網絡安全攻防

新聞一則10月18日：BelgacominvestigatesroutercompromiseatitscarrierservicesarmUnderseacables:160countries

700operatorsOnSept.16,Belgacomannouncedithaddiscoveredapreviouslyunknownvirusonsomeofitsinternalsystems.GCHQ

code-named"OperationSocialist.“"AninvestigationfoundchangestotheroutersoftwarethatmostlikelyresultedfromtheintrusionreportedinSeptember舊聞一則.cn事件網易科技訊8月25日消息，今天凌晨，.CN的根服務器因受到攻擊發生故障，大面積CN域名均無法解析，凌晨4點左右.cn根服務器恢復正常。工信部:峰值流量較平常激增近1000倍WSJ:CloudFlare…observeda32%dropintrafficforthethousandsofChinesedomainsonthecompany’snetworkduringtheattackcomparedwiththesametime24hoursearlier.botnet直接向6個.cn根域名查詢某私服網址舊聞一則.cn的攻擊流量由多大？最大的根L的數據（anycast全球146個點）25000q/s~=12Mb/sinbound挑戰1

VisibilityRightnow，你能說得清楚你的網絡是個什么狀況么？流量是怎么回事？Span+7層分析=Visibility?簽名問題告訴我你要看啥…管中窺豹更進一步的邏輯和關系？挑戰1最簡單的四元組分析如果不知道要看啥的時候你愿意看這個？挑戰1最簡單的四元組分析還是這個？挑戰1挑戰1Umbrella的一個可視化展示挑戰1基于不同數據的多視角的可視化的關系關聯是未來？挑戰2網絡方面網絡本身安全么？國內的網絡設備加固文檔禁用telnet,開啟ssh關閉echo,chargen,proxy-arp等服務網絡方面網絡設備加固的核心任務是啥？保護control|managementplane網絡方面路由器Data（forwarding）plane流量分布式專用硬件（ASIC）高性能，不向上

e.g.CRS-32.2Tbit/smax

322Tbit/sControl|ManagementplaneProtoclmakesthenetwork|routerrunbgp|ospf|ssh|snmp|arp|icmperror…etc軟件實現，普通CPU性能|功能（后門等如暗藏帳號）NSAbackdoor?你是攻擊者你選誰？網絡方面Stepback來看一看最火的抗D場景網絡方面歷史上最大的ddos攻擊Cloudflare流量>Amazon+Wikipedia+Twitter+Instagram+Apple每分鐘日志數據是20G,28800G/dglobalanycast,edgeflowspec網絡方面歷史上最大的ddos攻擊事件回放3月中cyberbunker>spamhaus3月20cyberbunker>cloudflare>spamhaus

3月23cyberbunker>cloudflare>spamhaus攻擊者獲取了大部分的cloudflare

peeringexchange點IPcyberbunker>ISP>cloudflare>spamhaus網絡方面歷史上最大的ddos攻擊網絡方面歷史上最大的ddos攻擊網絡方面騰訊網絡方面國內某著名抗D專業公司traceroute網絡方面國內某著名抗D專業公司網絡方面更進一步抗攻擊手段Bigplayersgoogle,amazon…etc如何做的？他們有個“totalsolution”boxCost$1M除了抗D外，還可以以線速接員工上下班抗攻擊手段如果你想抵抗各種攻擊，同時對網絡影響最小，你需要針對你的環境采用layered的defense沒有siliverbullet,發揮各種“平淡無奇”的技術到極致抗攻擊手段網絡層面ACL

BGPis

yourfriendFlowspecMPLS+Flowspec未來SDNAnycastbogon其他trickControlplane保護免費darknet沒有payload沒用錘子–釘子？layer3>layer4>layer7抗攻擊手段參考Google的內部標準value

packets/second

bits/second

httpqueries/second

IPs抗攻擊手段ACL

在接入層面的3,4層快速過濾功能iACL抗攻擊手段BGP(routingprotocol)isyourfriendBGPtotherack(facebook)BGPblackhole（SRCbased

DSTbased）

Diagramfrom抗攻擊手段BGP(routingprotocol)isyourfriendCTDstrtbhCThaslooseurpfenabled,soitcandoSrcrtbh抗攻擊手段FlowspecACLonsteroidLayer4infoUsebgpcontrolplanetodistributeACLBenefitsarehugeUseBGPtodistributeflowspecificationfiltersand

dynamicallytakeaction(drop,sampling,redirect)on

routers.SupportedbyJuniperandAlcatelFast:ACLpropgateviabgpadvertisementWecanblocktrafficbysrc|dstip,src|dstport,packet

size,protocol,tcpflags,icmp他type|code...andanyofthecombinationAmazon,cloudflare,google？GoolgeismovingintoSDNworld抗攻擊手段MPLS+FlowspecIwanttoseethepayload!!Youhavetoredirecttrafficifyouwanttoseel7牽引+tunnelchinabyte網圖抗攻擊手段MPLS+Flowspec貌似本人是第一個用這個手段來做的，今年5月份nanog才有人做這一技術報告Trafficredirect:Wecanredirectmatchedtraffic(wecancollectanytrafficfromanyinterfaceonanypeeringrouterandgetitsenttoourcollector)具體內容flowspecppt.pdf

http:///zHiKjtGsampleconfig.pdf

/zHiKjtbHugebenefit抗攻擊手段AnycastMagic!!Everybodylikesit,lifeisgoodafterthatReally?Howabout.cnwhichusesanycast…蝗蟲Attackcomes,moves

away,comesbackagain,movesawayagain…Bgpwithdrawn,advertise,withdrawn,advertise…Controlhowfaritgoes抗攻擊手段BogonTeamcymru抗攻擊手段其他trickE.g.抗攻擊手段其他trickE.g.抗攻擊手段其他trickE.g.雙IP

DNSserver白名單+TTL抗攻擊手段保護control

planeCorehidingDon’tredistributeconnected設計合理的內部ip段（loopbacks,interfaceips）bgpnull抗攻擊手段保護control

plane依然有問題脆弱的Chain抗攻擊手段保護control

plane脆弱的Chain:Peeringdb抗攻擊手段保護control

plane脆弱的Chain:Bgplookingglass抗攻擊手段DarknetExpensive!?NotreallyNobodyshouldtouchyourinfrasturcureNobodyshouldtouchyourunusedIps抗攻擊手段Darknet抗攻擊手段Darknet抗攻擊手段Darknet

see15169there?抗攻擊手段Darknet最后合作企業和企業，企業和運營商，運營商和運營商一個人一個企業走不遠Securitycommunity9、春去春又回，新桃換舊符。在那桃花盛開的地方，在這醉人芬芳的季節，愿你生活像春天一樣陽光，心情像桃花一樣美麗，日子像桃子一樣甜蜜。2月-252月-25Sunday,February23,202510、人的志向通常和他們的能力成正比例。21:09:0221:09:0221:092/23/20259:09:02PM11、夫學須志也，才須學也，非學無以廣才，非志無以成學。2月-2521:09:0221:09Feb-2523-Feb-2512、越是無能的人，越喜歡挑剔別人的錯兒。21:09:0221:09:0221:09Sunday,February23,202513、志不立，天下無可成之事。2月-252月-2521:09:0221:09:02February23,202514、ThankyouverymuchfortakingmewithyouonthatsplendidoutingtoLondon.ItwasthefirsttimethatIhadseentheToweroranyoftheotherfamoussights.IfI'dgonealone,Icouldn'thaveseennearlyasmuch,becauseIwouldn'thaveknownmyway