返回 登录
0

UEWAF成功防御QPS超200万的CC攻击

网络空间的攻防是没有硝烟的战场。作为UCloud自主研发的一款云端企业级Web防护服务产品,UEWAF基于云安全大数据能力,可以过滤海量恶意访问,避免网站资产数据泄露,保障网站的安全性与可用性。

近日,UEWAF成功防御黑客针对UCloud云上某游戏客户发起的超大规模CC(Challenge Collapsar)攻击。攻击者从7月7日20点11分左右开始发起攻击,攻击峰值出现在20点24分左右,QPS(每秒查询率)超过200万。

图片描述
(QPS 趋势图)

7月7日20点15分,UEWAF安全运营团队接到客户紧急求助,客户反馈其多个域名遭到CC攻击,业务已全部中断。

通过分析,发现受攻击的域名主要是作为API(应用程序编程接口)为手机客户端提供服务,常规的防御方式无法在短时间内将攻击流量压制,随后UEWAF安全运营团队为客户启用紧急防御模式。在该模式下,UEWAF会结合使用UCloud安全中心积累多年的IP信誉库和机器学习等技术,计算来源IP的恶意度,迅速将被黑客利用的绝大部分“肉鸡”IP封杀在网络层。

通过大数据安全分析,本次攻击的特征如下:
(1)攻击针对游戏客户端API接口;
(2)黑客做了充足准备,分析了该游戏客户端的业务逻辑,攻击请求与客户端真实请求相似度极高。

基于以上特征,黑客能高度模仿真实用户的行为,这对企业的防御手段提出了巨大挑战。传统的CC防御将重心放到了伪装网民(主要是浏览器)访问的识别上,但对于API接口来说,正常的访问请求很大可能不是来自浏览器,而是来自机器。因此,要从这些机器中识别出哪些是真正的用户、哪些是黑客控制的“肉鸡”成为难题。

UEWAF基于反向代理实现了“替身式”防御,攻击流量全部在UEWAF Worker节点上拦截掉,不允许攻击流量透传到源站。为了实现高可用,内部采用L4 switch报文转发,通过多个节点建立集群去分担流量,保证了服务的高可用性和拓展的灵活性。

图片描述
(UEWAF高可用架构示意图)

在CC攻击防御中,客户源站为第一保护对象,UEWAF会首先保证源站业务正常。其次在识别和清洗攻击流量过程中,会对部分攻击IP实施网络层封堵,以保证UEWAF Worker节点有足够的端口及带宽为正常用户提供服务。在网络层IP封堵实现上,UEWAF定制了Linux内核,能够以极低的性能损失为代价封堵百万级别的IP地址,保障UEWAF Worker节点的性能。

当前,CC攻击已经成为游戏、金融、电商等行业常用的攻击手段。为保证线上业务系统的正常运行,企业应高度重视,加强安全防范措施。UEWAF作为UCloud云安全解决方案-天罡旗下核心产品,基于UCloud云平台强大的计算资源及自身领先的技术能力,在用户业务遭遇CC攻击或者业务突发时,能够进行自身服务的快速扩展,不存在性能瓶颈等问题。与此同时,利用强大的云端情报收集能力并结合其他情报厂商的信息,UEWAF可以过滤海量的恶意访问,守护网络安全。

评论