本文探讨了 SIDN Labs 与 NBIP 合作开发的新算法，用于分类与多向量分布式拒绝服务（DDoS）攻击相关的流量。这些算法已集成到 DDoS 清除中心系统中，该系统允许不同组织的操作团队通过自动共享 DDoS 特征（所谓的“DDoS 指纹”）来协同准备应对 DDoS 攻击。DDoS 清除中心是 CONCORDIA 项目的一部分，并将被荷兰国家反 DDoS 联盟使用。
Dissector 的工作原理
Dissector 是 DDoS 清除中心的核心组件，其任务是处理 DDoS 网络流量（例如，PCAP 文件形式），识别攻击特征（如协议、端口、源 IP 和数据包有效载荷长度），并生成一个指纹来捕捉这些特征。Dissector 是模块化的，支持不同的分类启发式方法，每种方法都能为特定类型的攻击生成指纹。Dissector 的整体设计如图 1 所示。它接收 DDoS 网络流量作为输入——无论是数据包数据还是流量数据——并提供输出，即 JSON 格式的指纹文件。网络流量通常是 DDoS 攻击中涉及的总流量样本，这使得 Dissector 能够快速生成指纹，同时资源需求相对有限（在内存和 CPU 方面）。
Dissector 的处理流程
Dissector 的处理流程由两个组件组成：攻击分析器和攻击分类器。攻击分析器从样本攻击流量中创建配置文件，确定攻击中涉及的协议和服务，并识别一组与分类攻击相关的属性。属性可以是数据包头部类型（如 HTTP 头部、DNS 请求、数据包有效载荷、源和目的 IP）或“高级”属性，如攻击的疑似性质（如放大或勒索软件基于的 DDoS）。攻击分类器计算配置文件中每个属性的值，旨在识别模式和相似性。我们的分类器使用基于发生次数的简单启发式方法，并结合更复杂的算法来确定高级属性（如评估攻击是否为放大攻击的分类器）的值。
数据来源与合作伙伴
为了开发和改进 Dissector 的实现，我们主要依赖于荷兰反 DDoS 联盟合作伙伴 NBIP 提供的真实攻击 PCAP 文件。NBIP 运行荷兰国家 DDoS 清洗器（NaWas），这是一个用于清洗 DDoS 攻击流量的系统。
结尾：
对于运维和网络工程师来说，这些新的 DDoS 分类器提供了强大的工具，可以帮助他们更有效地识别和防御 DDoS 攻击。通过自动共享 DDoS 特征，不同组织可以协同工作，共同提高对 DDoS 攻击的防御能力。
原文: APNIC Blog（2021-05-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog