第４３ 卷 第１２期２０２０ 年１２ 月计 算机 学 报ＣＨＩＮＥＳＥＪＯＵＲＮＡＬＯＦＣＯＭＰＵＴＥＲＳＶｏｌ．４３Ｎｏ． １２Ｄｅｃ．２０２０云计算中ＤＤｏＳ攻防技术研究综述岳 猛 王怀远 吴志军 刘 亮（ 中国民航大学电子信息与自动化学院 天津 ３００３００）摘 要 云计算是一种服务模式的革新， 它将物理资源（例如， 计算资源、存储资源、 数据资源）集中化， 并通过网络以按需的方式提供给用户． 云计算面临诸多安全挑战（例如， 数据隐私、 资源管理）， 其中分布式拒绝服务（Ｄｉ ｓｔｒｉ ｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ， ＤＤｏＳ）攻击是主要的安全威胁之一． ＤＤｏＳ攻击严重影响了云计算的连续性和可用性． 尽管ＤＤｏＳ攻击早已在传统网络中盛行， 但云计算的应用给ＤＤｏＳ攻防带来了全新的挑战和机遇．一方面， 云计算赋能攻击．云计算的大规模和集中化将传统攻击进一步放大． 此外， 云计算本身的漏洞被用于组织新型的攻击．在上述情况下， 传统的防御技术难以应对云计算中大规模、 多样化、复杂化的ＤＤｏＳ攻击．另一方面， 云计算赋能防御． 云计算丰富的资源结合新技术（例如， 软件定义网络、 自动伸缩）可保证自身的安全以及向用户提供云安全服务． 充分利用云计算的新技术抗ＤＤｏＳ攻击是目前的发展趋势． 云计算中的ＤＤｏＳ攻击引起了广泛的关注． 许多研究工作致力于揭示新的漏洞或设计有效的抗ＤＤｏＳ方案． 为了使相关研究人员能够全面了解最新的研究进展并激发他们开发新的方案应对各种ＤＤｏＳ攻击， 本文对现有研究进行了广泛调研形成综述． 首先， 我们总结了云计算在技术和服务上存在的漏洞， 并进一步揭示了攻击者如何利用这些漏洞发起ＤＤｏＳ攻击． 接下来， 我们描述了云计算中ＤＤｏＳ攻击的组织方式． 此外， 我们还分析了云计算中各种ＤＤｏＳ攻击的原理， 并根据攻击速率将其分类． 然后， 我们给出一个ＤＤｏＳ防御的总体架构． 基于此， 我们从攻击预防、 攻击检测和攻击缓解三个方面对现有的抗ＤＤｏＳ攻击技术进行了详细的分析和评估． 重要的是， 我们比较了这些技术的优缺点． 除技术外， 我们还简要讨论了为应对ＤＤｏＳ攻击在服务和管理上需要关注的问题．最后， 我们讨论了当前开放性的问题以及面临的挑战， 并展望未来的研究方向．希望本文能使读者更好地了解云计算中的ＤＤｏＳ攻击问题、 当前已有解决方案以及未来的研究范畴， 以便更有效地应对ＤＤｏＳ攻击．关键词 云计算； 分布式拒绝服务攻击； 攻击防范； 攻击检测； 攻击缓解中图法分类号ＴＰ３０９ＤＯｌ号１０． １１８９７／ＳＰ． Ｊ．１０１６． ２０２０．０２３１５ＡＳｕｒｖｅｙｏｆＤＤｏＳＡｔｔａｃｋａｎｄＤｅｆｅｎｓｅＴｅｃｈｎｏｌｏｇｉｅｓｉｎＣｌｏｕｄＣｏｍｐｕｔｉｎｇＹＵＥＭｅｎｇＷＡＮＧＨｕａｉ－ＹｕａｎＷＵＺｈｉ－ＪｕｎＬＩＵＬｉａｎｇ（． ＳｃｈｏｏｌｏｆＥｌ ｅｃｔｒｏｎｉｃＩｎｆｏｒｍａｔｉｏｎａｎｄ Ａｕｔ ｏｍａｔｉｏｎ，Ｃｉｖｉ ｌＡｖｉａｔｉｏｎＵｎｉｖｅｒｓｉ ｔｙｏｆＣｈｉｎａ＾Ｔｉａｎｊｉｎ３００３００）ＡｂｓｔｒａｃｔＣｌｏｕｄｃｏｍｐｕｔｉ ｎｇｉｓａｎｉｎｎｏｖａｔｉｏｎｏｆｔｈｅｓｅｒｖｉｃｅｍｏｄｅｌ．Ｉｔｃｅｎｔｒａｌｉｚｅｓｐｈｙｓｉｃａｌｒｅｓｏｕｒｃｅｓ（ｅ．ｇ．，ｃｏｍｐｕｔｉ ｎｇｒｅｓｏｕｒｃｅｓ，ｓｔｏｒａｇｅｒｅｓｏｕｒｃｅｓ，ａｎｄｄａｔａｒｅｓｏｕｒｃｅｓ）ａｎｄｐｒｏｖｉ ｄｅｓｔｈｅｍｔｏｕｓｅｒｓｏｎｄｅｍａｎｄｔｈｒｏｕｇｈｔｈｅｎｅｔｗｏｒｋ．