網(wǎng)站性能檢測評分
注:本網(wǎng)站頁面html檢測工具掃描網(wǎng)站中存在的基本問題,僅供參考。
動態(tài)控制
2017站酷獎入圍作品名單公示 行業(yè)視頻課程
站酷獎是由中國人氣設計師社區(qū)站酷網(wǎng)主辦的綜合性設計獎項,旨在發(fā)現(xiàn)優(yōu)秀的創(chuàng)意&設計,鼓勵各個設計領域同時具有商業(yè)價值和美學價值的杰出作品和個人,并依托互聯(lián)網(wǎng)建立自由交流和溝通的機制,提升設計在全行業(yè)中的價值占比。
2017站酷獎力邀設計創(chuàng)意領域極具權威性的十五位國際國內(nèi)大師組成重量級評委團,以“發(fā)現(xiàn)與提升設計的價值”為宗旨,通過針對商業(yè)價值、審美價值、適用性、創(chuàng)意表現(xiàn)等不同視點的審視與判斷,選出最終入圍作品。而每一個分類的唯一金獎獲獎結(jié)果將于2017年9月23日站酷CUBE盛典上揭曉和頒發(fā)。
2017站酷獎入圍作品名單如下:
無現(xiàn)金社會的冷思考:宜循序漸進,需謹慎待之 企業(yè)視頻課程
文/薛洪言 第三方支付的快速滲透、傳統(tǒng)金融機構(gòu)布局掃碼支付、便捷支付相關的金融科技技術持續(xù)進步,在各種因素的推動下,無現(xiàn)金社會正加速向我們走來。 資金流通是市場經(jīng)濟運轉(zhuǎn)的潤滑劑,主流支付手段的非現(xiàn)金化,其影響絕不僅僅是支付體驗的優(yōu)化,還會帶來貨幣統(tǒng)計口徑的變動,也必然會加速各類金融業(yè)務和模式的重構(gòu)。某種程度上,對于無現(xiàn)金社會,不得不慎重待之。 在本文中,筆者嘗試從幾個方面設想一下無現(xiàn)金社會可能帶來的新問題,權作拋磚引玉之言。當然,只是猜想而已。 貨幣口徑失真及貨幣政策失靈風險 談到貨幣供應,一般有三個概念,分別為M0、M1和M2。一般認為,M0是狹義的貨幣供應;M1是現(xiàn)實的貨幣供應,可直接用于支付;M2是潛在的貨幣供應,因為其中的定期存款和儲蓄存款不是即時的購買力。 在無現(xiàn)金社會中,M0的占比會越來越低,該指標也就越來越不重要。那誰的占比會增加呢?M1還是M2? 關鍵是替代性的支付工具是誰?如果銀行卡成為主流的電子支付手段,對應的應該是M1;如果第三方支付賬戶中的貨幣基金,如余額寶、零錢寶等成為主流的支付工具,則對應的是M2中的非存款類金融機構(gòu)存款;如果信用卡和螞蟻花唄、蘇寧任性付等消費金融產(chǎn)品成為主流的支付工具,則并不在央行的貨幣統(tǒng)計口徑之中。 基于目前的趨勢來看,包括信用卡在內(nèi)的消費金融產(chǎn)品成為主流支付工具的概率更大,而此類工具并未被統(tǒng)計到央行貨幣口徑之中,會使貨幣統(tǒng)計口徑與社會中的真實購買力脫節(jié),統(tǒng)計口徑小于真實購買力。 舉個例子,央行統(tǒng)計的即時購買力M1約為50萬億元人民幣,而考慮到大量的消費金融產(chǎn)品(尤其是其分期功能)的存在,社會真實的購買力可能在60萬億元左右,這種真實貨幣供應的增大可能會帶來潛在的通脹風險。 除此之外,實際購買力結(jié)構(gòu)的變化還會對現(xiàn)有的貨幣政策傳導機制帶來影響。央行的貨幣政策,大致分為調(diào)整利率的價格政策和調(diào)整貨幣供應量的數(shù)量政策。 央行調(diào)整貨幣供應量,一般通過調(diào)整基礎貨幣和貨幣乘數(shù)兩個手段進行,其主要媒介是存款性金融機構(gòu),影響的主要是銀行存款。