网络安全攻与防培训课件

网络安全攻与防

宫一鸣微博：宫一鸣cn2013年10月网络安全攻与防

宫一鸣1新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember新闻一则10月18日：Belgacominvestigat2旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址旧闻一则.cn事件3旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound旧闻一则.cn的攻击流量由多大？4挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？挑战1VisibilityRightnow，你能说得清5挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？挑战1最简单的四元组分析6挑战1最简单的四元组分析还是这个？挑战1最简单的四元组分析7挑战1挑战18挑战1Umbrella的一个可视化展示挑战1Umbrella的一个可视化展示9挑战1基于不同数据的多视角的可视化的关系关联是未来？挑战1基于不同数据的10挑战2网络方面网络本身安全么？国内的网络设备加固文档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务挑战2网络方面网络本身安全么？11网络方面网络设备加固的核心任务是啥？保护control|managementplane网络方面网络设备加固的核心任务是啥？12网络方面路由器Data（forwarding）plane流量分布式专用硬件（ASIC）高性能，不向上

e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc软件实现，普通CPU性能|功能（后门等如暗藏帐号）NSAbackdoor?你是攻击者你选谁？网络方面13网络方面Stepback来看一看最火的抗D场景网络方面Stepback来看一看最火的抗D场景14网络方面历史上最大的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日志数据是20G,28800G/dglobalanycast,edgeflowspec网络方面历史上最大的ddos攻击15网络方面历史上最大的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻击者获取了大部分的cloudflare

peeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus网络方面历史上最大的ddos攻击16网络方面历史上最大的ddos攻击网络方面历史上最大的ddos攻击17网络方面历史上最大的ddos攻击网络方面历史上最大的ddos攻击18网络方面腾讯网络方面腾讯19网络方面国内某著名抗D专业公司traceroute网络方面国内某著名抗D专业公司20网络方面国内某著名抗D专业公司网络方面国内某著名抗D专业公司21网络方面更进一步网络方面更进一步22抗攻击手段Bigplayersgoogle,amazon…etc如何做的？他们有个“totalsolution”boxCost$1M除了抗D外，还可以以线速接员工上下班抗攻击手段Bigplayersgoogle,amazo23抗攻击手段如果你想抵抗各种攻击，同时对网络影响最小，你需要针对你的环境采用layered的defense没有siliverbullet,发挥各种“平淡无奇”的技术到极致抗攻击手段24抗攻击手段网络层面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用锤子–钉子？layer3>layer4>layer7抗攻击手段网络层面25抗攻击手段参考Google的内部标准value

packets/second

bits/second

httpqueries/second

IPs抗攻击手段参考Google的内部标准value26抗攻击手段ACL

在接入层面的3,4层快速过滤功能iACL抗攻击手段ACL27抗攻击手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom抗攻击手段BGP(routingprotocol)28抗攻击手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻击手段BGP(routingprotocol)is29抗攻击手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻击手段Flowspec30抗攻击手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引+tunnelchinabyte网图抗攻击手段MPLS+Flowspec31抗攻击手段MPLS+Flowspec貌似本人是第一个用这个手段来做的，今年5月份nanog才有人做这一技术报告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体内容flowspecppt.pdf

http:///zHiKjtGsampleconfig.pdf

/zHiKjtbHugebenefit抗攻击手段MPLS+Flowspec32抗攻击手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Hwhichusesanycast…蝗虫Attackcomes,moves

away,comesbackagain,movesawayagain…Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻击手段Anycast33抗攻击手段BogonTeamcymru抗攻击手段Bogon34抗攻击手段其他trickE.g.抗攻击手段其他trick35抗攻击手段其他trickE.g.抗攻击手段其他trick36抗攻击手段其他trickE.g.双IP