Ｃｌｏｕｄｃｏｍｐｕｔｉｎｇｆａｃｅｓｍａｎｙｓｅｃｕｒｉｔｙｃｈａｌ ｌｅｎｇｅｓ（ ｅ．ｇ．，ｄａｔａｐｒｉ ｖａｃｙ，ｒｅｓｏｕｒｃｅｍａｎａｇｅｍｅｎｔ）．ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ（ＤＤｏＳ）ａｔｔａｃｋｉ ｓｏｎｅｏｆｔｈｅｍａｊｏｒｓｅｃｕｒｉｔｙｔｈｒｅａｔｓｔｏｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．ＴｈｅＤＤｏＳａｔｔａｃｋｓｅｒｉｏｕｓｌｙａｆｆｅｃｔｓｔｈｅｃｏｎｔｉｎｕｉ ｔｙａｎｄａｖａｉ ｌａｂｉ ｌｉｔｙｏｆｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．ＡｌｔｈｏｕｇｈｔｈｅＤＤｏＳａｔｔａｃｋｈａｓｂｅｅｎｐｒｅｖａｌｅｎｔｉ ｎｔｒａｄｉｔｉ ｏｎａｌｎｅｔｗｏｒｋｓ，ｔｈｅａｐｐｌｉｃａｔｉ ｏｎｏｆｃｌｏｕｄｃｏｍｐｕｔｉｎｇｂｒｉｎｇｓｎｅｗｃｈａｌｌｅｎｇｅｓａｎｄｏｐｐｏｒｔｕｎｉｔｉｅｓｔｏａｔｔａｃｋａｎｄｄｅｆｅｎｓｅ．Ｏｎｔｈｅｏｎｅｈａｎｄ，ｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｅｍｐｏｗｅｒｓａｔｔａｃｋｓ．Ｔｈｅｌａｒｇｅｓｃａｌｅａｎｄｃｅｎｔｒａｌ ｉｚａｔｉ ｏｎｏｆｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇａｍｐｌ ｉｆｉｅｓｔｒａｄｉｔｉｏｎａｌａｔｔａｃｋｓ．Ｉｎａｄｄｉ ｔｉｏｎ，ｔｈｅｖｕｌ ｎｅｒａｂｉｌｉｔｉｅｓｏｆｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｉｔｓｅｌ ｆｃａｎｂｅｅｘｐｌｏｉｔｅｄｔｏｏｒｇａｎｉ ｚｅｎｅｗｔｙｐｅｓｏｆＤＤｏＳａｔｔａｃｋｓ．Ｉｎｔｈｉｓｃａｓｅ，ｉｔｉｓｄｉｆｆｉｃｕｌｔｆｏｒｔｒａｄｉｔｉ ｏｎａｌ收稿日期： ２０１９－０９－０３ ； 在线发布日期： ２０２０－０２－１６． 本课题得到国家自然科学基金（ Ｕ１ ９３３１０８） 、 天津市教委科研计划项目（ ２０１９ＫＪ１１７） 、中央髙校基本科研业务费项目（３１２２０２００７６）资助．岳 猛， 傅士， 副教授， 主要研究方向为云计算、 网络安全． Ｅ－ｍａｉ Ｉ ： ｍｙＵｅ＿２３＠１ ６３． Ｃ〇ｍ． 王怀远， 硕士研究生， 主要研究方向为云计算、 网络安全．吴志军， 博士， 教授， 主要研究领域为网络信息安全、 云计算安全． 刘 亮， 硕士， 主要研究方向为网络信息安全．２３１ ６ 计 算机 学 报２０２０年ｄｅｆｅｎｓｅｔｅｃｈｎｏｌｏｇｉｅｓｔｏｄｅａｌｗｉ ｔｈｌａｒｇｅ－ｓｃａｌｅ，ｄｉ ｖｅｒｓｅ，ａｎｄｃｏｍｐｌｅｘＤＤｏＳａｔｔａｃｋｓｉｎｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．Ｏｎｔｈｅｏｔｈｅｒｈａｎｄ，ｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｅｍｐｏｗｅｒｓｄｅｆｅｎｓｅ．