多層防御戰(zhàn)略、保護(hù)以及IT架構(gòu)的是用戶(hù)免于攻擊之痛與代價(jià)的最有效的防御方法。
單一的拒絕服務(wù)攻擊(Denial of service assaults)是從一臺(tái)計(jì)算機(jī)設(shè)備發(fā)起的，DDos攻擊涉及僵尸程序的滲透，也就是說(shuō)這才是造成整個(gè)網(wǎng)絡(luò)安全最大的威脅。Verizon(全成威瑞森通訊，是美國(guó)第一家提供320萬(wàn)像素照相配套銷(xiāo)售的無(wú)線營(yíng)運(yùn)商)在其2012年數(shù)據(jù)違規(guī)調(diào)查報(bào)告中稱(chēng)這些攻擊是"比其他安全威脅更可怕、更具威脅性，無(wú)論是現(xiàn)實(shí)環(huán)境還是預(yù)計(jì)的情況下"。
研究機(jī)構(gòu)Stratecast在最近的調(diào)研報(bào)告中也指出DDos攻擊每年呈20%到45%的增長(zhǎng)，尤其是基于應(yīng)用的DDos攻擊增長(zhǎng)的趨勢(shì)已接近三位數(shù)。Stratecast進(jìn)一步談到，通過(guò)DDoS的攻擊是黑客組織最頻繁使用的工具，時(shí)常作為多重技術(shù)攻擊戰(zhàn)略的一部分。
且研究專(zhuān)家發(fā)現(xiàn)DDOS攻擊不僅在攻擊頻率上增加，在帶寬侵蝕與攻擊持續(xù)性方面也同樣不斷的增加。十年前，舉例說(shuō)明，50Gbps的攻擊在一年之中也就出現(xiàn)一兩次;現(xiàn)如今，諸如這樣的攻擊幾乎每周都有發(fā)生。
此外，攻擊形式也變得更加聰明隱晦，不再是簡(jiǎn)單的運(yùn)行一個(gè)發(fā)送泛洪數(shù)據(jù)的腳本，攻擊者開(kāi)始通過(guò)一系列的操作，使之適應(yīng)攻擊的類(lèi)型或攻擊目標(biāo)。
隨著更多的企業(yè)在其網(wǎng)絡(luò)中允許移動(dòng)設(shè)備的使用，DDos攻擊將繼續(xù)激增。Fortinet的威脅研究實(shí)驗(yàn)室FortiGuard Labs同時(shí)也發(fā)現(xiàn)移動(dòng)僵尸例如Zitmo與傳統(tǒng)的PC上盛行的僵尸攻擊具有相同的特點(diǎn)與功能。FortiGuard Labs在2013年的威脅預(yù)測(cè)中也提出，拒絕服務(wù)攻擊出現(xiàn)新的形式，同時(shí)影響PC與移動(dòng)設(shè)備。
DDos攻擊通常會(huì)造成很大的代價(jià)。除了因攻擊造成的停工損失收入外，受攻擊的公司還不得不忍受IT故障分析與恢復(fù)的時(shí)間、誤工的損失以及因此而造成的合同損失與公司品牌與聲譽(yù)的損失。
DDoS攻擊問(wèn)題的不斷深化，表明企業(yè)必須采取必要的安全策略進(jìn)行防御的必要性。料敵于先機(jī)也就是主動(dòng)性防御，是所有安全戰(zhàn)略的防護(hù)策略，且可以減少被攻擊的風(fēng)險(xiǎn)。也就是說(shuō)與其刪除所有的DDoS流量，不如集中在如何保持服務(wù)，尤其是重要的業(yè)務(wù)服務(wù)盡可能最小的遭受干擾?；诖?，業(yè)務(wù)是通過(guò)訪問(wèn)網(wǎng)絡(luò)環(huán)境而開(kāi)始的，從而才有回復(fù)的。這些交互中，應(yīng)將備份與恢復(fù)考慮在內(nèi)，另外監(jiān)控同樣是快速高效恢復(fù)業(yè)務(wù)服務(wù)的方法之一。
對(duì)于主動(dòng)性防御，需要三個(gè)關(guān)鍵步驟來(lái)完成多層防御戰(zhàn)略、DNS保護(hù)以及IT架構(gòu)的可見(jiàn)性與控制性。
多層防御
多層防御戰(zhàn)略對(duì)于DDoS防御來(lái)講至關(guān)重要，且涉及專(zhuān)門(mén)的邊界解決方案用戶(hù)防御與減緩來(lái)自網(wǎng)絡(luò)各個(gè)方面的威脅。這些工具應(yīng)該提供防欺騙、主機(jī)認(rèn)證技術(shù)、數(shù)據(jù)層面與應(yīng)用層的閥值、狀態(tài)與協(xié)議確認(rèn)、基線執(zhí)行、閑置檢測(cè)、黑白名單與基于地理位置的訪問(wèn)控制列表。
