智慧應用 影音
訂報
event

【Fintech專輯】創新金融服務與資安風險專輯

A10 Thunder TPS 助企業抗禦DDoS威脅

A10 Networks技術經理陳志緯表示,唯有透過ISP Clean Pipe、CPE防禦等兩層次兼具的防護架構,才可望全面阻擋頻寬耗盡、資源耗盡等不同型態的DDoS攻擊。

環顧近年資安事件,DDoS攻擊堪稱是最難纏的威脅,只因一般企業遭受此類攻擊的頻率持續增加,因而導致停機或其他負面影響(如降速、客戶存取遭拒)的時間不斷延長,更麻煩的是,DDoS日益精進,既有頻寬耗盡型攻擊,也有資源耗盡型攻擊,兩類威脅不時交錯混合,使得防禦難度愈來愈高。

舉凡2月期間券商遭受大規模DDoS攻擊勒索事件,2016年1月期間英國匯豐銀行遭受DDoS攻擊勒索事件,乃至駭客利用Mirai控制大量物聯網(IoT)裝置,從而發動大規模DDoS攻擊,這些血淋淋例子,皆教人心有餘悸;可以預見,今後企業在推動金融科技(FinTech)或IoT等創新應用的過程,DDoS威脅恐將如影隨形,必須嚴加防範。

A10 Networks技術經理陳志緯指出,以傳統DDoS防禦機制而論,不外乎防火牆、網頁應用程式防火牆(WAF)或伺服器負載平衡(SLB)等設備,但它們一旦面對當前DDoS夾帶的幾個主要特徵,包括快速TCP連線、HTTP慢速攻擊、SSL連線攻擊、大量HTTP請求、DNS NXDomain攻擊或頻寬型攻擊,大多束手無策,最終無可避免造成企業頻寬滿載,或防火牆、SLB、伺服器、資料庫等資源耗盡。

陳志緯認為,欲有效防制DDoS,必須倚賴混合型防禦網路,其間蘊含兩個階層,一是ISP流量清洗(Clean Pipe)機制,另一是CPE DDoS防禦機制,之所以需要Clean Pipe,在於最後一哩線路若遭塞爆,則企業縱使在自家門口佈建強大防護設備,也無用武之地,所以必須借重ISP預先過濾清洗流量。

但如前所述,現今DDoS攻擊特徵十分多樣化,若屬於資源耗盡型態,即不以塞爆頻寬為主,無法藉由Clean Pipe濾除,此時便需要仰賴企業架設CPE防禦設備,藉此抵禦DDoS攻勢,並妥善保護防火牆、入侵防禦系統(IPS)、SLB(SSL Proxy)、Web伺服器、資料庫等重要系統。

五道防護關卡  阻絕DDoS攻勢

A10 Networks提供的Thunder TPS威脅防護系統,同時適用於ISP流量清洗、CPE DDoS防禦不同情境,惟兩者架構有所歧異,彼此相輔相成。

若以企業關注的CPE DDoS防禦而論,Thunder TPS角色至為明確,即是在網路最前線偵測與緩解複合型DDoS攻擊;它之所以有效發揮阻絕效果,在於擁有五道防護關卡,依序是異常封包檢測、黑白名單、連線驗證、流量管控及應用層檢測。

所謂異常封包檢測,主要憑藉逾50種固定Pattern,檢查流量中的協定、L3~4封包表頭等欄位是否正常。至於黑白名單,則可透過動態建立,意在檢查封包裡頭的IP與TCP/UDP資訊,作為放行(白名單)或攔阻(黑名單)的判斷依據。

有關連線驗證,是運用TCP SYN Authentication、TCP SYN Cookie、UDP Authentication、DNS Authentication等等方式,驗證連線是否完整。

一旦察覺異狀,可針對IP、Port或Connection執行譬如限速等對應措施,此即為流量管控。在應用層檢測部份,係針對HTTP、DNS或SSL等內容進行過濾,並將違反既定行為規範者予以攔阻,透過這道關卡,便能有效遏阻頗難對付的HTTP慢速攻擊。

陳志緯強調,Thunder TPS另支援Automated Baselining概念的智慧型威脅偵測功能,可針對企業每項服務流量進行分析、記錄與學習,繼而以不影響服務運行為前提,設立最合理的基準線,假設實際連線數落在基準線下,便視為Level 0狀態,不開啟任何Policy或只開啟簡易連線驗證,如TCP SYN Cookie,反之則視情節嚴重程度評定為Level 1或2不等狀態,接著啟動各Level所對應的防護措施;藉由動態防禦政策的施行,可望大幅減少誤判發生。

另值得一提的,A10 Thunder TPS提供友善的GUI介面,便於用戶調閱事件記錄、快速進行分析與追蹤,以利掌握每件DDoS攻擊活動的來龍去脈,不斷優化自身防禦政策。

  •     按讚加入DIGITIMES智慧應用粉絲團
更多關鍵字報導: A10 Networks DDoS FinTech 資安