Ｔｈｅｃｌｏｕｄｃｏｍｐｕｔｉｎｇｐｒｏｖｉ ｄｅｓｌａｒｇｅａｍｏｕｎｔｓｏｆｒｅｓｏｕｒｃｅｓｃｏｍｂｉ ｎｅｄｗｉｔｈｎｅｗｔｅｃｈｎｏｌｏｇｉｅｓｓｕｃｈａｓＳｏｆｔｗａｒｅＤｅｆｉ ｎｅｄＮｅｔｗｏｒｋ（ ＳＤＮ） ，ａｕｔｏ－ｓｃａｌｉｎｇｔｏｇｕａｒａｎｔｅｅｉｔｓｏｗｎｓｅｃｕｒｉ ｔｙａｎｄｐｒｏｖｉｄｅｃｌｏｕｄｓｅｃｕｒｉ ｔｙｓｅｒｖｉｃｅｓｔｏｕｓｅｒｓ．Ｔｈｅｃｕｒｒｅｎｔｄｅｖｅｌ ｏｐｍｅｎｔｔｒｅｎｄｉｓｔｏｔａｋｅｆｕｌ ｌａｄｖａｎｔａｇｅｏｆｎｅｗｔｅｃｈｎｏｌｏｇｉｅｓｏｆｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｔｏｄｅｆｅｎｓｅＤＤｏＳａｔｔａｃｋｓ．ＴｈｅＤＤｏＳａｔｔａｃｋｉｎｃｌｏｕｄｃｏｍｐｕｔｉｎｇｈａｓａｔｔｒａｃｔｅｄｅｘｔｅｎｓｉ ｖｅａｔｔｅｎｔｉｏｎｓ．Ｃｕｒｒｅｎｔｌｙ， ｍａｎｙｒｅｓｅａｒｃｈｅｓｈａｖｅｂｅｅｎｄｅｖｏｔｅｄｔｏｅｘｐｏｓｉ ｎｇｎｅｗｖｕｌｎｅｒａｂｉｌｉ ｔｉｅｓａｎｄｄｅｓｉｇｎｉｎｇｅｆｆｅｃｔｉ ｖｅａｎｔｉ－ＤＤｏＳｓｔｒａｔｅｇｉｅｓ．Ｉｎｏｒｄｅｒｔｏｅｎａｂｌｅｒｅｓｅａｒｃｈｅｒｓｔｏｃｏｍｐｒｅｈｅｎｓｉ ｖｅｌｙｇｒａｓｐｔｈｅｃｕｒｒｅｎｔｒｅｓｅａｒｃｈｐｒｏｇｒｅｓｓａｎｄｅｘｃｉ ｔｅｔｈｅｍｔｏｄｅｖｅｌｏｐｎｅｗｓｏｌ ｕｔｉｏｎｓａｇａｉ ｎｓｔｖａｒｉｏｕｓＤＤｏＳａｔｔａｃｋｓ，ｔｈｉｓｐａｐｅｒｅｘｔｅｎｓｉ ｖｅｌｙｒｅｖｉｅｗｓｅｘｉｓｔｉ ｎｇｓｔｕｄｉｅｓｆｏｒａｓｕｒｖｅｙ．Ｆｉｒｓｔ，ｗｅｓｕｍｍａｒｉｚｅｔｈｅｖｕｌ ｎｅｒａｂｉｌ ｉｔｉ ｅｓｏｆｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｉｎｔｅｃｈｎｏｌ ｏｇｙａｎｄｓｅｒｖｉｃｅ，ａｎｄｆｕｒｔｈｅｒｒｅｖｅａｌｈｏｗｔｏｅｘｐｌｏｉｔｔｈｅｓｅｖｕｌ ｎｅｒａｂｉｌｉｔｉｅｓｔｏｌａｕｎｃｈＤＤｏＳａｔｔａｃｋｓ．Ｎｅｘｔ ，ｗｅｄｅｓｃｒｉ ｂｅｔｈｅｏｒｇａｎｉｚａｔｉｏｎａｐｐｒｏａｃｈｅｓｏｆＤＤｏＳａｔｔａｃｋｓｉｎｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇ．Ｉｎａｄｄｉ ｔｉ ｏｎ，ｗｅａｎａｌｙｚｅｔｈｅｐｒｉ ｎｃｉｐｌ ｅｓｏｆｖａｒｉ ｏｕｓＤＤｏＳａｔｔａｃｋｓｉ ｎｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇａｎｄｃａｔｅｇｏｒｉｚｅｔｈｅｍａｃｃｏｒｄｉ ｎｇｔｏａｔｔａｃｋｒａｔｅ．Ｔｈｅｎ，ｗｅｐｒｅｓｅｎｔａｎｏｖｅｒｖｉｅｗｏｆＤＤｏＳｄｅｆｅｎｓｅａｒｃｈｉｔｅｃｔｕｒｅｉ ｎｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇ．Ａｆｔｅｒｔｈａｔ ，ｗｅａｎａｌｙｚｅａｎｄｅｖａｌ ｕａｔｅｅｘｉｓｔｉｎｇａｎｔｉ－ＤＤｏＳｔｅｃｈｎｏｌｏｇｉｅｓｉ ｎｄｅｔａｉｌｆｒｏｍｔｈｒｅｅａｓｐｅｃｔｓ：ａｔｔａｃｋｐｒｅｖｅｎｔｉｏｎ， ａｔｔａｃｋｄｅｔｅｃｔｉｏｎａｎｄａｔｔａｃｋｍｉｔｉｇａｔｉｏｎ．Ｔｈｅｉ ｍｐｏｒｔａｎｔｔｈｉｎｇｉ ｓｗｅｃｏｍｐａｒｅａｄｖａｎｔａｇｅｓａｎｄｄｉ ｓａｄｖａｎｔａｇｅｓｏｆｔｈｅｓｅｔｅｃｈｎｏｌｏｇｉｅｓ．Ｂｅｙｏｎｄｔｅｃｈｎｏｌｏｇｙ，ｗｅｂｒｉｅｆｌｙｅｘｔｅｎｄｏｕｒｄｉｓｃｕｓｓｉｏｎｏｎｓｏｍｅｉｍｐｏｒｔａｎｔｉｓｓｕｅｓｉ ｎｓｅｒｖｉｃｅａｎｄｍａｎａｇｅｍｅｎｔｆｏｒａｎｔｉ－ＤＤｏＳａｔｔａｃｋ．