而在無現(xiàn)金社會中,真實的購買力隱藏在消費金融產(chǎn)品而非銀行存款中,便會導致央行的數(shù)量型工具在特定情境下失去效果。 支付工具進化與金融業(yè)態(tài)重構(gòu)的潛在影響 回顧支付工具的演變歷程,從快捷支付、到掃碼支付、再到Amazon Go推出的“買完即走”的自動支付模式創(chuàng)新,貨幣的電子化程度一直在層層深入。貨幣作為一切經(jīng)濟活動的媒介,貨幣形式的改變必將對經(jīng)濟運行產(chǎn)生深刻影響,并反過來改變金融業(yè)務的應用場景和業(yè)務模式,某種程度上甚至完成對行業(yè)的重構(gòu)。 不妨以物聯(lián)網(wǎng)技術普及對支付行業(yè)數(shù)字化進程的促進為例來開這個腦洞。智能手機的普及使得手機成為第三方支付的主要載體,推動了第三方支付行業(yè)開啟了第一波繁榮發(fā)展階段。 而隨著物聯(lián)網(wǎng)技術的逐步成熟和普及,支付領域有望進入“萬物皆載體”的新階段,智能手環(huán)、手表、汽車、空氣凈化器、冰箱、空調(diào)、電視等都可以成為支付的“賬戶載體”和“受理終端”,作為貨幣電子化的重要表現(xiàn)形式,支付清算在更廣泛范圍內(nèi)實現(xiàn)數(shù)字化和虛擬化,引領行業(yè)發(fā)展再上新臺階。 對支付行業(yè)而言,“萬物皆載體”要求重構(gòu)業(yè)務流程,針對特定交易場景實現(xiàn)無驗證式支付,進而實現(xiàn)自動化訂購的目的,同時還要在便捷和安全上面尋找均衡點。此外,正如智能手機作為支付載體,為手機制造企業(yè)布局第三方支付帶來機遇一樣,“萬物皆載體”時代的來臨將為更多的跨界巨頭進入支付行業(yè)提供機遇窗口,屆時,目前穩(wěn)固的市場競爭格局有望再次重塑。 對整個互聯(lián)網(wǎng)金融行業(yè)而言,“萬物皆載體”意味著“萬物皆是數(shù)據(jù)源”,數(shù)據(jù)源極速擴容后,基于大數(shù)據(jù)的機器學習模型將大大推動信用評價的透明化和營銷方式的智能化。 屆時,信用融資變得更為容易,風控能力或不再是貸款類企業(yè)的核心競爭力,基于場景和體驗基礎上的客戶黏性成為致勝的關鍵。而營銷手段的智能化,則有望改變目前粗放式的無差異投放的營銷手段,在大幅降低營銷成本的同時提升營銷精準度。 對于監(jiān)管機構(gòu)而言,金融業(yè)態(tài)的重構(gòu)以及金融業(yè)務與場景的高度融合,需要重新評估現(xiàn)有機構(gòu)監(jiān)管模式的有效性。舉例來講,在萬物載體的模式下,支付行為的參與者不再局限于銀行和非銀行支付機構(gòu),智能硬件制造者等更多的跨界巨頭也將成為重要一環(huán)。 屆時,該如何界定被監(jiān)管主體?如何界定被監(jiān)管金融業(yè)務?如何確保在保證監(jiān)管效率的前提下減少監(jiān)管空白和監(jiān)管套利的現(xiàn)象?都是新形勢下監(jiān)管機構(gòu)需要應對的新問題。 金融強監(jiān)管時代,效率與安全的再平衡 2017年7月中旬結(jié)束的全國金融工作會議,對金融監(jiān)管提出了一些新的要求,金融業(yè)正迎來金融監(jiān)管新時代。 在機構(gòu)層面,設立國務院金融穩(wěn)定發(fā)展委員會,是適應金融業(yè)務混業(yè)經(jīng)營大趨勢的監(jiān)管應對措施。