FBI警告4种可能发生DDoS攻击的新兴网络协定

美国联邦调查局（FBI）本月发布公告要企业IT特别注意一些新兴的装置内建的网络协定，可能遭到骇客发动分散式阻断服务（DDoS）攻击。

DDoS是骇客造成大规模破坏的一种手法，攻击者冒充呼叫来源的IP，针对一台服务器传送少量呼叫，引发服务器针对目标机器大量回应，以瘫痪其运作。而从2018年12月，骇客开始针对物联网（IoT）装置内建的网络协定发动DDoS攻击，使终端机器运作效能下降或功能丧失。所谓内建网络协定涵括网络管理、网络装置发现（discovery）及网页传输协定。

研究人员发现，过去一些新兴的内建网络协定如Jenkins、ARMS、WS-DD、CoAP尚未或鲜少被开采，但近年可能性大增。首先是Jenkins开源软件开发自动化服务器，今年2月英国研究发现Jenkins一个漏洞，可能被用来对目标Jenkins服务器传送100倍流量的DDoS放大攻击。

其次是苹果的Apple Remote Management Service (ARMS)。它属于苹果远端桌面（Appel Remote Desktop）的一部分，许多大学和企业以ARD来管理大量苹果Mac电脑。当苹果装置开启ARD时，ARMS开始听取port 3283的传入指令，可使攻击者传送放大因素（amplification factor）达35.5:1的DDoS放大流量。

第三是Web Services Dynamic Discovery（WS-DD）。去年5月和8月骇客分别发动130几次的DDoS攻击，其中2波攻击中几次好几次出现超过350 Gbps的流量。下半年还有骇客利用非标准协定及组态错误的IoT装置发动DDoS放大式攻击。FBI指出，IoT装置之所以成为目标，因为这些装置使用WS-DD协定自动侦测附近的新连网装置，此外WS-DD靠的是UDP运作，这让攻击者可假冒受害机器的IP，而使其遭到附近IoT装置流量的围攻。到去年8月为止，开启WS-DD协定的IoT装置竟高达63万台。

最后是Constrained Application Protocol (CoAP)。2018年12月有骇客滥用了CoAP的群播（multi-cast）和指令传送功能，制造DDoS反射式及放大攻击，放大因素（amplification factor）达到34倍。截至2019年1月，大部分CoAP装置位于中国，且使用行动点对点（p2p）网络。

关闭上述4种内建网络协定可以防止DDoS放大攻击，但是却会降低企业生产力和连网功能，影响企业关闭的意愿。另一方面，厂商也会担心影响使用经验而不会预设关闭这些协定，因此FBI呼吁用户应该自己做好预防规划。

FBI建议企业可以使用DoS攻击缓解服务，业者可协助侦测DDoS及流量重导引服务、找ISP提供网络流量控管，后者也能发生攻击时提供调查用的鉴识资料。此外企业也应确保装置安装最新的软件及安全修补程式、变更装置的预设用户名称和密码，并启用网络防火墙，关闭传输埠转发（port forwarding）。