DDoS攻擊新趨勢海量移動裝置成為新一代肉雞

近期，阿里雲安全團隊觀察到數十起大規模的應用層資源耗盡式ddos攻擊（應用層cc攻擊）。阿里雲ddos高防實現智慧型防護全程自動化檢測並清洗，未對使用者側業務產生任何影響，這類攻擊存在一些共同的特徵，阿里雲安全團隊對此做了跟蹤分析。

通過監測到的資料發現，這類攻擊有以下幾個特點:

- 移動端裝置系統分布均勻：

ios系統約佔四成，android系統六成；

- 攻擊規模和肉雞數量龐大且源ip不固定：

單次攻擊峰值達百萬qps（每秒請求次數），**於50多萬個肉雞源ip，且多次攻擊事件之間源ip重合度非常低；

- 攻擊源ip分布極散：

攻擊源ip分散於全球160餘個國家，近40個運營商，僅中國就有300餘個城市存在攻擊源，且多數分布在東部及沿海網路發達的省份；

攻擊源分布地圖

- 攻擊源ip多為基站ip：

近一半的攻擊源ip為流動網路大型基站出口，意味著同乙個源ip同時承載了攻擊流量和大量正常使用者流量；

某次攻擊不同攻擊持續時長的ip量及請求量

更可怕的是，由於攻擊源多為大型出口ip，傳統的防禦方法簡單粗暴的將攻擊ip拉黑，這些ip背後的大量正常使用者也將無法訪問。同時，新的肉雞會在攻擊過程中不斷加入，黑名單的方式在這種情況下也不見得能有效封住攻擊。曾經強大的護城河，在新攻擊態勢下變得雞肋。

在非攻擊時間段，獲得的json指令內容為「」，由於不包含攻擊指令，js載入後進入不斷迴圈，定期重新讀取json指令；

json指令決定迴圈or執行攻擊

判斷裝置型別：同時支援安卓及ios

更危險的是，從攻擊流程看，攻擊者想讓這些移動裝置以怎樣的方式、對誰、做什麼操作，全都可以通過json指令動態下發，可以說黑灰產能利用使用者裝置為所欲為。

攻擊流程圖

在pc肉雞時代，企業抵禦肉雞ddos攻擊的做法相對簡單粗暴：

在無法有效防禦的情況下，還需要人工介入抓包分析，根據攻擊具體情況配置防護規則，但這種響應方式相對較慢，業務普遍已經嚴重受損。

當海量移動裝置成為新的攻擊源，黑灰產可以輕鬆繞過上述防禦邏輯。企業不應該再對「限速+黑名單就能一招制敵」抱有幻想，而應該採用更為縱深、智慧型的防護手段：

豐富攻擊流量識別的維度，將每個請求實時的解析出多維度的檢測單元；

防護策略的執行需要與多維度的識別相匹配，需要有精細、靈活、豐富的訪問控制單元，讓各個維度有機組合，層層過濾攻擊流量；

機器智慧型替代人工排查，提公升響應速度，降低業務中斷時間。

儘管黑灰產只是公升級了攻擊源，但企業針對這一改變所要做的安全防禦工作量巨大，需要盡早行動起來做好準備。當然，企業使用者也可以選擇購買阿里云云盾的ddos防護產品，對大流量型ddos攻擊及應用層資源耗盡式ddos攻擊（cc）做專業、智慧型的防護。

DDoS攻擊新趨勢 海量移動裝置成為新一代肉雞