アリババクラウドは中国で最大のメムキャッシュ型DDoS反射攻撃に対して防御に成功しました

クズども · 掲載地 2018/03/02 9:40:24

今週、アリババ・クラウドセキュリティDDoS監視センターのデータによると、Memcachedを使ったDDoS攻撃の傾向が急速に増加しています。昨日、アリババクラウドは最大758.6Gbpsのトラフィックを持つMemcached DDoSリフレクション攻撃を監視・防御することに成功しました。

以下は、UDPプロトコル+ソースポート11211の特徴とすぐに区別できる、Memcached反射型DDoS攻撃のパケットキャプチャサンプルです。

この攻撃では、攻撃者が被害者のIPを偽造してインターネット上のMemcachedサービスに大量のリクエストを送り込み、それを悪用できるものとしてMemcachedが応答します。多数の応答パケットが偽造されたIPアドレスの送信元(すなわち被害者)に収束され、反射型分散型サービス拒否攻撃(DDOS)を形成します。

懸念されているのは、Memcachedがパケットを数万倍に増幅し、つまり返送されるパケットサイズがリクエストの数万倍になること、そして攻撃者が非常に少ない帯域幅で大量のトラフィックでDDoS攻撃を仕掛けることができることです。 NTPおよびSSDPの反射攻撃は、一般的に数十倍から数百倍しか増幅できません。メムキャッシュ増幅は、その拡大率によりDDoS攻撃を反射し、より破壊的になることがあります。

攻撃姿勢

Memcachedを用いたDDoS攻撃技術の公開に伴い、Memcachedをリフレクションに使おうとするDDoSの試みが増えており、この種のDDoS攻撃は急速に増加しています。

最近、ハッカーは世界中で悪用可能なMemcachedIPをスキャン・収集しており、多数の暫定的な超高トラフィックのMemcached DDoS攻撃が出現しています。

現在のインターネット上の反射ポイントの数と害

インターネット全体が数十万のIPのMemcached反映に利用され、攻撃者に膨大な武器庫を提供します。

超大規模DDoSの開始困難が減少するにつれ、IDCやクラウドサービスプロバイダーは防御のためにより多くのネットワーク帯域幅を確保する必要があり、小規模および中規模のIDCがこのような超大規模DDoS攻撃に対処するのは困難になるでしょう。

現在、Alibaba CloudはMemcachedのセキュリティ設定の推奨事項を提供し、Anknight上で修復ガイダンスを提供し、クラウドユーザーがMemcachedリスクを修正できるよう支援しています。 UDPの反射遮断サービスはAnti-Pro IPで提供されています。

(1) メムキャッシュとは何か?

Memcachedは、動的ウェブアプリケーションで使用される高性能分散型メモリ内オブジェクトキャッシュシステムで、データベースのオフロードに用いられます。データやオブジェクトをメモリにキャッシュすることでデータベースの読み取り回数を減らし、動的でデータベース駆動型のウェブサイトの速度を向上させます。

(2) Memcachedのビジネスシナリオとは何か?

ウェブサイトに動的なページが多くトラフィックが多い場合、データベースへの負荷は大きくなります。ほとんどのデータベースリクエストは読み取り操作であるため、読み取り回数の多い多くのビジネスシステムはMemcachedを使ってデータベースの読み取りを減らし、キャッシュ機能の実装によりデータベース負荷を大幅に削減し、ウェブサイトのパフォーマンスを向上させることができます。

(3) なぜMemcachedはDDoS攻撃を増幅するために使われるのか?

- Memcache(バージョン1.5.6より前)はデフォルトでUDPを受信するため、反射DDoS条件を自然に満たします
- 多くのユーザーはiptablesルールの設定なしで0.0.0.0でサービスを受信しており、iptablesルールは任意の送信元IPアドレスからリクエスト可能です
- Memcachedは数万倍の反反射を行い、パケットの倍数を大規模トラフィックに増幅するDDoS攻撃に非常に適しています

アリババクラウドのセキュリティ専門家は、Memcachedを防ぐための2つの提案をしています。

まず、Memcachedリフレクターとして悪用されない方法:

ハッカーによる不要な帯域幅トラフィックがDDoS攻撃を仕掛けるのを防ぐために、稼働中のMemccachedサービスを点検し強化することが推奨されます。

もしMemcachedのバージョンが1.5.6未満でUDPを聞く必要がなければ、 Memcachedを再起動して-U 0の起動パラメータ(例:Memcached -U 0)に参加させることができます。これはudpプロトコルのリスニングを禁止します

さらに多くのMemcachedサービスセキュリティ強化ドキュメント:
https://help.aliyun.com/knowledge_detail/37553.html

もしアリババクラウドシールドのアンナイトを購入しているなら、アンクナイトコンソールのガイダンスに従って修正できます。

次に、Memcached DDoS反射攻撃からどう防御するか

サービス構造を最適化し、複数のIPに分散させることが推奨されます。
Memcachedは高トラフィックのDDoS攻撃を簡単に発動可能にし、防御には十分な帯域幅が必要です。もし大量のトラフィックがかかる反射攻撃に遭遇した場合、クラウドクリーニングサービスを購入し、UDP反射をフィルタリングするクラウドクリーニングサービスを推奨することができます。アリババクラウドのAnti-DDoS ProはUDPブロッキングサービスを開始しました。

北部の都市の気温は22度です · 掲載地 2018/03/02 10:05:56

eMkwC263 · 掲載地 2018/03/25 23:35:55

プロンプト：著者はBANされたり削除されたりすると、コンテンツは自動的にブロックされます

[セキュリティ脆弱性] アリババクラウドは中国で最大のメムキャッシュ型DDoS反射攻撃に対して防御に成功しました

関連記事

閲覧したセクション

eMkwC263	掲載地 2018/03/25 23:35:55 \| プロンプト：著者はBANされたり削除されたりすると、コンテンツは自動的にブロックされます
eMkwC263