本站点使用Cookies,继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

搜索

关于近日境外针对国内金融机构发起DDOS攻击的防范建议

2018-12-17
2214
1

12月11日,疑似匿名者(Anonymous)黑客组织成员Lorian Synaro在推特上号召发起针对全球中央银行网站的代号为“OpIcarus 2018(OpIcarus 2.0)” 的新一轮攻击行动,攻击名单中多个国内银行赫然在列。


据悉,OpIcarus攻击首次发起于2016年,主要针对全球金融机构(银行)进行持续的(DDoS)拒绝服务攻击,攻击手段包括TCP Flood/UDP Flood,HTTP/HTTPS Flood,及针对HTTP协议的大量POST请求以及针应用系统的SQL注入漏洞等。

自12月13日夜间开始,国内多家银行的HTTP、HTTPS在线业务受到了来自以海外地址为主的攻击。从本次OpIcarus攻击中抓取的数据分析来看:攻击属于混合型攻击,主要由NTP反射放大攻击、针对80端口和443端口的CC攻击等组成。

对于此次针对80端口及443端口的CC攻击,运营商在国际口进行了封堵,有效地保护了被攻击金融客户的链路,之后约几十M的CC攻击进一步在城域网被运营商过滤,至此仍有十几M的CC则透到金融客户的数据中心,导致其对外的WEB服务器CPU使用率大幅提升,响应速度降低,明显影响了国内用户的正常访问。从攻击信息来看,本次CC攻击中包含SYN、ACK、RST、Fin、TCP连接、HTTP Get、HTTPS应用攻击(有密钥交换报文),而攻击源分散甚广:美国、加拿大、巴西、印度尼西亚、乌拉圭、厄瓜多尔、希腊、南非、捷克、泰国、香港等。


对于已经部署了DDoS防御设备的金融客户,建议采用如下的防御策略:

• 鉴于攻击以海外为主,优先选择开启地理位置过滤策略对海外的攻击流量进行屏蔽;

• 鉴于金融业务通常都会采用CDN加速,建议对CDN IP使用白名单功能,防止防御策略配置过严影响正常业务;

• 鉴于金融业务没有UDP流量,建议配置UDP限速功能对带宽实现高效防护;

• 鉴于此次CC攻击种类繁多,建议开启以下会话层防御策略:SYN flood正确序列号源认证、ACK及FIN、RST会话检查、TCP新建及并发会话限速类;同时开启以下应用层攻击防御策略:HTTP开启302重定向、HTTPS会话完整性检查(大多数攻击并未建立完整的SSL会话)。

另外,本次攻击数据显示,攻击流量中NTP类攻击不到40Gbps。根据以往Anonymous攻击事件统计分析,该黑客组织惯用不大的攻击流量对金融制造业造成恐慌,从而达到其宣泄政治主张的目的。在其2015年对土耳其发起的大规模网络中,攻击的最大流量峰值也仅有40多Gbps。但是,由于国内金融企业数据中心带宽一般都在20Gbps及以下,40Gbps的攻击力也足以对金融企业造成强悍的冲击。

因此,面对这次针对金融企业的DDoS攻击,华为建议依靠分层防御方案实现“分层清洗,精准防护”:

首先,依靠云清洗在上游对大流量攻击进行有效过滤,从而保障金融企业带宽可用性;

然后,依靠金融企业数据中心边界部署的DDoS防御系统重点提供小流量的CC防御,保障了整个金融在线业务系统可用性。

华为AntiDDoS产品2015年在土耳其电信网络成功对抗了Anonymous。针对此次针对国内金融机构的DDoS攻击,从12月13日起,华为AntiDDoS产品团队成功协助国内多个金融客户抵御了到目前为止的OpIcarus攻击。华为AntiDDoS产品团队从抵御本次攻击的实战经验出发,给出了行之有效的防范策略推荐,建议金融企业参考并实时关注攻击预警和攻击流量波动。

TOP