近日，阿里云監(jiān)控發(fā)現(xiàn)，匿名者（Anonymous）組織成員正在發(fā)起針對(duì)全球中央銀行網(wǎng)站的攻擊行動(dòng)，截止目前，國內(nèi)有超過2家以上的重要網(wǎng)站被攻擊，攻擊特征主要為DDoS攻擊和CC攻擊。

此次事件中，阿里云通過威脅情報(bào)發(fā)現(xiàn)，該攻擊的主要特征是DDoS和CC攻擊，目前，攻擊已經(jīng)造成多家網(wǎng)站不間斷的無法訪問，阿里云安全專家分析本次攻擊有5大特征：

1. 攻擊時(shí)間范圍在2018年11月12日凌晨6點(diǎn)13分到2018年12月14日，根據(jù)目前的活動(dòng)情況來看，已經(jīng)攻擊了1月之久；

2. 分析其中一次攻擊，攻擊請(qǐng)求15423249，提取到攻擊源IP 1439個(gè)，攻擊IP分散，攻擊源主要分布在境內(nèi)，攻擊源分布如下圖：
   

3. 大量資源型文件（zip、apk、js、png）請(qǐng)求耗盡用戶帶寬資源，使用隨機(jī)參數(shù)繞過防護(hù)設(shè)備頻率檢測(cè)、cdn設(shè)備緩存，附圖：
   

4. 攻擊者會(huì)偽造user-agent、referer字段偽裝攻擊流量；

5. 持續(xù)性攻擊，部分受害用戶持續(xù)半個(gè)月遭受攻擊，攻擊者會(huì)根據(jù)防護(hù)策略變換攻擊手法，具有較強(qiáng)對(duì)抗性。

應(yīng)急方案： DDoS高防IP+WAF 安全防御應(yīng)急體系構(gòu)建

阿里云應(yīng)對(duì)此次高危應(yīng)急事件，采用的是基于DDoS高防IP和Web應(yīng)用防火墻構(gòu)建的防御體系，方案采用域名解析的方式接入，可以適用于云上系統(tǒng)方案，同時(shí)也適用于云下環(huán)境（非阿里云）的防護(hù)。????????

DDoS高防IP是針對(duì)互聯(lián)網(wǎng)服務(wù)器在遭受大流量的DDoS攻擊后導(dǎo)致服務(wù)不可用的情況下，進(jìn)行有效抵御DDoS攻擊的SaaS安全服務(wù)，確保源站的穩(wěn)定可靠。

Web應(yīng)用防火墻是基于云安全大數(shù)據(jù)能力實(shí)現(xiàn)，通過防御SQL注入、XSS跨站腳本、常見Web服務(wù)器插件漏洞、木馬上傳、非授權(quán)核心資源訪問等OWASP常見攻擊，過濾海量惡意訪問，避免網(wǎng)站資產(chǎn)數(shù)據(jù)泄露，保障網(wǎng)站的安全與可用性。

云盾DDoS攻擊防御特點(diǎn)和優(yōu)勢(shì)：

• 全面覆蓋常見DDoS攻擊類型

云盾DDoS清洗系統(tǒng)可幫助用戶抵御各類基于網(wǎng)絡(luò)層、傳輸層及應(yīng)用層的各種 DDoS 攻擊(包括 CC、SYN Flood、UDP Flood、UDPDNS Query Flood、(M)Stream Flood、ICMP Flood、HTTP Get Flood 等所有 DDoS 攻擊方式)，并能實(shí)時(shí)短信通知用戶網(wǎng)站防御狀態(tài)。

• 快速自動(dòng)響應(yīng)，5秒內(nèi)進(jìn)入防護(hù)狀態(tài)

云盾DDoS清洗系統(tǒng)采用全球領(lǐng)先的檢測(cè)和防護(hù)技術(shù)，可以在5秒鐘內(nèi)完成攻擊發(fā)現(xiàn)、流量牽引和流量清洗全部動(dòng)作，大大減少了網(wǎng)絡(luò)抖動(dòng)現(xiàn)象。在防護(hù)觸發(fā)條件上不僅僅依賴流量閾值，同時(shí)還對(duì)網(wǎng)絡(luò)行為的統(tǒng)計(jì)判斷，做到精準(zhǔn)識(shí)別DDoS攻擊，保障了在遇到DDoS攻擊時(shí)客戶業(yè)務(wù)的可用性。

• 高彈性、高冗余的DDoS防御能力

云盾DDoS清洗系統(tǒng)每個(gè)最小單元支持10Gbps的攻擊流量過濾。得益于云計(jì)算架構(gòu)的高彈性和大冗余特點(diǎn)，DDoS攻擊防御系統(tǒng)可在云環(huán)境中無縫擴(kuò)容，實(shí)現(xiàn)DDoS攻擊防御能力的高彈性。

