前兩天，阿里云在微博上發(fā)布一則聲明，稱12月20-21日間，部署在阿里云上的某知名游戲公司，遭遇了全球互聯(lián)網(wǎng)史上最大的一次DDoS攻擊。
DDoS是一種在互聯(lián)網(wǎng)地下非常常見的攻擊方式，可以稱作黑客入門的基礎(chǔ)技巧。但要做到像阿里云這次的規(guī)模——攻擊流量峰值達(dá)每秒453.8Gb，仍是一個(gè)刷新排行榜的“巨大”數(shù)字。
但這起事件，除了阿里云主動(dòng)傳播的聲明外，并未有更多討論，也沒有后續(xù)進(jìn)展。這讓整個(gè)事情看起來(lái)很奇怪，沉默的被攻擊方，猖獗的攻擊者，飛速發(fā)展的DDoS產(chǎn)業(yè)。雷鋒網(wǎng)聯(lián)絡(luò)到加速樂(lè)產(chǎn)品經(jīng)理西盟以及一位不具名的安全人士，就此事和背后的DDoS黑產(chǎn)鏈進(jìn)行分析解讀。
450G流量為何“消無(wú)聲息”
每 一次大規(guī)模DDoS，在互聯(lián)網(wǎng)上都可以算是大事件，因?yàn)樗偰荇[出大動(dòng)靜。例如2013年3月創(chuàng)記錄的300Gbps，Spamhaus、 CloudFlare遭到攻擊，被評(píng)價(jià)為“差點(diǎn)癱瘓歐洲網(wǎng)絡(luò)”；2014年2月創(chuàng)紀(jì)錄的400Gbps，攻擊對(duì)象為CloudFlare客戶，據(jù)稱當(dāng)時(shí)包 括4chan、維基解密在內(nèi)的78.5萬(wàn)個(gè)網(wǎng)站安全服務(wù)受到影響。
但這次的450Gbps+的流量，如果不是阿里云主動(dòng)公示，可能就此蓋過(guò)無(wú)人知曉。為何反差如此巨大呢？安全專家西盟認(rèn)為，本次攻擊是直接針對(duì)阿里云服務(wù)器的。因?yàn)闆]有造成骨干網(wǎng)絡(luò)的異常，外人觀察不到這一現(xiàn)象，所以感覺沒有動(dòng)靜。
“450G是個(gè)很大的值，據(jù)我們了解，國(guó)內(nèi)一些中小城市總的帶寬也不一定有450G，也就是說(shuō)如果有這么大的流量打到某個(gè)城市的IP上，這個(gè)城市就要斷網(wǎng)了。”
但如果是攻擊北京、上海等國(guó)家級(jí)網(wǎng)絡(luò)節(jié)點(diǎn)的話，要造成骨干網(wǎng)影響還不夠，它們的帶寬很高。阿里云的機(jī)房分布很多，450G流量不一定是集中打某個(gè)機(jī)房，分散到每個(gè)機(jī)房，量可能并不是非常大。
“野蠻粗暴”的DDoS
DDoS之所以能動(dòng)輒網(wǎng)站失聯(lián)、服務(wù)癱瘓，造成巨大影響，原因在于它簡(jiǎn)單直接，直接攻擊在底層連接上。
西 盟稱，DDoS攻擊是一種很野蠻的攻擊方式。一些黑客通過(guò)技術(shù)手段控制了一些服務(wù)器、個(gè)人電腦后，他們只需要在這些設(shè)備上植入DDoS攻擊程序，即可打擊 互聯(lián)網(wǎng)上任意一目標(biāo)。以往一個(gè)黑客要入侵一個(gè)網(wǎng)站，一般要經(jīng)過(guò)技術(shù)分析、查找漏洞、實(shí)施入侵等一系列工作。但這并不總是有效的，如果一些網(wǎng)站代碼、服務(wù)器 安全加固較好的話，這類技術(shù)入侵也無(wú)計(jì)可施。
但DDoS就不一樣了，比如黑客控制了1000臺(tái)機(jī)器，這些機(jī)器每個(gè)帶寬是10M，那么相當(dāng)于黑客有了10G的流量，當(dāng)它控制這些機(jī)器同時(shí)向某一網(wǎng)站發(fā)起流量攻擊時(shí)，目標(biāo)網(wǎng)站可能瞬間帶寬被占滿，而無(wú)法訪問(wèn)。
