優(yōu)化 DDoS 彈性測(cè)試的三大策略

卓云智聯(lián)小西

網(wǎng)絡(luò)安全旨在保護(hù)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)免受分布式拒絕服務(wù) (DDoS)等攻擊的盜竊、損壞和服務(wù)中斷 。DDoS 攻擊的工作原理是通過(guò)大量互聯(lián)網(wǎng)流量淹沒(méi)目標(biāo)或其周?chē)�基礎(chǔ)設(shè)施，從而使目標(biāo)網(wǎng)站或在線(xiàn)服務(wù)脫機(jī)。

盡管 DDoS 攻擊已經(jīng)存在 20 多年，但它們?nèi)匀皇且粋�(gè)移動(dòng)目標(biāo)，因?yàn)榫W(wǎng)絡(luò)犯罪分子經(jīng)常發(fā)現(xiàn)新的攻擊媒介和技術(shù)并將其武器化，包括：

· 以多向量攻擊的形式同時(shí)發(fā)起不同類(lèi)型的攻擊，例如容量攻擊、TCP 狀態(tài)耗盡攻擊和應(yīng)用層攻擊，每個(gè)攻擊都有唯一的簽名。

· 使用不同的僵尸網(wǎng)絡(luò)來(lái)改變攻擊源并在被阻止的 IP 地址之前領(lǐng)先一步。

· 使用 DDoS 攻擊作為煙幕來(lái)分散對(duì)正在進(jìn)行的真實(shí)網(wǎng)絡(luò)犯罪的注意力。DDoS 流量可能包括傳入消息、連接請(qǐng)求或虛假數(shù)據(jù)包。

但這里有一個(gè)問(wèn)題：攻擊基于合法流量，很難確定哪些流量是合法的“好”流量，哪些是“壞”流量。因此，您必須不斷測(cè)試您的 Web 服務(wù)器和服務(wù)、云產(chǎn)品和網(wǎng)絡(luò)拓?fù)洌�以確保它們?cè)谧柚共涣剂髁康耐瑫r(shí)允許良好流量通過(guò)的能力。

現(xiàn)實(shí)情況是，DDoS 攻擊只是時(shí)間問(wèn)題，而不是是否會(huì)發(fā)生。考慮到這一點(diǎn)，我們建議使用以下方法驗(yàn)證您對(duì) DDoS 攻擊的彈性：

1. 測(cè)試您的解決方案。所有 DDoS 緩解解決方案都經(jīng)過(guò)測(cè)試。問(wèn)題是測(cè)試是以主動(dòng)、可控的方式進(jìn)行還是通過(guò)真正的攻擊進(jìn)行。主動(dòng)測(cè)試是一個(gè)更好的計(jì)劃，因?yàn)樗�讓您有機(jī)會(huì)解決服務(wù)可能失敗的真實(shí)攻擊壓力之外的問(wèn)題。所有面向公眾的服務(wù)都會(huì)受到攻擊，應(yīng)該進(jìn)行測(cè)試。除了 Web 服務(wù)器之外，這還包括會(huì)話(huà)邊界控制器 (SBC)、統(tǒng)一通信和協(xié)作 (UC&C) 系統(tǒng)、邊緣路由器等。

2. 定期測(cè)試，尤其是在重大升級(jí)之后。例如，一家美國(guó)服務(wù)提供商在向其商業(yè)帳戶(hù)提供基于云的虛擬環(huán)境之前測(cè)試其彈性和脆弱性。第二家公司——網(wǎng)絡(luò)設(shè)備制造商——在其一系列硬件和軟件解決方案中的嵌入式緩解軟件的預(yù)生產(chǎn)測(cè)試期間測(cè)試 DDoS 彈性。例如，在一項(xiàng)測(cè)試中，該公司發(fā)現(xiàn)產(chǎn)品的 CPU（I/O 卡）在僅發(fā)送 1 Gbps 的 TCP SYN 流量后就被鎖定在 99%，這阻止了正常流量如最初預(yù)期的那樣通過(guò)。因此，該公司能夠在商業(yè)發(fā)布之前調(diào)整軟件。

3. 使用定制的攻擊模擬進(jìn)行測(cè)試。檢查您的防御措施如何區(qū)分好流量和壞流量的最佳方法之一是在良好流量的同時(shí)發(fā)起攻擊�？煽康臏y(cè)試工具將使公司能夠輕松創(chuàng)建自定義的多向量攻擊，并將其集成到現(xiàn)有的測(cè)試和緩解基礎(chǔ)設(shè)施中。發(fā)起模擬攻擊使公司能夠在真正攻擊的熱潮中發(fā)現(xiàn)問(wèn)題之前發(fā)現(xiàn)并修復(fù)問(wèn)題。

DDoS 攻擊在頻率和規(guī)模（消耗的帶寬）方面呈指數(shù)增長(zhǎng)。最新的 NETSCOUT 威脅情報(bào)報(bào)告 強(qiáng)調(diào)了 2020 年破紀(jì)錄的 DDoS 攻擊活動(dòng)，觀察到的攻擊超過(guò) 1000 萬(wàn)次。

此外，DDoS 攻擊成本在全球范圍內(nèi)不斷增加。根據(jù)最近的 NETSCOUT 全球基礎(chǔ)設(shè)施安全報(bào)告，與 DDoS 攻擊造成的互聯(lián)網(wǎng)服務(wù)中斷相關(guān)的停機(jī)成本為 221,836.80 美元，而 Allianz Global Corporate & Specialty的 一份報(bào)告發(fā)現(xiàn)，網(wǎng)絡(luò)犯罪對(duì)組織造成的平均成本增加了 70%五年后達(dá)到 1300 萬(wàn)美元。您的企業(yè)真的可以 不 測(cè)試您的 DDoS 彈性嗎？

詳細(xì)了解如何使用 NETSCOUT 的SpectraSecure  DDoS 彈性測(cè)試工具測(cè)試您的節(jié)點(diǎn)、端點(diǎn)、Web 服務(wù)器或 Web 服務(wù)、云產(chǎn)品、應(yīng)用程序、網(wǎng)絡(luò)或拓?fù)涞膹椥砸缘钟?DDoS 攻擊 。