多家DDoS防護(hù)供給商都暗示，在2014年前幾個(gè)月，基于NTP的漫衍式拒盡辦事(DDoS)報(bào)復(fù)打擊急劇增加。但據(jù)另外一份陳述稱，SYN洪水報(bào)復(fù)打擊對(duì)企業(yè)更具粉碎性。
上周基于云的DDoS防護(hù)辦事供給商Incapsula公司發(fā)布了2013-2014 DDoS報(bào)復(fù)打擊威脅環(huán)境陳述，該陳述指出，在2013年12月，NTP DDoS報(bào)復(fù)打擊數(shù)量還不到大年夜型SYN洪水報(bào)復(fù)打擊的一半。
但是，這類數(shù)量差距正在縮小。Incapsula呵護(hù)的網(wǎng)站在2月份經(jīng)歷了大年夜量NTP DDoS報(bào)復(fù)打擊;超越了此期間內(nèi)產(chǎn)生的大年夜型SYN洪水報(bào)復(fù)打擊。該公司乃至擴(kuò)大年夜了其陳述范圍來(lái)記實(shí)這一趨勢(shì)。整體而言，基于NTP的報(bào)復(fù)打擊占該公司在其客戶網(wǎng)站檢測(cè)到的所有收集DDoS報(bào)復(fù)打擊的15%。
Incapsula其實(shí)不是獨(dú)一發(fā)現(xiàn)這個(gè)NTP報(bào)復(fù)打擊趨勢(shì)的DDoS防護(hù)供給商。Prolexic公司(此刻屬于Akamai Technologies公司)單在2月份就看到針對(duì)其客戶的這類報(bào)復(fù)打擊激增371%。
收集時(shí)候和談(NTP)是用來(lái)跨計(jì)較機(jī)收集同步時(shí)候的互聯(lián)網(wǎng)尺度，該和談已成為報(bào)復(fù)打擊者有吸引力的方針，因?yàn)樗梢杂脕?lái)放大年夜DDoS報(bào)復(fù)打擊?？蛻舳讼到y(tǒng)會(huì)ping到NTP辦事器來(lái)倡議時(shí)候要求改換，同步凡是每隔10分鐘產(chǎn)生。
DDoS防護(hù)供給商CloudFlare公司的John Graham-Cumming在1月份頒發(fā)的博客文章寫(xiě)道，從NTP辦事器發(fā)還到客戶端的數(shù)據(jù)包可能比初始要求大年夜幾百倍。比擬之下，凡是常利用于放大年夜報(bào)復(fù)打擊中的DNS響應(yīng)被限制僅為8倍的帶寬。
NTP DDoS報(bào)復(fù)打擊：好景不常仍是會(huì)延續(xù)?
NTP其實(shí)不是新的和談，為甚么此刻引發(fā)這么多存眷呢?
Incapsula公司產(chǎn)品奉行者Igal Zeifman將DDoS報(bào)復(fù)打擊中利用NTP描述為“好景不常”，這類***源自于比來(lái)幾起操縱該和談的成功報(bào)復(fù)打擊和隨后媒體的存眷。
這個(gè)標(biāo)題問(wèn)題可以追溯到1月中旬，US-CERT發(fā)布了關(guān)于操縱CVE-2013-5211的NTP放大年夜報(bào)復(fù)打擊的警示通知布告，CVE-2013-5211根基上承諾報(bào)復(fù)打擊者操縱捏造的“MON_GETLIST”要求來(lái)DDoS報(bào)復(fù)打擊方針。這會(huì)造成NTP辦事器發(fā)送給報(bào)復(fù)打擊者暗藏受害者名單，即連接到辦事器的最后600個(gè)IP地址。
在一個(gè)月后，CloudFlare擊退了針對(duì)某個(gè)客戶的NTP放大年夜DDoS報(bào)復(fù)打擊，據(jù)稱，其峰值帶寬略低于400Gbps。在CloudFlare事務(wù)產(chǎn)生的數(shù)天后，Arbor Networks公司確認(rèn)其不雅察到峰值速度達(dá)到325Gbps的NTP放大年夜報(bào)復(fù)打擊。
雖然可能會(huì)有更多報(bào)復(fù)打擊者操縱NTP的優(yōu)勢(shì)，Zeifman暗示，擺設(shè)了DDoS呵護(hù)的企業(yè)沒(méi)需要發(fā)急，而沒(méi)有采取第三方供給商來(lái)措置大年夜范圍DDoS報(bào)復(fù)打擊的企業(yè)則應(yīng)當(dāng)警戒此類報(bào)復(fù)打擊。
“高容量NTP流量很是可疑，并且也很等閑被忽視，”Zeifman暗示，“你不需要復(fù)雜的DDoS防護(hù)辦事來(lái)禁止NTP驅(qū)動(dòng)的洪水?！?/P>
按照Z(yǔ)eifman暗示，企業(yè)更應(yīng)當(dāng)擔(dān)憂典型的SYN洪水報(bào)復(fù)打擊，因?yàn)镾YN數(shù)據(jù)包在收集上更加常見(jiàn)。即便是專門的DDoS防護(hù)辦事供給商也很是難以辨別歹意流量和合法流量。
他指出，SYN洪水報(bào)復(fù)打擊仍然是利用最遍及的的DDoS手藝。在Incapsula的陳述中，正常的大年夜范圍SYN洪水報(bào)復(fù)打擊占所有收集DDoS報(bào)復(fù)打擊的一半，而在峰值速度達(dá)到20Gbps或以上的DDoS報(bào)復(fù)打擊中，大年夜范圍SYN洪水報(bào)復(fù)打擊達(dá)到半數(shù)以上。
更令人擔(dān)憂的是，該陳述暗示，五分之四的DDoS報(bào)復(fù)打擊起碼利用兩種手藝，正常的和大年夜范圍SYN洪水報(bào)復(fù)打擊共占這些多向量DDoS報(bào)復(fù)打擊的75%。
正常的SYN洪水報(bào)復(fù)打擊是如許實(shí)現(xiàn)的：報(bào)復(fù)打擊者經(jīng)由過(guò)程捏造IP地址發(fā)送大年夜量SYN數(shù)據(jù)包到辦事器，如許，響應(yīng)的ACK響應(yīng)永久不會(huì)發(fā)送回來(lái)完成TCP三次握手，這意味著報(bào)復(fù)打擊者可以占用辦事器的所有開(kāi)放連接。
Zeifman暗示，另外一方面，大年夜范圍SYN洪水報(bào)復(fù)打擊則專注于經(jīng)由過(guò)程大年夜量流量來(lái)梗塞收集管道。這兩種手藝的連絡(luò)可以或許讓報(bào)復(fù)打擊者涵蓋所有方面。
“假定DDoS報(bào)復(fù)打擊比方成闖進(jìn)一所房子，那么，這類手藝就像是試圖同時(shí)疇前門和側(cè)面窗戶來(lái)進(jìn)侵，”Zeifman暗示，“報(bào)復(fù)打擊者?？催@兩方面起碼有一個(gè)沒(méi)受呵護(hù)?！?/P>