保护Microsoft应用免受L7 DDoS攻击

F5生态系统 | 2023年6月29日

最近，我们许多人都遇到了核心应用访问困难。这些应用不仅是组织日常运营所需，也是我们个人生活或工作中每天都会使用的。6月初，许多人接连在不同日期遇到访问问题，先是Microsoft Outlook.com Web门户，随后是OneDrive，最后是Microsoft Azure Portal。

有人推测，无法访问Microsoft关键应用可能是配置错误所致。也有人认为，这可能是一次网络攻击。Microsoft表示，他们已对流向其关键应用的激增流量进行了管理和均衡。

随后，6月16日星期五，Microsoft安全响应中心（MSRC）发布了一篇题为《Microsoft对第7层分布式拒绝服务（DDoS）攻击的响应》的博客文章，说明了Microsoft应用中断的根本原因。此次中断始于6月7日，并持续至6月9日。

该博客证实，Microsoft遭受了第7层（L7）DDoS攻击，导致相关服务暂时无法访问。其他出版物指出，这些服务包括Outlook.com、OneDrive和Microsoft Azure Portal。

该博文称，Microsoft“发现针对部分服务的流量激增，暂时影响了服务可用性”。博文还提到，Microsoft“迅速展开调查，并开始跟踪持续的DDoS活动”。MSRC博文解释称，此次攻击由Microsoft跟踪并识别为Storm-1359的威胁行为者实施，该组织也称为Anonymous Sudan。博文强调，Microsoft未发现任何证据表明客户数据遭到访问或泄露。这些DDoS攻击旨在造成服务中断、引发关注，并为攻击者Storm-1359（又称Anonymous Sudan）进行宣传。

许多DDoS攻击以OSI（开放系统互连）模型的第3层（网络层）或第4层（传输层）为目标，而L7（应用层）DDoS攻击则截然不同。L7 DDoS攻击往往复杂且隐蔽，与合法的Web应用流量难以区分，因此比L3或L4 DDoS攻击更难检测。这类攻击以应用服务器的特定组件为目标，通过大量请求持续轰炸，直至组件不堪重负，无法响应任何流量。这类攻击还会不断演变，攻击方式频繁变化，而且很多时候是随机变化的。

据Microsoft称，针对其服务的L7 DDoS攻击利用了“多个僵尸网络和工具”，使攻击者能够从多个云服务和“开放代理基础设施”发起攻击，并借助虚拟专用服务器、云环境、开放代理以及购买或获取的DDoS工具实施攻击。

Storm-1359（又名Anonymous Sudan）对Microsoft发起了三种不同类型的L7 DDoS攻击：

HTTP(S)洪水攻击：来自不同地区、不同源IP地址的各种设备发出大量请求，包括SSL或TLS握手和HTTP(S)请求，导致CPU和内存等系统资源过载，使应用服务器停止处理请求。
缓存绕过攻击通过向攻击者创建并生成的URL发起请求来绕过内容分发网络（CDN）。这些URL会指示应用将所有请求转发到源站服务器。
Slowloris利用单个系统发起与Web服务器的连接，并通过不确认资源请求或减慢接收速度，迫使连接保持打开状态。

Microsoft在该博文中表示，他们已“强化第7层防护，包括调整Azure Web Application Firewall (WAF)，以更好地保护客户免受DDoS攻击”。

Microsoft随后向客户提出了几项建议，以进一步防范L7（应用层）DDoS攻击，包括：

使用Azure WAF或其他L7服务保护Web应用
使用Azure WAF或其他服务中的机器人防护功能抵御恶意机器人
识别并阻止恶意IP地址和IP地址范围
阻止、限制速率或重定向来自指定地理区域之外或已识别区域之内的流量
利用已知攻击特征创建自定义WAF策略，自动阻止恶意HTTP(S)流量或对其实施速率限制

F5 Web App and API Security（WAAP）已帮助众多Microsoft用户和客户保护Web应用，抵御复杂且难以检测的L7 DDoS攻击。F5 WAAP基于F5 WAF引擎及其广受认可的检测和监控功能构建，便于用户沿用熟悉的操作方式。F5 WAAP支持按需采用任意交付模式（硬件、SaaS，以及Microsoft Azure上的虚拟版软件）并灵活组合，可部署在应用托管的任何位置，各部署实例协同工作，帮助全面防御L7 DDoS攻击。

此外，还可选择屡获殊荣的F5 Distributed Cloud Bot Defense。这是F5基于SaaS的机器人程序缓解与防御解决方案，为众多大型银行、零售商和航空公司提供防护。Distributed Cloud Bot Defense通过深入分析设备和行为信号来识别自动化活动，从而防范恶意机器人程序。

详细了解F5 WAAP、DDoS防护解决方案和机器人防御：