保定扫段攻击来袭，DDoS防御面临新挑战

0x00概述

随着互联网的快速发展，DDoS攻击已经演变成全球性的网络安全威胁，从早期的SYNFlood攻击，到近年来兴起的各种新型反射放大攻击，DDoS攻击愈演愈烈，无论是受控主机还是攻击对象，都日益呈现出大规模化和多样化的态势。

防御技术的不断完善，攻击技术则不断进化。当前在各种防御平台、方案启用防护后，传统的DDoS攻击已经较难给目标网络造成持续性的破坏。于是近年来兴起了一种新的DDoS攻击方式，扫段攻击。扫段攻击顾名思义是对一大段IP同时或顺序地实施DDoS攻击，同时攻击的情况下每个目标IP所受攻击流量较小，全部加一起则很大；顺序攻击时，每个IP遭受攻击流量很大，但持续的时间很短，短则3秒，长的超过30秒。也可以说扫段攻击是一系列关联的DDoS攻击事件的组合，但是攻击者会对攻击目标、攻击时长，攻击频度进行不断的变化，这给传统的DDoS监测和防御提出新的挑战。

当前黑客使用扫段攻击主要是针对ISP服务提供商，智云盾监控到此类攻击态势在近期持续存在。

0x01 攻击回顾

1）攻击案例

2020年1月29日凌晨，智云盾系统监测到海外某机房突然出现大量短时间的DDoS攻击事件，系统研判自动修正这一系列攻击事件是一次扫段攻击。安全专家跟踪分析发现，当天共发生16次扫段攻击，攻击者共计攻击了128个C段的12967个IP。

攻击首日，持续时间长的一次扫段攻击超过了一个小时；攻击者在这次攻击中，不断变换攻击IP，每次会抽取同一C段的15个IP地址同时发动DDoS攻击，攻击类型均为SYNFlood与多种UDP反射混合。

智云盾定位扫段攻击后，通过BGP宣告被攻击IP所在的C段整体切换到另一低优线路发布路由，同时加大该线路的基础带宽，在防御的过程中，清洗与黑洞组合使用，尽可能保障业务服务正常。

2）攻击态势

这一波扫段攻击持续了较长时间，2月14日发生的扫段攻击次数多，下图展示了扫段攻击的趋势：

图1