DNSserver白名单+TTL抗攻击手段其他trick37抗攻击手段保护control

planeCorehidingDon’tredistributeconnected设计合理的内部ip段（loopbacks,interfaceips）bgpnull抗攻击手段保护controlplane38抗攻击手段保护control

plane依然有问题脆弱的Chain抗攻击手段保护controlplane39抗攻击手段保护control

plane脆弱的Chain:Peeringdb抗攻击手段保护controlplane40抗攻击手段保护control

plane脆弱的Chain:Bgplookingglass抗攻击手段保护controlplane41抗攻击手段DarknetExpensive!?NotreallyNobodyshouldtouchyourinfrasturcureNobodyshouldtouchyourunusedIps抗攻击手段Darknet42抗攻击手段Darknet抗攻击手段Darknet43抗攻击手段Darknet抗攻击手段Darknet44抗攻击手段Darknet

see15169there?抗攻击手段Darknet45抗攻击手段Darknet抗攻击手段Darknet46最后合作企业和企业，企业和运营商，运营商和运营商一个人一个企业走不远Securitycommunity最后合作47演讲完毕，谢谢观看！演讲完毕，谢谢观看！48网络安全攻与防

宫一鸣微博：宫一鸣cn2013年10月网络安全攻与防

宫一鸣49新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember新闻一则10月18日：Belgacominvestigat50旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址旧闻一则.cn事件51旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound旧闻一则.cn的攻击流量由多大？52挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？挑战1VisibilityRightnow，你能说得清53挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？挑战1最简单的四元组分析54挑战1最简单的四元组分析还是这个？挑战1最简单的四元组分析55挑战1挑战156挑战1Umbrella的一个可视化展示挑战1Umbrella的一个可视化展示57挑战1基于不同数据的多视角的可视化的关系关联是未来？挑战1基于不同数据的58挑战2网络方面网络本身安全么？国内的网络设备加固文档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务挑战2网络方面网络本身安全么？59网络方面网络设备加固的核心任务是啥？保护control|managementplane网络方面网络设备加固的核心任务是啥？60网络方面路由器Data（forwarding）plane流量分布式专用硬件（ASIC）高性能，不向上

e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc软件实现，普通CPU性能|功能（后门等如暗藏帐号）NSAbackdoor?你是攻击者你选谁？网络方面61网络方面Stepback来看一看最火的抗D场景网络方面Stepback来看一看最火的抗D场景62网络方面历史上最大的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日志数据是20G,28800G/dglobalanycast,edgeflowspec网络方面历史上最大的ddos攻击63网络方面历史上最大的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻击者获取了大部分的cloudflare

peeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus网络方面历史上最大的ddos攻击64网络方面历史上最大的ddos攻击网络方面历史上最大的ddos攻击65网络方面历史上最大的ddos攻击网络方面历史上最大的ddos攻击66网络方面腾讯网络方面腾讯67网络方面国内某著名抗D专业公司traceroute网络方面国内某著名抗D专业公司68网络方面国内某著名抗D专业公司网络方面国内某著名抗D专业公司69网络方面更进一步网络方面更进一步70抗攻击手段Bigplayersgoogle,amazon…etc如何做的？他们有个“totalsolution”boxCost$1M除了抗D外，还可以以线速接员工上下班抗攻击手段Bigplayersgoogle,amazo71抗攻击手段如果你想抵抗各种攻击，同时对网络影响最小，你需要针对你的环境采用layered的defense没有siliverbullet,发挥各种“平淡无奇”的技术到极致抗攻击手段72抗攻击手段网络层面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用锤子–钉子？layer3>layer4>layer7抗攻击手段网络层面73抗攻击手段参考Google的内部标准value

packets/second

bits/second

httpqueries/second

IPs抗攻击手段参考Google的内部标准value74抗攻击手段ACL

在接入层面的3,4层快速过滤功能iACL抗攻击手段ACL75抗攻击手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom抗攻击手段BGP(routingprotocol)76抗攻击手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻击手段BGP(routingprotocol)is77抗攻击手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻击手段Flowspec78抗攻击手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引+tunnelchinabyte网图抗攻击手段MPLS+Flowspec79抗攻击手段MPLS+Flowspec貌似本人是第一个用这个手段来做的，今年5月份nanog才有人做这一技术报告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体内容flowspecppt.pdf

http:///zHiKjtGsampleconfig.pdf

/zHiKjtbHugebenefit抗攻击手段MPLS+Flowspec80抗攻击手段AnycastMagic!!Everybodylike