第7层DDoS攻击防御策略总结
前言与攻击概述
第7层DDoS攻击针对应用层，通过占用容量、内存分配或侵入系统处理请求途径的弱点耗尽目标资源，如Web服务器、数据库或应用程序。此类攻击难以区分合法流量和恶意流量，且自动化技术和云资源的利用使得攻击更易发动。
常见目标与行业分布
常见目标包括Web服务器、Web应用程序、API、DNS服务、电子邮件服务器、支付网关和金融服务。2023年，金融服务行业遭受的DDoS攻击数量占比超过35%，其中银行业占比高达63%。攻击媒介包括针对主页的HTTP GET/POST泛洪、HTTPS GET泛洪、慢速读取攻击、大文件上传泛洪等。
现代DDoS攻击要素
攻击者使用自动化脚本、爬虫程序和机器学习算法，结合多媒介攻击（GET/POST泛洪与DNS放大攻击）、以API为目标、利用物联网设备等手段。攻击复杂度提高，表现为加密攻击、僵尸网络和代理的广泛使用，以及云托管平台的盛行。
常用漏洞
HTTP/2快速重置漏洞是近年来被广泛利用的漏洞，2023年底其利用率显著增长，主要针对游戏业、IT、加密货币等行业。
攻击示例
Akamai分析显示，一起DDoS攻击中，攻击源自400多个网络，涉及2,303,793个不同的用户代理和2,547,901个不同的随机查询字符串，采用HTTP标头轮换和TLS设置轮换等技术。
攻击手段升级
TLS信号仿冒技术被用于使连接看起来更像是来自合法的Chrome浏览器，规避检测措施。
防御策略准备
风险评估与漏洞识别
确定关键资产和潜在攻击位置，进行风险评估，了解攻击媒介及其影响，实施速率限制、WAF和行为分析等应对措施。
角色与职责
明确角色和职责，确保攻击发生时有序响应，避免职责重叠和防御漏洞。
工具选择
采用多层面防御方法，包括始终开启方案、可靠架构、评估提供商SLA、审查准备情况、紧急防护计划和DDoS支持热线。
检测与抵御方法
检测方法
- 基于行为和异常的检测：使用机器学习和统计分析识别异常流量。
- 基于速率和吞吐量的检测：监控请求速率和大小，超过阈值时触发告警或缓解。
- 基于签名的检测：将流量与已知威胁模式对比，快速确定并阻止威胁。
- 质询-响应测试：对传入流量发出质询，确认是人还是爬虫程序。
- 混合方法：结合多种检测方法，提供更全面防护。
- 传统方法：IP和地理位置筛选、应用层协议分析。
抵御方法
- 多层DDoS防御策略：结合多种检测和抵御方法，打造平衡方案。
- Akamai一体化解决方案：包括主动控制措施（IP控制、地域控制、WAF规则、IP声誉控制、平台DDoS情报、缓存、Site Shield）和被动控制措施（速率限制、慢速POST防护、WAF自定义规则、爬虫程序监测和抵御、URL防护）。
攻击后分析与恢复
分析流量和攻击模式
使用安全分析系统了解攻击流量及其影响，剖析攻击手段、技术和流程。
审查并更新防御策略
根据攻击分析结果，审查并更新防御措施，如更新WAF规则、增强源站防护能力、实施API端点速率限制等。
策略要点
维护和更新抵御策略
持续监控最新趋势和技术，定期进行测试和审查，与威胁情报社区合作，寻求网络安全提供商的帮助，测试防御措施，与社区分享经验教训。
总结
第7层DDoS攻击复杂且成本高昂，单一防御方法不足以应对。需采用多层防御策略，结合多种检测和抵御方法，并根据业务、流量和漏洞风险进行调整。攻击后分析和持续改进对于强化防御至关重要。