同時,對于強化金融監(jiān)管,金融工作會議有三個比較新的提法: 一是強調(diào)“所有金融業(yè)務都要納入監(jiān)管”,即所謂的無死角監(jiān)管。 二是強調(diào)“更加重視行為監(jiān)管”,注重從被監(jiān)管主體的金融行為屬性來對應監(jiān)管機構(gòu),大大降低監(jiān)管套利的空間。 三是強調(diào)“有風險沒有及時發(fā)現(xiàn)就是失職、發(fā)現(xiàn)風險沒有及時提示和處置就是瀆職”,即監(jiān)管問責。 在強監(jiān)管及監(jiān)管問責的新形勢下,面對無現(xiàn)金社會等新技術、新業(yè)態(tài)的降臨,如何把握好安全與效率的平衡,無疑也會成為監(jiān)管機構(gòu)需要面臨的一個挑戰(zhàn)。 對于新技術與舊業(yè)態(tài)的沖突與合作,站在從業(yè)者的角度看,主要是一個資源與利益的重新分配問題,大家爭的,無非是在未來的行業(yè)格局中,誰的份額大一些,誰的利益多一些。 而站在監(jiān)管和政策層面去看,更多的則是一個效率與安全的問題,新技術通常會提升行業(yè)效率,政策是歡迎的,但也會再帶來很多不確定性,如對現(xiàn)有模式的沖擊可能會產(chǎn)生安全的問題,需要綜合考量,既要預防系統(tǒng)性風險的發(fā)生,又不能因為監(jiān)管因素削弱本國金融科技企業(yè)的國際競爭力。 問題在于,安全與效率,幾乎是一對永遠的矛盾統(tǒng)一體,既相輔相成,又對立統(tǒng)一,最難的就是平衡度的把握。 若過于強調(diào)安全和風險防控,則可能會延緩無現(xiàn)金社會的到來速度,甚至對支付機構(gòu)和銀行的業(yè)務創(chuàng)新乃至生存發(fā)展都帶來較大影響;若從效率的角度出發(fā),創(chuàng)新和便捷性是沒有問題,但又難免會帶來一些安全上的隱患。 談四點建議,權作拋磚引玉之言 這種情境下,筆者從個人角度談四點建議,權作拋磚引玉之言。 一是大力發(fā)展監(jiān)管科技。 綜合利用大數(shù)據(jù)、人工智能等技術大幅提升監(jiān)管效率,提高監(jiān)管能力和覆蓋范圍。就現(xiàn)階段來看,在對部分互金機構(gòu)的監(jiān)管中,已經(jīng)出現(xiàn)了基于系統(tǒng)對接和公開數(shù)據(jù)挖掘的風險預警體系,這屬于監(jiān)管科技的初步應用。 隨著更多數(shù)據(jù)信息的接入和人工智能、區(qū)塊鏈等技術的應用,監(jiān)管科技還應有更多的表現(xiàn)形式,比如推動金融業(yè)務對區(qū)塊鏈技術的應用速度,充分利用區(qū)塊鏈的不可篡改特性,降低違規(guī)行為發(fā)生概率。 二是借鑒監(jiān)管沙盒思路,實現(xiàn)安全與效率的動態(tài)平衡。 通過沙盒測試,一方面可以在監(jiān)管機構(gòu)的控制下實現(xiàn)小范圍內(nèi)的真實環(huán)境測試,在沙盒測試中,受測試者不因測試本身而喪失任何合法的權益;另一方面,沙盒測試可以為監(jiān)管機構(gòu)提供清晰的視角來看待監(jiān)管規(guī)定與金融創(chuàng)新的辯證關系,及時發(fā)現(xiàn)因限制創(chuàng)新而有損消費者長遠利益的監(jiān)管規(guī)定,并第一時間調(diào)整,真正讓適度監(jiān)管、包容監(jiān)管等創(chuàng)新監(jiān)管精神落地。 三是實施分類監(jiān)管策略。 