Ｆｉ ｎａｌ ｌｙ， ｗｅｄｉ ｓｃｕｓｓｃｕｒｒｅｎｔｏｐｅｎｉ ｓｓｕｅｓａｎｄｃｈａｌｌｅｎｇｅｓ，ａｎｄｐｒｏｓｐｅｃｔｆｕｔｕｒｅｒｅｓｅａｒｃｈｄｉｒｅｃｔｉｏｎｓ．Ｗｅｈｏｐｅｔｈｉｓｐａｐｅｒｃａｎｐｒｏｖｉ ｄｅｂｅｔｔｅｒｕｎｄｅｒｓｔａｎｄｉ ｎｇｏｆｔｈｅＤＤｏＳａｔｔａｃｋｉ ｎｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇｅｎｖｉｒｏｎｍｅｎｔ， ｃｕｒｒｅｎｔｓｏｌｕｔｉｏｎｓｐａｃｅ，ａｎｄｆｕｔｕｒｅｒｅｓｅａｒｃｈｓｃｏｐｅｔｏｄｅａｌｗｉ ｔｈｓｕｃｈａｔｔａｃｋｓｍｏｒｅｅｆｆｉ ｃｉ ｅｎｔｌｙ．Ｋｅｙｗｏｒｄｓｃｌｏｕｄｃｏｍｐｕｔｉ ｎｇ； ｄｉｓｔｒｉｂｕｔｅｄｄｅｎｉａｌｏｆｓｅｒｖｉｃｅａｔｔａｃｋ；ａｔｔａｃｋｐｒｅｖｅｎｔｉ ｏｎ；ａｔｔａｃｋｄｅｔｅｃｔｉｏｎ；ａｔｔａｃｋｍｉｔｉｇａｔｉ ｏｎｉ 引 言云计算安全一直受到广泛的关注． 虽然云计算下的安全问题与传统网络环境下的安全问题有相似之处， 但是其特有的实现技术和运营模式， 导致其面临新的安全威胁． ２０１ ６ 年， 云安全联盟（ＣｌｏｕｄＳｅｃｕｒｉｔｙＡｌ ｌｉａｎｃｅ， ＣＳＡ） 发布了云计算面临的１２ 种安全威胁［１］： 数据泄露； 身份、 凭证和访问管理不足；不安全的应用程序编程接口； 系统漏洞； 账户劫持；恶意内部员工； 高可持续性威胁； 数据丢失； 责任条款调查欠缺； 滥用和恶意使用云服务； 拒绝服务攻击； 共享的技术漏洞．分布式拒绝服务（Ｄｉ ｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ，ＤＤｏＳ）攻击一直被视为互联网面临的主要安全威胁之一． 近年来， ＤＤｏＳ攻击频发， 最具代表性的攻击事件有两次，一次是２０１６ 年美国Ｄｙｎ域名服务器供应商遭受大规模ＤＤｏＳ攻击， 这次攻击的影响几乎波及半个美国， Ｔｗｉ ｔｔｅｒ、Ｇｉ ｔＨｕｂ、Ａｍａｚｏｎ等大型网站无一幸免． 这次事件体现出受害规模之大． 第二次是２０１８年一家名为“ＵＳ－ｂａｓｅｄｓｅｒｖｉｃｅｐｒｏｖｉ ｄｅｒ”的游戏服务商遭遇了峰值流量达１．７Ｔｂｐｓ 的ＤＤｏＳ攻击． 这次事件体现出攻击速率之高． ＤＤｏＳ攻击频发的原因在于， 首先它作为一种破坏型的攻击， 具有实施简单的特点， 只需暴力式地消耗资源． 而其攻击效果又十分显著， 受害者很难做出及时有效的响应，而攻击溯源也较为困难． 此外， 低廉的成本是其频发的另一个原因． 从博弈的角度， 攻击者只需要较小的攻击成本， 就可以发动一次大规模的ＤＤｏＳ攻击． 例如， 仅需２．４万美金便可购买１０万台僵尸主机？， 而如此规模的僵尸网络造成的经济损失可达４４．４ 万美金［８］． 云计算促使互联网业务高速增长， 这些业务产生了巨大的经济效益． 随着大量用户数据和应用向云计算平台的迁移， 针对云计算数据中心的攻击与曰倶增， 而ＤＤｏＳ正是恶意竞争者非法获利的惯用手段．岳 猛等： 云计算中ＤＤｏＳ攻防技术研究综述 ２３１７１２ 期世界知名信息安全服务商ＡｒｂｏｒＮｅｔｗｏｒｋｓ 指出， 几乎没有云计算平台能免遭ＤＤｏＳ攻击． 主流的云服务商（ 例如， Ａｋａｍａｉ、 ＡＷＳ、 阿里云等） 针对实际遭遇的ＤＤｏＳ攻击会专门发布安全报告 综合这些报告可以归纳出， 目前攻击者仍然以实施高速率、大规模的ＤＤｏＳ攻击为主． 