AIX 中关於 DDoS 攻击事件的探讨

　　一、前言：

　　在 89 年 2 月 9 日，美国几个着名的商业网站（例如 Yahoo、eBay、

　　CNN、Amazon、buy.com）等等，遭受骇客以「分散式阻断攻击」

　　（Distributed Denial of Service Attacks），与以往攻击事件不同的

　　是，本次攻击事件并没有网站遭到入侵，资料也没有遭到窜改或是破坏。

　　其方法是利用程式在瞬间产生大量的网路封包，以瘫痪对方之网路及主机

　　，使得正常的使用者无法获得主机及时的服务。这种 DDos攻击方式就像

　　是同某家公司的电话总机同一时间被同一个人（或是同一批人）不停的拨

　　进电话，占据有限的电话线路，导致其他正常使用者没办法接通的道理是

　　一样的。

　　这种大规模的、有组织、有系统的攻击方式受到各国政府的高度重视，因

　　为一来现在许多公司高度倚赖电子商务以及网路服务，二来这些攻击来自

　　世界各地的假造 IP 位址，造成追查幕後真正凶手的难度极高。如果今日

　　不研究出有效的防止或追查措施，则日後此类事件将层出不穷。

　　二、攻击工具

　　本次攻击事件主要使用 Trinoo 以及 TFN/TFN2K 等两种类型，关於这些

　　工具的简介，请参阅 TW-CERT 的网址（http://www.cert.org.tw/）。对

　　於这些攻击工具本身固然要解，然而这些工具的发展尚处於萌芽阶段，

　　重要的并不是这些工具攻击的手法，而是其「分散式攻击的作法」。此外

　　，这些工具经过有心人的修改已经出现了 Windows上的版本，如果日後

　　这些工具以病毒的方式传播，则日後再发生分散式攻击事件的话，其威力

　　将难以想像。

　　三、防治办法（一）：防止假造位址（IP Sooofing）

　　在一般的网路攻击事件中，骇客通常会假造封包的来源位址（source IP)

　　，以增加追查的难度，然而要防止假造的 source IP 却需要各地区网的

　　配合，尤其是具有高速网路连结的单位（例如学校、政府机关或民间网路

　　公司），或是区网内使用者杂的单位（例如 ISP）。

　　如果各地区网的管理人员能够从 Router 上滤掉不应该出现在该区网的

　　source IP，则可以防止区网内的人员送出假造 source IP 的封包。当然

　　这些捣蛋鬼还是可以送出伪造成区网内的其他 source IP 的封包，但毕

　　竟围小得多，他们也会心有顾忌。

　　此外，如果区网 Router 禁止送出非区网内的 source IP，则此区网也比

　　较不会成为骇客入侵当作跳板的机会，这样也相对的增进区网的安全性。

　　当然在 Router 上设限会影响 Router 的效能，所以如果要在每一个子区

　　网内都做这些设定可能要看硬体是否能负荷，但是至少在各区网的总出口

　　Router 上应该要做这些设定。防止假造 source IP 是所有网域网管的责

　　任，并不是一己之力可轻易达成的。

　　以下简介一些基本的想法：

　　1. Router 应该只允许「source IP 」属於区网的 IP 出去

　　这样可以防止区网内使用者送出（大围）source IP 的封包。

　　2. Router 应该只允许「source IP」『不属於』区网 IP 进入

　　因为如果封包的 source IP 是区网内 IP 的话，怎麽可能是从外部网

　　路发出的，这样可以防止外来的封包假装是区网内的 IP 企图穿透防

　　火墙。

　　3. Router 应该丢弃不应该出现在公开网路上的 source IP

　　例如 127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16

　　这几个常见的 IP 位址都属於区域性的私有 IP，不可能（也不应该）

　　透过 Router 在公开网路上跑来跑去。此外，也应该要阻挡「目的 IP

　　」是 *.*.*.0 以及 *.*.*.255 的封包，因为这些 Network Address

　　IP 跟 Broadcast Address IP 都是只会出现在子网域内部，而没必要

　　让外来人士存取这些 IP，这样可以避免 Smurf Attack 之类的攻击。

　　4. 使用 Router 的特殊功能

　　有些 Router 本身有内建类似的功能，例如 Cisco Router 的 CEF

　　( Cisco Express Forwarding)，可以针对封包 source IP 跟

　　Routing Table 做比较并加以过滤。

　　四、防治办法（二）：监控异常流量或安装 IDS

　　在防攻击方面，区网内部可以安装具有网路入侵侦测功能的软体

　　（Intrusion Detection System）并定期更新其资料档，如此可侦测已知

　　的 DDoS 攻击程式是否已入侵区网中的机器，或是是否有其他的攻击正在

　　进行。

　　另外，由於目前的 DDoS 是以 SYN/ICMP flooding 的方式攻击，如果能

　　利用 Router 上的流量限制功能（例如 Cisco 的 Committed Access

　　Rate）来限制 SYN/ICMP 封包所能占有的最高频宽，则可以减轻遭受类似

　　攻击的影响程度。不过在对任何协定做流量限制之前，最好能先评估一般

　　的正常流量为何，以避免限制的太严格，反而影响正常运作。

　　此外，地区网管也要时常监控网路流量，注意是否有异常流量的发生，若

　　无法解决可询问相关厂商或是寻求 CERT 协助。

　　五、结语

　　（节录自本中心主任陈年兴博士对於 DDoS 攻击事件的综合评析）

　　在此ㄧ事件中，我们要呼所有网际网路上主机系统的管理者，都要非常

　　正视网路安全事件的重要性。千万不可认为自己所管的主机上并没有存放

　　重要资料，就认为无所谓， 殊不知本身虽无重要资讯外流的危险或损失

　　，但是却可能造成有心者攻击其他网路上重要服务主机的ㄧ个跳板。而这

　　种情形对网际网路上整体安全性来说，是一个非常大的威胁。网际网路创

　　造了ㄧ个地球村（Global Community），此ㄧ事件提醒大家，为了整体网

　　路的安全，地球村的每一位公民都应当要善尽维护网路安全的ㄧ份心力与

　　责任。