事件簡(jiǎn)介
2009年5月19日21時(shí)50分開(kāi)始，江蘇、安徽、廣西、海南、甘肅、浙江等6省用戶申告訪問(wèn)網(wǎng)站速度變慢或無(wú)法訪問(wèn)。主要表現(xiàn)為域名解析(DNS)響應(yīng)緩慢或者無(wú)法解析。直至5月22日事件才漸漸平息。
事件原因和分析
此次事件是一次聯(lián)動(dòng)事件，主要分為兩個(gè)部分：
1、DNSPod站點(diǎn)的DNS服務(wù)器被超過(guò)10Gbps流量的DDoS攻擊擊垮疑似因?yàn)槭蔷W(wǎng)絡(luò)游戲私服之間的相互爭(zhēng)奪生意，導(dǎo)致一家私服運(yùn)營(yíng)商發(fā)動(dòng)了上千臺(tái)僵尸主機(jī)對(duì)DNSPod發(fā)動(dòng)了DDoS洪水攻擊，導(dǎo)致DNS服務(wù)器過(guò)載以及線路堵塞。
2、暴風(fēng)影音的大量頻繁的向電信DNS主服務(wù)器發(fā)起解析。導(dǎo)致各地區(qū)電信主DNS服務(wù)器超負(fù)荷。
暴風(fēng)影音作為廣泛使用的軟件，有成千上萬(wàn)的用戶安裝使用。然而其DNS解析機(jī)制存在缺陷。暴風(fēng)公司僅僅在DNSPod站內(nèi)部署了一個(gè)DNS解析站點(diǎn)，同時(shí)暴風(fēng)影音軟件在發(fā)生無(wú)法解析域名的時(shí)候會(huì)大量頻繁的向運(yùn)營(yíng)商的DNS服務(wù)器發(fā)起查詢，運(yùn)營(yíng)商DNS再向位于DNSPod內(nèi)的暴風(fēng)公司DNS服務(wù)器查詢，未果。這樣導(dǎo)致了大量的查詢，客觀上構(gòu)成了對(duì)電信DNS服務(wù)器的DDoS攻擊。
由于暴風(fēng)影音使用用戶非常多，其攻擊能力高出僵尸網(wǎng)絡(luò)幾個(gè)數(shù)量級(jí)，導(dǎo)致多個(gè)省市電信DNS主服務(wù)器過(guò)載。
FortiGate IPS對(duì)策
DNS服務(wù)器作為互聯(lián)網(wǎng)的一個(gè)核心部分容易遭受到攻擊，要徹底解決這個(gè)問(wèn)題，只有不斷的完善Internet安全架構(gòu)本身，比如檢測(cè)和清除僵尸網(wǎng)絡(luò)、保障每一臺(tái)接入到Internet的PC的安全性、建立快速DoS溯源機(jī)制等。然而安全的Internet架構(gòu)不是一朝一夕能夠建立起來(lái)的，因此對(duì)DNS的攻擊防護(hù)就成為一項(xiàng)重要的安全措施。
對(duì)于以上兩部分的原因，F(xiàn)ortiGate IPS分別有不同的對(duì)策。
1、對(duì)于沒(méi)有規(guī)律的大規(guī)模DDoS攻擊，F(xiàn)ortiGate IPS具有硬件級(jí)的防御能力。它采用專用加速芯片對(duì)DDoS攻擊進(jìn)行識(shí)別，可以判斷出哪些是攻擊包，那些是正常訪問(wèn)流量，從而將正常訪問(wèn)流量放過(guò)而阻擋住攻擊數(shù)據(jù)包。這樣DNS服務(wù)器不會(huì)因受到攻擊而過(guò)載。
FortiGate IPS有超過(guò)每秒10萬(wàn)pps的抗DDoS攻擊能力。
圖一：FortiGate 抗DDoS配置