攻击者通常以僵尸网络和反射的方式汇聚大规模流量． 例如， 阿里云声称２０１９ 年上半年ＤＤｏＳ攻击流量大于５０Ｇｂｐｓ 的事件有５５００余次， 其中３００Ｇｂｐｓ 以上的占２０％， 同时已经连续２ 个月出现近Ｔｂ级的攻击． Ａｋａｍａｉ 声称２０１８ 年抵御了一波１． ３Ｔｂｐｓ 的ＤＤｏＳ攻击． 此外， 云服务商也普遍指出当前ＤＤｏＳ攻击者通常利用的协议仍然是ＴＣＰ和ＵＤＰ， 而不可忽视的是应用层ＤＤｏＳ攻击呈增长趋势． 这些报告还指出Ｉ〇Ｔ设备的增加为组织大规模ＤＤｏＳ攻击提供了便利．例如， Ｍｉｒａｉ、 Ｓｐｉｋｅ 等感染ＩｏＴ僵尸网络的恶意程序已经被云服务商广泛关注．随着越来越多的用户开始使用虚拟化数据中心和云服务， 云平台的新技术和新模式带来了新的漏洞， 例如防护边界降低问题［１２］、虚拟化安全问题［１ ３］等． 这些漏洞给ＤＤｏＳ攻击提供了更广阔的空间． 攻击者可以采取暴力式的淹没型攻击， 这种攻击难以缓解． 攻击者也可以实施技术式的攻击， 这种攻击以精准打击云计算的某种漏洞为目标， 往往具有难以察觉以及对传统防御方法免疫的特点． 当前， 云计算中的ＤＤｏＳ攻击防御面临着严峻的挑战．针对愈演愈烈的ＤＤｏＳ攻击， 云服务商为防御攻击提供了良好的实践范例， 其应对措施可概括为以下三点：一是利用云计算本身的弹性机制， 通过动态的资源伸缩来缓解ＤＤｏＳ攻击． 例如， ＡｍａｚｏｎＥｌａｓｔｉｃＣｏｍｐｕｔｅＣｌｏｕｄ（ ＥＣ２） 和ＡｍａｚｏｎＥｌａｓｔｉｃＬｏａｄＢａｌａｎｃｉ ｎｇ（ＥＬＢ） 都是利用这一方法； 二是采用分布式的多点防护技术， 尽量将ＤＤｏＳ攻击防御推向攻击源． 例如， ＡｋａｍａｉＰｒｏｌｅｘｉｃＲｏｕｔｅｄ将流量重定向到遍布全球的清洗中心， 而ＡｍａｚｏｎＣｌｏｕｄ－Ｆｒｏｎｔ和ＡｋａｍａｉＷｅｂＡｐｐｌ ｉ ｃａｔｉｏｎＰｒｏｔｅｃｔｏｒ则通过内容分发网络（ＣｏｎｔｅｎｔＤｅｌｉｖｅｒｙＮｅｔｗｏｒｋ， ＣＤＮ） ，实现攻击流边缘过滤； 三是运用大数据、机器学习等新技术对流量建模， 快速识别恶意流量．如何应对ＤＤｏＳ攻击一直也是学术界关心的问题， 目前很多致力于云计算中ＤＤｏＳ攻击的研究已经取得一定成果． 本文主要从技术层面梳理现有的研究成果， 综述云计算中的ＤＤｏＳ攻防问题， 希望能为相关领域的研究者提供一定的借鉴． 本文主要贡献在于以下三点： （１） 分析了云计算下攻击者能够利用的主要漏洞， 对面向云计算的ＤＤｏＳ攻击进行分类梳理；（２） 对ＤＤｏＳ攻击防范、 攻击检测和攻击缓解三类技术分别进行对比分析４３） 探讨了目前ＤＤｏＳ攻击防御中存在的问题， 提出可行性建议．本文第２ 节讨论云计算的新特征， 揭示其安全隐患； 第３ 节对云计算下的ＤＤｏＳ攻击进行分类评述； 第４ 节对现有的ＤＤｏＳ攻击解决方案进行归纳比较； 第５ 节总结当前研究中存在的问题， 并展望未来研究发展的趋势； 第６ 节总结全文．２ 云计算中ＤＤｏＳ攻击隐患分析云计算的飞速发展， 给互联网用户带来了诸多便利， 但是云计算的新特点也暴露出一定的安全隐患， 这使ＤＤｏＳ攻击有了更佳的用武之地．２． １ 新技术（１） 数据中心网络（ｄａｔａｃｅｎｔｅｒｎｅｔｗｏｒｋ）数据中心网络是云计算的基础设施， 而数据中心网络技术则是指数据中心的通信体系结构， 通常以网络拓扑结构、路由器／交换机设备和所使用的协议来描述． 目前， 云计算数据中心网络的拓扑结构种类很多？