2016年1月2日，BBC遭受了針對(duì)其所有應(yīng)用的網(wǎng)絡(luò)攻擊。此次攻擊導(dǎo)致了至少3個(gè)小時(shí)的應(yīng)用不可用。此次DDoS攻擊超過600Gbps--這是有史以來規(guī)模最大的一次DDoS攻擊。NewWorldHackers黑客組織聲稱對(duì)此次攻擊負(fù)責(zé)，該組織中的成員還發(fā)表了多篇文章，詳述此次事件。其中一個(gè)主要觀點(diǎn)就是，該黑客組織成功避開了亞馬遜的安全措施，利用管理者權(quán)限發(fā)起了攻擊。

亞馬遜擁有巨大的供其用戶使用的基礎(chǔ)架構(gòu)資源，其存在的資源被濫用風(fēng)險(xiǎn)(如發(fā)起大型DDoS攻擊)一直以來都在被大家討論。

該組織是如何利用亞馬遜的基礎(chǔ)架構(gòu)生成高流量攻擊的?

亞馬遜的AWS安全白皮書中指出，亞馬遜已采用了多種技術(shù)來防止此類情況的發(fā)生。我們看一下幾個(gè)重要的技術(shù)及其對(duì)生成大型攻擊意味著什么：

防欺詐：亞馬遜彈性計(jì)算云(EC2)實(shí)例不能發(fā)送虛假的網(wǎng)絡(luò)流量。由AWS控制的托管防火墻基礎(chǔ)架構(gòu)不允許實(shí)例發(fā)送源IP或MAC地址不屬于自己地址范圍的的數(shù)據(jù)流。因此可以防御幾乎所有的大流量網(wǎng)絡(luò)層攻擊，如：欺詐洪水、反射和放大式洪水。

網(wǎng)絡(luò)監(jiān)控及防護(hù)措施：AWS采用了各種各樣的自動(dòng)化監(jiān)控系統(tǒng)，可以提供很高的服務(wù)性能和可用性。AWS監(jiān)控工具可以在入口和出口通信點(diǎn)處檢測(cè)不尋常的或未經(jīng)授權(quán)的活動(dòng)。這些工具可以監(jiān)控服務(wù)器和網(wǎng)絡(luò)的使用情況、端口掃描活動(dòng)、應(yīng)用使用情況和未經(jīng)授權(quán)的入侵嘗試。這些工具還可以設(shè)置針對(duì)于不尋?；顒?dòng)的自定義性能指標(biāo)閾值。因此，任何在網(wǎng)絡(luò)中流動(dòng)的不尋常流量都可以被檢測(cè)出來，并引發(fā)相關(guān)節(jié)點(diǎn)的關(guān)閉。

DDoS防護(hù)措施：部署了專有的防護(hù)系統(tǒng)。盡管關(guān)于系統(tǒng)的詳細(xì)描述沒有披露出來，但仍有一些用于保護(hù)這些系統(tǒng)的監(jiān)控和自動(dòng)化防護(hù)措施。

濫用報(bào)告：亞馬遜的客戶可以向亞馬遜報(bào)告賬戶的濫用情況。亞馬遜調(diào)查團(tuán)隊(duì)會(huì)研究每一份報(bào)告，并采取相應(yīng)的行動(dòng)。因此，一般可以認(rèn)為，當(dāng)一個(gè)攻擊被報(bào)告后，亞馬遜應(yīng)該會(huì)針對(duì)攻擊采取及時(shí)的行動(dòng)。

其它措施：部署了訪問控制、防掃描、加密和隔離措施，以防范此類情況的出現(xiàn)。

攻擊確實(shí)是由亞馬遜發(fā)起的可能性有多大呢?雖然我們已經(jīng)意識(shí)到，發(fā)起大流量攻擊是一個(gè)很具有挑戰(zhàn)性的任務(wù)，但我們不妨換個(gè)方法，如果攻擊容量不是那么高會(huì)怎樣呢?如果攻擊更復(fù)雜、更巧妙又會(huì)怎樣呢?

開始動(dòng)態(tài)IP攻擊--帶來同樣的毀滅性結(jié)果

動(dòng)態(tài)IP攻擊的目標(biāo)是應(yīng)用層。他們利用真實(shí)的IP地址完成與服務(wù)器之間的三次握手，也能夠規(guī)避諸如JavaScript質(zhì)詢等緩解技術(shù)。通過恰當(dāng)?shù)姆椒ǚ职l(fā)這類攻擊，攻擊者能夠成功做到讓檢測(cè)措施幾乎無法區(qū)分攻擊者和合法用戶。

攻擊者會(huì)采用各種各樣的技術(shù)來規(guī)避常見的防御機(jī)制。無頭瀏覽器的使用、規(guī)避技術(shù)、加密和特定的模仿用戶行為都是這些技術(shù)的范例。當(dāng)這樣的攻擊分布在海量源中時(shí)，每個(gè)源的速率就會(huì)變得很低，這使得應(yīng)用速率限制機(jī)制也無法將其檢測(cè)出來。由于在不影響正常操作的前提下公有云不易被添加到訪問列表中，因此，如果這樣的攻擊源自于主要的公有云基礎(chǔ)架構(gòu)，就會(huì)給緩解系統(tǒng)帶來更多挑戰(zhàn)。

我們?cè)僦匦聦徱曇幌箩槍?duì)上述安全措施的動(dòng)態(tài)IP攻擊：

防欺詐：應(yīng)用攻擊需要完整的會(huì)話，因此不會(huì)出現(xiàn)相關(guān)的IP欺詐，而且會(huì)創(chuàng)建真正的會(huì)話。然而，利用亞馬遜提供的地址范圍，IP可以頻繁改變。

網(wǎng)絡(luò)監(jiān)控及防護(hù)措施：復(fù)雜攻擊會(huì)在每個(gè)源節(jié)點(diǎn)采用低帶寬，但會(huì)進(jìn)行高頻率分發(fā)來隱藏攻擊。這樣的話，每個(gè)信息源看起來都是合法的。

DDoS防護(hù)措施：低流量攻擊可以躲過任何監(jiān)控措施的檢測(cè)，只可能在最終目的地位置被發(fā)現(xiàn)。事實(shí)上，即使在最終目的地位置也還是難于進(jìn)行朋友和敵人的區(qū)分。

濫用報(bào)告：為了報(bào)告濫用情況，首先需要確認(rèn)的是被濫用的信息源，并將這些上報(bào)給亞馬遜。當(dāng)信息源表現(xiàn)的像普通用戶一樣時(shí)，這幾乎是一個(gè)不可能完成的任務(wù)。

其它措施：當(dāng)僅使用在通常執(zhí)行策略內(nèi)的可接受行為機(jī)制時(shí)，仍然可以生成帶有上述屬性但仍在合理使用標(biāo)準(zhǔn)內(nèi)的攻擊。

總而言之，考慮到現(xiàn)有的安全措施，利用亞馬遜或其它任何公有云服務(wù)生成攻擊并不容易實(shí)現(xiàn)，但同時(shí)我們也知道，多數(shù)安全措施都是為了防御傳統(tǒng)的、與網(wǎng)絡(luò)相關(guān)的DDoS攻擊類型。我們相信，越來越多的攻擊者正在快速掌握高復(fù)雜度攻擊方式，這種高復(fù)雜度攻擊變得越來越難于探測(cè)和控制，這就意味著毀滅性結(jié)果的風(fēng)險(xiǎn)越來越高。