細分不同業(yè)態(tài)、不同機構(gòu)甚至不同業(yè)務的潛在風險概率,針對性實施不同的監(jiān)管策略。這里,可以借鑒第三方支付行業(yè)的監(jiān)管經(jīng)驗,為兼顧賬戶實名制要求和便捷支付的效率要求,監(jiān)管機構(gòu)對個人銀行賬戶和支付賬戶實施了分類管理,賬戶開立時要求越嚴格,賬戶功能便越齊全,反之則反之。 同時,在支付環(huán)節(jié),按照“大額支付側(cè)重安全、小額支付側(cè)重便捷”的管理思路,在要求大額支付必須采用多重認證方式確保安全的同時,也允許在“云閃付”、“掃碼付”等小額便捷支付中采用免密方式。 四是正視貨幣口徑和貨幣政策傳導機制的潛在變化,對貨幣政策有效性進行實時評估,并作動態(tài)調(diào)整。
相關新聞 2016-07-19 2016-08-15 2017-04-11 2017-07-10 2017-08-22
從單一到混合 DDoS攻擊方式全面剖析 企業(yè)視頻課程
DDoS攻擊素來以成本低廉(相比防御)、效果顯著、影響深遠為攻擊者所青睞,經(jīng)過長時間的發(fā)展,DDoS攻擊方式有很多種,最基本的DoS攻擊利用單個合理的服務請求來占用過多的服務資源,從而使合法用戶無法得到服務的響應。DoS攻擊通常采用一對一的方式,在目標系統(tǒng)帶寬、內(nèi)存、CPU等各項性能指標都不高時,具有明顯的效果。隨著網(wǎng)絡技術的發(fā)展,計算機的處理能力迅速增長,內(nèi)存大大增加,千兆級別的網(wǎng)絡出現(xiàn),目標系統(tǒng)的“消化能力”倍增,這時候,分布式的拒絕服務攻擊手段——DDoS就出現(xiàn)了。利用網(wǎng)絡上已被攻陷的電腦作為“肉雞”,通過一定方式組合形成數(shù)量龐大的“僵尸網(wǎng)絡”,采用一對多的方式進行控制,向目標系統(tǒng)同時提出服務請求,殺傷力大幅度增加。DDoS攻、防對抗多年,從DoS到DDoS,從以流量取勝到以技巧取勝,從單一攻擊到混合攻擊,攻擊手段正不斷進化,本文將一一介紹最常見、最具代表性的攻擊方式,企業(yè)運營者做到知己知彼,才能有備無患。一、攻擊帶寬:以力取勝如同城市堵車一樣,當數(shù)據(jù)包超過帶寬上限,就會出現(xiàn)網(wǎng)絡擁堵、響應緩慢的情況。流量型DDoS攻擊就是如此,發(fā)送海量數(shù)據(jù)包,頃刻占滿目標系統(tǒng)的全部帶寬,正常請求被堵在門外,拒絕服務的目的達成。ICMPFloodICMP(Internet控制報文協(xié)議)用于在IP主機、路由器之間傳遞控制消息,控制消息是指網(wǎng)絡通不通、主機是否可達、路由是否可用等網(wǎng)絡本身的消息,雖然并不傳輸用戶數(shù)據(jù),但是對于用戶數(shù)據(jù)的傳遞起著重要的作用。通過對目標系統(tǒng)發(fā)送海量數(shù)據(jù)包,就可以令目標主機癱瘓,如果大量發(fā)送就成了洪水攻擊。UDPFloodUDP協(xié)議是一種無連接的服務,在UDPFlood中,攻擊者通常發(fā)送大量偽造源IP地址的小UDP包沖擊DNS服務器或Radius認證服務器、流媒體視頻服務器。100kbps的UDPFlood經(jīng)常將線路上的骨干設備例如防火墻打癱,造成整個網(wǎng)段的癱瘓。上述傳統(tǒng)的流量型攻擊方式技術含量較低,傷人一千自損八百,攻擊效果通常依賴受控主機本身的網(wǎng)絡性能,而且容易被查到攻擊源頭,單獨使用的情況已不常見。