６］（例如， 树形结构、胖树形结构、ＶＬ２、雪花结构、Ｄｃｅｌ ｌ、ＢＣｕｂｅ、 Ｈｅｌｉ ｏｓ 等）， 这些拓扑结构普遍面临着带宽不足和拥塞控制的问题．一方面， 云计算数据中心通常具有百微秒级的网络时延． 按照带宽时延积规则， 网络交换设备的缓存相对较小， 通常只缓存几十至数百个包． 在这种情况下， 带宽资源对单条流而言并不是问题． 但是， 数据中心网络中同步、 聚合高速率流却比较容易实现， 几乎不需要任何额外的同步机制． 过高的汇聚流使得网络出现带宽不足的问题， 导致临时的瓶颈， 而这些瓶颈链路正是ＤＤｏＳ攻击者潜在的攻击目标． 另一方面， 由于数据中心网络负载难以预测， 网络实体的独立、 非协作路由决策等因素， 导致拥塞控制非常复杂． 攻击者可通过拥塞瓶颈链路， 诱发端系统不断地进行拥塞控制．而一旦启动拥塞控制， 那么必然会影响系统服务的稳定性．（２） 虚拟化（ｖｉ ｒｔ ｕａｌｉｚａｔｉｏｎ）虚拟化技术将云计算平台的基础设施和各类物理资源（ 如ＣＰＵ、 内存、 网络等） 动态地汇聚起来， 形成多租户共享的资源池， 这些资源以网络服务的方式按需提供给用户． 这种资源池化是导致ＤＤｏＳ攻２３１８ 计 算机 学 报 ２０２０年击的一个因素． 当多个用户通过虚拟机共享同一主机的资源时， 如果某一个虚拟机被ＤＤｏＳ攻击， 那么将会导致主机上的其它虚拟机产生资源饥饿、 服务不响应的问题． 有研究表明， 在遭受ＤＤｏＳ攻击时，在虚拟机中托管的Ｗｅｂ 服务性能会下降２３％， 而在相同硬件情况下， 托管在非虚拟化主机时， 其性能只下降 在物理服务器等底层基础设施上， 系统可以通过虚拟化技术来控制分配给当前用户的虚拟操作系统及其存储和应用程序， 甚至自定义虚拟网络． 这种开放性使得安全性变差． 例如， 攻击者可以利用虚拟机分配或迁移算法来控制某一台虚拟机成为傀儡机． 此外， 管理程序（ｈｙｐｅｒｖｉｓｏｒ）平台存在被ＤＤｏＳ攻击的可能， 目前已有很多公开的ＣＶＥ（ ＣｏｍｍｏｎＶｕｌｎｅｒａｂｉｌｉｔｉｅｓ＆Ｅｘｐｏｓｕｒｅｓ） 漏洞（ 例如，ＣＶＥ－２０１２－２６２５、 ＣＶＥ－２０１０－４２５５、ＣＶＥ－２０１０－４２４７、ＣＶＥ－２０１０－３６９９） ， 造成ｈｙｐｅｒｖｉ ｓｏｒ拒绝服务．（ ３） 软件定义网络（ｓｏｆｔｗａｒｅｄｅｆｉ ｎｅｎｅｔｗｏｒｋ）ＳＤＮ将控制平面和数据平面解耦， 可以满足云计算对网络的需求， 例如可编程按需定制、集中式统一管理、 动态流量监管、 自动化部署等． 但是， ＳＤＮ本身却可能成为ＤＤｏＳ攻击的对象． ＳＤＮ架构从上到下可分为三层， 应用层、 控制层和基础设施层， 每一层都面临ＤＤｏＳ攻击的威胁［１ ８］． 首先， 对于应用层的ＤＤｏＳ攻击可以以应用程序或北向ＡＰＩ 为攻击对象． 由于应用程序或资源的隔离没有得到很好的解决， 因此对一个应用程序的攻击可能会影响到其它应用程序． 其次， ＳＤＮ的控制器在物理上分布式存在， 而在逻辑上集中． 控制层容易出现单点失效的问题， 因此控制器会成为ＤＤｏＳ攻击的重点目标．此外攻击者还可以对各向ＡＰＩ、 流表、带宽发起攻击． 最后， 对于基础设施层的ＤＤｏＳ攻击主要攻击对象是交换机或南向ＡＰＩ． 例如， 攻击者可以通过伪造未知流的方式， 产生许多虚假流规则， 进而耗尽数据层交换机的存储资源．２． ２ 新服务模式（１） 弹性伸缩（ ａｕｔｏ－ｓｃａｌｉ ｎｇ）弹性伸缩体现了云计算按需分配资源的特点．它是按照一定的策略自适应地调整计算资源（ 例如，带宽资源、 存储资源、ＣＰＵ资源等）， 从而满足不同业务负载的需求， 保证服务的正常运行． 