DDOS與DDOS追蹤的介紹

let o be a random integer from [0..k-1] 
let f be the fragment of R' at offset o 
write f into w.frag 
write 0 into w.distance 
wirte o into w.offset 
else 
if w.distance=0 then 
let f be the fragment of R' at offset w.offset 
write f?w.frag into w.frag 
increment w.distance Path reconstruction procedure at victim v: let FragTbl be a table of tuples(frag,offset,distance) 
let G be a tree with root v 
let edges in G be tuples(start,end,distance) 
let maxd:=0 
let last:=v 
for each packet w from attacker 
FragTbl.Insert(w.frag,w.offset,w.distance) 
if w.distance>maxd then 
maxd:=w.distance 
for d:=0 to maxd 
for all ordered combinations of fragments at distance d 
construct edge z 
if d!=0 then 
z:= z?last 
if Hash(EvenBits(z))=OddBits(z) then 
insert edge(z,EvenBits(z),d) into G 
last:=EvenBits(z); 
remove any edge(x,y,d) with d!=distance from x to v in G 
extract path(Ri..Rj) by enumerating acyclic paths in G  
實驗室情況下這種標記技術只需要victim能夠抓到1000到2500個包就能夠重構整個路徑了，應該說結果是很好的，但是沒有投入到實用中，主要是需要路由器廠商和ISP支持。 
差不多ip traceback的已經實用的技術和實驗室技術，或者已經死掉的，就主要是這些，雖然還有其他的一些。
已經很長時間沒有搞DDOS防范這一塊了，國內也有黑洞這樣的產品，以前也了解一些國外的，比如floodguard、toplayer、radware等。受securitytest提示，又了解到riverhead的，我就立刻看了看他們的白皮書。 
因為前面bigfoot提出的主要是ip traceback的題目，securitytest也又到防御的問題。針對DDOS的問題ip traceback和Mitigation是不一樣的，ip traceback主要是進行追蹤，因為DDOS主要是spoof，而很難判別到真正的攻擊源，而且如果能夠很容易找到真正的攻擊源，不僅僅對付DDOS，對付其他的攻擊也很有幫助，比如法律問題等。而Mitigation是從受害者的角度，因為victim一般是沒有能力去調查整個網絡，找出source，而且，即便能夠找到source，也得有法律或者一些溝通的手段來讓source停下來（攻擊的source并不是source的攻擊者），這種意味著大量的溝通、跨ISP、跨過等類似的非技術問題，所以，通常很難處理。但是從victim的角度來說，必須得有所解決辦法，所以就需要Mitigation。 
這又正好是我以前研究的范圍，所以，又會說出一大堆。對于Mitigation，其實，技術的根本就是要能從眾多的流量中將攻擊包和合法包分離出來，把攻擊包拋棄掉，讓合法包通過就性了。這就是根本，所以實際運用的技術就是要如何盡可能識別出攻擊包，而又盡可能小地影響正常包。這又得來分析DDOS（甚至DOS）的方式和原理。基本又下面幾種形式： 
1、系統漏洞形成的DOS。這種特征固定，檢測和防御也容易 
2、協議攻擊（一些跟系統處理相關，一些跟協議相關）。比如SYN FLOOD，碎片等。特征還好識別，檢測和防御相對容易。比如SYN COOKIE、SYN CACHE，碎片可以拋棄。比如land攻擊、smurf、teardrop等 
3、bandwidth FLOOD。垃圾流量堵塞帶寬，特征不好識別，防御不容易 
4、基本合法的FLOOD。比3更難了，比如分布的Slashdot 。 
實際的DDOS，一般都是多種方式結合的。比如SYNFLOOD，可能同時是bandwidth FLOOD。 
影響防御的主要因素就是看特征是否能得到，比如1、2就相對好解決，一些基本不影響的使用的FLOOD，則可以很好被拋棄，比如ICMP FLOOD。但是，攻擊發包工具如果將數據包更能偽裝成合法包，那么就很難識別出來了。 
一般的Mitigation方法也就是： 
1、Filter。對于特征明顯的，比如一些蠕蟲等，在路由器上就可以搞定。當然，過濾是最終解決辦法，只要識別出了攻擊包，就是要把這些包過濾掉。 
