使用F5 BIG-IP DDoS防护的安全应用交付解决方案

F5生态系统 | 2024年1月05日

堵车让人烦恼，但数字世界的“堵车”可能更糟。这样的情况您遇到过多少次：在银行的移动应用中输入用户名和密码，想查看账户余额，屏幕上却只有不停转动的加载图标。浏览器迟迟无法连接银行服务器，等待的每一秒都让人更加焦急。

遗憾的是，这种情况并不少见。全球各种规模的银行都频繁遭受分布式拒绝服务（DDoS）攻击，频率之高令人担忧。从某种程度上说，这也不难理解。完善的应用安全与交付策略包含一系列协同运作的技术和实践，旨在为最终用户提供快速、可靠且安全的应用体验。银行通常使用的复杂应用本身就存在许多可被不同类型攻击利用的途径。仅去年一年，欧洲金融机构遭受的DDoS攻击同比增加73%。换言之，DDoS攻击就是恶意行为者蓄意制造流量拥堵，试图耗尽系统资源，导致目标服务器崩溃或速度大幅下降，使合法流量无法访问所需的应用。这就像有人故意制造现实中的交通拥堵，让您无法准时上班。因此，这类攻击可能造成的负面影响显而易见：收入损失、企业声誉受损，以及客户因体验不佳而感到不满。如果页面或应用的加载时间超过两秒，客户可能会放弃您的应用，转而使用竞争对手的应用。 to load.

日益严峻的威胁：容量型DDoS攻击

这类攻击正是从小麻烦升级为大问题的地方：恶意攻击者可以针对应用发起数十种 of 不同类型的DDoS攻击，攻击可波及OSI模型的多个层级，给应用用户和提供商都造成严重影响。这就像恶搞版的Baskin-Robbins：31种“拒绝服务口味”。但最常见、也最令人头疼的DDoS攻击类型，是在传输层（OSI模型的第4层）尤为常见的容量型DDoS攻击。尽管容量型DDoS攻击的具体形式各不相同，但最终结果都一样：攻击者用大量流量淹没目标服务器，耗尽其CPU和内存资源，导致服务器出现故障，并中断所有已连接客户端的服务，无论这些客户端是否合法。更令人头疼的是，这类攻击成本低廉，几乎任何能够访问暗网的人都可以发起。攻击者每小时只需花费几美元，就能让应用或网站无法正常运行，受害者可能因此损失数百万美元的业务收入。

这些攻击为何不容忽视：成本

毋庸置疑，这类攻击会给需要访问应用来处理日常事务的用户带来困扰。但在这种情况下，还有一群人可能更加焦头烂额：在幕后努力保障应用可用性和安全性的网络运维与安全运维团队。对他们而言，任何类型的DDoS攻击都不只是带来不便，还可能打乱整整一个月的工作安排，影响其他项目，并耗费宝贵的时间、资金和人力资源来解决问题。

除了经济影响之外，这些攻击造成的人员代价同样不容低估。在某些情况下，DDoS攻击会被用作掩护。攻击者不仅会造成服务中断，还会借机从受害者的数据库中窃取用户的个人信息，进一步加剧损失和业务中断。个人身份信息（PII）落入恶意行为者手中，信誉良好的企业失去公众信任，各类运维团队耗费大量时间进行善后或修复，而作为企业命脉的应用则长时间停机。

用于安全应用交付的F5解决方案

不过，情况并非一片黯淡。F5的BIG-IP Local Traffic Manager (LTM)能够有效保障应用在遭受DDoS攻击时持续运行，在应用与试图使其瘫痪的恶意用户之间发挥缓冲作用。如果已在环境中部署BIG-IP LTM，则可增强网络层（第3层）和第4层防护，因为它能够检测并缓解网络层和传输层的DDoS攻击。需要注意的是，虽然BIG-IP LTM可为这些层提供出色的安全解决方案，但将其作为唯一的安全解决方案并不能构成全面的应用安全策略。要让应用交付策略能够应对多种威胁，缓解应用层（第7层）攻击应成为待办事项中的首要任务之一。

这类攻击具有隐蔽性，传统防御机制很难检测到，因此可能成为棘手的攻击类型之一。传输层或网络层的容量型DDoS攻击可能表现为流量突然激增，而第7层攻击则可以隐藏起来，混入合法的应用流量，并逐渐加剧，直至服务器和应用不堪重负，无法处理合法应用流量的请求。

借助BIG-IP Advanced WAF实现全面防护

这些因素会让第7层DDoS攻击成为网络运维和安全运维团队尤其棘手的问题，因为这类攻击可能导致在线企业的整个业务板块瘫痪，同时比其他类型的DDoS攻击更长时间不被发现。要进一步了解这类攻击可能造成的损害，请阅读我的同事Jay Kelley撰写的精彩文章，其中介绍了对Microsoft Outlook、OneDrive和Azure Portal应用造成不利影响的第7层DDoS攻击。因此，如果需要第7层防护，只要您在为用户提供应用支持，这项防护就必不可少，不妨考虑将BIG-IP Advanced WAF纳入应用交付策略。它是一款专用的Web应用防火墙（WAF），可与任何BIG-IP LTM部署形成互补，帮助应用安全策略覆盖更多层面，让您和用户更加安心。要进一步了解不同类型的DDoS攻击及其影响的OSI层，请参阅CISA指南，了解DDoS攻击。如需评估BIG-IP Advanced WAF的功能，请联系我们的销售团队申请演示。