滾蛋吧!云端 DDoS 攻擊

責(zé)任編輯:editor004

作者:張培穎翻譯

2015-12-10 14:01:45

摘自:TechTarget中國

企業(yè)在轉(zhuǎn)向云端是需要構(gòu)建最安全的系統(tǒng)架構(gòu)。亞馬遜用具體實(shí)例規(guī)模提供了加強(qiáng)網(wǎng)絡(luò),允許更多的每秒封包數(shù)從這些系統(tǒng)發(fā)出或者收到,從而改善性能。

企業(yè)在轉(zhuǎn)向云端是需要構(gòu)建最安全的系統(tǒng)架構(gòu)。根據(jù)云安全聯(lián)盟(CSA)的報(bào)告《The Notorious Nine: Cloud Computing Top Threats in 2013》,針對企業(yè)云部署最常見的攻擊就是分布式拒絕服務(wù)(DDoS)攻擊。在最近的一篇博文中,亞馬遜探討了客戶如何在他們的亞馬遜Web服務(wù)(AWS)虛擬私有云(VPC)中使用安全群組和訪問控制,從而減少攻擊面,同時(shí)設(shè)計(jì)了一個(gè)云架構(gòu)來保護(hù)企業(yè)免受DDoS攻擊。反抗云中DDoS的概念能成真嗎?本篇技巧將會解析核心概念和技術(shù),基礎(chǔ)架構(gòu)和安全團(tuán)隊(duì)可以實(shí)踐,從而減少當(dāng)今云環(huán)境中企業(yè)所面臨的DDoS攻擊風(fēng)險(xiǎn)。

滾蛋吧!云端 DDoS 攻擊

  減少公開暴露

絕對沒有一種方法能夠完全消除分布式拒絕服務(wù)攻擊的威脅,理解這一點(diǎn)很重要。為了有效地阻擊DDoS攻擊并維護(hù)云服務(wù)的可用性,要運(yùn)用一些核心的概念。首先,企業(yè)需要減少全部公開暴露環(huán)境。對于AWS環(huán)境,通常是在VPC中設(shè)置安全群組和私有網(wǎng)絡(luò)。亞馬遜有很好的終端概述——對于流量的方向指向具體的虛擬機(jī)以及與之相關(guān)的服務(wù)——或者網(wǎng)絡(luò)安全群組。

準(zhǔn)備擴(kuò)展和冗余

彈性和可擴(kuò)展要防患于未然,確保擴(kuò)展和冗余在分布式拒絕攻擊期間可以按需使用,尤其是在多個(gè)地理區(qū)域的情況下。任何運(yùn)行在云中的虛擬機(jī)實(shí)例都需要保證網(wǎng)絡(luò)資源可用。

亞馬遜用具體實(shí)例規(guī)模提供了加強(qiáng)網(wǎng)絡(luò),允許更多的每秒封包數(shù)從這些系統(tǒng)發(fā)出或者收到,從而改善性能。亞馬遜提供了其彈性負(fù)載均衡(ELB)服務(wù),對所有運(yùn)行中的實(shí)例扮演一個(gè)前端的角色,也能夠基于你的負(fù)載均衡需求分配流量到系統(tǒng)中。

微軟針對所有的Azure提供了域名系統(tǒng)(DNS)和網(wǎng)絡(luò)負(fù)載均衡,Rackspace提供了控制流量流的專屬云負(fù)載均衡。對于開啟新服務(wù)和在云端擴(kuò)展設(shè)置自動觸發(fā)器是另外一種常見方式,可以提供資源彈性。在一篇減少DDoS攻擊的白皮書中,亞馬遜建議使用其Auto Scaling功能,在具體的實(shí)例度量上設(shè)置觸發(fā)器,比如CPU利用率、網(wǎng)絡(luò)流量和服務(wù)狀態(tài)檢查——從而自動化流量擴(kuò)展和針對實(shí)例的負(fù)載均衡。

利用內(nèi)容加速網(wǎng)絡(luò)

利用內(nèi)容交付網(wǎng)絡(luò)(CDN),比如AWS CloudFront、Azure Content Delivery Network或者第三方服務(wù),比如來自Akamai或者CloudFlare的服務(wù),來代理流量并執(zhí)行“包洗滌”動作,在云資源受到明顯影響之前幫助防御和減少DDoS攻擊。這些CDN通過多邊網(wǎng)絡(luò)節(jié)點(diǎn)分散流量,可以按需緩存和分發(fā)內(nèi)容。

大多數(shù)的CDN可以限制來自或者接收一個(gè)具體的國家或者區(qū)域的流量。Amazon CloudFront可以實(shí)施Origin Access Identity,嚴(yán)格限制對于Simple Storage Service的訪問,具體的用戶通過CloudFront提供服務(wù),而非直接訪問,針對分布式拒絕服務(wù)攻擊。還有很多其他的中介服務(wù)或者平臺可以減少 DDoS攻擊,包括來自Imperva、Qualys和Barracuda這樣的廠商的Web應(yīng)用防火墻設(shè)備和服務(wù)。

分布式拒絕服務(wù)攻擊防御

除了上面列出的這些關(guān)鍵概念,還有另外一種方法企業(yè)可以用來保護(hù)他們的基礎(chǔ)設(shè)施。亞馬遜建議使用DNS控制,比如Route 53服務(wù)來幫助控制DDoS。Route 53功能,諸如shuffle分片或者分布式DNS請求、anycast routing、alias record set——這是一種獨(dú)立的DNS記錄,可以在運(yùn)行中快速改變,指向CloudFront或者ELB結(jié)點(diǎn),以及私有DNS(僅限內(nèi)部),可以幫助提供更多的靈活性和控制能力。

除了所有的這些功能,云提供商建議企業(yè)要認(rèn)真追蹤和監(jiān)控云用例模式,開發(fā)健全的常規(guī)行為基準(zhǔn)線,如果DDoS發(fā)生了,要積極主動的度量和控制響應(yīng)。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號