【Security 的老生常談】又是你嗎？DDoS ?!

「咦？又係你呀，陳生？！」

大家沒有看錯，都已經有20年了，還是在談 DDoS ？！
正在看這篇文的朋友，相信都對於 DDoS 有概念、有聽過了，那我在這裡當然不會好像前篇講 Zero Trust 那樣從頭說起。
而這次我再把這話題帶出來，是要讓大家知道，雖然 DDoS 已經老了，但是它卻不斷的演變，過了20年，依然是最普遍、最廣泛使用的攻擊手。
到底 DDoS 近年怎樣影響到企業的業務呢？前文說過，2020年的疫情加速了企業的#DigitalTransformation ，並多使用了各種各樣的 Web services 和 Cloud services ；其實同一時間，企業的被攻擊面也增加了，#hackers 的攻擊也同樣地 Transform了。

• 有報導說（A record number of DDoS attacks took place in 2020），在2020年，全球大概有記錄到1000萬DDoS 攻擊，平均沒天3萬次。
• 再者，現在很容易就能要發動 DDoS 攻擊，你不需要具備很厲害的攻擊能力，甚至不需要懂技術，只需要付不太多錢，就有 DDoS-as-a-Service 代勞了（The cost of launching a DDoS attack）。

始終，DDoS 是最容易、而成本也低的網路攻擊，#hackers 往往利用它作為先頭部隊，擾亂視線，真正的目的，就隱藏在背後。當中比較常見的 DDoS 動機有：

1. 首先，hackers 就藉著對企業網路發動攻擊，來勒索 bitcoins 作為贖金。有些企業深怕業務受損，做不了生意，就願意付款；有些則礙於企業名聲或法規上的要求，怕被罰巨款，就不敢報警，打算付款了事，這更讓 hackers 有恃無恐。
2. 另外，更常見的，其實是透過 DDoS 攻下作為煙幕，當受害企業團體正竭力處理眼前大量 DDoS 流量的同時，hackers 往往正在背後做更大的破壞。
3. 還有，商場上的競爭對手，利用 DDoS 去攻擊對方的業務網站，使正常客戶訪問不到，甚至藉此竊取商業上的敏感資料，盜取對手的客戶與業務。
4. 最後，有些 DDoS 攻擊則純為個人或政治表態，hackers 通常會針對個別大財團機構或政治團體、單位發動攻擊。現今企業都依重 #DigitalTransformation ，什麼 Web applications 或 Mobile applications 的。那麼，正如上面說，這些不同動機的 DDoS 攻擊，出發點就是能對企業作出各種大大小小的業務影響，包括：

• 業務中斷
• 潛在的贖金或罰款
• 商譽受損
• 法律風險與賠償

以下是近年發現的大事件：

• 2017年（最近才報告出來），Google 遇到2.5Tbps的DDoS 攻擊（Google Says Biggest DDoS Attack on Record Hit the Company in 2017）。
• 2020年，AWS 抵擋了一次2.3Tbps的DDoS 攻擊（AWS said it mitigated a 2.3 Tbps DDoS attack, the largest ever）。
• 2020年，新西蘭交易所（NZX Ltd.）受到一連幾天的DDoS 攻擊，需要把系統多次多天的關閉（How a Dated Cyber-Attack Brought a Stock Exchange to its Knees）。
• 今年，2021年，比利時一家政府注資，有為公型機構、學校、國會等機構提供互聯網服務的ISP ，被大量（volumetric，large-scale）的DDoS 攻擊，影響到很多以上說團體（Massive DDoS Attack Disrupts Belgium Parliament）。

由此可見，無論歐美或亞太地方，DDoS Attacks 都常出現，千萬不要輕視或覺得離自己很遠。記住無論業務大小、企業知名與否，總會有相對類型的 Cybercriminals 在不斷地尋找機會，來對您們作出攻擊。

敵人在暗，企業就需自我準備一套好的防禦，以免成為下一個受害者。一套有效的 DDoS 防護，需要有以下幾點：

1. 能阻擋最大量的壞流量，而同時讓正常 Application 和服務不受影響，代表要有準確的判斷，而又有彈性和足夠的 DDoS 防禦資源。
2. 要少誤判，減少錯誤阻擋了正常流量的機會。
3. 要有整套 Application security 的視覺，要防 DDoS 煙幕以外的 Application 入侵 DDoS

#Citrix Web Application and API Protection Service （CWAAP）是一套完整的 Cloud-based web application firewall service ，包括 Volumetric #DDoS cloud protection、#WebApplicationFirewall （whitelisting and blacklisting）、#APIprotection 和 #BotManagement 。

無論企業的應用在明在暗、在天（Cloud）在地（on-premises）、近在咫尺（本地）、還是天各一方（海外），CWAAP 都能照顧企業 Application security。

企業也可以用 CWAAP 的 Security service （e.g. DDoS）來加強本身已建好的 On-premises Application Firewall，讓 CWAAP 先把流量過濾了、洗乾淨了，再倒回去 Data center 那邊去，這也能節省 Data center （cloud或 on-premises）那邊資源的消耗。

有興趣的話，歡迎到 Citrix Web App and API Protection 了解更多。

下次有機會再跟大家分享我們 #CWAAP 或整個 #AppSecurity 的資訊。