本頁使用了標題或全文手工轉換

阻斷服務攻擊

維基百科,自由的百科全書
跳到: 導覽搜尋
中國大陸 拒絕服務攻擊
臺灣 阻斷服務攻擊
港澳 阻斷服務攻擊

阻斷服務攻擊英語:denial-of-service attack縮寫DoS attackDoS)亦稱洪水攻擊,是一種網絡攻擊手法,其目的在於使目標電腦的網絡或系統資源耗盡,使服務暫時中斷或停止,導致其正常用戶無法存取。

駭客使用網絡上兩個或以上被攻陷的電腦作為「殭屍」向特定的目標發動「阻斷服務」式攻擊時,其稱為分散式阻斷服務攻擊distributed denial-of-service attack縮寫DDoS attackDDoS)。據2014年統計,被確認為大規模DDoS的攻擊已達平均每小時28次。[1]攻擊發起者一般針對重要服務和知名網站進行攻擊,如銀行,信用卡支付閘道器,甚至根域名伺服器等。

該類攻擊也常見於部分遊戲,被心懷不滿的玩家或是競爭對手廣泛使用。DoS攻擊也常被用於抗議,美國計算機科學家、自由軟件基金會創辦人理查德·斯托曼(Richard M. Stallman)曾表示,DoS攻擊是「網絡街頭抗議」的一種形式。[2]

攻擊現象[編輯]

例如,美國國土安全部旗下的電腦警備小組英語United States Computer Emergency Readiness Team(US-CERT)[3]定義的阻斷服務攻擊症狀包括:

  1. 網絡異常緩慢(開啟檔案或存取網站)
  2. 特定網站無法存取
  3. 無法存取任何網站
  4. 垃圾郵件的數量急劇增加[4]
  5. 無線或有線網絡連線異常斷開
  6. 長時間嘗試存取網站或任何互聯網服務時被拒絕
  7. 伺服器容易斷線、卡頓

阻斷服務的攻擊也可能會導致目標電腦同一網絡中的其他電腦被攻擊,互聯網區域網絡之間的頻寬會被攻擊導致大量消耗,不但影響目標電腦,同時也影響區域網絡中的其他電腦。如果攻擊的規模較大,整個地區的網絡連線都可能會受到影響。

2016年10月,域名系統提供商Dyn遭到迄今為止規模最大的DDoS攻擊,數千萬IP參與此次攻擊。導致北美和歐洲的網絡連結出現存取緩慢或無法存取的情況。

攻擊方式[編輯]

DDoS攻擊可以具體分成兩種形式:頻寬消耗型以及資源消耗型。它們都是透過大量合法或偽造的請求佔用大量網絡以及器材資源,以達到癱瘓網絡以及系統的目的。

頻寬消耗型攻擊[編輯]

DDoS頻寬消耗攻擊可以分為兩個不同的層次;洪泛攻擊或放大攻擊。洪泛攻擊的特點是利用殭屍程式傳送大量流量至受損的受害者系統,目的在於堵塞其頻寬。放大攻擊與其類似,是通過惡意放大流量限制受害者系統的頻寬;其特點是利用殭屍程式通過偽造的源IP(即攻擊目標IP)向某些存在漏洞的伺服器傳送請求,伺服器在處理請求後向偽造的源IP傳送應答,由於這些服務的特殊性導致應答包比請求包更長,因此使用少量的頻寬就能使伺服器傳送大量的應答到目標主機上。

UDP洪水攻擊(User Datagram Protocol floods)
UDP(用戶數據報協定)是一種無連線協定,當封包通過UDP傳送時,所有的封包在傳送和接收時不需要進行握手驗證。當大量UDP封包傳送給受害系統時,可能會導致頻寬飽和從而使得合法服務無法請求存取受害系統。遭受DDoS UDP洪泛攻擊時,UDP封包的目的埠可能是隨機或指定的埠,受害系統將嘗試處理接收到的封包以確定本地執行的服務。如果沒有應用程式在目標埠執行,受害系統將對源IP發出ICMP封包,表明「目標埠不可達」。某些情況下,攻擊者會偽造源IP位址以隱藏自己,這樣從受害系統返回的封包不會直接回到殭屍主機,而是被傳送到被偽造地址的主機。有時UDP洪泛攻擊也可能影響受害系統周圍的網絡連線,這可能導致受害系統附近的正常系統遇到問題。然而,這取決於網絡體系結構和線速。
ICMP洪水攻擊(ICMP floods)
ICMP(互聯網控制訊息協定)洪水攻擊是通過向未良好設定的路由器傳送廣播資訊佔用系統資源的做法。
死亡之Ping(ping of death)
死亡之Ping是產生超過IP協定能容忍的封包數,若系統沒有檢查機制,就會當機。
淚滴攻擊
每個數據要傳送前,該封包都會經過切割,每個小切割都會記錄位移的資訊,以便重組,但此攻擊模式就是捏造位移資訊,造成重組時發生問題,造成錯誤。

資源消耗型攻擊[編輯]

