經銷商專區｜登入
〔最新消息〕2020-07-23
Radware：從一次DDoS攻擊測試中學習如何保護VPN
.png)
就Radware安全專家而言，已經歷了長達15年之久的遠程辦公，儘管已經不再像10年前那樣依賴遠程VPN客戶端，但在處理許多公司資源時，仍需連接到公司的VPN上，如Radware的駭客實驗室。
隨著COVID-19的大流行，許多IT企業發現，由於多數員工選擇(或被強制)在家工作，他們自己不得不倉促地應對VPN流量的突然激增。遺憾的是，這也為惡意攻擊者通過對企業VPN基礎架構本身發起各類攻擊來破壞目標提供了絕佳機會。
多數企業採用的是陳舊過時的遠程VPN應用和運行在星型連接架構中的集線器。這是因為VPN一直被視為IT基礎架構中“填補空白”的部分，適合出差的員工或在非工作時間訪問公司資源的人使用。預計通過VPN訪問的流量只佔IT總流量的一小部分。
事實上，Radware在製藥行業的一個重要客戶已經為應對當前這種情況做好了準備。他們預料到了多數員工不得不在家辦公這種情況，並圍繞這一設想設計了DDoS防禦措施。不僅如此，他們還僱傭了外部的DDoS測試公司攻擊VPN基礎架構，衡量不同組件的彈性。
以下就是他們在對VPN基礎架構的DDoS攻擊中得到的經驗教訓。
Lesson #1
即使是低容量攻擊，也可以輕易耗盡VPN 集線器和防火牆中的資源。
即使攻擊容量低至1 Mbps，經過優化的TCP 混合攻擊依然能夠讓網絡防火牆處於無法處理更多新連接的狀態，在這些攻擊中，攻擊者可以發送少量帶有SYN標誌的TCP數據包、另一批次的帶有ACK標誌的TCP數據包、另一組URG數據包等。由於沒有觸發容量閾值，因此多數DDoS防禦措施也不會被觸發。
為了防禦這類攻擊，企業需要調整主機、防火牆和DDoS策略。許多網絡防火牆都有“SYN防禦”或“初始連接”功能，可以防禦SYN阻斷。針對DDoS策略，可以採用能夠進行失靈數據包檢測和預防功能。
遭受到攻擊時，與基於雲的DDoS服務相比，本地DDoS緩解設備通常有更多的優化選項，因為這些策略完全由客戶控制，不會與雲中的其他客戶共享。最後，如果企業採用了速率限制，最好設置與期望的VPN連接數相匹配的閾值；許多緩解設備也都會有一些不適合VPN應用的缺省參數。
Lesson #2
SSL VPN 很容易遭受SSL 阻斷服務攻擊，Web 伺服器也一樣。
其中兩個DDoS測試就是SSL阻斷服務攻擊的變體。第一個攻擊是高容量的SSL連接阻斷。此攻擊會嘗試利用高容量的SSL握手請求來耗盡服務器資源。
為了防禦這種攻擊，就必須仔細監控防火牆、VPN集線器和負載均衡器等狀態設備的TCP會話和狀態。此外，創建基線並設置針對此基線的預警將有助於在實際攻擊中排除故障。
針對防火牆，可以採用“並發連接限制”之類的功能，減少沒有任何數據包連接時的會話超時。針對DDoS策略，可以從給定的源IP地址並發建立數量有限的連接。此外，減少會話超時來釋放防火牆中的連接表。
最後，Radware提供了兩個有助於解決本地和雲端SSL阻斷的專利防禦機制：DefenseSSL可以利用行為分析識別可疑流量，隨後激活盒裝式SSL模塊進行解密。通過一系列僅用於可疑流量的質詢響應機制，可以識別並緩解攻擊。如果客戶通過了所有質詢，就允許後續的HTTPS請求直接到達受保護服務器，從而在客戶端和受保護服務器之間創建新的TLS/SSL會話。