2、對(duì)于有規(guī)律的大規(guī)模DDoS攻擊，比如由暴風(fēng)影音軟件發(fā)起的對(duì)baofeng.com的大量DNS查詢，F(xiàn)ortiGate可以制定相應(yīng)檢測(cè)規(guī)則，暫時(shí)阻擋含有baofeng.com域名的查詢，使得DNS服務(wù)器不會(huì)過(guò)載。
圖二：FortiGate IPS特征
FortiGate IPS特點(diǎn)簡(jiǎn)介
1、混合式、多類型的攻擊防御
Fortinet的全系列安全產(chǎn)品可以提供集成、完整的解決方案，它可以實(shí)現(xiàn)對(duì)混合攻擊、入侵企圖、病毒、木馬、蠕蟲(chóng)、間諜軟件、灰色軟件、廣告軟件和拒絕式攻擊等種類廣泛的攻擊和惡意行為。
Fortinet采用基于網(wǎng)絡(luò)的ASIC加速的硬件平臺(tái)，以及一系列的高級(jí)的動(dòng)態(tài)入侵檢測(cè)引擎，可以以更低的總體擁有成本，實(shí)現(xiàn)針對(duì)多種攻擊的更高級(jí)別的安全和業(yè)內(nèi)領(lǐng)先的性能。這些安全引擎是由Foitinet屢或殊榮的FortiOSTM，可以單獨(dú)部署，也可以集成在一起提供全面的安全解決方案。
圖三：Fortinet基于ASIC的網(wǎng)絡(luò)和應(yīng)用處理加速
2、全球的IPS研發(fā)團(tuán)隊(duì)
FortiGuard的IPS服務(wù)是由Fortinet全球的安全專家團(tuán)隊(duì)來(lái)維護(hù)，他們?cè)谧R(shí)別一種新的攻擊后兩個(gè)小時(shí)內(nèi)予以響應(yīng)。Fortinet安全專家與很多像CERT和SANS這樣的攻擊檢測(cè)組織合作來(lái)發(fā)現(xiàn)新的漏洞，編寫特征值、異常檢測(cè)引擎和阻斷方法，在漏洞成為威脅前升級(jí)用戶的FortiGate的IPS系統(tǒng)。FortiGuard的可擴(kuò)展的分布式網(wǎng)絡(luò)可以在幾分鐘內(nèi)，推動(dòng)地升級(jí)所有的FortiGate的IPS系統(tǒng)。
主要特征 優(yōu)點(diǎn)
基于ASIC加速的硬件 業(yè)內(nèi)領(lǐng)先的性價(jià)比
自動(dòng)升級(jí)IPS特征值 實(shí)現(xiàn)零天對(duì)新攻擊的防御
用戶自定義的IPS特征值 對(duì)用戶友好的、靈活的IPS引擎
檢測(cè)VPN(Ipsec和SSL)的內(nèi)容 防止惡意流量通過(guò)VPN擴(kuò)散
雙向的IPS內(nèi)容過(guò)濾 防止內(nèi)部和外部的攻擊
特征值和協(xié)議異常引擎 多層次的安全防御多類型的攻擊
詳細(xì)的日志和報(bào)表 對(duì)內(nèi)部監(jiān)聽(tīng)和流量分析的細(xì)粒度的日志和報(bào)表
支持50多種協(xié)議和應(yīng)用 擴(kuò)展的協(xié)議和應(yīng)用防護(hù)
可以對(duì)數(shù)以千計(jì)的FortiGate進(jìn)行集中化管理 保持統(tǒng)一性和每日更新的安全策略
透明模式或網(wǎng)絡(luò)監(jiān)聽(tīng)方式部署 不重新設(shè)計(jì)網(wǎng)絡(luò)下無(wú)縫部署
從SOHO到千兆級(jí)別的IPS的可擴(kuò)展的性能和型號(hào) 不同型號(hào)支持任何大小的網(wǎng)絡(luò)
