DDoS攻击正在增加还是减少?这要看你问谁了

作者:星期六, 三月 24, 20180
分享:

分布式拒绝服务(DDoS)攻击对企业来说仍然是一项不可预测且充满挑战的威胁,但是,有关该威胁演变的实际细节,却有可能随着报告来源的不同而呈现出巨大的差异。

上周,分别由Verisign和Nexusguard公司发布的两份报告就是很好的例子。

同一季度不同供应商报告中的攻击峰值可相差近4倍

这两家供应商均报告称,与上一季度相比,2017年第四季度多向量攻击呈总体上升趋势,而DDoS攻击的数量则呈整体下降趋势,但是由于这些调查数据都是基于各自公司的客户数据,所以具体细节方面有所差异。

Nexusguard报告称,2017年第四季度的DDoS攻击总数比去年同期(2016年第四季度)减少了12%,比上季度(2017年第三季度)下降了16%以上。Verisign则报告称,同一时期的DDoS攻击总数减少了高达25%,并表示这种攻击数量将呈现持续下降的趋势。

Nexusguard介绍称,多向量以及混合威胁在上季度的总体威胁中占比高达56%;而单向量攻击仅占43%左右。根据Nexusguard的报告显示,双向量攻击——例如结合了UDP和DNS的攻击——占据多向量攻击总数的33%,而三种向量的攻击则约占15%。

同时,Verisign也表示,在2017年第四季度中,高达82%的DDoS攻击使用了多个攻击向量。不同的是,Nexusguard将双向量攻击视为最常见的多向量攻击类型,而Verisign则表示,46%的多向量攻击涉及5种或更多种攻击类型。

Verisign上个季度处理的最大的DDoS攻击峰值为53Gbps;而Nexusguard则表示它遇到的最大的DDoS攻击峰值超过231Gbps。但是这两家供应商对于攻击平均峰值的估计却大致相同——很大可能不会超过10 Gbps。不过,Verisign进一步指出攻击峰值的平均值同比(与2016年第四季度相比)下降了32%。

对于Nexusguard 来说,上季度观察到的一个关键问题是针对启用DNSSEC(DNS安全扩展,是由IETF提供的一系列DNS安全认证的机制)的服务器的放大攻击(亦称反射攻击)正在急剧增加。Nexusguard表示,2017年第四季度的DNS反射攻击数量较上一季度猛增了近110%,而使用DNS放大的DDoS攻击与2016年第四季度相比增长了近358%。

Verisign和Nexusguard两家报告所称的“2017年第四季度DDoS攻击呈减少趋势”与其他供应商提供的报告结论有些不一致。例如,全球安全倡导者,Akamai最近发布的《互联网安全状态报告》的主要作者Martin McKeay就表示,DDoS攻击总量在过去几年中只有增长没有减少。

Akamai研究发现,2017年第四季度的DDoS攻击数量与第三季度相比基本持平,但是与2016年同期相比却增长了14%。从我们所看到的情况来看,最近几个季度的DDoS攻击数量一直保持相对稳定的状态,但是与上一年同期比对后就会发现,DDoS攻击每年都有非常明显的增长趋势。

同样地,Akamai在涉及启用DNS和DNSSEC域名的攻击方面也未见明显增加。 McKeay表示,多年来,利用DNS和DNSSEC反射DDoS攻击始终占据总体攻击活动的25%左右。并没有像Nexusguard和Verisign报告的一样呈现迅猛增长趋势。

Corero公司首席执行官Ashley Stephenson在DDoS攻击趋势方面也有着与Akamai类似的观点,他表示并没有发现任何迹象可以表明近期的DDoS攻击数量正在呈现下降的趋势。此外,Stephenson也表示,与McKeay所述一致,Corero公司也并未观察到Nexusguard报告中所述的“DNSSEC放大攻击急剧增加”的现象,不过,他同意Nexusguard报告中提到的多向量攻击已经变得更为普遍的结论。

DDoS攻击的观测数据受众多因素影响

Stephenson表示,DDoS攻击报告中的差异,与捕获数据的方式、位置、以及不同组织如何定义DDoS攻击有很大关系。例如,对于在线游戏行业的组织而言,500 Mbps到1 Gbps范围内的流量足以构成DDoS攻击。而对于拥有大型数据中心的大型金融机构或银行而言,这种规模的攻击根本微不足道,所以,也就不太可能会将这种规模的攻击定义为DDoS攻击。

McKeay表示,平均攻击规模通常也可能是误导性的。在很多情况下,一两次大型的攻击就很容易让报告数据失衡,这就是为什么跟踪中位数攻击的规模反而更好一些的原因。他说,“一两次大型攻击,或一段时间内没有攻击都可能导致平均攻击规模大小度量的偏差,从而导致得出的数据不可靠。”

此外,衡量攻击的地方也可以造成很大的差异。Stephenson表示,靠近源头测量的攻击将远远大于靠近目的地或目标所测量的攻击——有时可能会得出相差10倍的数据结果。

他说,以一个内容交付网站为例,有些报告可能会选择测量攻击的源头,但事实是源头的很多流量并不会到达目的地。同样地,有些报告可能会选取中间某处(远离源头和目的地)来测量DDoS流量,最终,这些报告就会因为选取测量的位置不同而得出与众不同的数据。你可以想象这些数据在一个巨大的漏洞中,尽管你在源头测量出terabits的数据,但是在漏洞的另一端出现的数据可能会小得多。

最后,如果你是一家企业的话,你必须最关心的点应是究竟哪些影响了你。

分享:

相关文章

写一条评论

 

 

0条评论