半身人、巨龙与DDoS攻击

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

如今，预算是应用面临的一个普遍制约因素。安全预算或许确实在增长，但增速仍不足以支撑“让攻击成本高到令黑客望而却步”这一战略。

这种方法类似于“半身人与巨龙原则”，该原则指出：

如果发现自己与一个半身人和一条脾气暴躁的龙同行，请记住：不必跑赢那条龙，只需跑赢那个半身人。

其思路是让攻击您的环境代价过高，迫使恶龙转而将贪婪的目光投向您的竞争对手，也就是那个半身人。

现在，暂且不展开讨论其中可能引发激烈争论的伦理问题，这场争论让攻击者因成本过高而放弃入侵您的环境，这个思路并非不可取。

问题在于，这往往也意味着成本高昂，企业难以承受。一般来说，实施这类策略通常需要购买大量解决方案，并像设置中世纪障碍赛一样层层部署，不断增设屏障，迫使攻击者逐一突破，才能获取其真正想要的数据。攻击者为了避开检测，不得不分散攻击，投入更多时间和精力，最终付出更多资金，从而增加其攻击成本。但成本高昂的不只是攻击者，企业同样如此。企业不仅要承担解决方案的资本支出（capex），还要承担运营支出（opex），因为每个解决方案都需要管理、更新、监控，并最终进行扩展。

这种做法也本末倒置。攻击者想要的是您的数据，但我们往往从距离数据最远的网络边界开始构建防御和保护措施。

那么，如何在不让实施成本过高的情况下，让攻击者为获取所需数据付出高昂代价？

对此并没有一劳永逸的解决方案，但可以通过一些方法在控制自身成本的同时，提高攻击者的成本。

1. 利用平台

平台的理念是共享通用环境。正如虚拟化和容器化可以提高计算资源的利用效率，平台也有助于降低成本。例如，可以通过模块扩展ADC，以支持包括安全功能在内的多种交付功能。许多组织已使用ADC通过负载均衡来确保可用性，而该ADC还可能支持部署WAF及其他安全相关功能。作为整体解决方案，合适的ADC的总成本可能远低于将各项功能分别作为单点解决方案部署的成本之和。

负载均衡器本身的功能也值得深入了解。与基础的负载均衡不同，ADC通常提供多种可配置的安全功能，可用于提高攻击难度。负载均衡服务通常包括SYN洪水攻击检测、Cookie加密、URL混淆以及IP和端口过滤。加强靠近应用一侧的防护，可增加攻击者访问应用的难度。

2. 投入运营

目前仍没有已知的“万能设备”能够单独提供保护应用并实现应用扩展所需的一切功能，这让一些人失望，却令另一些人欣喜。您将需要多种解决方案（关键是利用平台尽量减少解决方案的数量，见上文），这意味着需要使用多个控制台和多种管理模式，可能还需要更多人员。所有这些都会导致预算超支。

通过将解决方案投入实际运营并实现自动化和编排，可以控制部署必要解决方案的成本。即使是自动扩展等功能，也可以利用您可能已有的资源扩大规模，迫使攻击者相应增加投入，从而提高攻击成本，同时将防御成本控制在合理范围内。

运营化（DevOps、SDN、SDDC、SDx、私有云等）还可以应对两大高风险来源：人为错误和流程缺失。对于后者，不存在的流程无法实现自动化（顺便说明，这就是编排）。如果尚未建立流程，就应该建立。流程可以确保应用投入生产时，采取必要措施来保障应用安全并进行扩展。至于前者，人为错误会带来巨大风险，因为它可能无意中造成安全漏洞，让攻击者直接潜入，或趁大流量DDoS攻击造成混乱时暗中入侵。

3. 云即扩展能力

当自动扩展已无法继续，或带宽不堪重负时，还可以借助云。利用云进行扩展（也可称为云爆发）是一种有效选择，既能帮助您高效防御，又能提高攻击者的成本。在攻击期间（或攻击刚开始时）将DDoS流量清洗和防护切换到云端，可立即降低攻击对本地业务的影响，包括生产力和利润方面的损失，从而切实降低防御成本。利用云近乎无限的扩展能力和充足带宽来吸收攻击流量，从长远来看，您的成本会低得多，但攻击者的成本并不会降低。

4. 由内而外保障安全

如前所述，攻击者通常觊觎您的数据，因为在不法公开市场上，数据就等于金钱。因此，在保护数据方面投入的精力应不低于保护网络边界。这意味着要尽可能运用各种方法和技术，大幅提高攻击者通过窃取数据从攻击中获利的成本。为此，需要时刻保持警惕，不仅保护进入应用的内容，还要保护应用输出的内容。这就是请求和响应保护。

在我们开展的《2016 年应用交付现状》调查中，目前已部署WAF的受访者大多（67%）对其组织抵御应用层（请求-响应）攻击的能力充满信心。这些能力包括防御SQLi和XSS，以及WebSocket安全、会话劫持防护等众多功能，可大幅增加攻击者成功获取数据的成本。

事实上，在所有三个攻击面（客户端、请求和响应）提供更一致的防护，与抵御应用层攻击的信心增强存在相关性。这并非“边缘”功能，而是以应用为中心的功能。它更靠近应用，而非网络边缘；其目标不是阻止网络攻击，而是阻止真正窃取数据的攻击。数据正是攻击者觊觎的价值所在，您必须让获取数据的代价高到足以迫使攻击者放弃并转向其他目标。

安全防护不可能毫无成本，确实如此。但可以设法控制成本，让攻击者付出的代价高于您，同时又不至于让您无力保护应用。如果做得好，防御措施迫使攻击者消耗过多自身资源（和资金），这条恶龙或许会因精疲力竭（囊中羞涩）而放弃追逐那个半身人。这样一来，半身人就有机会抢先加强自身防御。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章