南非國有銀行是如何看待勒索攻擊的？

2015年11月，南非第一國民銀行收到了一封來自於黑客組織Armada Collective(無敵艦隊)的勒索郵件，隨後銀行便遭受了一次具有挑釁性質的洪泛攻擊（flood attack），但是銀行所部屬的安全防禦系統成功地緩解了這次攻擊。實際上，網路犯罪分子之所以要發動這次攻擊，主要是為了讓銀行知道他們這一次是認真的。

當然了，銀行的高層也並沒有因此而退縮。根據Radware最新發布的《全球應用與安全調查報告》顯示，該銀行在收到勒索郵件之前就檢測到了此次的洪泛攻擊，並且迅速對攻擊進行了響應。由於銀行系統部署了混合DDoS緩解方案，而系統在檢測到惡意流量之後迅速將其轉移到了數據清洗中心，所以此次攻擊並沒有對銀行系統造成任何影響。

報告顯示，勒索攻擊已經成為了目前最為普遍的一種網路安全威脅，勒索攻擊在2015年的網路攻擊佔比僅有25%，但2016年這個比例增長到了41%。到底是什麼驅動著這種攻擊的增長？毫無疑問，勒索攻擊絕對是一種非常暴利「產業」。而且與過去相比，現在發動這種攻擊的成本也越來越低，實現起來也越來越容易了。需要注意的是，這種類型的勒索郵件攻擊與普通的勒索軟體攻擊有很大的不同，普通的勒索軟體攻擊主要是通過竊取或加密企業數據來勒索錢財，但我們現在所說的勒索攻擊更像是一種恐嚇與威脅，如果你不給錢，我們就要攻擊你。

一位資深的網路架構師在報告中解釋到，由於該銀行地處南非，所以在地理位置上它就處於一個相對來說較為偏遠的地方。這也會對攻擊者可用的攻擊方式以及惡意流量的大小產生一定的限制，但是銀行是否有能力來應對這種攻擊，仍然取決於其自身所部屬的安全防護措施。

這位網路架構師表示：

「對於我們來說，這種攻擊一次性最多只能有300MB的惡意流量。當我們檢測到了攻擊流量並收到了勒索信息之後，為了安全起見，我們在勒索贖金的最後支付期限到來之前，將惡意流量重定向到了我們的DDoS防護服務商（Radware）的數據清洗中心。我們相信攻擊者肯定會發現他們的惡意流量被轉移到了別的地方，而這次攻擊也就變得毫無意義了。」

銀行方面也打算通過這一次來向包括Armada Collective在內的黑客組織傳遞一個信息：我們會積極採取各種保護措施來應對你們的勒索攻擊，我們也不是那麼好欺負的。

根據Radware應急響應團隊給出的報告，在2016年4月，該銀行又收到了一封據稱來自於Lizard Squad黑客組織的勒索郵件。銀行方面從當地的銀行風險管理協會那裡了解到，這封郵件其實是從別處抄襲來的。由於此次事件被認定為一場騙局，所以銀行決定對此不予理會。但是，在此之後他們確實遭受了一次小規模的DoS攻擊。

從2016年初開始，犯罪分子的攻擊方式也逐漸多樣化，而銀行所經歷的突發性安全事件也增加了四倍之多，但是持續一個多小時的攻擊活動次數在減少。所以，這類攻擊似乎正在朝著「打了就跑」的趨勢發展。

但是，並非所有的攻擊都是突襲。在2016年9月，該銀行經歷了一次相對來說規模較小的DDoS攻擊，此次攻擊流量僅有2G-3Gbps，但是整個攻擊過程卻持續了超過四個小時，而且攻擊是分階段的，每一階段的攻擊流量會逐漸增加。首先，銀行方面發現此次攻擊中的一部分為Pingback攻擊，攻擊中大約出現了16000多條SYN鏈接，但我們的DDoS防護系統並沒有給犯罪分子任何機會。除了SYN攻擊之外，攻擊中也有HTTP攻擊，但這些都無足輕重，麻煩的是基於HTTPS的惡意請求，因為銀行目前所部屬的防護系統無法有效地對HTTPS洪泛攻擊進行響應。

Radware的研究人員在報告中指出：

「我們也不是第一次遇到這種加密流量的攻擊了，這類惡意流量可以利用SSL標準來繞過目前的安全控制系統，所以我們需要設計出一套專門針對加密流量的防護系統。通常情況下，銀行面臨的都是一些普通的UDP攻擊，但是這一次我們遇到了典型的SSL攻擊，所以我們很明顯沒有做好準備。」

通常在這種類型的攻擊中，每個階段一般只會持續三到四分鐘，但是這種SSL攻擊可以持續一個半小時左右，這就會使銀行的服務系統和安全防禦系統承受巨大的負載，因為這種攻擊會將銀行系統中的計算資源全部耗盡。銀行系統產生了大量的響應負載，這也就導致系統的出站連接受到了限制，而系統的吞吐量與往常相比也暴增了三倍之多。

吸取教訓，總結經驗

我們可以看到，2016年是勒索攻擊爆發性增長的一年，它的「光芒」已經完全掩蓋住了其他類型的網路攻擊。Radware在經過調查之後發現，大約有56%的組織曾遭受過網路勒索攻擊，而41%的組織將勒索攻擊視為他們最大的網路安全威脅（這個比例在2015年僅有25%）。那麼，我們應該如何更好地去應對這種安全威脅呢？

1.相比於限速分析，行為分析也許才是最好的方法

在此之前，銀行主要通過對流量進行限速來緩解DDoS攻擊。但是研究發現，利用行為分析技術來抵禦DDoS攻擊也許會更加的有效。因為這種技術並不會屏蔽合法的通信流量，這樣就可以讓銀行維持正常的服務運轉。

2.攻擊緩解時間的重要性

如果能夠及時利用簽名來標識攻擊流量的話，銀行就可以在攻擊發生後的20秒之內緩解攻擊。

* 參考來源：csoonline， FB小編Alpha_h4ck編譯，轉載請註明來自FreeBuf.COM