2013年網絡安全形勢：暴風雨愈來愈猛烈

2013-12-12 10:46:09 人民郵電報　點擊量：評論 (0)

域名系統其實不堪一擊開放DNS服務器是引爆整個歐洲互聯網的定時炸彈?在Spamhaus遭受攻擊的事件中，攻擊者借助現網數量龐大的開放DNS服務器，采用DNS反射攻擊將攻擊流量輕松放大100倍。攻擊過程使用了約3萬臺開放

主任李曉東建議，要從國家戰略高度進一步提升對域名系統的重視程度。面對日益嚴峻的國際政治形勢和網絡安全態勢，亟須進一步從國家層面加大投入，強化國家域名系統基礎設施的建設，在網絡帶寬、機房環境、運行保障、應急協調等方面確保充足的資源支撐。加大對芯片、操作系統、數據庫等基礎和關鍵信息技術攻關的支持力度，對重點領域和關鍵部門采用的進口信息技術產品和系統進行安全測評，推動國產替代進程，確保自主可控。

域名系統安全聯動機制需進一步完善。除了擴充國家域名的絕對數量外，各相關方的配合聯動同樣非常重要。要定期進行黑客攻擊模擬演練，聘請專業的安全人員協助相關運營方進行漏洞查明和修補。采取及時修補漏洞等手段加強信息安全防護，通過增加.CN頂級域名服務器數量、調整服務器部署模式等手段提升服務能力，通過增強在態勢感知、信息共享、應急響應等方面的能力打造多位一體的互聯網安全監管體系。事先需要制定好應急預案和應對措施，如業務的自身調整、與運營商的溝通和應急措施同步。當DDoS攻擊發生時，需要多個部門間快速響應，實施應急方案和及時同步處理結果。

增強域名安全防范意識。國內域名注冊商易名中國分析了近年來眾多域名安全事件，最終總結了域名被盜流程大致是：盜取郵箱賬號和盜取域名所在服務商賬號，登錄郵箱就可以找回在域名服務商注冊域名的密碼。通過這一流程不難看出，導致域名被盜的關鍵還是域名持有者的安全意識，除了增強域名安全防范意識之外，更為科學的驗證信息流程也至關重要。

DDoS攻擊漸成主流攻擊方式

常見的域名安全問題有域名信息更改、域名劫持、中間人攻擊等形式。DDoS攻擊，即分布式拒絕服務攻擊，是目前黑客經常采用而難以防范的攻擊手段。黑客一般是通過制作僵尸網絡的方式攻擊域名，即在計算機中植入特定的惡意程序控制大量“肉雞”(指可以被黑客遠程控制的機器)，然后通過相對集中的若干計算機向相對分散的大量“肉雞”發送攻擊指令，引發短時間內流量劇增。知名科技公司Arbor Networks發布的《全球基礎設施安全報告》中指出，DDoS攻擊在規模上趨于穩定，但卻更加復雜。同時，DDoS攻擊已經成為高級持續威脅(APT)的一部分，而APT則成為服務提供商和企業的頭等大事。

針對應用層的DDoS攻擊事件上升趨勢明顯。華為云安全中心的統計數據顯示，針對HTTP應用的DDoS攻擊已經占到攻擊總量的89.11%。在中國各地區，北京、上海、深圳的DDoS攻擊事件最多，占全國總量的81.42%。數據中心一直是DDoS攻擊的重災區。在數據中心，排名前三的被攻擊業務分別為電子商務、在線游戲、DNS服務。尤其是針對DNS服務的攻擊影響面最廣，對互聯網基礎架構所造成的威脅也最嚴重。而在WEB攻擊的主要目標中，排名前三的被攻擊業務分別為電子商務、網頁游戲、在線金融業務。針對數據中心的網絡層DDoS攻擊則直接威脅到網絡基礎設施(如防火墻、IPS、負載均衡設備)，而應用層DDoS攻擊則威脅著在線業務。頻繁的DDoS攻擊導致數據中心運營成本增高，而帶寬的可用性降低則導致客戶滿意度下降甚至流失。

DDoS攻擊呈現新趨勢。今年3月份針對國際公司Spamhaus的300G超大流量的DDoS攻擊，攻擊者主要采取的手法就是DNS放大攻擊，也叫反射攻擊技術(DrDoS)，這種攻擊技術的特點就是利用互聯網上開放的DNS遞歸服務器作為攻擊源，利用“反彈”手法攻擊目標機器。在DNS反射攻