网络安全攻与防v天融信

网络安全攻与防

宫一鸣微博：宫一鸣cn2013年10月新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？挑战1最简单的四元组分析还是这个？挑战1挑战1Umbrella的一个可视化展示挑战1基于不同数据的多视角的可视化的关系关联是未来？挑战2网络方面网络本身安全全么？国内的网络设设备加固文档档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务网络方面网络设备加固的核心任务务是啥？保护control|managementplane网络方面路由器Data（forwarding）plane流量分布式专用硬件（ASIC）高性能，不向上e.g.CRS-32.2Tbit/smax322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc软件实现，普普通CPU性能|功能（后门等如暗藏帐帐号）NSAbackdoor?你是攻击者你你选谁？网络方面Stepback来看一看最火火的抗D场景网络方面历史上最大的的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日志数数据是20G,28800G/dglobalanycast,edgeflowspec网络方面历史上最大的的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus3月23cyberbunker>cloudflare>spamhaus攻击者获取了大大部分的cloudflarepeeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus网络方面历史上最大的的ddos攻击网络方面历史上最大的的ddos攻击网络方面腾讯网络方面国内某著名抗抗D专业公司traceroute网络方面国内某著名抗抗D专业公司网络方面更进一步抗攻击手段Bigplayersgoogle,amazon…etc如何做的？他们有个“totalsolution”boxCost$1M除了抗D外，还可以以线速接接员工上下班班抗攻击手段如果你想抵抗各各种攻击，同同时对网络影影响最小，你你需要针对你你的环境采用用layered的defense没有siliverbullet,发挥各种“平淡无奇奇”的技术到极致抗攻击手段网络层面ACLBGPisyourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用用锤子子–钉子子？？layer3>layer4>layer7抗攻攻击击手手段段参考考Google的内内部部标标准准valuepackets/secondbits/secondhttpqueries/secondIPs抗攻攻击击手手段段ACL在接接入入层层面面的的3,4层快快速速过过滤滤功功能iACL抗攻攻击击手手段段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbasedDSTbased）D抗攻攻击击手手段段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻攻击击手手段段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersanddynamicallytakeaction(drop,sampling,redirect)onrouters.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packetsize,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻攻击击手手段段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引引+tunnelchinabyte网图图抗攻攻击击手手段段MPLS+Flowspec貌似本人人是第第一一个个用用这这个个手手段段来来做做的的，，今今年年5月份份nanog才有有人人做做这这一一技技术术报报告告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体体内内容容flowspecppt.pdf/zHiKjtGsampleconfig.pdf/zHiKjtbHugebenefit抗攻攻击击手手段段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Hwhichusesanycast……蝗虫虫Attackcomes,movesaway,comesbackagain,movesawayagain……Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻击手段BogonTeamcymru抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.双IPDNSserver白名单+TTL抗攻击手段保护controlplaneCorehidingDon’tredistributeconnected设计合理的内部ip段（loopbacks,interfaceips）bgpnull抗攻击手段保护controlplane依然有问题脆弱的Chain抗攻击手段保护controlplane脆弱的Chain:Peeringdb抗攻击手段保护controlplane脆弱的Chain:Bgplookingglass抗攻击手段DarknetExpensive!?Notreal