2013年网络安全形势：暴风雨愈来愈猛烈

2013-12-12 10:46:09 人民邮电报　点击量：评论 (0)

域名系统其实不堪一击开放DNS服务器是引爆整个欧洲互联网的定时炸弹?在Spamhaus遭受攻击的事件中，攻击者借助现网数量庞大的开放DNS服务器，采用DNS反射攻击将攻击流量轻松放大100倍。攻击过程使用了约3万台开放

主任李晓东建议，要从国家战略高度进一步提升对域名系统的重视程度。面对日益严峻的国际政治形势和网络安全态势，亟须进一步从国家层面加大投入，强化国家域名系统基础设施的建设，在网络带宽、机房环境、运行保障、应急协调等方面确保充足的资源支撑。加大对芯片、操作系统、数据库等基础和关键信息技术攻关的支持力度，对重点领域和关键部门采用的进口信息技术产品和系统进行安全测评，推动国产替代进程，确保自主可控。

域名系统安全联动机制需进一步完善。除了扩充国家域名的绝对数量外，各相关方的配合联动同样非常重要。要定期进行黑客攻击模拟演练，聘请专业的安全人员协助相关运营方进行漏洞查明和修补。采取及时修补漏洞等手段加强信息安全防护，通过增加.CN顶级域名服务器数量、调整服务器部署模式等手段提升服务能力，通过增强在态势感知、信息共享、应急响应等方面的能力打造多位一体的互联网安全监管体系。事先需要制定好应急预案和应对措施，如业务的自身调整、与运营商的沟通和应急措施同步。当DDoS攻击发生时，需要多个部门间快速响应，实施应急方案和及时同步处理结果。

增强域名安全防范意识。国内域名注册商易名中国分析了近年来众多域名安全事件，最终总结了域名被盗流程大致是：盗取邮箱账号和盗取域名所在服务商账号，登录邮箱就可以找回在域名服务商注册域名的密码。通过这一流程不难看出，导致域名被盗的关键还是域名持有者的安全意识，除了增强域名安全防范意识之外，更为科学的验证信息流程也至关重要。

DDoS攻击渐成主流攻击方式

常见的域名安全问题有域名信息更改、域名劫持、中间人攻击等形式。DDoS攻击，即分布式拒绝服务攻击，是目前黑客经常采用而难以防范的攻击手段。黑客一般是通过制作僵尸网络的方式攻击域名，即在计算机中植入特定的恶意程序控制大量“肉鸡”(指可以被黑客远程控制的机器)，然后通过相对集中的若干计算机向相对分散的大量“肉鸡”发送攻击指令，引发短时间内流量剧增。知名科技公司Arbor Networks发布的《全球基础设施安全报告》中指出，DDoS攻击在规模上趋于稳定，但却更加复杂。同时，DDoS攻击已经成为高级持续威胁(APT)的一部分，而APT则成为服务提供商和企业的头等大事。

针对应用层的DDoS攻击事件上升趋势明显。华为云安全中心的统计数据显示，针对HTTP应用的DDoS攻击已经占到攻击总量的89.11%。在中国各地区，北京、上海、深圳的DDoS攻击事件最多，占全国总量的81.42%。数据中心一直是DDoS攻击的重灾区。在数据中心，排名前三的被攻击业务分别为电子商务、在线游戏、DNS服务。尤其是针对DNS服务的攻击影响面最广，对互联网基础架构所造成的威胁也最严重。而在WEB攻击的主要目标中，排名前三的被攻击业务分别为电子商务、网页游戏、在线金融业务。针对数据中心的网络层DDoS攻击则直接威胁到网络基础设施(如防火墙、IPS、负载均衡设备)，而应用层DDoS攻击则威胁着在线业务。频繁的DDoS攻击导致数据中心运营成本增高，而带宽的可用性降低则导致客户满意度下降甚至流失。

DDoS攻击呈现新趋势。今年3月份针对国际公司Spamhaus的300G超大流量的DDoS攻击，攻击者主要采取的手法就是DNS放大攻击，也叫反射攻击技术(DrDoS)，这种攻击技术的特点就是利用互联网上开放的DNS递归服务器作为攻击源，利用“反弹”手法攻击目标机器。在DNS反射攻