這一獨特的部署模型使得解決方案可以實現和平時期的零延遲，並在遭到攻擊時將延遲降到最低——僅限於每個客戶端的第一個HTTPS會話。針對無法使用證書解密的情況，可以採用行為SSL保護。這可以在不解密SSL連接的情況下防禦SSL阻斷。
第二個SSL攻擊是SSL重新協商阻斷。SSL/TLS重新協商攻擊利用了在伺服器端協商安全TLS連接所需的處理能力。它向伺服器發送虛假數據，或不斷請求重新協商TLS連接，超出服務器極限之後就會耗盡服務器資源。
為了防禦這種攻擊，請禁用伺服器上的SSL重新協商。還應該禁用弱密碼套件。另一個選擇就是採用SSL卸載，利用高容量的外部負載均衡器釋放防火牆或VPN集線器資源。Radware可以在本地和基於雲的部署中防禦這類攻擊。
Lesson #3
VPN 很容易遭受UDP 阻斷服務攻擊。
其中兩個攻擊場景都包括UDP阻斷。一個是隨機UDP阻斷，第二個是IKE阻斷。IKE可以用在IPSec VPN中，用於身份驗證和加密。
由於UDP端口數是隨機的，可以採用基於行為的DDoS防禦機制，如Radware的BDoS，能夠利用實時特徵碼生成檢測UDP阻斷。
Lesson #4
必須進行監控和預警。
緩解多個攻擊需要對DDoS策略、網絡防火牆和VPN集線器的實時可見性並調整調整其參數。為了準確調整閾值，就必須全面了解企業正常的VPN流量，包括容量(以Mbps或Gbps計)和預期的正常連接數。利用SIEM可以更容易監控不同設備上的連接。此外，如果了解正常基線，減少會話超時和速率限制等實時措施是最好的。
雖然上述經驗教訓來自於一個可控的DDoS測試，但測試中使用的多個攻擊矢量都與人們可以預期的來自惡意實體的攻擊矢量類似。當企業爭相增加VPN容量來支持越來越多的遠程員工時，切記不要忘記部署DDoS防護措施。
確保企業安然無恙——希望企業在安全加密鏈路的另一端也變得更強大。
隨著COVID-19的大流行，許多IT企業發現，由於多數員工選擇(或被強制)在家工作，他們自己不得不倉促地應對VPN流量的突然激增。遺憾的是，這也為惡意攻擊者通過對企業VPN基礎架構本身發起各類攻擊來破壞目標提供了絕佳機會。
多數企業採用的是陳舊過時的遠程VPN應用和運行在星型連接架構中的集線器。這是因為VPN一直被視為IT基礎架構中“填補空白”的部分，適合出差的員工或在非工作時間訪問公司資源的人使用。預計通過VPN訪問的流量只佔IT總流量的一小部分。
事實上，Radware在製藥行業的一個重要客戶已經為應對當前這種情況做好了準備。他們預料到了多數員工不得不在家辦公這種情況，並圍繞這一設想設計了DDoS防禦措施。不僅如此，他們還僱傭了外部的DDoS測試公司攻擊VPN基礎架構，衡量不同組件的彈性。
以下就是他們在對VPN基礎架構的DDoS攻擊中得到的經驗教訓。
Lesson #1
即使是低容量攻擊，也可以輕易耗盡VPN 集線器和防火牆中的資源。
即使攻擊容量低至1 Mbps，經過優化的TCP 混合攻擊依然能夠讓網絡防火牆處於無法處理更多新連接的狀態，在這些攻擊中，攻擊者可以發送少量帶有SYN標誌的TCP數據包、另一批次的帶有ACK標誌的TCP數據包、另一組URG數據包等。由於沒有觸發容量閾值，因此多數DDoS防禦措施也不會被觸發。
為了防禦這類攻擊，企業需要調整主機、防火牆和DDoS策略。許多網絡防火牆都有“SYN防禦”或“初始連接”功能，可以防禦SYN阻斷。針對DDoS策略，可以採用能夠進行失靈數據包檢測和預防功能。