2、隨機丟包。跟隨機算法相關，好的算法可以讓合法包受到更小影響 
3、SYN COOKIE、SYN CACHE等特定防御辦法。針對一些固定的攻擊手段來防御和過濾。比如ICMP FLOOD、UDP FLOOD。SYN COOKIE等都是避免spoof問題，至少TCP還有三次握手，所以還好判斷SPOOF 
4、被動消極忽略。可以說也是一種確認是否被欺騙的辦法。一般正常連接失敗會重新嘗試，但是攻擊者一般不會嘗試的。所以可以臨時拋棄第一次連接請求而接受第二次或者第三次連接請求。 
5、主動發送RST。對付SYN FLOOD的，比如一些IDS上。當然，實際不是有效的。 
6、統計分析和指紋。這本來是研究的主要內容，但是最后陷入了算法牛角尖，因為主要是一個算法問題。通過統計分析的角度來得到指紋，然后根據指紋來拋棄攻擊包，也是一種異常檢測的技術。說得很簡單，但是要不影響合法包也不容易，不至于變成了隨機丟包。（其實當時考慮太過復雜，非得要詳細分析出攻擊包和合法包，實際不需要，只要過濾掉足夠的攻擊包，即便讓攻擊包通過，但只要不造成DOS就可以了。）這也是很多研究者研究的主要課題，目的也就是識別攻擊包。 
現在在回到securitytest提到的riverhead。關于riverhead的技術，我都只是從他們的白皮書上了解到的，但根據我的分析技術方法都沒有超出上面提到的范圍。 
riverhead的核心方案就是檢測 Detection、轉移 Diversion 和 緩解 Mitigation，也就是檢測到攻擊，然后將流量轉移到他們的產品guard上，然后通過guard進行Mitigation。 
它的實現步驟，就是： 
因為沒有圖，所以先定義一下，才能說清楚： 
#靠近分布式拒絕服務源頭的路由器為 遠端路由器 
#靠近受害者的路由器為 近端路由器 
#Riverhead的Guard設備附屬安裝的路由器為 附屬路由器 
防御的步驟 
1、首先檢測到有DDOS發生，并了解到victim 
2、Guard發送BGP通告到遠端路由器（在victim的BGP通告設置前綴，并得到比原始BGP通告更高的優先權），表示從遠端路由器到victim有新的路由，并且路由到Guard的loopback interface，所有到victim的都經過附屬路由器轉移到了Guard上 
3、Guard檢查流量，并且清除其中的攻擊流量，然后把安全的流量轉發到附屬路由器上，在回到victim 
其中核心就是Guard，技術就是白皮書中描述的MVP架構（Multi-Verification Process），也就是下面5個層次 
過濾(Filtering) ：這個模塊包含靜態和動態的DDOS過濾。靜態過濾，攔截non-essential流量，可以是用戶定義的，或者是riverhead默認提供的。動態過濾則基于行為分析和流量的細節分析，通過增加對可疑流量的確認或攔截已經確認的惡意流量，來進行實時更新 
反欺騙(Anti-Spoofing)：這個模塊驗證進入系統的數據包是否被欺騙的。Guard使用了獨有的、有專利的源驗證機制來避免欺騙。也通過一些機制來確認合法流量，消除合法數據包被拋棄 
異常檢測（Anomaly Recognition）：該模塊監視所有沒有被過濾和反欺騙模塊拋棄的流量，將流量同平常紀錄的基線行為進行比較，發現異常。基本原理就是通過模式匹配，區別來自black-hat和合法通訊之間的不同。該原理用來識別攻擊源和類型，而且提出攔截這類流量的指南。
異常檢測包括： 
攻擊流量速率大小 
包大小和端口的分布 
包到達時間的分布 
并發流量數 
高級協議特征 
出、入的速率 流量分類： 
源IP 
源端口 
目的端口 
協議類型 
連接量（每天、每周） 
協議分析（Protocol Analysis）：本模塊處理異常檢測中發現的可疑的應用方面的攻擊，比如http攻擊。協議分析也檢測一些協議錯誤行為。 
流量限制（Rate Limiting）：主要是處理那些消耗太多資源的源頭流量。 
所以，實際上最主要的內容就是異常檢測中的統計分析，但是從上面看似乎沒有多少特別的地方，但是，一定有很好的算法。比如FILTER，實際是對付一些很熟悉的有明顯特征的攻擊，反欺騙，就是對付syn flood這樣的，說不定也是一個syn cookie模塊，，但也許有更專利的技術。協議分析其實應該來說就比較弱了，但可以針對一些常見協議中的特定攻擊，檢測識別一些協議錯誤行為只是協議校驗，這個很簡單。流量限制則就是一種隨機丟包，最無奈的辦法，所以也是最后一個層次了。 
因為這個產品主要是作Mitigation的，而不是ip traceback。但是可以判定還是有重要的問題，比如： 
1、如何對付真正的bandwidth flood。如果路由器是千兆的，但是，攻擊流量已經占了90%，只流下10%讓合法使用，路由器已經先與Guard開始進行隨機丟包了。（沒辦法，這是所有防御技術的瓶頸） 
2、真正的攻擊。真正的攻擊是很難或者無法識別的。比如，基本跟正常形式一樣的，如果和統計數據很接近，那么很難區別出來。還有一些攻擊，比如反射式的郵件攻擊等，這是完全合法的，但是很難分類出來。 

 

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]