作為常見(jiàn)的網(wǎng)絡(luò)攻擊方式，分布式拒絕服務(wù)(DDoS)攻擊已經(jīng)成為許多企業(yè)和組織的頭痛之源。DDoS攻擊通過(guò)使目標(biāo)服務(wù)器填滿流量，使其超負(fù)荷到無(wú)法運(yùn)行的程度，從而致使網(wǎng)站癱瘓。這種情況好比成千上萬(wàn)的人試圖同時(shí)進(jìn)入一扇門，但這種攻擊會(huì)令所有人的嘗試變成徒勞，因此做好DDoS防御必不可少。
DDoS防御正面臨挑戰(zhàn)
與訪問(wèn)控制一樣，DDoS防御過(guò)去都是通過(guò)速率限制等技術(shù)在網(wǎng)絡(luò)層進(jìn)行觀察和應(yīng)用的。但對(duì)于如今的超大規(guī)模公有云提供商，網(wǎng)絡(luò)層攻擊需要更大的規(guī)模，并且應(yīng)用通常與網(wǎng)絡(luò)層相分離。因此，攻擊者將在堆棧中“上移”；現(xiàn)代DDoS攻擊針對(duì)的是HTTP層或應(yīng)用本身的邏輯。例如，攻擊者可能會(huì)利用公共圖書(shū)館提供的圖書(shū)搜索API，反復(fù)請(qǐng)求圖書(shū)館中所有圖書(shū)的完整列表，從而占用大量的數(shù)據(jù)庫(kù)資源和網(wǎng)絡(luò)帶寬。
如果沒(méi)有基本的情景感知和審計(jì)跟蹤可視化，這些通用保護(hù)都是不完整的。運(yùn)營(yíng)團(tuán)隊(duì)需要流統(tǒng)計(jì)數(shù)據(jù)來(lái)了解當(dāng)前的狀態(tài)和威脅，而取證團(tuán)隊(duì)則使用這些統(tǒng)計(jì)數(shù)據(jù)來(lái)拼湊疑似入侵的執(zhí)行鏈。應(yīng)針對(duì)異常事件（例如企圖入侵的漏洞或需要審計(jì)治理的任何事件）觸發(fā)警報(bào)。警報(bào)應(yīng)以日志消息（定向到持久日志存儲(chǔ)）或簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議(SNMP)陷阱事件的形式提供。流統(tǒng)計(jì)數(shù)據(jù)和警報(bào)必須可通過(guò)可視化儀表盤和長(zhǎng)期數(shù)據(jù)存儲(chǔ)供人類使用。
DDoS防御具體對(duì)策
未雨綢繆是DDoS防御的最佳方式。防止此類攻擊的關(guān)鍵是要具備一種可以區(qū)分惡意和合法流量的系統(tǒng)。有幾種可供選擇的安全解決方案，如Web應(yīng)用防火墻和DNS服務(wù)，這些解決方案都可發(fā)揮一定作用。此外，為了保護(hù)客戶免遭DDoS攻擊，F(xiàn)5分布式云平臺(tái)高效運(yùn)營(yíng)著一個(gè)全球安全網(wǎng)絡(luò)，該解決方案將本地防御與基于分布式云的DDoS防護(hù)相結(jié)合，以強(qiáng)大的控制力抵御具有針對(duì)性的網(wǎng)絡(luò)和應(yīng)用層攻擊。
隨著DDoS攻擊數(shù)量和復(fù)雜性的穩(wěn)步升級(jí)，對(duì)于企業(yè)而言，顯然需要開(kāi)展更多DDoS防御工作。除了考慮如何規(guī)避已發(fā)生的DDoS攻擊外，更重要的是培養(yǎng)準(zhǔn)確檢測(cè)這些攻擊的能力。因此不妨依靠F5安全運(yùn)營(yíng)中心（F5 SOC）的支持，以加強(qiáng)保護(hù)易受攻擊應(yīng)用或網(wǎng)絡(luò)，從而真正解除威脅。