遭受到攻擊時，與基於雲的DDoS服務相比，本地DDoS緩解設備通常有更多的優化選項，因為這些策略完全由客戶控制，不會與雲中的其他客戶共享。最後，如果企業採用了速率限制，最好設置與期望的VPN連接數相匹配的閾值；許多緩解設備也都會有一些不適合VPN應用的缺省參數。
Lesson #2
SSL VPN 很容易遭受SSL 阻斷服務攻擊，Web 伺服器也一樣。
其中兩個DDoS測試就是SSL阻斷服務攻擊的變體。第一個攻擊是高容量的SSL連接阻斷。此攻擊會嘗試利用高容量的SSL握手請求來耗盡服務器資源。
為了防禦這種攻擊，就必須仔細監控防火牆、VPN集線器和負載均衡器等狀態設備的TCP會話和狀態。此外，創建基線並設置針對此基線的預警將有助於在實際攻擊中排除故障。
針對防火牆，可以採用“並發連接限制”之類的功能，減少沒有任何數據包連接時的會話超時。針對DDoS策略，可以從給定的源IP地址並發建立數量有限的連接。此外，減少會話超時來釋放防火牆中的連接表。
最後，Radware提供了兩個有助於解決本地和雲端SSL阻斷的專利防禦機制：DefenseSSL可以利用行為分析識別可疑流量，隨後激活盒裝式SSL模塊進行解密。通過一系列僅用於可疑流量的質詢響應機制，可以識別並緩解攻擊。如果客戶通過了所有質詢，就允許後續的HTTPS請求直接到達受保護服務器，從而在客戶端和受保護服務器之間創建新的TLS/SSL會話。
這一獨特的部署模型使得解決方案可以實現和平時期的零延遲，並在遭到攻擊時將延遲降到最低——僅限於每個客戶端的第一個HTTPS會話。針對無法使用證書解密的情況，可以採用行為SSL保護。這可以在不解密SSL連接的情況下防禦SSL阻斷。
第二個SSL攻擊是SSL重新協商阻斷。SSL/TLS重新協商攻擊利用了在伺服器端協商安全TLS連接所需的處理能力。它向伺服器發送虛假數據，或不斷請求重新協商TLS連接，超出服務器極限之後就會耗盡服務器資源。
為了防禦這種攻擊，請禁用伺服器上的SSL重新協商。還應該禁用弱密碼套件。另一個選擇就是採用SSL卸載，利用高容量的外部負載均衡器釋放防火牆或VPN集線器資源。Radware可以在本地和基於雲的部署中防禦這類攻擊。
Lesson #3
VPN 很容易遭受UDP 阻斷服務攻擊。
其中兩個攻擊場景都包括UDP阻斷。一個是隨機UDP阻斷，第二個是IKE阻斷。IKE可以用在IPSec VPN中，用於身份驗證和加密。
由於UDP端口數是隨機的，可以採用基於行為的DDoS防禦機制，如Radware的BDoS，能夠利用實時特徵碼生成檢測UDP阻斷。
Lesson #4
必須進行監控和預警。
緩解多個攻擊需要對DDoS策略、網絡防火牆和VPN集線器的實時可見性並調整調整其參數。為了準確調整閾值，就必須全面了解企業正常的VPN流量，包括容量(以Mbps或Gbps計)和預期的正常連接數。利用SIEM可以更容易監控不同設備上的連接。此外，如果了解正常基線，減少會話超時和速率限制等實時措施是最好的。
雖然上述經驗教訓來自於一個可控的DDoS測試，但測試中使用的多個攻擊矢量都與人們可以預期的來自惡意實體的攻擊矢量類似。當企業爭相增加VPN容量來支持越來越多的遠程員工時，切記不要忘記部署DDoS防護措施。
確保企業安然無恙——希望企業在安全加密鏈路的另一端也變得更強大。
