斩断DDoS魔掌的六把利剑(三)
减轻DDoS攻击危害的六大最佳方法
成功减轻DDoS攻击的基础包括:知道监视什么、全天候地监视这些征兆、有技术和能力来确认和减轻DDoS攻击,同时又允许合法的通信到达目的地,并拥有实时的正确解决问题的技能和经验。下面讨论的最佳方法就反映了这些原则。
最佳方法一:实现数据收集集中化,并理解其趋势
1、集中化监视
运用集中化监视功能,实现在一个位置就可以监视整个网络及通信模式;将通信的监管限制由一个小团队负责,以保持监管的连续性。
2、理解正常网络的通信模式
为建立进入企业的正常通信的基准,企业应当定期收集来自交换机、路由器及其它设备的样本数据包和其它有关信息。需要知道进入了哪些类型的通信(例如, SMTP、HTTP和HTTPS等)、何时进入(是每个星期三,还是每个月的第一天等)、从何处进入、进入了多少等。建立一个包含超过一年的正常通信模式的监视地图,并将此信息整合到一个用于威胁检测、警告和报告的相关引擎中。
3、跟踪全世界的DDoS历史趋势和威胁情报
对全球的攻击模式进行持续的跟踪和分析,快速验证潜在的攻击和新出现的攻击,并将吸取的教训纳入到适当的事件响应中。使用现有的情报查找预定义的反常问题(即分析签名)。使内部的情报收集与第三方情报供应商的情报相互补充,参与到业界的安全团体和论坛中,其中的信息共享有助于揭示异常活动。
4、实施专门的DDoS警告、日志、报告系统
确保所发出的警告能够告知安全管理员DDoS攻击的迹象,其中包括未必是基于攻击数量的攻击。实施一种日志和相关系统,收集可用于预防未来攻击的详细攻击数据。实施一种明确的过程,用于收集并评估事务、通信的总体状况、应用程序、协议、事件的报告。记住,事务报告与通信报告一样重要。例如,如果所预计的事务数量发生锐减,这比通信量的增加能更有力地表明可疑活动的存在。
5、与经验丰富的安全研究人员协同工作
如果企业并不知道怎样处理数据,即使最好的监视、检测、警告、日志和报告设备也是无用的。安全研究人员应当亲身实践,能够区分可疑通信与合法通信,并随着形势的变化而改变应对策略。
最佳方法二:定义一个明确的不断升级的发展路线
系统化的程序和方法对于有效减轻DDoS攻击是必不可少的。下面给出四大步骤:
1、定义一套标准的事件响应操作程序
在制定操作程序时,要考虑内部的基础架构、服务、应用程序以及可能受到影响的客户和合伙人资源。如果有必要,制定个别的标准化操作程序,以解决特定类型的攻击或受到攻击的特定资源。定期审查标准作业程序,并进行定期的“演习”,确保标准操作程序保持最新,并能正确发挥功能。
2、组建事件响应团队
不要等到发生攻击事件的凌晨才开始决定应当联系哪些人。应当准备、发布、经常更新逐步升级的联系人清单,其中包括用于内部团队、相关客户、厂商、合伙人、上游供应商(如应用程序服务供应商(ASP))的信息。如果你依赖一个互联网供应商(ISP)来减轻DDoS攻击,除非贵公司是一家大型公司,否则,你的服务请求有可能与其它公司的请求一起在排队等候。
3、解决不同职能部门的范围问题
由于DDoS攻击的防护与业务的连续性息息相关,因而它是一个全局性的目标。要确认职能部门和职责重叠的具体领域。必须打破不同部门(如网络团队和信息安全团队)之间的壁垒,澄清事件响应的角色和职责,并强化责任。
4、为“宕机时间(因故障而造成的停机时间)”做好准备
要理解哪些系统对于企业是生死攸关的,并且为网络或服务的故障而制定和测试三个计划:短期、中期、长期的连续性计划。