[论文解读] Amplification and DRDoS Attack Defense -- A Survey and New Perspectives

Fabrice J. Ryba, Matthew Orlinski+3 more|arXiv (Cornell University)|May 29, 2015

Network Security and Intrusion Detection参考文献 143被引用 50

一句话总结

本文全面综述了放大攻击与反射型DOS（DRDoS）攻击，分析了预防、检测与过滤技术，重点聚焦于源IP欺骗防御。通过整合200余项研究成果，识别出有效策略——尤其是入站过滤与分布式检测——并强调了协同、可扩展防御机制在缓解高流量攻击中的必要性。

ABSTRACT

The severity of amplification attacks has grown in recent years. Since 2013 there have been at least two attacks which involved over 300Gbps of attack traffic. This paper offers an analysis of these and many other amplification attacks. We compare a wide selection of different proposals for detecting and preventing amplification attacks, as well as proposals for tracing the attackers. Since source IP spoofing plays an important part in almost all of the attacks mentioned, a survey on the state of the art in spoofing defenses is also presented. This work acts as an introduction into amplification attacks and source IP address spoofing. By combining previous works into a single comprehensive bibliography, and with our concise discussion, we hope to prevent redundant work and encourage others to find practical solutions for defending against future amplification attacks.

研究动机与目标

• 系统化并整合近200篇文献中关于放大攻击与DRDoS攻击的零散研究成果。
• 分析并比较放大攻击的预防、检测与过滤机制。
• 评估源IP欺骗防御措施的有效性，包括入站过滤与追踪技术。
• 识别现有防御机制的不足，并提出可扩展、协作式缓解的未来研究方向。
• 通过成本、内存开销及跨自治系统（inter-AS）协作等实证标准，评估防御措施的实用性，以支持实际部署。

提出的方法

• 根据协议类型（如DNS、NTP）和攻击向量（反射、放大、欺骗）对放大攻击进行分类。
• 调研并比较预防措施，如入站过滤、DNSSEC以及公共服务的配置加固。
• 分析欺骗检测与追踪方法，包括数据包标记、流量监控以及基于蜜罐的签名生成。
• 评估反应式检测与过滤技术，包括分布式算法和暗网监控，以实现早期攻击检测。
• 通过真实案例研究（如Spamhaus攻击）和监控项目提供的实证数据，评估大规模部署的可行性。
• 采用货币成本、内存开销及跨自治系统协作需求等标准对防御措施进行基准测试。

实验结果

研究问题

• RQ1 在UDP协议中，各种放大攻击向量之间的关键技术与架构差异是什么，特别是针对开放DNS解析器和NTP服务器？
• RQ2 当前防御措施——尤其是入站过滤与欺骗检测——在大规模场景下防止放大攻击的有效性如何？
• RQ3 在真实网络部署中，反应式检测与过滤机制的实际限制有哪些？
• RQ4 如何利用蜜罐与暗网监控来检测并表征攻击前的扫描行为？
• RQ5 在成本、性能及跨运营商协作方面，应依据哪些标准来选择防御机制？

主要发现

• 利用开放DNS解析器和NTP服务器的放大攻击，可生成比攻击者初始请求大数百倍的流量，峰值攻击流量超过数百Gbps。
• 2013年Spamhaus DDoS攻击的流量超过1000 Gbps，展示了通过反射与放大实现极端规模攻击的潜力。
• 在重大攻击前，常伴随对开放解析器的扫描，暗网流量在攻击前出现可检测的峰值，表明存在攻击前的侦察活动。
• 蜜罐可有效记录扫描活动并生成攻击流量签名（如恶意DNS域名），从而实现早期检测。
• 分布式检测与过滤算法在受害者离线时仍具缓解攻击的潜力，但其实施所需跨自治系统协作程度远超当前实际水平。
• 如开放解析器扫描项目与开放NTP项目等倡议有助于识别易受攻击的服务，但广泛部署缓解措施的进展仍有限。