2013年網(wǎng)絡安全形勢：暴風雨愈來愈猛烈

2013-12-12 10:46:09 人民郵電報　點擊量：評論 (0)

域名系統(tǒng)其實不堪一擊開放DNS服務器是引爆整個歐洲互聯(lián)網(wǎng)的定時炸彈?在Spamhaus遭受攻擊的事件中，攻擊者借助現(xiàn)網(wǎng)數(shù)量龐大的開放DNS服務器，采用DNS反射攻擊將攻擊流量輕松放大100倍。攻擊過程使用了約3萬臺開放

主任李曉東建議，要從國家戰(zhàn)略高度進一步提升對域名系統(tǒng)的重視程度。面對日益嚴峻的國際政治形勢和網(wǎng)絡安全態(tài)勢，亟須進一步從國家層面加大投入，強化國家域名系統(tǒng)基礎設施的建設，在網(wǎng)絡帶寬、機房環(huán)境、運行保障、應急協(xié)調等方面確保充足的資源支撐。加大對芯片、操作系統(tǒng)、數(shù)據(jù)庫等基礎和關鍵信息技術攻關的支持力度，對重點領域和關鍵部門采用的進口信息技術產(chǎn)品和系統(tǒng)進行安全測評，推動國產(chǎn)替代進程，確保自主可控。

域名系統(tǒng)安全聯(lián)動機制需進一步完善。除了擴充國家域名的絕對數(shù)量外，各相關方的配合聯(lián)動同樣非常重要。要定期進行黑客攻擊模擬演練，聘請專業(yè)的安全人員協(xié)助相關運營方進行漏洞查明和修補。采取及時修補漏洞等手段加強信息安全防護，通過增加.CN頂級域名服務器數(shù)量、調整服務器部署模式等手段提升服務能力，通過增強在態(tài)勢感知、信息共享、應急響應等方面的能力打造多位一體的互聯(lián)網(wǎng)安全監(jiān)管體系。事先需要制定好應急預案和應對措施，如業(yè)務的自身調整、與運營商的溝通和應急措施同步。當DDoS攻擊發(fā)生時，需要多個部門間快速響應，實施應急方案和及時同步處理結果。

增強域名安全防范意識。國內域名注冊商易名中國分析了近年來眾多域名安全事件，最終總結了域名被盜流程大致是：盜取郵箱賬號和盜取域名所在服務商賬號，登錄郵箱就可以找回在域名服務商注冊域名的密碼。通過這一流程不難看出，導致域名被盜的關鍵還是域名持有者的安全意識，除了增強域名安全防范意識之外，更為科學的驗證信息流程也至關重要。

DDoS攻擊漸成主流攻擊方式

常見的域名安全問題有域名信息更改、域名劫持、中間人攻擊等形式。DDoS攻擊，即分布式拒絕服務攻擊，是目前黑客經(jīng)常采用而難以防范的攻擊手段。黑客一般是通過制作僵尸網(wǎng)絡的方式攻擊域名，即在計算機中植入特定的惡意程序控制大量“肉雞”(指可以被黑客遠程控制的機器)，然后通過相對集中的若干計算機向相對分散的大量“肉雞”發(fā)送攻擊指令，引發(fā)短時間內流量劇增。知名科技公司Arbor Networks發(fā)布的《全球基礎設施安全報告》中指出，DDoS攻擊在規(guī)模上趨于穩(wěn)定，但卻更加復雜。同時，DDoS攻擊已經(jīng)成為高級持續(xù)威脅(APT)的一部分，而APT則成為服務提供商和企業(yè)的頭等大事。

針對應用層的DDoS攻擊事件上升趨勢明顯。華為云安全中心的統(tǒng)計數(shù)據(jù)顯示，針對HTTP應用的DDoS攻擊已經(jīng)占到攻擊總量的89.11%。在中國各地區(qū)，北京、上海、深圳的DDoS攻擊事件最多，占全國總量的81.42%。數(shù)據(jù)中心一直是DDoS攻擊的重災區(qū)。在數(shù)據(jù)中心，排名前三的被攻擊業(yè)務分別為電子商務、在線游戲、DNS服務。尤其是針對DNS服務的攻擊影響面最廣，對互聯(lián)網(wǎng)基礎架構所造成的威脅也最嚴重。而在WEB攻擊的主要目標中，排名前三的被攻擊業(yè)務分別為電子商務、網(wǎng)頁游戲、在線金融業(yè)務。針對數(shù)據(jù)中心的網(wǎng)絡層DDoS攻擊則直接威脅到網(wǎng)絡基礎設施(如防火墻、IPS、負載均衡設備)，而應用層DDoS攻擊則威脅著在線業(yè)務。頻繁的DDoS攻擊導致數(shù)據(jù)中心運營成本增高，而帶寬的可用性降低則導致客戶滿意度下降甚至流失。

DDoS攻擊呈現(xiàn)新趨勢。今年3月份針對國際公司Spamhaus的300G超大流量的DDoS攻擊，攻擊者主要采取的手法就是DNS放大攻擊，也叫反射攻擊技術(DrDoS)，這種攻擊技術的特點就是利用互聯(lián)網(wǎng)上開放的DNS遞歸服務器作為攻擊源，利用“反彈”手法攻擊目標機器。在DNS反射攻