滚蛋吧!云端 DDoS 攻击

  • 来源:TechTarget中国
  •  2015-12-13
  •   浏览 763 次

企业在转向云端是需要构建最安全的系统架构。根据云安全联盟(CSA)的报告《The Notorious Nine: Cloud Computing Top Threats in 2013》,针对企业云部署最常见的攻击就是分布式拒绝服务(DDoS)攻击。在最近的一篇博文中,亚马逊探讨了客户如何在他们的亚马逊Web服务(AWS)虚拟私有云(VPC)中使用安全群组和访问控制,从而减少攻击面,同时设计了一个云架构来保护企业免受DDoS攻击。反抗云中DDoS的概念能成真吗?本篇技巧将会解析核心概念和技术,基础架构和安全团队可以实践,从而减少当今云环境中企业所面临的DDoS攻击风险。

滚蛋吧!云端 DDoS 攻击

  减少公开暴露

绝对没有一种方法能够完全消除分布式拒绝服务攻击的威胁,理解这一点很重要。为了有效地阻击DDoS攻击并维护云服务的可用性,要运用一些核心的概念。首先,企业需要减少全部公开暴露环境。对于AWS环境,通常是在VPC中设置安全群组和私有网络。亚马逊有很好的终端概述——对于流量的方向指向具体的虚拟机以及与之相关的服务——或者网络安全群组。

准备扩展和冗余

弹性和可扩展要防患于未然,确保扩展和冗余在分布式拒绝攻击期间可以按需使用,尤其是在多个地理区域的情况下。任何运行在云中的虚拟机实例都需要保证网络资源可用。

亚马逊用具体实例规模提供了加强网络,允许更多的每秒封包数从这些系统发出或者收到,从而改善性能。亚马逊提供了其弹性负载均衡(ELB)服务,对所有运行中的实例扮演一个前端的角色,也能够基于你的负载均衡需求分配流量到系统中。

微软针对所有的Azure提供了域名系统(DNS)和网络负载均衡,Rackspace提供了控制流量流的专属云负载均衡。对于开启新服务和在云端扩展设置自动触发器是另外一种常见方式,可以提供资源弹性。在一篇减少DDoS攻击的白皮书中,亚马逊建议使用其Auto Scaling功能,在具体的实例度量上设置触发器,比如CPU利用率、网络流量和服务状态检查——从而自动化流量扩展和针对实例的负载均衡。

利用内容加速网络

利用内容交付网络(CDN),比如AWS CloudFront、Azure Content Delivery Network或者第三方服务,比如来自Akamai或者CloudFlare的服务,来代理流量并执行“包洗涤”动作,在云资源受到明显影响之前帮助防御和减少DDoS攻击。这些CDN通过多边网络节点分散流量,可以按需缓存和分发内容。

大多数的CDN可以限制来自或者接收一个具体的国家或者区域的流量。Amazon CloudFront可以实施Origin Access Identity,严格限制对于Simple Storage Service的访问,具体的用户通过CloudFront提供服务,而非直接访问,针对分布式拒绝服务攻击。还有很多其他的中介服务或者平台可以减少 DDoS攻击,包括来自Imperva、Qualys和Barracuda这样的厂商的Web应用防火墙设备和服务。

分布式拒绝服务攻击防御

除了上面列出的这些关键概念,还有另外一种方法企业可以用来保护他们的基础设施。亚马逊建议使用DNS控制,比如Route 53服务来帮助控制DDoS。Route 53功能,诸如shuffle分片或者分布式DNS请求、anycast routing、alias record set——这是一种独立的DNS记录,可以在运行中快速改变,指向CloudFront或者ELB结点,以及私有DNS(仅限内部),可以帮助提供更多的灵活性和控制能力。

除了所有的这些功能,云提供商建议企业要认真追踪和监控云用例模式,开发健全的常规行为基准线,如果DDoS发生了,要积极主动的度量和控制响应。

To Top