Zi 字媒體

隨著物聯網設備的普及，網路犯罪分子通過利用密碼的缺陷而提供拒絕服務攻擊。——Ryan Francis隨著物聯網設備飛速發展，分散式拒絕服務（DDoS）攻擊正在成為一種危險的趨勢。就如 DNS 服務商 Dyn 上年秋季之遭遇一樣，黑客似乎瞄上了每個人，使用未保護的物聯網設備來轟炸網路的做法正在抬頭。可雇傭的 DDoS 攻擊的出現意味著即使是最不精通技術的人都能精準報復某些網站。就像在櫃檯前面買個東西一樣方便，然後就可以徹底搞定一個公司。根據 Neustar的報告，四分之三的國際品牌、機構和公司都是 DDoS 攻擊的受害者。每天至少會發生 3700 起 DDoS 攻擊。睿科網路公司（A10 Networks）網路運營總監 Chase Cunningham 說：「想要找個可用的物聯網設備，你只需要在地下網站四處打聽一下 Mirai 掃描器代碼，一旦你找到了，你將能夠利用在線的每一台設備來進行攻擊」。「或者你可以去一些類似 Shodan 的網站，然後簡單的搜一下設備特定的請求。當你得到這些信息之後，你就可以將你所雇傭的 DDoS 工具配置正確的流量模擬器類型、指向正確的目標並發動攻擊。」「幾乎所有東西都是可買賣的。」他補充道，「你可以購買一個 『stresser』，這就是個隨便哪個會點按鈕的人都會使用的 DDoS 殭屍網路。」網路安全提供商 Imperva 說，用戶只需要出幾十美金，就可以快速發動攻擊。有些公司在它們的網站上說它們的工具包含肉雞負載和 CnC（命令與控制）文件。使用這些工具，那些有點想法的肉雞大師（或者被稱為 herders）就可以開始傳播惡意軟體，通過垃圾郵件、漏洞掃描程序、暴力攻擊等來感染設備。大部分 stresser 和 booter 都會有一個常見的、基於訂閱服務的 SaaS（軟體即服務）業務模式。來自 Incapsula 公司的 Q2 2015 DDoS 報告顯示，在 DDoS 上的月均每小時花費是 38 美元（規模較低的是 19.99 美元）。雇傭ddos服務「stresser 和 booter 只是新世界的一個副產品，這些可以扳倒企業和機構的服務只能運作在灰色領域」，Imperva 寫道。雖然成本不同，但是企業受到的各種攻擊，每次損失在 1.4 萬美元到 235 萬美元之間。而且企業受到一次攻擊后，有 82% 的可能性會再次受到攻擊。物聯網洪水攻擊DDoS of Things（DoT）使用物聯網設備建立的殭屍網路可造成非常大規模的 DDoS 攻擊。物聯網洪水攻擊會利用成百上千的物聯網設備攻擊，無論是大型服務提供商還是企業，均無倖免。「大部分講究聲譽的 DDoS 賣家都會將他們的工具配置為可修改的，這樣你就可以輕鬆地設置攻擊的類型。雖然我還沒怎麼看到有哪些可以『付費的』物聯網流量模擬器的選項，但我敢肯定就要有了。如果是我來搞這個服務，我是絕對會加入這個選項的。」Cunningham 如是說。由 IDG 新聞服務的消息可知，要建造一個 DDoS 服務也是很簡單的。通常黑客會租用 6 到 12 個左右的伺服器，然後使用它們隨意的攻擊任何目標。去年十月下旬，HackForums.net 關閉[8]了他們的「伺服器壓力測試」版塊，這個做法就是考慮到黑客可能通過使用他們每月十美元的服務建造可雇傭的 DDoS 服務。同樣地在十二月時，美國和歐洲的執法機構 逮捕34個參與可雇傭的 DDoS 服務的嫌犯。但是如果這很簡單，怎麼還沒有經常發生攻擊？Cunningham 說這其實每時每刻都在發生，實際上每天每秒都在發生。他說：」你不知道它們的原因是因為大部分都是擾亂攻擊，而不是大規模的、想要搞倒公司的攻擊。「他說，大部分的攻擊平台只出售那些會讓系統宕機一個小時或稍長一點的攻擊。通常宕機一小時的攻擊大概需要花費 15 到 50 美元。當然這得看平台，有些可能一小時就要花上百美元。減少這些攻擊的解決方案是讓用戶把所有聯網設備的出廠預置的密碼改掉，然後還要禁用那些你不需要的功能。溫馨提醒：您可以微信關注「騰訊課堂」（微信號：tencent-class）開始學習