于是,具有四兩拔千斤效果的反射型放大攻擊就出現(xiàn)了。NTPFloodNTP是標準的基于UDP協(xié)議傳輸?shù)木W(wǎng)絡時間同步協(xié)議,由于UDP協(xié)議的無連接性,方便偽造源地址。攻擊者使用特殊的數(shù)據(jù)包,也就是IP地址指向作為反射器的服務器,源IP地址被偽造成攻擊目標的IP,反射器接收到數(shù)據(jù)包時就被騙了,會將響應數(shù)據(jù)發(fā)送給被攻擊目標,耗盡目標網(wǎng)絡的帶寬資源。一般的NTP服務器都有很大的帶寬,攻擊者可能只需要1Mbps的上傳帶寬欺騙NTP服務器,就可給目標服務器帶來幾百上千Mbps的攻擊流量。因此,“問-答”方式的協(xié)議都可以被反射型攻擊利用,將質(zhì)詢數(shù)據(jù)包的地址偽造為攻擊目標地址,應答的數(shù)據(jù)包就會都被發(fā)送至目標,一旦協(xié)議具有遞歸效果,流量就被顯著放大了,堪稱一種“借刀殺人”的流量型攻擊。面對洪水般的流量,花高價進行抗D帶寬擴容和多運營商鏈路冗余,雖一定程度可提升抗D能力,但面對大量攻擊仍舊于事無補,而且浪費資源。知道創(chuàng)宇旗下抗DDoS云防御平臺——抗D保,橫跨全國的分布式數(shù)據(jù)中心,600G以上帶寬抗DDoS,并可隨時應急調(diào)用騰訊自有帶寬1.5Tb,這使得抗D保擁有超過2個Tb的防御能力。 二、攻擊系統(tǒng)/應用:以巧取勝這類型的DDoS攻擊走的是巧勁,利用各種協(xié)議的行為特性、系統(tǒng)的缺陷、服務的脆弱性、軟件的漏洞等等發(fā)起攻擊,不斷占用目標系統(tǒng)的資源以阻止它們處理正常事務和請求。SYNFlood這是一種利用TCP協(xié)議缺陷,發(fā)送大量偽造的TCP連接請求,從而使得被攻擊方資源耗盡(CPU滿負荷或內(nèi)存不足)的攻擊方式。建立TCP連接,需要三次握手——客戶端發(fā)送SYN報文,服務端收到請求并返回報文表示接受,客戶端也返回確認,完成連接。SYNFlood就是用戶向服務器發(fā)送報文后突然死機或掉線,那么服務器在發(fā)出應答報文后就無法收到客戶端的確認報文(第三次握手無法完成),這時服務器端一般會重試并等待一段時間后再丟棄這個未完成的連接。一個用戶出現(xiàn)異常導致服務器的一個線程等待一會兒并不是大問題,但惡意攻擊者大量模擬這種情況,服務器端為了維護數(shù)以萬計的半連接而消耗非常多的資源,結(jié)果往往是無暇理睬客戶的正常請求,甚至崩潰。從正常客戶的角度看來,網(wǎng)站失去了響應,無法訪問。CC 攻擊
CC攻擊是目前應用層攻擊的主要手段之一,借助代理服務器生成指向目標系統(tǒng)的合法請求,實現(xiàn)偽裝和DDoS。我們都有這樣的體驗,訪問一個靜態(tài)頁面,即使人多也不需要太長時間,但如果在高峰期訪問論壇、貼吧等,那就很慢了,因為服務器系統(tǒng)需要到數(shù)據(jù)庫中判斷訪問者否有讀帖、發(fā)言等權限。訪問的人越多,論壇的頁面越多,數(shù)據(jù)庫壓力就越大,被訪問的頻率也越高,占用的系統(tǒng)資源也就相當可觀。CC攻擊就充分利用了這個特點,模擬多個正常用戶不停地訪問如論壇這些需要大量數(shù)據(jù)操作的頁面,造成服務器資源的浪費,CPU長時間處于100%,永遠都有處理不完的請求,網(wǎng)絡擁塞,正常訪問被中止。這種攻擊技術性含量高,見不到真實源IP,見不到特別大的異常流量,但服務器就是無法進行正常連接。