如何防御针对基础架构的攻击（一）

 

　　互联网的基础架构，如BGP、DNS、SSL等，其设计目的都是保障通信的正常进行，但此基础架构并非总是完全可信的。我们仍可以看到一些重大的问题需要解决。

 

　　Gartner的研究人员John Pescatore指出有四大主要的攻击可以利用互联网的基础架构：DoS和DDoS、证书授权损害和欺诈、 域名服务攻击、 4G LTE。Gartner的研究人员Orans指出，互联网从整体上说是稳定的。但是如果你从其组成部分的层次上来看，就会发现存在一些不稳定和不可靠的问题。

 

　　下面就是Gartner的研究人员所发现的四大主要的基础架构攻击，以及对付这些攻击的主要策略。

 

　　1、拒绝服务和分布式拒绝服务攻击(即DoS和DDoS)

 

　　根据Arbor Networks的消息，这两种攻击绝对不会绝迹，而且至少有一半的ISP每月遭受一到十次的这种攻击，而且用免费工具(如Low Orbit Ion Cannon(LOIC))这种广受攻击者欢迎的匿名DDoS武器，就可以更容易地发动攻击。Orans说，黑客主义是一个问题：如果某人不喜欢你的企业，他就可以对你发动攻击，且犯罪份子的攻击也是一个问题。

 

　　Neustar的副总裁和高级技术专家Rodney Joffe在Gartner会议期间展示了一段视频，展示了犯罪者的攻击往往用于掩饰更为阴险的目标攻击。犯罪者越来越擅长于隐藏其操作，他们隐藏得越好，安全人员就越难以过滤和防御这种攻击。

 

　　Joffe说，这种攻击的伪装性越来越好，企业应当部署BCP 38(网络入口过滤)，以应对源地址欺诈。在对付DDoS的过程中，这会带来显著的差异。

 

　　Gartner对遏止DDoS攻击的建议：首先，评估丧失企业的Web给企业带来的经济影响，并提供在遭受攻击后的事件响应计划。Orans说，企业的计划应当以业务的连续性和灾难恢复策略为重点。

 

　　其次，考虑减轻DDoS攻击的服务。最廉价的方法是一种“管道清洁”服务，其成本超过带宽服务价格的10%到15%。ISP可以检测并减轻DDoS攻击，因而犯罪者就无法完全占有你的信息通道，Oran说，这是一个富有成本效益的好方法。

 

　　Orans说，一种更净化型的版本是“净化型”服务，即你在遭受攻击时，你可以将通信发送给一个供应商。这些供应商可以充当一个中间人，并对通信进行“净化”，取出DDoS通信，仅将善意通信发送给你。这种服务的每个站点的收费标准为10000美元，当然，你也可以根据带宽来付费。另外一种服务是DDoS设备，它位于DMZ中，并可以检测DDoS通信，进而改变其方向。

 

　　2、证书授权

 

　　数字证书遭到损害和攻击的事实迫使许多专家寻求一种验证网站或软件的新方法。Pescatore说，真正的问题是这个注册过程。数字证书只能如同其注册过程一样强健：密钥的交换并不自动等同于认证。

 

　　SSL的发明者Taher Elgamal在Gartner的峰会上展示了一段视频消息，他说，这纯粹是一个过程问题而不是一个技术问题。在过去的几年中，在证书授权遭到破坏后，就会出事，此时的用户仍拥有证书授权，但他们并没有占有其名字。此时，可信性已经无从谈起。