F5 Silverline 缓解超大规模DDoS攻击

F5生态系统 | 2021年8月26日

概述

恶意攻击的规模和复杂性不断增加，可能导致全球企业的内部资源不堪重负并遭到入侵。这些攻击通常将大流量与隐蔽、低速持续且针对应用的攻击技术相结合，并由自动化僵尸网络或人工操控的工具发起。

随着此类攻击日益频繁、停机成本持续攀升，采用全面的分层防御来缓解这些攻击，已成为保障关键业务的重中之重。全球企业需要先进的云端缓解方案，并借助专业技术资源、基础设施和成熟的防御工具，应对这场不断演变的攻防较量。

DDoS攻击持续升级

F5 Labs的《2020年DDoS攻击趋势》一文清楚地表明，发起大规模容量型分布式拒绝服务（DDoS）攻击所需的能力正以前所未有的速度不断变化。多年来，F5 Silverline观察到DDoS攻击规模稳步上升，多次记录到峰值约为每秒500吉比特（Gbps）的攻击。自2020年初以来，大规模攻击的频率有所增加。2021年6月又创下新纪录，缓解了一次峰值达840 Gbps的攻击。

根据F5 Silverline收集的数据，2021年，恶意行为者平均在每次DDoS攻击中使用2.7种攻击向量。主要的DDoS攻击向量包括：

TCP/SYN洪水攻击
UDP DNS反射
UDP洪水攻击
IP/UDP分片
CHARgen反射

随着发起大规模、多向量DDoS攻击变得越来越容易，2021年6月创下的纪录很快便被打破。2021年7月，F5 Silverline成功缓解了多次攻击。这些攻击的峰值总计约为1.2 Tbps。其中规模最大的DDoS攻击峰值约为1.15 Tbps，如下图所示：

2021年7月，F5 Silverline成功缓解了多次DDoS攻击，其中规模最大的一次峰值约为1.15 Tbps。

实时DDoS防护

如今的DDoS攻击可能在毫无预警的情况下迅速扩大至难以预见的规模。因此，要缓解此类事件，必须快速响应、及时沟通，并在尽量减少误报的同时，为客户提供精细的可见性。

这次规模达1.15 Tbps的攻击刷新了纪录，主要通过UDP洪水攻击产生大流量冲击，同时以客户/24 C类子网中的每个IP地址为目标。F5 Silverline专有的流量处置器、收集器以及针对每个DST主机的检测机制发出警报后，F5 Silverline安全运营中心团队立即着手处理。这些通知和警报近乎实时地发送至F5 Silverline全天候安全运营中心。

在此次攻击中，恶意攻击流量在不到1分钟内从0激增至800 Gbps，同时攻击约250个目标。F5 Silverline安全运营中心迅速与客户取得联系。客户确认某些主机和端口不应出现UDP流量后，该中心采取的应对措施主要是阻止UDP协议及相关端口范围的流量。

F5 Silverline根据每位客户的实时事件处置流程（RTIP）开展事件响应。F5 Silverline持续微调和优化客户关键资产的防御态势，涵盖应用安全防御层（L7 DDoS、WAF、IPI）和基础设施防御层（L3/L4大流量DDoS）。

成功缓解此次攻击后，F5 Silverline使用BGP Flowspec，在其全球分布式IP任播网络中更靠近上游的位置实施了额外的应对措施。