之所以選擇代理服務器是因為代理可以有效地隱藏自己的身份,也可以繞開防火墻,因為基本上所有的防火墻都會檢測并發(fā)的TCP/IP連接數(shù)目,超過一定數(shù)目一定頻率就會被認為是Connection-Flood。當然也可以使用肉雞來發(fā)動CC攻擊,攻擊者使用CC攻擊軟件控制大量肉雞發(fā)動攻擊,肉雞可以模擬正常用戶訪問網(wǎng)站的請求偽造成合法數(shù)據(jù)包,相比前者來說更難防御。CC攻擊是針對Web服務在第七層協(xié)議發(fā)起的攻擊,在越上層協(xié)議上發(fā)動DDoS攻擊越難以防御,上層協(xié)議與業(yè)務關聯(lián)愈加緊密,防御系統(tǒng)面臨的情況也會更復雜。比如CC攻擊中最重要的方式之一HTTPFlood,不僅會直接導致被攻擊的Web前端響應緩慢,對承載的業(yè)務造成致命的影響,還可能會引起連鎖反應,間接攻擊到后端的Java等業(yè)務層邏輯以及更后端的數(shù)據(jù)庫服務。由于CC攻擊成本低、威力大,知道創(chuàng)宇安全專家組發(fā)現(xiàn)80%的DDoS攻擊都是CC攻擊。帶寬資源嚴重被消耗,網(wǎng)站癱瘓;CPU、內(nèi)存利用率飆升,主機癱瘓;瞬間快速打擊,無法快速響應。知道創(chuàng)宇頂級安全研究團隊為抗D保自主研發(fā)的Anti-CC防護引擎可以根據(jù)訪問者的URL、頻率、行為等訪問特征,智能識別CC攻擊,迅速識別CC攻擊并進行攔截,在大規(guī)模CC攻擊時可以避免源站資源耗盡,保證企業(yè)網(wǎng)站的正常訪問。抗D保-抗CC攻擊數(shù)據(jù)(監(jiān)控)DNSQueryFloodDNS作為互聯(lián)網(wǎng)的核心服務之一,自然也是DDoS攻擊的一大主要目標。DNSQueryFlood采用的方法是操縱大量傀儡機器,向目標服務器發(fā)送大量的域名解析請求。服務器在接收到域名解析請求時,首先會在服務器上查找是否有對應的緩存,若查找不到且該域名無法直接解析時,便向其上層DNS服務器遞歸查詢域名信息。通常,攻擊者請求解析的域名是隨機生成或者是網(wǎng)絡上根本不存在的域名,由于在本地無法查到對應的結(jié)果,服務器必須使用遞歸查詢向上層域名服務器提交解析請求,引起連鎖反應。解析過程給服務器帶來很大的負載,每秒鐘域名解析請求超過一定的數(shù)量就會造成DNS服務器解析域名超時。根據(jù)微軟的統(tǒng)計數(shù)據(jù),一臺DNS服務器所能承受的動態(tài)域名查詢的上限是每秒鐘9000個請求。而一臺P3的PC機上可以輕易地構(gòu)造出每秒鐘幾萬個域名解析請求,足以使一臺硬件配置極高的DNS服務器癱瘓,由此可見DNS服務器的脆弱性。抗D保在全國多個城市采用分布式集群方式部署了上千臺高效DNS服務器,從而保證各個地區(qū)的查詢響應速度??笵保的高防DNS服務,可有效解決突發(fā)的上億級別的隨機HOSTA記錄查詢攻擊、遞歸DNS穿透攻擊、DNS流量攻擊等多種針對域名解析的攻擊請求。抗D保防御DNS攻擊效果示意三、混合攻擊:流量與技巧并用在實際情況中,攻擊者只求達到打垮對方的目的,發(fā)展到現(xiàn)在,高級攻擊者已經(jīng)不傾向使用單一的攻擊手段作戰(zhàn)了,而是根據(jù)目標系統(tǒng)的具體環(huán)境靈動組合,發(fā)動多種攻擊手段,既具備了海量的流量,又利用了協(xié)議、系統(tǒng)的缺陷,盡其所能地展開攻勢。對于被攻擊目標來說,需要面對不同協(xié)議、不同資源的分布式的攻擊,分析、響應和處理的成本就會大大增加。