弹性伸缩以硬件虚拟化为基础， 包括物理主机内的垂直伸缩和物理主机间的水平伸缩［１９］． 如果攻击者伪造大量虚假请求注人目标机， 则会导致系统的过载． 之后， 弹性伸缩机制被触发． 系统会首先在本地资源池中寻找空闲资源来保障业务需求， 即垂直伸缩． 如果仍无法满足业务需求， 系统会继续寻找其它具备资源的物理主机， 并以新建虚拟机实例的方式， 将服务迁移至新的服务器上， 这即是水平伸缩． 虽然弹性伸缩机制在一定程度上保证了资源数量， 但其中所涉及的虚拟机过载判定， 资源分配策略探测利用率、分配和激活新资源， 以及在水平伸缩下， 新虚拟机实例启动及虚拟机迁移等一系列复杂的处理将消耗较长的时间． 因此， 过于频繁的伸缩将导致服务质量的降低甚至拒绝服务． 此外， 从理论上来说可扩充的资源并不是无限多的， 这意味着ＤＤｏＳ攻击者只要不断增大攻击流量， 就可以消耗掉所有资源， 仍然能达到拒绝服务的效果． 而目前攻击成本廉价， 组织大流量的攻击并不困难．（２） 即用即付（ｐａｙ－ａｓ－ｙｏｕ－ｇｏ）即用即付是指云计算以租赁的方式向用户提供各种资源， 并按照所用资源数量的多少来计费． 这种模式虽然节省了用户购买及维护物理设备的成本， 但却导致了用户遭受ＥＤｏＳ（ＥｃｏｎｏｍｉｃＤｅｎｉａｌｏｆＳｕｓｔａｉ ｎａｂｉｌｉ ｔｙ） 攻击的风险［２ °］？ＥＤｏＳ攻击可通过“显式”或“隐式”的形式实现．“显式”攻击是指攻击者伪装成某个正常用户向云计算数据中心服务器发送大量请求， 从而造成该正常用户使用资源虚高的假象． 如果系统以资源使用量计费， ＥＤｏＳ攻击将导致正常用户费用增高．“隐式”攻击是利用小的请求包触发大的响应包， 也可称之为放大式ＥＤｏＳ攻击．以Ｗｅｂ服务为例，一个ＧＥＴ请求通常为１０２４Ｂｙｔｅ，而一个网页通常在１ＭＢ以上． 假设攻击者发送ＧＥＴ请求的速率为每秒一次， 则每天触发的服务响应将达到８４ＧＢ［２１］． 如果系统以流量计费， 这种攻击方式可以慢慢诱发额外流量． 可想而知， 这种“隐式”的ＥＤｏＳ攻击表面上看速率很低， 而实际上在日积月累后同样造成巨大的经济损失． 综上， ＥＤｏＳ攻击主要造成了云服务提供者（ｃｌｏｕｄｓｅｒｖｉｃｅｐｒｏｖｉｄｅｒ）和云消费者（ ｃｌｏｕｄｃｕｓｔｏｍｅｒ） 的经济损失．一是云服务提供者为保障自身的服务质量， 不得不向云基础设施提供者（ ｃｌｏｕｄｉ ｎｆｒａｓｔｒｕｃｔｕｒｅｐｒｏｖｉｄｅｒ） 支付高额的费用． 二是云计算消费者面临虚假消费的问题， 不得不向云服务提供者付费．（３） 多租户（ｍｕｌｔｉ－ｔｅｎａｎｃｙ）ＩａａＳ（ＩｎｆｒａｓｔｒｕｃｔｕｒｅａｓａＳｅｒｖｉｃｅ） 是云计算的一种服务模式． 云基础设施提供者通过虚拟化技术，将不同云服务提供者的业务驻留在同一物理主机上． 这种共享ＩａａＳ资源的模式虽然提高了硬件利用岳 猛等： 云计算中ＤＤｏＳ攻防技术研究综述 ２３１９ １２ 期率， 但也面临存储、 带宽等资源竞争的问题：１ ２２３］． 假如有来自云计算数据中心外部的恶意用户攻击内部虚拟机？ 使其占用高额的资源， 那么与其共享物理资源的其它租户必然受到影响． 攻击发生时， 为保证服务质量， 系统往往会进行虚拟机迁移， 而这会导致正常租户承担高额的管理费用． 此外， 如果数据中心内部某个虚拟机本身是恶意租户， 或被攻击者控制， 则可能导致针对数据中心外部、 内部租户之间、 以及虚拟机对基础设施的攻击． 而更为严重的情况是， 云基础设施提供者成为ＤＤｏＳ攻击的策划者． 