針對API的「應用程序DDOS」讓Netflix憂心忡忡

現在攻擊者有了這個本事：一邊攻擊為應用程序處理大部分工作的API，一邊裝出無辜的樣子。

這是Netflix的應用程序DDOS測試工具「RepulsiveGrizzly」的標誌

Netflix已確認了矛頭針對微服務架構的拒絕服務攻擊威脅，它稱之為是「應用程序DDOS」。

傳統的DDOS攻擊向網路發送洪水般的虛假流量，那樣基礎設施就會耗盡原本提供給合法用戶的資源。Netflix所說的應用程序DDOS攻擊是指這種攻擊：攻擊者「專註於昂貴的API調用，利用它們相互之間錯綜複雜的關係，導致系統攻擊自己。」

Netflix的斯科特·貝倫斯（Scott Behrens）和布賴恩·佩恩（Bryan Payne）描述了這種情形：攻擊者搞清楚了哪些API調用在應用程序裡面處理最多的工作，然後向該API發送大量請求。

他們倆寫道：「邊緣處的單單一個請求可以成扇形展開，變成向中間層和後端微伺服器發送成千上萬個請求。如果攻擊者可以識別具有這種效果的API調用，那就可以針對整體服務運用這種成扇形展開的架構。如果因而得到的計算足夠昂貴，那麼某些中間層服務可能會停止工作。這可能會導致整體服務停運，具體要看這些服務的關鍵程度。」

他們倆表示，之所以有可能導致應用程序DDOS，一方面是由於Web應用程序防火牆未認識到大規模API調用的潛在影響。流量做過了手腳，看起來合法，實際上卻居心叵測，針對處理最多工作的API，因而會帶來非常嚴重的後果。

不難看出為什麼Netflix在乎這種威脅：其系統建立在微服務上，並在雲端運行，因此提高了這種可能性：鬆散配置的雲原生應用程序淪為應用程序DDOS的受害者，使用其所有者從未分配預算的資源級別，即使攻擊實際上沒有降低客戶體驗。

Netflix認為，自己可以幫助有可能面臨應用程序DDOS攻擊的那些人：它已開發了一款名為Repulsive Grizzly的工具（https://github.com/netflix-skunkworks/repulsive-grizzly），幫助你測試應用程序，了解它們容易受到這種攻擊的可能性。它還建議仔細檢查應用程序，確保它們可以從容失效，或者只是性能降級，而不是崩潰。

該公司還發布了一款名為「ChAP」的新工具，其全稱是混沌自動化平台（Chaos Automation Platform），該工具可以自動處理微服務架構中的混沌。

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！