抗 DDoS 攻击 软件定义边界 SDP 作为分布式拒绝服务（DDoS）攻击的防御机制 m o h t i g ©2019 云安全联盟 - 版权所有 c . 5 b u 1 m o h t i g c . 5 b u 2019 云安全联盟-保留所有权限。 您可以下载、存储、显示在您的计算机上，可在以下情况下查看、打印和链接到云安全联 盟 https://cloudsecurityalliance.org 或云安全联盟大中华区 https://c-csa.cn(中文版本）： (a) 草案可以完全用于你的个人目的或信息目的，不能用于商业用途；(b)该草案不得以任何方 式加以修改或更改；(c)该草案不得重新分发；(d)商标、版权或其他注意事项不可去除。你可 以引用美国版权法的公平使用条款所允许的部分草案，但须将该部分归于云安全联盟。 ©2019 云安全联盟 - 版权所有 2 致谢 主要作者： Juanita Koilpillai Jason Garbis Michael Roza Nya Murray CSA 工作人员： Shamun Mahmud m o 中文版翻译说明： c . 5 由云安全联盟大中华区（CSA GCR）秘书处组织翻译《软件定义边界作为分布式拒绝服务 （DDoS）攻击的防御机制》(Software Defined Perimeter as a DDoS Prevention Mechanism)，云安 全联盟大中华区专家翻译并审校。 h t i g b u 翻译审校工作专家：（按字母顺序排序） 组长：陈本峰（云深互联） 组员：陈俊杰（安全狗）、靳明星（易安联）、余晓光（华为）、于继万（华为）、余强 （中宇万通）、袁初成（缔安科技）、姚凯、刘洪森、王安宇、杨洋 CSA GCR 工作人员： 高健凯（CSA GCR 研究助理） 在此感谢以上参与翻译审校工作的专家及工作人员。如译文有不妥当之处，敬请读者联系 CSA GCR 秘书处给与雅正! 联系邮箱：[email protected]; 云安全联盟 CSA 公众号： ©2019 云安全联盟 - 版权所有 3 序言 最近，又一次对亚马逊 AWS 的严重 DDoS 分布式拒绝服务攻击被报道出来。这次攻击持续了 一整天，AWS 的防护措施除了吸收大量的攻击流量之外，还误断了一些合法用户机构的访问查 询流量，包括排除这些网址并停止它们的访问。平均来讲，这类 DDoS 攻击每个小时会给用户机 构造成 2 万至 4 万美金的损失。 云安全联盟 CSA 的“Anti-DDoS: Software-Defined Perimeter as a DDoS Prevention Mechanism”《抗 DDoS 攻击：软件定义边界 SDP 作为分布式拒绝服务（DDoS）攻击的防御机制》 的发布正好是一场及时雨，对防护 DDoS 攻击带来了更新颖与更有效的方法。CSA 的研究成果表 明，SDP 软件定义边界可以有效地防护多种典型 DDoS 攻击手段，包括 HTTP Flood, TCP SYN, and m o UDP Reflection 等。产业界和学术界的一些安全实验室也验证了在拒绝服务攻击实验中，SDP 可以允许合法用户机构的访问流量通过，并通知上游路由器区分恶意流量包以迅速对合法网址 c . 5 开绿灯。 CSA 全球（创作）与大中华区（翻译）SDP 工作组的这篇文章为软件定义边界作为防 DDoS b u 攻击的新工具打开了天窗，希望读者们通过这篇文章能够认识到 SDP 对防御 DDoS 的作用,并在 相关工作中加以应用。 h t i g 李雨航 Yale Li 云安全联盟大中华区主席 ©2019 云安全联盟 - 版权所有 4 目录 致谢..........................................................................................................................................................3 序言..........................................................................................................................................................4 1 简介......................................................................................................................................................6 2 目标......................................................................................................................................................7 3 阅读对象..............................................................................................................................................7 4 DDoS 攻击向量.....................................................................................................................................7 4.1 基于 OSI 和 TCP/IP 模型层的 DDoS 攻击向量.......................................................................8 4.2 应对 DDoS 攻击（通过非 SDP 防御）...................................................................................10 m o 5 SDP 作为一种 DDoS 的防御机制.......................................................................................................12 6 HTTP 泛洪攻击 与 SDP 防御...........................................................................................................14 c . 5 6.1 战场.........................................................................................................................................14 6.2 攻击解释.................................................................................................................................14 b u 6.3 防御解释.................................................................................................................................15 7 TCP SYN 泛洪攻击与 SDP 防御.........................................................................................................16 h t i g 7.1 战场.........................................................................................................................................16 7.2 攻击解释.................................................................................................................................16 7.3 防御解释.................................................................................................................................16 8 UDP 反射攻击和 SDP 防御.................................................................................................................17 9 总结....................................................................................................................................................18 10 术语..................................................................................................................................................19 11 其他阅读材料..........................