AIX 中关於 DDoS 攻击事件的探讨

核心提示： 如果各地区网的管理人员能够从 Router 上滤掉不应该出现在该区网的source IP，则可以防止区网内的人员送出假造 source IP 的封包，AIX 中关於 DDoS 攻击事件的探讨(2)，当然这些捣蛋鬼还是可以送出伪造成区网内的其他 source IP 的封包，但毕竟围小得多，此

如果各地区网的管理人员能够从 Router 上滤掉不应该出现在该区网的source IP，则可以防止区网内的人员送出假造 source IP 的封包。当然这些捣蛋鬼还是可以送出伪造成区网内的其他 source IP 的封包，但毕竟围小得多，他们也会心有顾忌。

此外，如果区网 Router 禁止送出非区网内的 source IP，则此区网也比较不会成为骇客入侵当作跳板的机会，这样也相对的增进区网的安全性。

当然在 Router 上设限会影响 Router 的效能，所以如果要在每一个子区网内都做这些设定可能要看硬体是否能负荷，但是至少在各区网的总出口Router 上应该要做这些定。防止假造 source IP 是所有网域网管的责任，并不是一己之力可轻易达成的。

以下简介一些基本的想法：

1. Router 应该只允许「source IP 」属於区网的 IP 出去

这样可以防止区网内使用者送出（大围）source IP 的封包。

2. Router 应该只允许「source IP」『不属於』区网 IP 进入

因为如果封包的 source IP 是区网内 IP 的话，怎麽可能是从外部网路发出的，这样可以防止外来的封包假装是区网内的 IP 企图穿透防火墙。

3. Router 应该丢弃不应该出现在公开网路上的 source IP

例如 127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16

这几个常见的 IP 位址都属於区域性的私有 IP，不可能（也不应该透过 Router 在公网路上跑来跑去。此外，也应该要阻挡「目的 IP」是 *.*.*.0 以及 *.*.*.255 的封包，因为这些 Network AddressIP 跟 Broadcast Address IP 都是只会出现在子网域内部，而没必要让外来人士存取这些 IP，这样可以避免 Smurf Attack 之类的攻击。

4. 使用 Router 的特殊功能

有些 Router 本身有内建类似的功能，例如 Cisco Router 的 CEF ( Cisco Express Forwarding)，可以针对封包 source IP 跟Routing Table 做比较并加以过滤。

四、防治办法（二）：监控异常流量或安装 IDS

在防攻击方面，区网内部可以安装具有网路入侵侦测功能的软体（Intrusion Detection System）并定期更新其资料档，如此可侦测已知的 DDoS 攻击程式是否已入侵区网中的机器，或是是否有其他的攻击正在进行。

另外，由於目前的 DDoS 是以 SYN/ICMP flooding 的方式攻击，如果能利用 Router 上的流量限制功能（例如 Cisco 的 Committed Access Rate）来限制 SYN/ICMP 封包所能占有的最高频宽，则可以减轻遭受类似攻击的影响程度。不过在对任何协定做流量限制之前，最好能先评估一般的正常流量为何，以避免限制的太严格，反而影响正常运作。

此外，地区网管也要时常监控网路流量，注意是否有异常流量的发生，若无法解决可询问相关厂商或是寻求 CERT 协助。

五、结语

（节录自本中心主任陈年兴博士对於 DDoS 攻击事件的综合评析）在此ㄧ事件中，我们要呼所有网际网路上主机系统的管理者，都要非常正视网路安全事件的重要性。千万不可认为自己所管的主机上并没有存放重要资料，就认为无所谓， 殊不知本身虽无重要资讯外流的危险或损失，但是却可能造成有心者攻击其他网路上重要服务主机的ㄧ个跳板。而这种情形对网际网路上整体安全性来说，是一个非常大的威胁。网际网路创造了ㄧ个地球村（Global Community），此ㄧ事件提醒大家，为了整体网路的安全，地球村的每一位公民都应当要善尽维护网路安全的ㄧ份心力与 责任。