Black Hat USA 2000 - Strategies for Defeating Distributed Attacks
三句話摘要
應對分散式攻擊的識別與防禦策略—涵蓋攻擊模型、網路探測、分層防禦與實用工具。 --- 應對分散式攻擊無單一解決方案，需從網路架構設計、細粒度流量控制、TTL驗證三層同步推進，並建立全公司層級的安全政策與變更管理流程才能真正有效防禦。 攻擊識別的雙重性
重點整理
重點- 1
攻擊識別的雙重性
- 2
模式識別是即時發現事件發生時的異常跡象（如連線激增、特定封包特徵），而效果識別是察覺攻擊後果（伺服器重啟、CPU飆高、檔案被篡改）。混合攻擊結合兩種手段，加上使用「一次性主機」製造誘餌和源地址混淆，使得傳統單一維度的檢測完全失效。
- 3
多層代理隱蔽機制
- 4
攻擊者先入侵上游主機（常在ISP或骨幹網供應商），在該處部署嗅探軟體，再控制多個被入侵主機向目標發動攻擊。通過冒名源地址為受信任業務夥伴，並利用隱藏通道與特殊ICMP技巧完成握手，使得回溯追蹤形同虛設。
- 5
分層防禦架構
- 6
架構層：分割內外DNS避免區域轉儲、DMZ獨立部署伺服器、狀態表防火牆控制伺服器間流量。流量層：限制ICMP入站與出站、強制代理所有出站流量、部署可自訂規則且能處理分片封包的入侵偵測系統（最好支援100Mbps）。
- 7
TTL檢測偽造封包
- 8
對可疑源地址探測以取得實際TTL值，與收到封包的TTL值比對。TCP/UDP初始TTL為64、ICMP為255，正常情況下兩者差異不超過1-2跳。若差值達20以上，大概率判斷為偽造封包，準確度約90-95%。此法在多骨幹網與負載平衡環境下準確度會略降。
- 9
--
實用技巧與重點
乾貨- 工具與軟體
- Vlad掃描器（免費開源、Perl+C混合、檢測SANS前十大漏洞、含CGI掃描器與協議掃描）
- DPOF（TTL檢測命令列工具、支援IP冒名、Unix系統、可觸發日誌監控程式）
- dsniff（ARP表操作、克服交換式網路嗅探限制）
- nmap（TCP指紋辨識、混雜模式嗅探、支援誘餌IP）
- Firewalk（防火牆後設備探測）
- Swatch（日誌監控）
- Hacker Shield（BindView商業產品、快速連發更新208、SANS前十大掃描）
- 防禦技術清單
- 分割DNS：公開DNS放DMZ、內部DNS獨立管理，防止區域轉儲
- 封包過濾：丟棄/拒絕TTL=1或0的封包、限制入站ICMP（主機/目標不可達、來源抑制）、限制出站ICMP
- 流量管理：所有出站流量（FTP、Telnet、HTTP）強制經代理伺服器
- 防火牆規則：狀態表防火牆、拒絕非既有連線的封包、DMZ伺服器間內建防火牆
- DMZ強化：受信任路徑、緩衝區溢位防護、最新安全補丁、持續核心補丁更新
- 入侵偵測系統：自訂規則、能處理分片封包、支援100Mbps+ 流量、檢查出站與入站流量
- 攻擊探測技巧
- ICMP時間戳請求進行主機枚舉
- Echo vs 時間戳掃描識別作業系統版本（Windows 98/NT vs 其他）
- 區域轉儲取得完整內部網路映射
- 多次路由追蹤檢測負載平衡
- TTL與分片位元組合進行進階主機枚舉
- 實測數據
- 掃描2-3個B類網段可發現數百至數千個漏洞
- TTL檢測準確度：90-95%
- 正常TTL差異範圍：1-2跳（非負載平衡環境）
- Vlad掃描器支援6-7種協議掃描（Telnet、FTP、SSH、SMB等）
- 攻擊者常使用15-100個一次性主機
- --
結論
結論“應對分散式攻擊無單一解決方案，需從網路架構設計、細粒度流量控制、TTL驗證三層同步推進，並建立全公司層級的安全政策與變更管理流程才能真正有效防禦。”
完整解析
詳細這場演講系統性地闡述了分散式攻擊的威脅與防禦策略，針對當時日益增多的網路威脅提出實踐性解決方案。
演講首先區分了安全防禦中的兩種檢測思路。模式識別是在事件發生時即時發現異常，例如在特定時段內觀察到異常多的連線請求，或在網路流量中發現特定的攻擊簽名。相對地，效果識別是在攻擊已經造成傷害後才發現，比如凌晨執行MD5校驗時發現系統二進位檔案被篡改，或發現伺服器CPU使用率異常高企。混合攻擊同時採用兩種手段，再加上攻擊者利用「一次性主機」製造誘餌、混淆源地址等技巧，使得基於單一檢測維度的防禦完全失效。當前市面上還沒有真正的全域即時解決方案能自動關聯防火牆、路由器、入侵偵測系統等多個平台的日誌。
分散式攻擊的核心機制依賴精心設計的多層代理結構。攻擊者首先入侵位於上游的主機，通常選擇ISP或骨幹網供應商的設備以獲得高頻寬管道。在此主機上部署嗅探軟體後，攻擊者再控制多個被入侵的「一次性主機」作為攻擊節點。關鍵創新在於冒名源地址——攻擊者將源IP偽裝為受信任的業務合作夥伴或其他看似合法的來源，防火牆的日誌監控往往會忽略這類熟悉來源的流量。同時透過建立隱藏通道（例如使用特定單向密鑰的ICMP回顯請求），攻擊者可以完成完整的TCP握手卻不暴露真實身份。上游主機負責嗅探所有回覆，使得攻擊完全隱蔽於目標與防火牆的視野之外。
防禦需要從網路架構與流量檢查兩個層面同步推進，沒有單一銀彈解決方案。架構層面，企業應立即分割內外DNS伺服器——將公開系統的主機名儲存在DMZ的獨立DNS中，絕不在同一DNS伺服器上混合存放外部與內部資源，以此防止攻擊者進行區域轉儲取得整個內網拓撲。在DMZ中應按服務分別部署伺服器（不在郵件伺服器或Web伺服器上執行FTP），並在DMZ伺服器之間安裝內建防火牆控制流量——例如限制FTP伺服器無法從Web伺服器拉取檔案。流量層面，應嚴格限制ICMP入站流量（僅允許必要的主機/目標不可達訊息），以及出站ICMP流量（大多數5萬人規模的公司員工根本不需要ping外部網站）。強制所有出站流量（FTP、Telnet、HTTP）經過代理伺服器集中檢查，使入侵偵測系統能同時監控入站與出站流量——許多早期DDoS攻擊其實可以透過阻止偽造出站封包來防止。入侵偵測系統必須支援自訂規則應對零日漏洞、能處理分片封包避免被繞過、並支援100Mbps以上的流量檢測。
識別偽造封包最實用的方法是TTL（存活時間）檢測。當懷疑收到偽造封包時，安全人員可主動對該源IP進行探測（例如發送ICMP回顯請求），取得實際TTL值，再與可疑封包中的TTL值比對。TCP與UDP的初始TTL通常為64，ICMP為255。正常路由路徑下，兩者差異不應超過1-2跳。若差值達20以上，則大概率判斷為冒名攻擊，整體準確度約90-95%。雖然在多骨幹網供應商或負載平衡環境下此方法準確度會略降（因為不同路徑跳數可能不同），但透過ID自動觸發TTL檢測腳本並持續測量，仍能做出可靠判斷。
---
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