當(dāng)考慮專(zhuān)門(mén)的DDoS解決方案時(shí)，公司需要確認(rèn)這些方案不但能夠檢測(cè)基于應(yīng)用層的DDoS攻擊且要非常高效阻斷常規(guī)、一般或者定制的DDoS攻擊技術(shù)與模式，且具有"學(xué)習(xí)"識(shí)別基于流量數(shù)據(jù)的可接受的以及異常的流量行為模式。流量分析是協(xié)助快速檢測(cè)并限制威脅的關(guān)鍵，同時(shí)可以減少誤報(bào)。
為了獲得更高效的操作，公司機(jī)構(gòu)也應(yīng)該尋求提供高級(jí)的與基于地理位置功能的DDoS解決方案。地理位置技術(shù)，在另一方面，可以使公司機(jī)構(gòu)阻斷來(lái)自于未知或可疑的不相關(guān)來(lái)源的惡意流量;通過(guò)削減來(lái)自公司機(jī)構(gòu)之外的地址信息流量可減少了終端服務(wù)器帶寬的負(fù)載與資源的消耗。
虛擬化實(shí)現(xiàn)后，策略管理員可以創(chuàng)建并審查在單個(gè)設(shè)備中的多個(gè)獨(dú)立的策略域，從而防止攻擊在一個(gè)網(wǎng)段影響輻射到其他網(wǎng)段。該機(jī)制的精髓在于防御預(yù)設(shè)而不是將賭注投擲在單一的一套策略中;管理員可以預(yù)先定義多重配置，在之前的策略不充分的情況下，應(yīng)用更為嚴(yán)格的策略。
DNS服務(wù)器的安全防護(hù)
作為整體防御戰(zhàn)略的一部分，企業(yè)必須保護(hù)其最關(guān)鍵資產(chǎn)與架構(gòu)。許多公司機(jī)構(gòu)因web的可用性保留自己的DNS服務(wù)器，這也是在DDoS攻擊中被首先當(dāng)作目標(biāo)的系統(tǒng)。一旦DNS服務(wù)器被攻擊，攻擊者們便能夠快速拿下公司的web操作，并創(chuàng)建一個(gè)拒絕服務(wù)的環(huán)境。安全市場(chǎng)中有可用的DNS防御解決方案，可防御事務(wù)處理ID、UDP源端口以及隨機(jī)化的。
保持IT架構(gòu)的可見(jiàn)性與控制性
公司機(jī)構(gòu)需要有一種能夠保持系統(tǒng)在攻擊前、攻擊中或攻擊后的警覺(jué)性。IT環(huán)境的全方位的可視性在業(yè)內(nèi)已不是什么秘密，這樣的情形下，管理員能夠檢測(cè)到網(wǎng)絡(luò)流量的異常以及快速發(fā)現(xiàn)攻擊，也使管理員具有更智能與更具有分析能力實(shí)現(xiàn)適當(dāng)?shù)倪w移與安全預(yù)警。最佳的防御是具有報(bào)警系統(tǒng)能夠持續(xù)且自動(dòng)的實(shí)現(xiàn)監(jiān)控，并在檢測(cè)到DDoS流量時(shí)發(fā)出報(bào)警并促發(fā)。
對(duì)網(wǎng)絡(luò)具有顆粒度的可視性與控制性是至關(guān)重要的。網(wǎng)絡(luò)的可視性可以協(xié)助管理員獲取攻擊的根源并阻斷流量溢出，同時(shí)合法的流量能夠自由的來(lái)去;以及使管理員能夠具有發(fā)起實(shí)時(shí)以及歷史攻擊分析的能力。另外，高級(jí)的源地址跟蹤功能可以定位非哄騙性攻擊的地址，甚至可以聯(lián)系到攻擊者的管理員，從而提供了防御的力度。
將注意力回歸到業(yè)務(wù)層面
如同其他安全威脅一樣，DDoS攻擊將持續(xù)的增長(zhǎng)并在未來(lái)變得更為猖獗。DDoS技術(shù)不斷的演化也要求公司機(jī)構(gòu)具有應(yīng)對(duì)這樣猖獗肆虐攻擊的前瞻性力，并落實(shí)在實(shí)時(shí)防御行動(dòng)。
因此，在遭遇DDoS威脅之前，首先要加強(qiáng)應(yīng)對(duì)計(jì)劃以及網(wǎng)絡(luò)架構(gòu)訪問(wèn)機(jī)制。鞏固關(guān)鍵服務(wù)器并對(duì)數(shù)據(jù)劃分優(yōu)先性安全訪問(wèn)管理。同時(shí)，對(duì)網(wǎng)絡(luò)的全方位了解是實(shí)現(xiàn)最佳管理與監(jiān)控的基礎(chǔ)，也是使管理員能夠做出攻擊預(yù)警與防御機(jī)制，最快確定攻擊來(lái)源的關(guān)鍵。
只有做到多層防御戰(zhàn)略、DNS服務(wù)器保護(hù)以及IT架構(gòu)的可見(jiàn)性，企業(yè)才能使遠(yuǎn)離DDoS攻擊，集中在業(yè)務(wù)的管理與處理。