盘点：常见UDP反射放大攻击的类型与防护措施

本文作者为易盾实验室工程师

一、DDoS攻击简介

分布式拒绝服务攻击（Distributed Denial of Service）简称DDoS，亦称为阻断攻击或洪水攻击，是目前互联网最常见的一种攻击形式。DDoS攻击通常通过来自大量受感染的计算机（即僵尸网络）的流量，对目标网站或整个网络进行带宽或资源消耗，使目标无法处理大量数据包，导致服务中断或停止。

UDP是网络通信的标准协议，由于UDP数据包是无链接状态的服务，相对TCP而言，存在更少的错误检查和验证。攻击者可以更小代价的利用UDP 协议特性攻击目标主机，使其无法响应正确请求，甚至会导致线路拥塞。而UDP反射放大攻击，更是近几年最火热，被利用最多的攻击方式。成本之低，放大倍数之高，使各企业闻D色变。

二、UDP反射放大攻击原理

很多协议在响应包处理时，要远大于请求包，一个字节的请求十个字的响应，十个字节的请求一百个字的响应，这就是UDP反射放大攻击最根本的原理。以下将Memcached服务作为实例进一步介绍。

Memcached是一款开源的高性能分布式内存对象缓存服务，通过缓存来降低对数据库的访问请求，加快应用程序的响应效率，可以应用于各类缓存需求中。通过查询缓存数据库，直接返回访问请求，降低对数据库的访问次数。

也正是这种服务机制，使攻击者有了可乘之机，借用正常服务达到攻击的目的。Memcached支持UDP协议的访问请求，并且默认也会将UDP端口11211对外开放，因此攻击者只需要通过快速的端口扫描，便可以收集到全球大量没有限制的Memcached服务器，随后攻击者只需要向Memcached服务器的UDP:11211端口，发送伪造为源IP的攻击目标IP地址的特定指定请求数据包，服务器在收到该数据包后，会将返回数据发送至攻击目标的IP地址。

黑客攻击者如果利用恶意软件的传播，来控制大量僵尸网络，再利用大量僵尸网络作为请求源，向Memcached服务器发起请求，并伪造数据包和攻击目标IP，则该返回的数据包将成指数级上升，比原始请求数据包扩大几百至几万倍，从而通过反射加放大的形式，使攻击目标拥塞，无法正常提供服务。以达到低成本化，高隐蔽性的攻击手段。

三、常见UDP反射类型

除了常见的DNS，NTP等UDP反射放大攻击类型，目前还有其他十多种UDP协议，均可以用于反射放大攻击，如：SSDP、QOTD、SNMP、CHARGEN、LDAP、MEMCACHE、WS-DISCOVERY 等。放大倍数从几倍到几万倍，其中部分协议今天仍然非常流行。

此处整理了部分常见UDP反射放大协议，理论放大倍数和实际常见到的放大倍数作为对比，看看谁的放大威力更强。

由此可见，这种以小博大，四两拨千斤的效果使各企业异常头疼的，部分协议的UDP反射放大倍数，已经超越了单纯依靠技术可以防护的阶段，还需要投入大量的物料资源给予支持。

四、常见防护方式

针对此类强力的DDoS攻击方式，有哪些实用又性价比超高的防护手段？

因篇幅有限，下面来介绍比较好落地的防护流程，和几个简单有效的算法措施，可根据业务情况方便的开关增减，和闭环迭代，做到事前预防部署，事中策略对抗，事后分析总结。

通告类：关注各个设备和安全厂商，cncert发布的最新安全通告，及时更新针对性防护策略；

目标IP+源端口限速：可以用于控制反射性攻击，且可以预防未知的反射协议；

源IP限速：单个请求源IP的整体控制；

目标IP限速：单个攻击目标IP的整体可用性控制；

源IP+源端口限速：可以降低部分大客户源IP在访问请求时的副作用影响；

目标IP+目标端口限速：适用于目标IP端口开发范围较大时，可提高业务端口可用率，降低目标整体影响；

包文长度学习：通过对业务历史包文数据的统计学习，可以描绘出正常业务包大小的正态分布图，由此可以清晰识别出构造的超大或超小包攻击包文；

偏移字节数学习：检查学习各个UDP包文中相同偏移未知所包含的相同内容，并将此内容提出作为指纹特征，根据此指纹特征，可以判断UDP包文的丢弃或放行动作；

源端口波动限制：通过对业务正常的流量中，已知可被利用的UDP反射源端口进行统计，对源端口的数量执行监控，在这类源端口出现快速突增的波动时，将该源端口临时封禁，待源端口数量恢复后则解除封禁，可以大大降低攻击造成的影响性；

服务白名单：对于已知的UDP反射协议，如DNS服务器的IP地址添加为白名单，除此之外，其他源IP的53端口请求包，全部封禁，也可以大大减少反射可用点，使UDP反射放大攻击的影响面降低；

地理位置过滤器：针对业务用户的地理位置特性，在遇到UDP反射放大攻击时，可优先从用户量最少地理位置的源IP进行封禁阻断，直到将异常地理位置的源IP请求全部封禁掉，使流量降至服务器可处理的范围之内，或可有效减轻干扰流量，便于其他算法进一步处理；

扩容带宽服务器：增强带宽和服务器的处理能力，增加业务流量和处理极限的可容忍波动范围，可以减轻在防护过程中造成的影响；

改进高可用架构：同上，可以增加业务流量和处理极限的可容忍波动范围，可增加分布式节点，可用性自动调度等机制，以保障有节点中断时快速切换到可用节点。

五、总结

UDP反射放大攻击，是一种具有超大攻击威力，且成本低廉，难以追踪的DDoS攻击方式。如今的DDoS黑产链已经相当的完善和成熟，各个人员的分工，资源获取，集中管控，需求中介，简易化操作工具，方便快速的发起攻击，已经成为黑产界最喜爱的方式之一；

如今的DDoS攻击越来越普遍，每天都有各式各样的攻击不断在各处上演，攻击的流量也已经从G级别上升到T级别，一顿饭的价格，一支烟的时间，就可以给企业造成难以估计的经济损失和品牌受损。尤其是游戏类，金融类，电商类，都属于DDoS攻击的重灾区，如果能够充分借助大数据，人工智能技术，以及各大运营商，安全服务厂商的支持，和更有效的预警和防护处置方案，将会为企业的安全提供最有力的安全协同保障。