據(jù) 了解，國(guó)內(nèi)的絕大多數(shù)的網(wǎng)站都是10M、100M規(guī)模的帶寬，超過(guò)1G帶寬的只有那些互聯(lián)網(wǎng)上非常知名的企業(yè)才會(huì)有。超過(guò)100G的，除過(guò)國(guó)內(nèi)一些做 IDC帶寬服務(wù)的、以及像加速樂(lè)這樣專門做抗攻擊服務(wù)的，算下來(lái)估計(jì)在互聯(lián)網(wǎng)企業(yè)中不超過(guò)20家企業(yè)。所以超大流量打過(guò)來(lái)，企業(yè)自身一般沒有任何辦法。
誰(shuí)被控制？誰(shuí)被攻擊？
被控制的機(jī)器，在黑客圈子里叫做“肉雞”。在去年，加速樂(lè)曾基于防御平臺(tái)上的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)，其中發(fā)起攻擊的IP（肉雞）中，79.7%是服務(wù)器，其它較為零散，有個(gè)人電腦、路由器等。
服務(wù)器多是有原因的，因?yàn)樵诋?dāng)下，服務(wù)器比個(gè)人電腦更容易入侵。原因很簡(jiǎn)單，服務(wù)器上需要部署各種Web服務(wù)，要允許遠(yuǎn)程訪問(wèn)，并經(jīng)常有新的Web服務(wù)漏洞、系統(tǒng)漏洞爆出，這些任意一個(gè)問(wèn)題都可以使它淪為肉雞。反而個(gè)人電腦則沒有這么多對(duì)外接口，攻擊控制它相對(duì)麻煩很多。
利用這些肉雞的人，被稱作黑產(chǎn)從業(yè)者（搞黑產(chǎn)）。他們通常受利益驅(qū)動(dòng)，或主動(dòng)或受雇傭，去攻擊一些高盈利行業(yè)。西盟透露，一般像游戲、博彩、互聯(lián)網(wǎng)金融等行業(yè)很容易發(fā)生DDoS攻擊，這次阿里云上的歷史記錄，也是發(fā)生在游戲行業(yè)。
而目前這類黑客攻擊成本很低，已經(jīng)形成了產(chǎn)業(yè)鏈，一些黑客明碼標(biāo)價(jià)。比如，打1G的流量到一個(gè)網(wǎng)站一小時(shí)，網(wǎng)上報(bào)價(jià)只需50塊錢。前不久就有報(bào)道一個(gè)P2P網(wǎng)貸的網(wǎng)站CEO為了打擊競(jìng)爭(zhēng)對(duì)手雇傭黑客DDOS攻擊，導(dǎo)致對(duì)方業(yè)務(wù)全線癱瘓。
10Mb和10Gbps，DDoS規(guī)?；舷?/p>
10Mb，是目前機(jī)房服務(wù)器最常見的帶寬，攻擊者手中最容易看到的肉雞。
10Gbps，是目前互聯(lián)網(wǎng)公司大概的防御上限值，只有數(shù)家巨頭有能力抵御而不受影響。
10Gbps這個(gè)數(shù)不太好理解，可以從成本角度來(lái)看。國(guó)內(nèi)二線城市機(jī)房帶寬價(jià)格，1G大概30萬(wàn)，10G大概300萬(wàn)。一線城市類似北京，這個(gè)價(jià)格還得乘以10。價(jià)格是企業(yè)難以承受之痛，平?？赡芫W(wǎng)站只用過(guò)10-100Mbps，很少有公司愿意花高價(jià)格去買大帶寬做防御。
由于少有新的攻防技術(shù)出現(xiàn)，觀察DDoS行業(yè)最直觀的指標(biāo)就是這兩個(gè)數(shù)值。西盟稱，要湊齊10Gb流量，大概需要1000臺(tái)肉雞，這算是一個(gè)較有門檻的水平了。一般第三方安全防護(hù)服務(wù)提供方都是以10Gbps作為提醒的標(biāo)準(zhǔn)。
不過(guò)10Gbps以上的攻擊同樣不少見。另一家網(wǎng)站安全防護(hù)服務(wù)提供方的安全專家告訴雷鋒網(wǎng)，其每月大概能檢測(cè)到10-20次10Gbps以上的DDoS攻擊，其中大約2-3次超過(guò)40Gbps。
而隨著寬帶不斷發(fā)展，我們可以預(yù)見，這兩個(gè)數(shù)值被刷新的時(shí)間亦不會(huì)太久。
題圖來(lái)自jumpcloud.com
