网络攻击盯上民生，应对DDoS和APT攻击，打赢一场“非对称战争“

最近科技日报指出，近年来网络攻击频繁盯上民生领域，如电力、交通、水利、能源乃至医疗等关键基础设施。

在很多人看来，网络攻击这件事好像还离我们很远，然而当关系到国计民生的基础设施遭到攻击时，就可能会影响到整个城市的运行，进而威胁到人们的生活。

还记得黑客攻击美国最大的输油管事件，导致美国持续6天出现大面积缺油现象，相关公司还被勒索了500万美元赎金。

在网络安全业内看来，不管是民用还是军用，是战争还是和平时代，网络攻击随时都可能发生。

据环球网报道，北京某宝不久前曾遭到DDOS攻击（分布式拒绝服务攻击），分析发现相关攻击来自境外，该公司技术团队及时采取应对措施，才保证其相关服务应用免受影响。

之前，美国动视暴雪公司战网服务遭到DDOS攻击，导致其游戏网络出现中断和严重延迟现象。

360网络安全专家李丰沛指出来自境外的网络攻击，其意图多种多样。DDOS攻击具有针对国内关键设施进行攻击的破坏性意图。

DDOS攻击作为网络空间的顽疾，相关企业一旦遭到攻击，就意味着要打一场“非对称战争”。因此提前做好网络攻击防范和应急预案对网站服务方来说十分重要。

另有基于窃取情报意图的APT攻击，是一种隐蔽性更强，攻击规模更大的高级网络攻击。当APT攻击发生，传统的网络防御体系甚至难以进行侦测。

对此，相关安全专家指出，所有的安全厂商和IT供应商需要不断增强自身安全实力，针对各种攻击做出弹性备案，推进筑牢国家数字安全屏障。

下面我们将深入了解DDOS和APT攻击以及如何进行有效防御。

关于DDOS（Distributed Denial of Service）分布式拒绝服务攻击，是指攻击者通过技术手段，在很短的时间内对目标攻击网站发出大量请求，极大地消耗相关网站的主机资源，导致其无法正常服务。

打个比方来说，原本一家银行在正常运行，为其客户提供服务，攻击者想了一个办法，在短时间内叫了几十个恶霸去银行排号，然后他们不是去办什么业务，而是和银行客服东拉西扯占用银行服务资源，导致其无法正常为客户提供服务。

DDoS攻击有多种类型，针对Web服务器的攻击有TCP SYN泛洪攻击和CC攻击。

另外UDP flood、Ping of Death和ICMP flood可针对各种服务器发起攻击。Smurf攻击的目标有服务器、交换机和路由器。

关于TCP SYN泛洪攻击，SYN（Synchronize Sequence Numbers）同步序列编号，是TCP/IP建立连接时使用的握手信号。DDOS攻击者利用TCP的三次握手机制，通过伪造IP地址向攻击目标发出请求，使攻击目标无法正常响应服务，且不断消耗资源，最后可能导致服务器死机，从而无法向用户提供服务。

Ping of Death是指攻击者通过故意给对方发送大于65535字节的IP数据包，进行的一种畸形报文攻击。

由于65535字节是IP协议允许的最大字节，当攻击者增加IP包的大小，会导致许多操作系统收到后不知道该做什么，服务器随之会出现冻结、宕机或重启等情况。

Smurf攻击是一种病毒攻击，它通过IP欺骗和ICMP回复，促使大量网络传输涌向目标系统，导致系统拒绝提供正常服务。

其中IP欺骗是指创建源地址经过修改的Internet 协议 (IP) 数据包。

ICMP（Internet Control Message Protocol）是Internet控制报文协议，是TCP/IP协议簇的一个子协议，用于在IP主机、路由器之间传递控制消息。攻击者利用ICMP伪造网关，进而把大量伪造IP数据包发送到目标系统，从而对目标设备或周边基础设施发动 DDoS 攻击。

应对各种DDOS攻击，其防御技术也多种多样，主要方法有使用高防服务器、设置黑名单、DDOS清洗和CDN加速等。

关于CDN流量加速，倘若能够精准查询用户IP地址，了解用户分布情况，有利于实现CDN流量的高效调度。

再来看看APT（Advanced Persistent Threat）高级长期威胁攻击，该攻击通常是黑客针对特定目标，长期、有计划且有组织地进行窃取情报信息的行为，是综合了多种攻击方式的高级定向攻击，通俗来说APT攻击相当于是“网络间谍”行为。

完成一轮APT攻击通常会经过扫描探测、工具投送、漏洞利用、木马植入、远程控制、横向渗透和目标行动等七个阶段。

近年来，来自境外的APT黑客攻击接连发生，攻击者的手段越发复杂和隐蔽。

为了防御此类攻击，信息网络技术安全人员的防御技术更需不断精进。防御APT攻击，需要从网络安全建设的方方面面着手，推进安全防御技术远远超过攻击者的手段。