本周，一种不算太新的攻击正在四处蔓延。之所以说“不算太新”，是因为这种攻击本身并没有多少新意。ICMP攻击早在20世纪90年代就已出现。之所以还称其为“新攻击”，也是因为它与那些备受关注的大流量攻击形成鲜明对比。后者一旦导致半个互联网无法访问，往往就会成为新闻焦点。这是一种针对知名且广泛使用的防火墙发起的DoS攻击（注意，只有一个“D”，而不是两个），无需费多大力气就可能让企业陷入瘫痪。
我不打算用大量细节来解释这种名为BlackNurse（到目前为止，我还没看出这个名称有什么明显由来）的ICMP（ping！）攻击是如何运作的。关于这一主题，已有大量资源和评论可供参考，例如：Threat Post、El Reg、TDC SOC或Netresec。我真正想提醒大家注意的是，这种攻击可能会给企业造成严重中断，尤其是那些高度依赖云应用的企业。
因为这种攻击不仅会从外向内中断应用访问，还会从内向外中断应用访问。TDC SOC在其报告中特别指出：“攻击持续期间，局域网侧用户将无法向互联网发送流量，也无法接收来自互联网的流量。”
LAN侧，也就是防火墙面向企业内部网络的一侧。
我们往往将防火墙视为阻止攻击者侵入企业网络的一种战术手段。它就像城堡周围的城墙、河岸边的沙袋，以及荒野中试图阻止烈火蔓延的防火隔离带。但长期以来，防火墙在企业中一直发挥着双重作用，也就是还会控制从内部到外部的访问。早期，这一功能用于限制对尚处发展初期的互联网的访问；如今，它仍可用于采取预防措施，阻止已感染内部资产的恶意软件和病毒尝试“回连”外部服务器。
如今，云端生产力应用日益普及，企业需要从内部访问外部资源。使用云端应用，也就需要访问互联网。Salesforce.com、Concur、Google Docs、社交媒体……企业需要访问的应用中，部署在企业外部的应用越来越多，而且还在持续增加。正如Skyhigh Networks的这张图表所示，企业对云端应用的使用量一直在稳步增长。事实上，其2015年第4季度报告指出：“目前，每个组织平均使用1,154项云服务。”
企业无疑依赖云。
这意味着，一旦这些服务的访问中断，生产力将遭受严重影响，而生产力是任何企业的关键绩效指标之一。
因此，BlackNurse这类攻击相对容易实施，几乎只需一台笔记本电脑，却能造成严重干扰，尽管其本身相对简单。这类攻击的目标很明确：消耗资源。无论针对防火墙还是Web服务器，低速慢速攻击都旨在占用资源，使设备无法响应合法请求。问题在于，这类攻击通常比大流量攻击更难检测。大流量很容易引起注意，会触发警报和红色警示，让人们立即意识到发生了什么。过去十年间，我们投入了大量精力研究如何抵御这类攻击，所幸应对能力正在不断提升。
但检测低速率攻击要困难得多。CPU利用率突然达到100%，并停止响应。这可能是软件问题，也可能是硬件问题，还可能由许多其他原因造成。要从日志中筛查出表明此类攻击的少量数据包，无异于大海捞针。据研究人员称，BlackNurse攻击产生的流量仅为15 至 18 Mbps。没错，您没有看错。这个单位中没有“G”。这相当于每秒约40 至 50K个数据包，对现代防火墙而言微不足道。相比之下，针对Dyn的DDoS攻击所记录的流量约为1 Tbps。这里的单位是“T”，比“G”大，远大于“M”。
应对此类攻击，通常的做法是将应用迁移到云端，因为云端防火墙服务不受“资源有限”这种过时观念的束缚，可以轻松地自动扩展。但这并不能解决问题，因为企业仍有员工身处企业防火墙之后，需要访问这些应用（以及其他应用）。当攻击目标是位于员工与“云端”之间的企业防火墙时，受到干扰的正是这些员工的访问。
最终受影响的是工作效率。
企业需要认识到，攻击一旦同时中断出站和入站流量，可能会造成危险局面。虽然BlackNurse已有相对简单的缓解措施，但其他此类攻击很可能并不容易缓解。在当今环境中，我们对防火墙内外应用的依赖程度不相上下，因此需要更深入地审视此类攻击的可能性。
如果尚未评估，现在就应着手了解企业目前（或未来）对“云端”应用的依赖程度，并确定如何妥善保护这些应用的访问，抵御专门旨在阻碍企业日常运营的威胁。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。