抗D保擁有國內(nèi)最大的抗D集群,使用騰訊宙斯盾流量清洗設備并結(jié)合由知道創(chuàng)宇研發(fā)的Anti-DDoS引擎,5秒發(fā)現(xiàn)惡意攻擊,10秒快速阻斷,2T帶寬儲備,通過多種防御手段,防御各種類型、形態(tài)的DDoS攻擊,包括基于網(wǎng)絡層的攻擊,如TCPFlood、UDPFlood、ICMPFlood,以及應用層攻擊,類似HTTPFlood這種試圖耗盡服務器資源的攻擊,同時可以有效防御各種反射攻擊和僵尸網(wǎng)絡攻擊。面對一次次攻擊,即使是去年10月讓美國半個互聯(lián)網(wǎng)癱瘓的DDoS攻擊事件,也只是讓很多人小心臟稍微顫抖了幾下,在大家的印象中,DDoS只是一陣海嘯,很快就能恢復了往日的平靜。但是,DDoS在互聯(lián)網(wǎng)發(fā)展進程中已經(jīng)留下了太多不可磨滅的破壞,許多企業(yè)就此一蹶不振。而且隨著互聯(lián)網(wǎng)+的不斷推進,商業(yè)競爭的愈演愈烈,它的危害越來越大,任何企業(yè)組織都應該考慮自己的DDoS防護方案,而不是成為攻擊的炮灰,也盡量避免遭受攻擊后再亡羊補牢。 相關新聞 2016-12-20 2017-03-06 2017-07-28 2017-08-17 2017-09-04
CC攻擊是目前應用層攻擊的主要手段之一,借助代理服務器生成指向目標系統(tǒng)的合法請求,實現(xiàn)偽裝和DDoS。我們都有這樣的體驗,訪問一個靜態(tài)頁面,即使人多也不需要太長時間,但如果在高峰期訪問論壇、貼吧等,那就很慢了,因為服務器系統(tǒng)需要到數(shù)據(jù)庫中判斷訪問者否有讀帖、發(fā)言等權限。訪問的人越多,論壇的頁面越多,數(shù)據(jù)庫壓力就越大,被訪問的頻率也越高,占用的系統(tǒng)資源也就相當可觀。CC攻擊就充分利用了這個特點,模擬多個正常用戶不停地訪問如論壇這些需要大量數(shù)據(jù)操作的頁面,造成服務器資源的浪費,CPU長時間處于100%,永遠都有處理不完的請求,網(wǎng)絡擁塞,正常訪問被中止。這種攻擊技術性含量高,見不到真實源IP,見不到特別大的異常流量,但服務器就是無法進行正常連接。之所以選擇代理服務器是因為代理可以有效地隱藏自己的身份,也可以繞開防火墻,因為基本上所有的防火墻都會檢測并發(fā)的TCP/IP連接數(shù)目,超過一定數(shù)目一定頻率就會被認為是Connection-Flood。當然也可以使用肉雞來發(fā)動CC攻擊,攻擊者使用CC攻擊軟件控制大量肉雞發(fā)動攻擊,肉雞可以模擬正常用戶訪問網(wǎng)站的請求偽造成合法數(shù)據(jù)包,相比前者來說更難防御。CC攻擊是針對Web服務在第七層協(xié)議發(fā)起的攻擊,在越上層協(xié)議上發(fā)動DDoS攻擊越難以防御,上層協(xié)議與業(yè)務關聯(lián)愈加緊密,防御系統(tǒng)面臨的情況也會更復雜。比如CC攻擊中最重要的方式之一HTTPFlood,不僅會直接導致被攻擊的Web前端響應緩慢,對承載的業(yè)務造成致命的影響,還可能會引起連鎖反應,間接攻擊到后端的Java等業(yè)務層邏輯以及更后端的數(shù)據(jù)庫服務。由于CC攻擊成本低、威力大,知道創(chuàng)宇安全專家組發(fā)現(xiàn)80%的DDoS攻擊都是CC攻擊。帶寬資源嚴重被消耗,網(wǎng)站癱瘓;CPU、內(nèi)存利用率飆升,主機癱瘓;瞬間快速打擊,無法快速響應。