協定分析攻擊(SYN flood,SYN洪水)
傳送控制協定(TCP)同步(SYN)攻擊。TCP行程通常包括傳送者和接受者之間在封包傳送之前建立的完全訊號交換。啟動系統傳送一個SYN請求,接收系統返回一個帶有自己SYN請求的ACK(確認)作為交換。傳送系統接着傳回自己的ACK來授權兩個系統間的通訊。若接收系統傳送了SYN封包,但沒接收到ACK,接受者經過一段時間後會再次傳送新的SYN封包。接受系統中的處理器和記憶體資源將儲存該TCP SYN的請求直至超時。DDoS TCP SYN攻擊也被稱為「資源耗盡攻擊」,它利用TCP功能將殭屍程式偽裝的TCP SYN請求傳送給受害伺服器,從而飽和服務處理器資源並阻止其有效地處理合法請求。它專門利用傳送系統和接收系統間的三向訊號交換來傳送大量欺騙性的原IP位址TCP SYN封包給受害系統。最終,大量TCP SYN攻擊請求反覆傳送,導致受害系統記憶體和處理器資源耗盡,致使其無法處理任何合法用戶的請求。
LAND攻擊
這種攻擊方式與SYN floods類似,不過在LAND攻擊包中的原地址和目標地址都是攻擊物件的IP。這種攻擊會導致被攻擊的機器無窮迴圈,最終耗盡資源而當機。
CC攻擊(Distributed HTTP flood,分散式HTTP洪水攻擊)
CC攻擊是DDoS攻擊的一種類型,使用代理伺服器向受害伺服器傳送大量貌似合法的請求(通常使用HTTP GET)。CC(Challenge Collapsar,挑戰黑洞)根據其工具命名,攻擊者創造性地使用代理機制,利用眾多廣泛可用的免費代理伺服器發動DDoS攻擊。許多免費代理伺服器支持匿名模式,這使追蹤變得非常困難。
殭屍網絡攻擊
殭屍網絡是指大量被命令與控制英語command and control (malware)(C&C)伺服器所控制的互聯網主機群。攻擊者傳播惡意軟件並組成自己的殭屍網絡。殭屍網絡難於檢測的原因是,殭屍主機只有在執行特定指令時才會與伺服器進行通訊,使得它們隱蔽且不易察覺。殭屍網絡根據網絡通訊協定的不同分為IRCHTTPP2P類等。
應用程式級洪水攻擊(Application level floods)
與前面敘說的攻擊方式不同,應用程式級洪水攻擊主要是針對應用軟件層的,也就是高於OSI的。它同樣是以大量消耗系統資源為目的,通過向IIS這樣的網絡服務程式提出無節制的資源申請來迫害正常的網絡服務。

防禦方式[編輯]

阻斷服務攻擊的防禦方式通常為入侵檢測,流量過濾和多重驗證,旨在堵塞網絡頻寬的流量將被過濾,而正常的流量可正常通過。

防火牆[編輯]

防火牆可以設定規則,例如允許或拒絕特定通訊協定,埠或IP位址。當攻擊從少數不正常的IP位址發出時,可以簡單的使用拒絕規則阻止一切從攻擊源IP發出的通訊。

複雜攻擊難以用簡單規則來阻止,例如80(網頁服務)遭受攻擊時不可能拒絕埠所有的通訊,因為其同時會阻止合法流量。此外,防火牆可能處於網絡架構中過後的位置,路由器可能在惡意流量達到防火牆前即被攻擊影響。然而,防火牆能有效地防止用戶從啟動防火牆後的電腦發起攻擊。

交換機[編輯]

大多數交換機有一定的速度限制和存取控制能力。有些交換機提供自動速度限制、流量整形、後期連線、深度包檢測和假IP過濾功能,可以檢測並過濾阻斷服務攻擊。例如SYN洪水攻擊可以通過後期連線加以預防。基於內容的攻擊可以利用深度包檢測阻止。

路由器[編輯]

和交換機類似,路由器也有一定的速度限制和存取控制能力,而大多數路由器很容易受到攻擊影響。

黑洞啟動[編輯]

黑洞啟動指將所有受攻擊電腦的通訊全部傳送至一個「黑洞」(空介面或不存在的電腦地址)或者有足夠能力處理洪流的網絡裝置商,以避免網絡受到較大影響。

流量清洗[編輯]

當流量被送到DDoS防護清洗中心時,通過採用抗DDoS軟件處理,將正常流量和惡意流量區分開。正常的流量則回注回客戶網站。這樣一來可站點能夠保持正常的運作,處理真實用戶存取網站帶來的合法流量。

參看[編輯]

參考來源[編輯]

  1. ^ Preimesberger, Chris. DDoS Attack Volume Escalates as New Methods Emerge. eWeek. 2014-05-28. 
  2. ^ The Philosophy of Anonymous. Radicalphilosophy.com. 2010-12-17 [2013-09-10]. 
  3. ^ 陳曉莉. 美國電腦緊急應變中心:AVG安全搜尋工具列並不安全. iThome電腦報 (電週文化). 2014-07-09. 
  4. ^ McDowell, Mindi. Cyber Security Tip ST04-015 - Understanding Denial-of-Service Attacks. United States Computer Emergency Readiness Team. 2009-11-04 [2013-12-11]. (原始內容存檔於2013-11-04).