绿盟科技刘文懋RSAC主题演讲:物联网中基于UDP的DDoS新型反射攻击研究

下面,绿盟君与大家一起来学习绿盟科技在RSA2021大会上分享精华:

1.  全球物联网资产暴露情况

随着越来越多的物联网设备接入互联网,物联网联网数每天都在增加。通过对互联网上设备进行扫描,我们发现全球超过70000个开放WS-Discovery、OpenVPN和CoAP协议的物联网服务。

不仅安全厂商可以发现这些物联网暴露资产,攻击者也能够发现这些资产。通过扫描器、僵尸网络或任何可以使用的工具发现物联网资产后,这些资产会容易遭到攻击,以及被利用来进行发起攻击。

2.  美国是遭受放大反射DDoS攻击影响最大的国家

通过物联网蜜罐捕获和收集受害者的IP地址,在计算目标IP地址的地理位置后,可以看到美国受放大反射DDoS攻击的影响最大。

无论是勒索软件还是DDoS攻击,都可以作为一种黑产服务,此前已经在暗网上出现明码标价提供租用DDoS服务,而暴露的脆弱物联网设备成为了黑产潜在的攻击武器。考虑到美国庞大的商业和IT产业,它成为了网络犯罪的最大目标。

3.  WS-Discovery协议介绍

WS-Discovery是基于UDP的、用于Web服务发现的单播协议。其工作原理是客户端发送UDP探测消息搜索服务,然后等待应答。该协议具体被滥用的情况是:攻击者发送一个3字节的请求:3c、aa、3e,并携带一个欺骗的源地址,服务会回复一个1590字节的响应。

这里使用了BAF(bandwidth amplification factor)带宽放大系统的概念,最早在2014年NDSS的一篇论文《Amplification Hell: Revisiting Network Protocols for DDoS Abuse》中提到的。为了计算BAF,可以将有效负载发送给使用真实源地址公开的所有服务,验证获得的响应结果数据。经过测试,发送的请求的长度3字节时,收到的响应的平均长度是1330,计算出BAF数值是443。利用该协议漏洞,通过WS-Discovery可以产生比请求流量大400多倍以上的恶意流量。

4.  ADDP帮助攻击者找到存在Ripple20漏洞的设备

ADDP是高级设备发现协议(Advanced Device Discovery Protocol),是Digi International公司开发的基于UDP的多播协议。借助ADDP,无论网络如何配置,设备都可以在本地网络上发现其他设备。经过全网扫描测试,我们发送的请求的长度是14字节,而收到的响应的平均长度是141.7字节,对应的BAF是10.1。

事实上,ADDP被许多数码网络设备使用,大量这些设备可能存在Ripple20漏洞。因而,攻击者可以通过发现暴露的ADDP服务,再验证Ripple20漏洞,则可以发起一些攻击。

除了WS-Discovery、ADDP之外,报告还分析了OpenVPN协议的脆弱性,此外绿盟科技在2018、2019和2020年发布的《物联网安全年报》中分析了SSDP、DHDiscover、Ubiquiti等协议,这些物联网协议都存在相似的脆弱性:基于UDP、支持单播、响应远大于请求长度,因而容易被利用发动DDoS攻击。事实上,在2017年后,利用物联网协议发动DDoS攻击俨然成为了攻击者的重要选择。

5.  一些建议和观点

给物联网厂商建议:

首先设置首席安全官,组建安全团队。其次在设计环节,默认禁用服务/设备发现功能,非多播不响应,非内网不响应。最后在运营环节,建立应急响应流程并及时发布安全补丁。

给最终用户和机构的建议:

识别自有的物联网设备,检查配置、访问控制策略;持续地使用网络空间测绘技术监控暴露资产;构建识别-评估-治理的安全运营闭环,将物联网安全融入到统一的安全运营体系内。

给物联网客户的解决方案:

关注城市、企业物联网安全隐患, 综合展示物联网各垂直领域风险态势,各地区、部门威胁情况,使用绿盟物联网保护伞解决方案,通过终端SDK、固件检测、准入网关、物联卡分析、物联网安全测评等多个系统的数据,支撑物联网安全态势。

未来一段时间内,更多物联网协议和设备的漏洞会不断出现,绿盟科技通过创新中心、格物实验室、物联网安全产品部的联合,起到了研、产、用的结合,通过物联网保护伞解决方案,为广大物联网安全场景客户提供保驾护航。

绿盟科技长期致力于物联网安全研究,在物联网sdk、车联网安全等方面取得了显著的研究成果。

绿盟科技车路协同网络安全技术方案, 着眼于规模化车路协同应用,采用了车载可信级安全SDK+路侧智能安全网关+安全运营平台端到端的安全联动架构模式,构建监测、检测、预警、防御、响应与应急处置安全能力,全面覆盖感知侧、传输侧、平台/应用侧防护场景,为智能交通领域的网络安全保驾护航。

通过车联网终端及平台探针部署、威胁情报采集等,收集车路协同通信网内安全数据信息,并基于大数据关联分析处理,形成了主动探测、被动诱捕、流量分析、僵木蠕、DDoS攻击、APT检测等安全监测、检测、预警、防御、响应与应急处置安全能力,结合安全咨询、渗透测试、全生命周期安全风控等安全服务,构建车路协同安全运营体系;从方案价值看,能够满足车路协同安全合规及新基建网络安全建设安全迫切需求,进一步保障整个车路协同应用安全、可控、健康发展。

在绿盟科技官方微信后台回复“RSA演讲PPT”,即可下载观看刘文懋博士演讲胶片。

免责声明：市场有风险，选择需谨慎！此文仅供参考，不作买卖依据。