网络安全攻防

网络安全攻防

新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？挑战1最简单的四元组分析还是这个？挑战1挑战1Umbrella的一个可视化展示挑战1基于不同数据的多视角的可视化的关系关联是未来？挑战2网络方面面网络本身身安全么么？国内的网网络设备备加固文文档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务网络方面面网络设备加加固的核心心任务是是啥？保护control|managementplane网络方面面路由器Data（forwarding）plane流量分布式专用硬件（（ASIC）高性能，不向向上e.g.CRS-32.2Tbit/smax322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror……etc软件实现现，普通通CPU性能|功能（（后门等如暗暗藏帐号号）NSAbackdoor?你是攻击击者你选选谁？网络方面面Stepback来看一看看最火的的抗D场景网络方面面历史上最最大的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日日志数据据是20G,28800G/dglobalanycast,edgeflowspec网络方面面历史上最最大的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus3月23cyberbunker>cloudflare>spamhaus攻击者获取取了大部部分的cloudflarepeeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus网络方面面历史上最最大的ddos攻击网络方面面历史上最最大的ddos攻击网络方面面腾讯网络方面面国内某著著名抗D专业公司司traceroute网络方面国内某著名名抗D专业公司网络方面更进一步抗攻击手段段Bigplayersgoogle,amazon…etc如何做的？？他们有个““totalsolution”boxCost$1M除了抗D外，还可以以线速速接员工上上下班抗攻击手段段如果你想抵抗抗各种攻击击，同时对对网络影响响最小，你你需要针对对你的环境境采用layered的defense没有siliverbullet,发挥各种“平淡无无奇”的技技术到极致抗攻击手段段网络层面ACLBGPisyourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用锤子–钉子？layer3>layer4>layer7抗攻击手段段参考Google的内部标准准valuepackets/secondbits/secondhttpqueries/secondIPs抗攻击手段段ACL在接入层面面的3,4层快速过滤滤功能iACL抗攻击手段段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbasedDSTbased）D抗攻击手段段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻击手段段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersanddynamicallytakeaction(drop,sampling,redirect)onrouters.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packetsize,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻击手段段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引+tunnelchinabyte网图抗攻击手段段MPLS+Flowspec貌似本人是第一个用用这个手段段来做的，，今年5月份nanog才有人做这这一技术报报告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体内容flowspecppt.pdf/zHiKjtGsampleconfig.pdf/zHiKjtbHugebenefit抗攻击手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Hwhichusesanycast……蝗虫Attackcomes,movesaway,comesbackagain,movesawayagain……Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻击手段BogonTeamcymru抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.抗攻击手段其他trickE.g.双IPDNSserver白名单+TTL抗攻击手段保护controlplaneCorehidingDon’tredistributeconnected设计合理的内部ip段（loopbacks,interfaceips）bgpnull抗攻击手段保护controlplane依然有问题脆弱的Chain抗攻击手段保护controlplane脆弱的Chain:Peeringdb抗攻击手段保护controlplane脆弱的Chain:Bgplookingglass抗攻击手段DarknetExpensive!?Notreally