网络安全攻与防培训课件

网络安全攻与防

宫一鸣微博：宫一鸣cn2013年10月第一页，共四十八页。新闻一则10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember第二页，共四十八页。旧闻一则.cn事件网易科技讯8月25日消息，今天凌晨，.CN的根服务器因受到攻击发生故障，大面积CN域名均无法解析，凌晨4点左右.cn根服务器恢复正常。工信部:峰值流量较平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6个.cn根域名查询某私服网址第三页，共四十八页。旧闻一则.cn的攻击流量由多大？最大的根L的数据（anycast全球146个点）25000q/s~=12Mb/sinbound第四页，共四十八页。挑战1

VisibilityRightnow，你能说得清楚你的网络是个什么状况么？流量是怎么回事？Span+7层分析=Visibility?签名问题告诉我你要看啥…管中窥豹更进一步的逻辑和关系？第五页，共四十八页。挑战1最简单的四元组分析如果不知道要看啥的时候你愿意看这个？第六页，共四十八页。挑战1最简单的四元组分析还是这个？第七页，共四十八页。挑战1第八页，共四十八页。挑战1Umbrella的一个可视化展示第九页，共四十八页。挑战1基于不同数据的多视角的可视化的关系关联是未来？第十页，共四十八页。挑战2网络方面网络本身安全么？国内的网络设备加固文档禁用telnet,开启ssh关闭echo,chargen,proxy-arp等服务第十一页，共四十八页。网络方面网络设备加固的核心任务是啥？保护control|managementplane第十二页，共四十八页。网络方面路由器Data（forwarding）plane流量分布式专用硬件（ASIC）高性能，不向上e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc软件实现，普通CPU性能|功能（后门等如暗藏帐号）NSAbackdoor?你是攻击者你选谁？第十三页，共四十八页。网络方面Stepback来看一看最火的抗D场景第十四页，共四十八页。网络方面历史上最大的ddos攻击Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分钟日志数据是20G,28800G/dglobalanycast,edgeflowspec第十五页，共四十八页。网络方面历史上最大的ddos攻击事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻击者获取了大部分的cloudflare

peeringexchange点IPcyberbunker>ISP>cloudflare>spamhaus第十六页，共四十八页。网络方面历史上最大的ddos攻击第十七页，共四十八页。网络方面历史上最大的ddos攻击第十八页，共四十八页。网络方面腾讯第十九页，共四十八页。网络方面国内某著名抗D专业公司traceroute第二十页，共四十八页。网络方面国内某著名抗D专业公司第二十一页，共四十八页。网络方面更进一步第二十二页，共四十八页。抗攻击手段Bigplayersgoogle,amazon…etc如何做的？他们有个“totalsolution”boxCost$1M除了抗D外，还可以以线速接员工上下班第二十三页，共四十八页。抗攻击手段如果你想抵抗各种攻击，同时对网络影响最小，你需要针对你的环境采用layered的defense没有siliverbullet,发挥各种“平淡无奇”的技术到极致第二十四页，共四十八页。抗攻击手段网络层面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未来SDNAnycastbogon其他trickControlplane保护免费darknet没有payload没用锤子–钉子？layer3>layer4>layer7第二十五页，共四十八页。抗攻击手段参考Google的内部标准valuepackets/secondbits/secondhttpqueries/secondIPs第二十六页，共四十八页。抗攻击手段ACL

在接入层面的3,4层快速过滤功能iACL第二十七页，共四十八页。抗攻击手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom第二十八页，共四十八页。抗攻击手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh第二十九页，共四十八页。抗攻击手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld第三十页，共四十八页。抗攻击手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牵引+tunnelchinabyte网图第三十一页，共四十八页。抗攻击手段MPLS+Flowspec貌似本人是第一个用这个手段来做的，今年5月份nanog才有人做这一技术报告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具体内容flowspecppt.pdf

/zHiKjtGsampleconfig.pdf

Hugebenefit第三十二页，共四十八页。抗攻击手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Hwhichusesanycast…蝗虫Attackcomes,moves

away,comesbackagain,movesawayagain…Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes第三十三页，共四十八页。抗攻击手段BogonTeamcymru第三十四页，共四十八页。抗攻击手段其他trickE.g.第三十五页，共四十八页。抗攻击手段其他trickE.g.第三十六页，共四十八页。抗攻击手段其他trickE.g.双IP

DNSserver白名单+TTL第三十七页，共四十八页。抗攻击手段保护control

planeCorehidingDon’tredistributeconnected设计合理的内部ip段（loopbacks,interfaceips）bgpnull第三十八页，共四十八页。抗攻击手段保护control

plane依然有问题脆弱的Chain第三十九页，共四十八页。抗攻击手段保护control

plane脆弱的Chain:Peeringdb第四十页，共四十八页。抗攻击手段保护control

plane脆弱的Chain:Bgplookingglass第四十一页，共四十八页。抗攻击手段DarknetExpensive!?NotreallyNobodyshouldtouchyourinfrasturcureNobodyshouldtouchyourunusedIps第四十二页，共四十八页。抗攻击手段Darknet第四十三页，共四十八页。抗攻击手段Darknet第四十四页，共四十八页。抗攻击手段Darknet

see15169there?第四十五页，共四十八页。抗攻击手段Darknet第四十六页，共四十八页。最后合作企业和企业，企业和运营商，运营商和运营商一个人一个企业走不远Securitycommunity第四十七页，共四十八页。内容总结网络安全攻与防。Rightnow，你能说得清楚你的网络是个什么状况么。Span+7层分