2023年DDoS趋势回顾及2024年可操作性策略
内容提要
2023年是分布式拒绝服务（DDoS）攻击的里程碑年份，网络犯罪集团、黑客和恶意行为者利用物联网设备构建大规模僵尸网络，对企业、政府机构和公共基础设施发起破纪录的DDoS攻击。金融服务行业是最受攻击的行业，攻击类型变得更频繁、持续时间更长、复杂程度更高，并专注于横向攻击。2023年还出现了使用HTTP/2快速重置零日漏洞发起的大规模L7 DDoS攻击，DNS攻击也增加了近60%。建议组织采取积极准备、保护DNS基础设施和不依赖现有解决方案的策略来应对DDoS攻击。
延伸解读
横向攻击与多向量叠加：防御难度的结构性上升
2023年近30%的DDoS攻击为横向或多目的地攻击，较此前不足20%明显增长，攻击者不再聚焦单一高价值目标，而是同时打击多个不相关IP，增加安全团队全局缓解的难度。同时，多向量攻击增多，Akamai在部分大规模攻击中发现超过14种不同向量，目的在耗尽资源并压垮防御团队。这意味着仅靠单点防护或固定阈值难以应对，组织需从资产测绘和分层缓解入手，提升对分散式攻击的可见性与响应速度。
DNS成为关键攻击面：近六成攻击含DNS组件
2023年Akamai缓解的DDoS攻击中近60%使用了DNS组件，较2022年第一季度增长近200%，DNS攻击在短暂回落后重新抬头。攻击者未必直接瘫痪DNS名称服务器，而可能通过资源耗尽降低全局服务器负载均衡性能，使合法请求受影响。这提示组织应将DNS安全与性能纳入DDoS防护核心，而非仅关注网站前端；传统DNS防火墙可能不足，需兼顾本地与云上DNS区域的防护及实时分析能力。
金融行业成重灾区：地缘政治与僵尸网络双重驱动
2023年约35%的DDoS攻击针对银行和金融服务行业，比例较2021至2022年的约20%显著上升。虚拟机僵尸网络能力增强，以及乌克兰和以色列战争引发的地缘政治黑客行动主义，是推动该行业攻击增加的原因。亲俄黑客组织曾宣布对欧美金融机构发起协同DDoS攻击，EMEA地区金融领域L3/L4攻击事件数量几乎是北美两倍。对金融及同类关键行业而言，攻击常伴随声誉损害或作为混合攻击的烟幕，需将DDoS纳入整体威胁响应。
从短爆发到长时间攻击：响应机制需匹配新节奏
2023年DDoS攻击持续时间出现变化，许多攻击超过20分钟，2021至2023年间持续超过一小时的攻击数量增加50%，与以往常见不到2分钟的短爆发趋势相反。短攻击对缺乏主动防御和快速响应的组织有效，而长时间攻击则持续消耗生产力和业务连续性能力。组织应提前指定危机响应小组、更新运行手册和事件响应计划，并以“始终在线”的防护态势部署控制措施，避免在攻击发生时临时集成而加重响应负担。
Q&A
2023年DDoS攻击在规模和频率上有什么显著变化？
2023年DDoS攻击的规模和复杂程度加速增长，出现了破纪录的攻击，例如峰值900.1 Gbps和158.2 Mpps的攻击。高pps的L3和L4层DDoS攻击数量比2021年增加了近50%。攻击也变得更频繁、持续时间更长，持续时间超过一小时的攻击数量在2021年至2023年间增加了50%。
HTTP/2快速重置零日漏洞如何被用于DDoS攻击？
攻击者利用HTTP/2快速重置零日漏洞（CVE-2023-44487），通过快速连续发送和取消请求（RST_STREAM帧），绕过服务器的并发流最大值，在未达到配置阈值的情况下使服务器过载，从而发起大规模L7 DDoS攻击。
2023年哪个行业遭受的DDoS攻击最多？
银行和金融服务行业是2023年遭受DDoS攻击数量最多的垂直行业，近35%的DDoS攻击针对金融行业，这一比例自2021年以来持续上升。
什么是横向DDoS攻击？2023年这类攻击的趋势如何？
横向DDoS攻击（又称地毯式炸弹攻击）是指同时针对多个不相关目标的DDoS攻击，攻击者通过分布攻击来最大化破坏范围。2023年，近30%的DDoS攻击是横向或多目的地攻击，比之前增长了近50%。
2023年DNS攻击的趋势如何？
2023年DNS攻击显著增加，近60%的DDoS攻击使用了DNS组件，比2022年第一季度增长了近200%。DNS基础设施成为主要目标，攻击者旨在使业务离线。
组织在2024年应采取哪些可操作的DDoS防护策略？
建议组织采取三项策略：1) 积极准备DDoS防护态势，包括检查关键子网、部署始终在线的防护、指定危机响应小组、使用混合保护平台和云防火墙；2) 保护DNS基础设施，使用混合平台保护本地和云DNS区域，提供实时分析和分布式PoP；3) 不要依赖“足够好”的解决方案，避免免费增值陷阱，并对防御能力进行压力测试。
