DDoS攻击来势汹汹

DDoS攻击已成为主流

僵尸网络驱使的DDoS攻击很可能继续成为2011年和以后的一种成本低且影响力高的网络抵制形式。2010年发生的主要网络事件包括涉及中日领土争端，缅甸、斯里兰卡政治骚乱及‘维基解密’等事件的DDoS攻击。保护网络可用性的需求最终进入全球企业IT咨询公司的监管视线，而对DDoS的防范也因此将被全球列为CXO级的管理问题。

攻击范围继续扩大

DDoS攻击范围包括易受DDoS攻击的网络基础设施、服务器、协议和服务的各个方面。随着在网络中引入新的设备、协议和服务，易受DDoS攻击的设施的范围将会扩大。这对网络运营商而言是一个巨大的挑战。由僵尸网络驱使的大规模的应用层DDoS攻击仍然是运营商面临的最主要问题。今年的报告还将披露针对基础设施本身的攻击，尤其是针对域名系统(DNS)、VoIP和IPv6的攻击。

Arbor Networks公司首席解决方案专家Roland Dobbins称：“网络运营商正在面对由无处不在的僵尸网络所发起的全球性互联网暴动。这导致DDoS攻击的规模、频率和复杂度迅速加大。攻击向量不断增多，包括应用和服务，以及在移动设备上的蔓延，都大大增加了运营商面临的挑战。”

应用层DDoS攻击的复杂度和其对运行的影响程度都在增加。2010年有多达77%的受访者报告检测到应用层攻击。这些攻击既针对其客户也针对其附属支持服务，如DNS和门户网站等。互联网数据中心(IDC) 和手机/固网的无线运营商都报告指出，应用层DDoS攻击能够导致大量服务中断，运营费用(OPEX)上升，客户流失和收益损失。

复杂度不断增加的攻击暴露IPS和防火墙的弱点

为防范DDoS攻击，许多运营商部署了基于状态检测的防火墙(stateful firewall)和入侵防御系统(IPS)设备来保护数据中心基础设施。但实际上，这些设备会使得网络更容易遭受攻击，因为即便是对目前升级最灵活的设备上的状态表，一个中等规模的DDoS攻击就可让其瘫痪。有近49%的IDC受访者报告了DDoS攻击导致的防火墙和IPS瘫痪事件。

移动网络缺乏准备为新攻击提供了机会

就网络的可见性和控制，以及保护自身和客户免受攻击的整体能力而言，发展最迅速的手机和固网的无线网络运营服务可能是互联网服务提供商(ISP)中缺乏充分准备的一环。有近60%的受访者表示对其无线分组核心的流量缺乏可见性或受限。而仅有23%的受访者表示其无线分组核心具有可见性，与其有线网络的可视性相当或更好。值得注意的是，就安全而言，许多手机和固网的无线网络运营商可能仅具备与8到10年前有线运营商之状况相近的保护能力。

运营商在转变为IPv6运营商的同时，也正在努力维持其安全状况。一些运营商就对IPv6网络流量的可见性缺乏，以及无法象控制IPv4流量一样地控制IPv6网络流量存在担忧。部署IPv6到IPv4的网关和网络地址转换(NAT) 时所带来的额外网络状态和DDoS向量，对网络可用性也是一个严重的威胁。

DNS成为首要攻击目标

DDoS最容易攻击方式之一就是DNS攻击。它能够通过拒绝互联网用户解析服务器/资源记录，导致一台服务器，一项服务或一个应用程序离线。此外，大量错误配置的DNS开放式递归运算，加上许多网络缺乏反欺骗部署，就会让攻击者发起导致DNS瘫痪的反射/放大性攻击。

【编辑推荐】