如何找出造成应用层拒绝服务的攻击行为

 

16.1 问题描述

 

匿名黑客组织通过网络声称,将于某日要攻击若干国内政府网络。某政府用户通过监控各安全设备上的数据,并未发现网络受到明显的攻击迹象。会话数量和网站流量曲线,基本正常。

但匿名黑客组织却发布消息说,成功攻击了若干国内政府网站,其中包括该用户的官方网站。从黑客提供的www.check-host.net网站连通性测试报告(www.check-host.net/check-report/4baafd)来看,在UTC20点50分(北京时间凌晨4点50分)左右,用户官方网站确实无法访问,如下图所示。

图 16-1

在科来网络回溯分析系统上,追踪官网IP的流量曲线,发现在凌晨4点50分左右的确出现了持续约5分钟的流量低谷,如下图所示。怀疑这段时间网站的确受到DoS攻击,并造成短时间服务失效。

图 16-2

 

16.2 分析过程

 

从提取的网站HTTP访问日志来看,在4点48分至4点53分这段时间内,所有访问官方网站的请求均为捕获服务器的回应,如下图所示。

图 16-3

通过TCP会话的交互过程,可以看到这段时间客户机向网站IP发送应用层请求后,服务器没有回应任何数据,而是直接关闭了会话,如下图所示。

图 16-4

很可能是网站受到了基于HTTP协议应用层的攻击,而导致无法正常提供网页服务。从这段时间与网站IP通讯的客户端数据来看,有一个德国IP “X.X.163.27”的通讯数据非常可疑:

该IP正好只在出问题的时段与网站进行了通讯

5分钟与网站建立了约900个TCP会话

HTTP请求使用POST方法,声称要向网站的 / 目录上传数据

在请求头部Content-Length字段生成要上传10000字节数据

但后续每隔几秒才向服务器发送1个或几个字节有效数据

图 16-5

这样的行为无论网站是否支持向“ / ”目录POST数据,服务端都需要先占用10000字节资源,用于接收客户端上传过了的数据。如果类似的会话大量出现,就有可能导致服务端无法正常提供HTTP服务。

 

16.3 分析结论及建议

 

通过上述数据分析,我们初步判断:当日凌晨4点48分到4点53分,网站受到了来自德国IP X.X.163.27的DoS攻击,导致网站短时间无法提供服务。

通过分析网站负载均衡设备的日志,我们发现同一时段负载均衡设备也无法访问真实网站服务器的Web资源,出现了连接失败的错误日志。由此我们推断,这次攻击行为导致了网站服务器的Web短时间出现了资源不足的现象。

建议用户核查网站服务器凌晨的日志,看看当时是否出现资源不足的情况。同时,建议网站服务器通过WAF或其他防护设备,阻断所有“POST /”的HTTP请求,以防止再次出现类似特征的攻击行为。

 

16.4 价值

 

通过本案例,我们了解到网络分析技术,可以帮助用户快速发现新型的网络攻击。即使攻击没有产生数据突发等异常现象,网络分析技术也能通过网络细微的变化,感知到黑客的攻击。实现对数据的完整记录,还原黑客攻击手段、行为。帮助用户发现现有的安全隐患,使网络更加安全。

免费测试申请及购买咨询

您的名字 :

您的手机 :

您的邮箱 :

公司名称 :

您的职位 :

公司地址 :

网络规模 :

购买用途 :

补充留言: