如何在匿名 DDOS 攻击中幸存下来？

Question

每次匿名团体瞄准一个网站时，他们都可以将其删除..即使对于拥有专业人士的大型企业/政府也是如此。

我阅读了有关使用 DDOS 保护技术处理正常 DDOS 攻击的（基本理论）。

但是为什么这些技术在匿名组攻击的情况下会失败呢？

有没有关于通过真正有组织的 DDOS 攻击幸存下来的成功案例？

Answer 1

匿名总是成功的说法并不正确。匿名并没有什么独特之处——只是聪明的、高容量的攻击。

（希望匿名不会因为我这样说而针对我：）

来自 BBC 文章：亲维基解密活动家放弃亚马逊网络攻击：

匿名组织曾承诺在格林威治标准时间 1600 攻击该网站（亚马逊），但此后改变了他们的计划，称他们没有“部队”。

问题是没有任何技术可以确保您处理 DDOS。唯一的方法是拥有可以处理任何可能负载的服务器和带宽，这显然很昂贵。

Answer 2

大多数识别和缓解匿名攻击等攻击的机制是众所周知的，大多数 Anti-DoS 产品和服务都可以以很高的成功率处理它们。但是，有时组织和企业没有调整或更新的保护策略。此外，我惊讶地发现其中许多根本没有 Anti-DoS 保护，无论是产品还是服务。

Anonymous 通常使用众所周知的工具。本地 SOC/NOC 或服务提供商的 SOC/NOC 没有理由无法阻止他们的攻击。问题是检测和阻止是否足够准确，而不会出现阻止合法流量的误报。其结果是成功的 DoS/DDoS...

一般来说，应对DDoS/DoS攻击有3种途径：

1. 拥有足够的资源（带宽、服务器等）——这是不现实的选择，因为攻击量可能会超过您拥有的带宽，并且拥有无限计算能力的成本是巨大的。
2. “租用”安全服务提供商的服务——一个好的解决方案，取决于具体提供商的能力。但是，您应该注意到大多数 MSSP 在路径外模式下与洗涤中心一起使用。这意味着他们在许多情况下依靠流量分析协议（例如 NetFlow）来识别攻击。虽然此选项适用于 DDoS 或大容量攻击，但它无法识别低速和慢速攻击。如果您准备好在自己检测到流量问题后自己向 MSSP 发出呼叫，则可以克服此限制。“清洗中心”方法的另一个限制是通常只检查一个方向的交通。
3. 拥有自己的 Anti-DoS 解决方案，内嵌安装。虽然有时更昂贵，但此选项将为您提供最佳安全性，因为扫描尝试暴力尝试和许多其他安全威胁可以由内联设备处理。只要攻击量不超过您的管道带宽，内联设备就有效。在线模式下工作可确保检测到低速和慢速攻击，甚至入侵，这取决于您要使用的设备。

如您所见，这个问题没有明确的答案，因为它取决于许多参数，预算只是其中之一。服务或产品的质量也是一个重要方面——它能否在不影响合法流量的情况下生成“实时”签名以进行准确的缓解？降低假阴性率？- 是否包括行为学习和检测模块？或者它是否只使用基于速率的阈值？- 是否包括身份验证选项（用于 HTTP/DNS 和其他协议）？再次减少假阴性的机会。- 它是否包括行动升级机制，一个封闭的反馈选项，可以根据当前采取的缓解行动的成功自动使用更积极的缓解行动？- 服务/产品可以提供的缓解率是多少，无论合法的流量费率如何。- 产品是否包括 24/7 紧急服务？（大多数 MSSP 都有，并非所有产品都有）

干杯，