阿里云安全团队于2018年9月14日0:10分监控到一起大规模攻击事件,当天近3000台的Portmap服务器被利用来进行反射DDoS攻击,平均反射放大比均值在7.X。阿里云平台30秒完成从检测识别到自动拦截,并第一时间通知到用户。

事发当日,仅阿里云安全团队拦截的从平台流出的对外Portmap攻击流量最高或可达到57G,预计全网该反射的攻击流量更是一个天文数字,危害极大。同时,被利用来反射的服务器将会出现网络满负载,甚至有CPU满载的情况,进而影响服务器上的正常业务应用的运行,严重情况下甚至会导致业务中断。

阿里云安全团队建议用户关注服务器上是否有开启RPCBind服务,如果业务中并没有使用RPCBind,可直接关闭,避免您的服务器被利用导致的业务受影响。

详细分析如下:

Portmap反射DDOS的成因

Portmap RPCBind服务在TCP或UDP的111端口上运行,对该服务发起一个普通查询需要68字节,服务器响应包486字节,反射放大比为7.14。

一般反射DDOS攻击原理如下图所示:

反射DDOS实施的2个必备条件:

  1. 可以伪造源IP。

  2. UDP协议无需连接,服务器响应包的大小远大于请求包大小,攻击以小博大。

针对以上数据流,我们认为限制并阻止违造源IP数据包发送到网络上,可以从根本上杜绝反射DDOS发生。

软件在服务器上的分发使用,我们认为:
a. 对“软件开发者”在设计服务时,需要有安全考虑,UDP协议存在放大时,可以加入鉴权机制。
b.对“镜像提供者”,在打包软件进入镜像时,默认镜像应审计其安全,不安全的打包安全策略。
c. 对“使用者”,在使用优先使用需要建立连接的TCP的服务,禁用UDP,以免在未建连接情况下伪造IP被以小博大。

全网情况

在shodan上搜索,整个互联网上潜在被利用的攻击主机数量近两百万,如下图:

(数据引用自shodan)

Portmap反射DDOS的危害

  • 用户云主机的CPU占用率会比日常高出几倍
  • 用户云主机带宽全部被占满,下图为一台3M的主机:

阿里云平台对反射DDOS自动管控:

处理时间快:9月14日首次Portmap攻击事件在00:10发生,全天共发现Portmap事件4000余起,涉及IP数2700余个,30s内完成检测并自动进行管控。

用户影响小:平台不关停用户云主机,对攻击流量进行管控,基本对用户正常业务无影响。

检测类型广:包含Portmap在内,平台检测并处置9种反射DDOS类型。

UDP各种服务的反射放大比如下图,引用自美国CERT公布的数据

https://www.us-cert.gov/ncas/alerts/TA14-017A:

用户应急建议:

直接关闭RPCBind服务:如果业务中并没有使用RPCBind,可直接关闭。

Ubuntu:

(1) 打开终端,运行如下命令,关闭RPCBind服务:

sudo systemctl stop rpcbind.socket

(2) 检查RPCBind服务是否关闭:

netstat -anp | grep rpcbind

CentOS:

(1) 打开终端,运行如下命令:

systemctl stop rpcbind.socket

(2) 检查RPCBind服务是否关闭:

netstat -anp | grep rpcbind

点击收藏 | 0 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