知道創(chuàng)宇頂級安全研究團隊為抗D保自主研發(fā)的Anti-CC防護引擎可以根據(jù)訪問者的URL、頻率、行為等訪問特征,智能識別CC攻擊,迅速識別CC攻擊并進行攔截,在大規(guī)模CC攻擊時可以避免源站資源耗盡,保證企業(yè)網(wǎng)站的正常訪問。抗D保-抗CC攻擊數(shù)據(jù)(監(jiān)控)DNSQueryFloodDNS作為互聯(lián)網(wǎng)的核心服務之一,自然也是DDoS攻擊的一大主要目標。DNSQueryFlood采用的方法是操縱大量傀儡機器,向目標服務器發(fā)送大量的域名解析請求。服務器在接收到域名解析請求時,首先會在服務器上查找是否有對應的緩存,若查找不到且該域名無法直接解析時,便向其上層DNS服務器遞歸查詢域名信息。通常,攻擊者請求解析的域名是隨機生成或者是網(wǎng)絡上根本不存在的域名,由于在本地無法查到對應的結(jié)果,服務器必須使用遞歸查詢向上層域名服務器提交解析請求,引起連鎖反應。解析過程給服務器帶來很大的負載,每秒鐘域名解析請求超過一定的數(shù)量就會造成DNS服務器解析域名超時。根據(jù)微軟的統(tǒng)計數(shù)據(jù),一臺DNS服務器所能承受的動態(tài)域名查詢的上限是每秒鐘9000個請求。而一臺P3的PC機上可以輕易地構(gòu)造出每秒鐘幾萬個域名解析請求,足以使一臺硬件配置極高的DNS服務器癱瘓,由此可見DNS服務器的脆弱性。抗D保在全國多個城市采用分布式集群方式部署了上千臺高效DNS服務器,從而保證各個地區(qū)的查詢響應速度??笵保的高防DNS服務,可有效解決突發(fā)的上億級別的隨機HOSTA記錄查詢攻擊、遞歸DNS穿透攻擊、DNS流量攻擊等多種針對域名解析的攻擊請求。抗D保防御DNS攻擊效果示意三、混合攻擊:流量與技巧并用在實際情況中,攻擊者只求達到打垮對方的目的,發(fā)展到現(xiàn)在,高級攻擊者已經(jīng)不傾向使用單一的攻擊手段作戰(zhàn)了,而是根據(jù)目標系統(tǒng)的具體環(huán)境靈動組合,發(fā)動多種攻擊手段,既具備了海量的流量,又利用了協(xié)議、系統(tǒng)的缺陷,盡其所能地展開攻勢。對于被攻擊目標來說,需要面對不同協(xié)議、不同資源的分布式的攻擊,分析、響應和處理的成本就會大大增加。抗D保擁有國內(nèi)最大的抗D集群,使用騰訊宙斯盾流量清洗設備并結(jié)合由知道創(chuàng)宇研發(fā)的Anti-DDoS引擎,5秒發(fā)現(xiàn)惡意攻擊,10秒快速阻斷,2T帶寬儲備,通過多種防御手段,防御各種類型、形態(tài)的DDoS攻擊,包括基于網(wǎng)絡層的攻擊,如TCPFlood、UDPFlood、ICMPFlood,以及應用層攻擊,類似HTTPFlood這種試圖耗盡服務器資源的攻擊,同時可以有效防御各種反射攻擊和僵尸網(wǎng)絡攻擊。面對一次次攻擊,即使是去年10月讓美國半個互聯(lián)網(wǎng)癱瘓的DDoS攻擊事件,也只是讓很多人小心臟稍微顫抖了幾下,在大家的印象中,DDoS只是一陣海嘯,很快就能恢復了往日的平靜。但是,DDoS在互聯(lián)網(wǎng)發(fā)展進程中已經(jīng)留下了太多不可磨滅的破壞,許多企業(yè)就此一蹶不振。而且隨著互聯(lián)網(wǎng)+的不斷推進,商業(yè)競爭的愈演愈烈,它的危害越來越大,任何企業(yè)組織都應該考慮自己的DDoS防護方案,而不是成為攻擊的炮灰,也盡量避免遭受攻擊后再亡羊補牢。