在利益的驱动下， 它们可直接或间接（ 与攻击者合谋） 地攻击基础设施租户． 由于物理设施、 资源管理策略、 资源利用率、计费模式等关键信息都掌握在云基础设施提供者手中， 因此这种攻击既容易实施又难以识别和举证．对上述安全隐患进行归纳总结， 如表１ 所示． 攻击者可以利用这些安全隐患， 采用不同的技术实施多样的ＤＤｏＳ攻击．表１ 云计算的安全隐患隐患名称 总结描述新技术数据中心网络虚拟化软件定义网络容易出现带宽不足和拥塞控制的问题， 攻击者可轻易拥塞瓶颈链路虚拟机共享物理资源的竞争问题， 加剧了攻击影响； 虚拟化技术本身的漏洞应用程序缺乏隔离； 控制层容易单点失效ｒ消耗基础设施资源； 开放的ＡＰＩ 隐患新服务模式弹性伸缩即用即付多租户攻击者恶意触发弹性机制， 消耗资源ＥＤｏＳ导致虚假付费受害租户消耗资源； 恶意租户对数据中心内外部的攻击３ 云计算中ＤＤｏＳ攻击技术云计算平台下组织和实施ＤＤｏＳ攻击越来越简单和多样． 虚拟机、 物联网、 移动端都成为僵尸程序寄宿的新宠， 攻击目标可以选择应用程序、 底层服务、基础设施等．３．１ 云计算中ＤＤｏＳ 攻击的组织云平台的可用资源丰富， 为了快速聚集攻击流量消耗资源， 攻击者通常利用分布在不同地域的似尸网络， 甚至组织与僵尸网络具有同一量级资源的攻击云［２ ３］， 从而形成超大规模的ＤＤｏＳ攻击． 典型的攻击场景如图１ 所示．随着互联网的发展， 攻击者可控制的僵尸机不再局限于ＰＣ， 任何接人网络的设备都有可能被攻击者利用来组织ＤＤｏＳ攻击．第一， 移动端引人的安全隐患日益增加． 移动互联网的快速发展， 带来了设备性能的升级和各种资源的激增． 但是， 大多移动设备目前的安全防护措施还有所欠缺， 用户的安全意识也较为薄弱． 因此， 移动端成为助力ＤＤｏＳ攻击的利器． 例如， 有研究指出Ａｎｄｒｏｉ ｄ平台下的恶意软件可实施ＤＤｏＳ攻击［２４］．第二， 云平台下用户可以通过各种各样的终端访问数据中心资源， 这种泛化的接人方式有利于组织大规模ＤＤｏＳ攻占． 随若智能终端、 物联网的发展， 攻击者选择似尸机的范围扩大． 例如， 通过僵尸摄像头发动ＤＤｏＳ攻击． 在未来， 攻击者有可能利用电视机、打印机等设备组织ＤＤｏＳ攻击．第三， 僵尸云（ＢｏｔＣｌｏｕｄ）的出现， 极大地节省了攻击者感染傀儡机的时间和成本． 按需服务是云计算的典型特征， 而发动攻击正是黑客的一种需求． 因此．出现了诸如恶意软件即服务ＭａａＳ（ ＭａＩｅｗａｒｅａｓ图１ 云计算下ＤＤｏＳ攻击场景２３２０计 算机 学 报２０２０ 年ａＳｅｒｖｉｃｅ）、攻击即服务ＡａａＳ（ ＡｔｔａｃｋｓａｓａＳｅｒｖｉｃｅ）等黑色服务． 借助于云平台感染虚拟机， 出租和部署僵尸网络的黑色产业链日趋成熟［２ ５％］．３． ２ 云计算中ＤＤｏＳ攻击的分类目前， 云计算中的ＤＤｏＳ攻击主要向两个方向发展，一是将传统的攻击方式平移到云计算平台， 主要采取“暴力”的方式不断增大攻击流量， 消耗系统资源； 二是以精准打击云计算的新漏洞为目标， 在云平台上释放更“智能”的新型ＤＤｏＳ攻击．（１） 云计算中的传统ＤＤｏＳ攻击传统网络中的ＤＤｏＳ攻击几乎可以平移到云计算平台下， 攻击者可以直接利用ＵＤＰｆｌ 〇〇ｄ、ＩＣＭＰｆｌｏｏｄ、 Ｆｒａｇｍｅｎｔａｔｉｏｎ、 ＤＮＳｆｌ ｏｏｄ、 ＶｏＩＰｆｌｏｏｄ等，也可以组织Ｓｍｕｒｆ 和Ｆｒａｇｇｌ ｅ 等反射或放大方式的攻击． 此外， 由于云计算下基于Ｗｅｂ 的应用较为普遍，因此ＨＴＴＰ、 ＴＣＰ也成为黑客重点攻击的对象．