，并不能表明什么明顯的政治立場。不過值得一提的是，除兩個(gè)根服務(wù)器外，其他根服務(wù)器都是由美國企業(yè)運(yùn)營，其中的三個(gè)根服務(wù)器是由美國政府運(yùn)營。
另外，這次攻擊的時(shí)間和和時(shí)間長度和2007年非常相似，這也是值得注意的，這表明有可能手法是相同的，另一種可能是，發(fā)生攻擊的時(shí)間窗口較為突出，可以令網(wǎng)絡(luò)運(yùn)營商了解和減輕發(fā)生的攻擊。
而不太可能成為目標(biāo)的珍妮特網(wǎng)絡(luò)在此前的幾天受到類似的攻擊，這件事也是疑點(diǎn)重重，研究人員肯定會(huì)對此事一探究竟。
長期以來，人們一直擔(dān)心一些國家會(huì)啟動(dòng)網(wǎng)絡(luò)戰(zhàn)爭，最有名的例子是俄羅斯2007年對愛沙尼亞的攻擊，攻擊導(dǎo)致愛沙尼亞全國網(wǎng)絡(luò)癱瘓。
比較巧的是，世界各國政府下周將在聯(lián)合國紐約總部開會(huì)討論互聯(lián)網(wǎng)治理問題。在作為討論基礎(chǔ)的會(huì)議文件里，有整整一節(jié)專門講安全。
文件有關(guān)部分提到：“建立ICT(信息和通信技術(shù))使用上的信心和安全是一項(xiàng)頭等大事，特別是考慮信息和通信技術(shù)正日益被不正當(dāng)?shù)貫E用及被犯罪分子和恐怖主義活動(dòng)利用?！?/p>
當(dāng)前題目：互聯(lián)網(wǎng)根服務(wù)器遭DDoS攻擊
瀏覽路徑：http://www.dlmjj.cn/article/dhehpgo.html
