如今，在各类运维和开发领域，可见性不足都是一个普遍问题。应用部署到难以洞察的“生产”环境后，无论是在本地还是公有云中，开发人员往往无法了解其性能。各类运维团队，从基础设施、网络到安全团队，也难以深入洞察应用流量，并从中捕捉攻击迹象。
安全领域所说的可见性，需要通过部署在应用逻辑前端的网络和应用服务来实现。采用这种做法有多方面原因，但实际情况是，应用缺少识别多种攻击形式所需的上下文。这是因为应用堆栈将开发人员可获取的信息限制在单个连接的范围内。这种隔离本身就是一项安全措施，可防止一个连接上的恶意行为者访问另一个连接上的正常行为者。
但这种限制使应用及其平台无法结合上下文理解连接和应用流量。将这项职责移至应用上游，也就是应用前端后，网络和应用服务便有机会结合与该应用交换的所有连接和有效负载，评估每个连接及其有效负载。
在探讨如何应对日益严重的应用层DoS攻击威胁时，认识到这一点至关重要。
令人担忧的是，这些应用层攻击的数量和频率都在上升。更令人不安的是，43%的应用层DoS攻击能够规避基于签名和信誉的检测。恶意行为者定制攻击并针对特定应用的能力迅速演变，导致静态签名很快失效。
静态签名就像流感疫苗。流感疫苗根据以往对病毒的了解而研发，用于预防特定的流感病毒株。它本质上是一种用于识别特定病毒的生物签名，无法识别同一病毒的新毒株，因此我们仍可能再次感染流感。
恶意行为者也像流感病毒一样，善于通过适应和演变来逃避检测和清除。为应对这一挑战，我们需要根据恶意行为者的行为而非特定签名来识别他们。要做到这一点，我们需要具备可见性，并利用其提供的上下文信息。
L7行为式DoS防护
从本质上讲，L7 Behavioral DoS protection就像流感疫苗，能够根据致病病毒的行为而非其实际构成来检测病毒。这项能力在第7层（应用层）尤为重要，因为此类攻击并非只有流量型攻击。有些攻击只是为了占用连接，耗尽应用为合法用户提供服务的能力，从而导致用户无法获得服务。另一些攻击则更为隐蔽，会尝试构造特定请求，使应用崩溃并造成服务中断。
要检测各种类型的L7 DoS攻击，需要根据正常行为基准评估各个请求。但仅仅定义“正常”行为，就如同创建特征码。对于超大规模API应用而言的正常行为，并不适用于仅供单个业务单位或部门使用的Web应用。
因此，第一步是确定何为“正常”。行为式DoS通过从经过系统的每个数据包中收集特定信息来实现这一点。这些信息取自网络层、传输层和应用层数据。系统根据正常的标头属性或大小、服务器的正常负载，以及正常的响应时间和延迟等因素建立基线。系统使用统计模型，根据每秒数千次观测结果，计算这些值的正常阈值。
当应用出现性能下降或负载过重等压力迹象时，系统会进入“攻击模式”。在此模式下，系统会执行以下操作：
- 在根据异常发现结果构建动态签名的同时，系统开始实施速率限制。
- 根据设置，新的自定义签名可以等待批准，也可以自动启用缓解措施。
- 您可以进一步自定义流量与新签名匹配时的攻击缓解方式。
- 保守，仅阻止已知恶意流量
- 标准：仅阻止已知恶意流量；如果服务器压力过高，则在攻击期间对所有流量实施速率限制
- 激进：根据需要自动对所有流量实施速率限制，以确保服务器运行状况良好
- 动态签名运行足够长时间并识别出攻击源后，缓解措施将从速率限制转为基于第3层的阻断。
此过程包括确保与“正常流量”的特征重合度低于5%，以防止出现假阴性。应用健康状况恢复正常后，系统即可放宽缓解措施。
L7 Behavioral DoS的优势在于，它会持续学习正常行为并识别异常行为。因此，它能够检测全新的L7攻击，或由早期攻击演变而来的L7攻击；而静态特征码系统在更新前无法发现这些攻击。
高度聚焦的机器学习模型让行为分析成为可能。这些模型使应用保护能够实时演进，提供安全领域当前迫切需要的敏捷性，以应对不断变化的形势。恶意行为者不断调整和改变攻击手段，以规避检测。为了更好地保护应用，安全服务需要改变原有假设，并结合所处环境的具体情况运行。要求安全专业人员为企业应用组合中的每个应用逐一设定阈值，显然并不合理。
随着新应用和新环境不断增加，安全和运维工作负担也随之加重，因此应尽可能利用技术来减轻人员负担。作为Advanced WAF组成部分的Behavioral DoS正是利用机器为您服务而非与您对抗的方式之一。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。