F5于2022年推出了Distributed Cloud Services，为需要以服务形式使用边缘安全能力的企业组织提供Web应用和API保护。在当今互联互通的世界中，网络威胁日益增多，组织必须做好准备，保护其关键基础设施免受不断演变的新型攻击。分布式拒绝服务（DDoS）攻击是最常见的网络攻击类型之一，甚至可能导致大型网站和在线服务瘫痪。
最近，一个名为Killnet的知名亲俄黑客行动组织对一家欧洲大型组织发起了复杂的L7 DDoS攻击。该攻击试图利用海量流量压垮该公司的服务器，导致用户难以访问网站，攻击流量峰值达到120K RPS。不过，得益于F5安全运营中心（SOC）的努力以及F5 Distributed Cloud Services的高级DDoS缓解能力，该攻击正得到有效缓解，网站在整个攻击期间始终保持正常运行。此次攻击是该组织在过去多起攻击活动的一部分，这些活动发生在几周内。
注意：这是一起仍在持续的攻击活动，已持续一周多。截至撰写本博文时，我们仍在成功缓解这些攻击。
此次DDoS攻击来自全球多个地点。上图中的灰点表示攻击来源，红框表示F5 Global Network的接入点。应用的攻击流量在这些接入点被过滤，合法流量则予以放行。
Killnet攻击的主要特征之一是以应用层（L7）为目标。这类攻击通常会模仿正常用户行为（因此难以与合法流量区分），采用多种应用攻击向量，并且能够调整攻击手段，包括不断变换来源位置、IP及其他攻击要素，因此检测和缓解起来尤其困难。
攻击流量仅来自3种不同的TLS指纹，但流量源分布在35个不同的IP地址和19个国家/地区。我们发现，72%的攻击流量来自上图所示的同一个TLS指纹。该指纹与Tofsee恶意软件有关。感染Tofsee的系统会被用作DDoS僵尸网络的一部分。
F5 SOC正采用多种策略抵御此次攻击，包括流量过滤、IP情报和速率限制。这些策略使团队能够仅识别并阻止恶意流量，同时让合法流量继续访问网站。成功缓解攻击的另一个关键因素是，团队使用了实时威胁情报和L7 DDoS自动缓解功能，无需人工干预即可实时阻止此次攻击中的部分活动。这些信息有助于团队抢先应对攻击者，并随着攻击在不同地理区域、不同IP地址和新攻击路径之间演变，快速调整防御措施。
成功缓解Killnet及其他组织发起的L7 DDoS攻击已成为新常态。要深入了解DDoS攻击，请参阅我们的《F5 Labs 2023年DDoS攻击趋势报告》。此次攻击回顾凸显了部署多层安全基础设施，以及配备训练有素、可随时提供实时支持的安全团队的重要性。通过结合使用流量过滤、速率限制、基于云的DDoS流量清洗、实时威胁情报和完善的灾难恢复计划，组织可以抵御针对其基础设施和应用的复杂DDoS攻击。
如果您正遭受影响业务的攻击，需要紧急接入F5 Distributed Cloud Services，请拨打紧急支持热线：(866) 329-4253或+1 (206) 272-7969
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。