阻斷服務攻擊手法肆虐 DNS易成為駭客目標

常見「被當跳板」或「被攻擊」 緩解DDoS對策各不同
 

文章:網管人  洪羿漣

不論是產業惡意競爭、報復性、經濟利益等目的,近年來網域名稱解析系統(Domain Name System,DNS)的特性經常被駭客利用進行攻擊,例如以破壞IT服務可用性為主要目的之分散式阻斷服務(Distributed Denial of Service,DDoS),或是經由作業系統漏洞滲入,竄改網域名稱解析記錄資訊,將所有用戶端的查詢連線皆導向特定網站,導致該網站服務癱瘓。

 

因應這些攻擊行為,企業可在內網增添抵抗DNS攻擊防禦機制,以避免DNS伺服器遭到入侵或利用,至於DDoS則可透過流量清洗(Clean Pipe)服務緩解。

 

 



在台灣,由中華電信數據通信分公司加值系統處所維運的168.95.1.1與168.95.192.1,開放服務全台的網域名稱查詢系統,可說是IT人員最熟悉的DNS位址,自然也是最顯著的攻擊標的。中華電信數據通信分公司加值系統處處長吳坤榮即指出,攻擊行為幾乎是天天上演。「我們是一個團隊專門在維護,平時就會分析封包與監看異常狀態,若發現則立即依據標準作業程序進行處理。隨著每天所發現的攻擊手法不盡相同,處理程序也會因此更加精進。」 

去年歐洲反垃圾郵件組織Spamhaus遭受DDoS攻擊的事件,中華電信數據通信分公司加值系統處工程師范揚麟認為,其實攻擊手法並不新,甚至技術門檻也不高,合法查詢DNS即可辦到。只是一般企業的狀況是,熟悉DNS知識領域的IT人並不多,畢竟DNS服務性質較其他網路服務簡單,通常只要一開始設定完成網域與IP的解析記錄,日後再更新或異動的次數相當少。 

於是在穩定運行下,DNS服務運行逐漸被視為理所當然,而忽略該服務的重要性,也就不會深究技術內容。「其實維護DNS,並非一定得研讀高深的技術,平日實戰經驗更重要。因為通訊協定很簡單,除非在實務上經常在處理相關問題,才有足夠經驗辨識連線行為屬於正常或異常。」吳坤榮強調。 
 

 



針對企業端所面臨的DNS攻擊問題,中華電信數據通信分公司資安辦公室專案工程師黃柏森說明,可分為兩種:被當作跳板以及遭受針對性攻擊。若是遭受攻擊行為較為明顯,基本上DDoS最常見的就是消耗頻寬與消耗資源,或混合式進行。只要頻寬先塞爆,透過上游的ISP進行確認,或是網管人員可透過工具監看頻寬使用率來發現,敏感度較高的IT人員即可藉此發現正遭受消耗頻寬的DDoS攻擊,開始尋求ISP或相關廠商協助處理。 

但是若為消耗資源的DDoS攻擊,確實要有資安技術能力的人員進行分析封包內容,才能清楚掌握問題。因為DDoS攻擊手法有許多種類,典型的是消耗主機連線資源,這部份可透過系統監控來查看,例如連線數量增多甚至滿載。但是其他少量封包的攻擊,會利用Layer 3/Layer 4通訊協定的特性予以消耗,就不容易被察覺,必須經由資安專家經過封包內容分析才能得知。 

至於DNS伺服器本身成為跳板或殭屍電腦成員,則會被駭客利用其發送查詢網域封包,並將封包內標記的來源IP位址指向攻擊標的,且查詢要求往往是網域名稱記錄集,造成回應封包過大現象,形成放大(Amplification)或反射(Reflection)攻擊。一旦發生,連外的頻寬勢必激增,甚至可能呈現滿載的情況,第一時間直接影響對外連線速度,目前一般企業租用的對外頻寬皆有限,只要有大量封包產生很容易被察覺。 

 

 



面對外來的駭客攻擊行為,一般企業大多是以防火牆、IPS等資安設施來抵禦,但是近年來DDoS常見是以正常流量發動,資安設施較難以從網路封包判斷,必須要更深入解析至Layer 7封包,且能夠學習並累積經驗,才能準確指出惡意的查詢行為,並予以阻斷。 

只是多數企業較少見專職的資安人員,市場上才會出現針對因應DNS或DDoS攻擊而設計的專屬設備。「多數仍少不了客製化配置,仍舊無法一體適用。從客戶端實測的狀況來看,誤擋的機率偏高,因為流量是循正常管道查詢DNS,只是背後的目的並非為了解析網域名稱,而是一起攻擊行為,這類行為並非自動化設備藉由龐大的雲端資料庫得以比對發現,因此容易發生誤擋現象。」范揚麟指出。 

為降低誤擋率,往往必須要經過客製化配置,或是一段時間學習正常與異常狀況,才有能力正確判斷。范揚麟舉例,Google.com的網域名稱查詢量相當大,自動化設備可能就因此判定為阻斷攻擊,實際上卻是使用者經常仰賴搜尋引擎查找資料,為正常行為模式,若未經學習或給予參數條件,即無法精準判斷哪一類龐大的網域名稱解析查詢行為屬於異常,亦可說是DNS的阻斷式攻擊得以有效的原因。 

HiNet DDoS進階防護服務是由資安監控中心(SOC)團隊負責,提供流量清洗服務。黃柏森說明,此程序在用戶端不需要變更設定,完全是由HiNet進行流量的導向,過濾分析也是由SOC團隊來執行。「只是該服務目前僅針對租用HiNet頻寬的用戶提供,因為我們目前所使用的技術,需搭配內部頻寬路由調整,才能把訊務導向清洗中心,其他ISP業者的頻寬用戶自然無法提供服務。」 

他進一步提及,「被當跳板」與「被攻擊」兩種處理方式完全不同。跳板的話可能是開放過多設定,導致有心人士可以利用開放的服務發動攻擊;至於被DDoS攻擊,是其他跳板造成的狀況,而流量清洗即可把偽裝為合法的流量進行分析與清洗,避免服務被擊潰。 

另一種因應方式是強化DNS設備本身的防禦能力,例如Infoblox Advanced DNS Protection,透過內建加速卡來進行封包的偵測、過濾DNS型態攻擊封包,像放大/反 射、偵查探測、DNS快取毒害等行為,一邊緩解可能形成的DDoS攻擊,同時仍可回應合法流量的存取。Infoblox技術顧問張哲綱說明,Infoblox多年來提供DDI(DHCP、DNS、IPAM)解決方案,近年來發現駭客利用DNS服務弱點發動攻擊日漸增多,於是設計推出Advanced DNS Protection設備。透過Infoblox架設的Threat Rule Server,Advanced DNS Protection亦可自動更新近期最新研究與發現的DNS攻擊行為模式,在事發時降低影響內部應用系統服務的風險。

 
通訊協定簡單易被IT人員忽略 
從頻寬利用率留意可能的DNS攻擊
從源頭或自建防堵DNS攻擊 

創泓科技股份有限公司  台北總公司

Uniforce Technology Corporation

台北市內湖區洲子街77號10樓

電話 +886-2-2658-3077 

傳真 +886-2-2658-3097

服務專線 0809-085-580

技 術 客 服    0809-085-580

業 務 部 門    台北 - 222 / 221 / 205 / 226 / 288

技 術 部 門    台北 - 301 / 302 / 303 / 308 / 309

Copyrights © 2019 uniforce Technology Co., Ltd.