• 雙向防護(hù)，避免云資源被濫用

云盾DDoS攻擊防御系統(tǒng)不僅僅能防護(hù)來自于云外的DDoS攻擊，同時(shí)還能及時(shí)發(fā)現(xiàn)云內(nèi)資源被濫用的非法行為。一旦發(fā)現(xiàn)云內(nèi)有服務(wù)器被利用向外發(fā)起DDoS攻擊，云網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)會(huì)與主機(jī)安全防護(hù)系統(tǒng)聯(lián)動(dòng)，限制被濫用的云服務(wù)器的網(wǎng)絡(luò)訪問行為，并產(chǎn)生告警，實(shí)現(xiàn)對(duì)內(nèi)部主機(jī)的有效管控。

云盾Web應(yīng)用防火墻特點(diǎn)和優(yōu)勢(shì)：

• 支持協(xié)議

支持對(duì)網(wǎng)站的HTTP、HTTPS、HTTP2、WebSocket流量進(jìn)行Web安全防護(hù)。

• 常見Web應(yīng)用攻擊防護(hù)

防御OWASP 常見威脅：SQL注入、XSS跨站、Webshell上傳、后門隔離保護(hù)、命令注入、非法HTTP協(xié)議請(qǐng)求、常見Web服務(wù)器漏洞攻擊、核心文件非授權(quán)訪問、路徑穿越、掃描防護(hù)等。

網(wǎng)站隱身：不對(duì)攻擊者暴露站點(diǎn)地址、避免繞過Web應(yīng)用防火墻直接攻擊。0day補(bǔ)丁定期及時(shí)更新：防護(hù)規(guī)則與淘寶同步，及時(shí)更新最新漏洞補(bǔ)丁、第一時(shí)間全球同步下發(fā)最新補(bǔ)丁，對(duì)網(wǎng)站進(jìn)行安全防護(hù)。

友好觀察模式：針對(duì)網(wǎng)站新上線的業(yè)務(wù)開啟觀察模式、對(duì)于匹配中防護(hù)規(guī)則的疑似攻擊只告警不阻斷、方便統(tǒng)計(jì)業(yè)務(wù)誤報(bào)狀況。

• CC惡意攻擊防護(hù)

對(duì)單一源IP的訪問頻率進(jìn)行控制、重定向跳轉(zhuǎn)驗(yàn)證、人機(jī)識(shí)別等。針對(duì)海量慢速請(qǐng)求攻擊、根據(jù)統(tǒng)計(jì)響應(yīng)碼及URL請(qǐng)求分布、異常Referer及User-Agent特征識(shí)別，結(jié)合網(wǎng)站精準(zhǔn)防護(hù)規(guī)則進(jìn)行綜合防護(hù)。充分利用阿里云大數(shù)據(jù)安全優(yōu)勢(shì)、建立威脅情報(bào)與可信訪問分析模型、快速識(shí)別惡意流量。

• 精準(zhǔn)訪問控制

提供友好的配置控制臺(tái)界面，支持IP、URL、Referer、User-Agent等HTTP常見字段的條件組合，打造強(qiáng)大的精準(zhǔn)訪問控制策略，可支持盜鏈防護(hù)、網(wǎng)站后臺(tái)保護(hù)等防護(hù)場(chǎng)景。與Web常見攻擊防護(hù)、CC防護(hù)等安全模塊打造多層綜合保護(hù)機(jī)制、輕松依據(jù)需求，識(shí)別可信與惡意流量。

• 虛擬補(bǔ)丁

在Web應(yīng)用漏洞補(bǔ)丁發(fā)布和修復(fù)之前，通過調(diào)整Web防護(hù)策略實(shí)現(xiàn)快速防護(hù)。

• 攻擊事件管理

支持對(duì)攻擊事件、攻擊流量、攻擊規(guī)模的集中管理統(tǒng)計(jì)。

阿里云安全專家建議：

此次攻擊的復(fù)雜度和對(duì)抗性都比較強(qiáng)，客戶應(yīng)對(duì)的時(shí)候需要選擇安全服務(wù)廠商和服務(wù)人員：

1. 綜上，阿里云安全防護(hù)產(chǎn)品可以通過CC攻擊防御功能識(shí)別和攔截這類攻擊，云端優(yōu)勢(shì)可以減少惡意流量回源。

2. 阿里云提供海量的威脅情報(bào)庫可以實(shí)現(xiàn)協(xié)同防御。

3. 阿里云安全工程師目前提供7*24小時(shí)應(yīng)急服務(wù)分析攻擊變種，更新防護(hù)策略。