CLDAP反射放大攻击超过SSDP和CharGen成为第三大反射型DDoS攻击
<!--kg-card-begin: markdown--><p>作者：Xu Yang，kenshin</p>
<p>利用DDoSMon.net，我们实时并持续的监控全球DDoS攻击相关事件。长期以来，DDoS攻击的反射放大细分类型中，DNS、NTP、CharGen、SSDP是最经常被滥用的服务，过去一年中的排位依次是第1、2、3、4位。</p>
<p>近期我们注意到， 基于CLDAP的 反射放大攻击（以下称为CLDAP攻击）已经超过SSDP和CharGEN成为第三大反射型DDoS攻击。CLDAP攻击在过去365天和90天在反射放大类DDoS攻击中占据比例，对比如下图：</p>
<p><img src="__GHOST_URL__/content/images/2017/11/CLDAP_share_comparation_365day_90day.png" alt="" loading="lazy"></p>
<p>数据来源：<a href="https://ddosmon.net">DDoSMon</a>。网站上<a href="https://ddosmon.net/insight">Insight页面</a>的内容可以覆盖本次blog中的大部分数据。</p>
<p>CLDAP攻击首次出现是在去年10月底，到现在恰好一年。本篇blog中，我们对CLDAP攻击上升情况做一个回顾：</p>
<ul>
<li>在过去的一年中，我们累积观察到304,146次CLDAP反射放大攻击，涉及215,229 个独立IP，或者说受害者。CLDAP早已经成为现实存在的DDoS攻击威胁。</li>
<li>值得注意的是，最近两三个月以来，CLDAP攻击发展进入新的阶段。在我们的监测范围内，过去三个月内CLDAP攻击次数累积达到168k(11.2%)次，略超过CharGen （164k次，11%），大幅领先SSDP（70k，4.4%）。</li>
</ul>
<p>我们<a href="http://data.netlab.360.com/">OpenData</a>中的<a href="http://data.netlab.360.com/drdos-reflector/">DRDoS数据</a>中包括了CLDAP在内的最近一月的TOP反射点IP，符合条件的安全研究人员可以免费通过 <a href="mailto:netlab@360.cn">netlab@360.cn</a> 申请数据下载权限。</p>
<h3 id="">阶段划分</h3>
<p><img src="__GHOST_URL__/content/images/2017/11/cldap_trend_last_year-2.png" alt="" loading="lazy"></p>
<p>上图是过去一年中每周CLDAP攻击的次数，反映了CLDAP攻击的活跃程度。</p>
<p>回顾过去一年中CLDAP攻击，我们可以比较清晰的将过去一年划分为三个阶段：</p>
<ul>
<li>初始阶段：2016年10月底开始出现到2017年4月初，周均攻击1000次左右</li>
<li>第一次爬升阶段：2017年4月初到2017年8月底，周均攻击次数6000次左右</li>
<li>第二次爬升阶段：2017年8月底至今，周均攻击15000次左右</li>
</ul>
<p>我们认为，CLDAP攻击在经历了早期的起伏后，在最近两三个月已经进入一个相对稳定的发展阶段。</p>
<p>另一方面，我们在观察反射点的重用程度时，也注意到了类似的时间阶段划分。数据同样表明最近两三个月是一个稳定发展的阶段：</p>
<p><img src="__GHOST_URL__/content/images/2017/11/reflector_comparation_by_month.png" alt="" loading="lazy"></p>
<h3 id="">攻击向量组合</h3>
<p>在所有CLDAP攻击中，单一的CLDAP攻击方式目前仍然是主流。如下表，单一CLDAP攻击向量占据超过84%的比例；剩下的是CLDAP与其他攻击向量混合的攻击，共计占据大约15%的比例。</p>
<p><img src="__GHOST_URL__/content/images/2017/11/attack_vector_distribution.png" alt="" loading="lazy"></p>
<h3 id="">持续时长分布</h3>
<p>CLDAP攻击的持续时长变化比较大：最短的攻击小于1分钟，最长攻击我们曾经观察到持续超过3天。如下图所显示，1、2、3个标准差（68%, 95%, 99.7%）对应的攻击时长分别是30分钟、10小时和24小时。</p>
<p><img src="__GHOST_URL__/content/images/2017/11/attack_duration_distribution.png" alt="" loading="lazy"></p>
<p>上文提到的长达3天的攻击，发生在2017-09-24 15:00:00～2017-09-28 09:00:00之间。受害者IP地址(151.<em><strong>.</strong></em>.15)属于某CDN厂商。</p>
<p><img src="__GHOST_URL__/content/images/2017/11/a_3_days_CLDAP_attack.png" alt="" loading="lazy"></p>
<h3 id="">目的端口分布</h3>
<p>受害者目的端口的分布如下表所示:</p>
<ul>
<li>绝大部分CLDAP攻击的目的端口是随机化的，与一般情况一致。通常而言，反射型DDoS攻击中的目的端口是攻击者可以随意控制并篡改的，目的端口随机化是普遍现象。</li>
<li>但是在80端口和 26383 端口上可以观察到有两个显著的波峰，特别是 26383 端口并不是一个常用端口。这也许是因为某个特定的CLDAP攻击工具或者攻击服务提供商被很多攻击者使用，从而在攻击中反复出现。</li>
</ul>
<p><img src="__GHOST_URL__/content/images/2017/11/dst_port_distribution.png" alt="" loading="lazy"></p>
<!--kg-card-end: markdown-->
作者：Xu Yang，kenshin


利用DDoSMon.net，我们实时并持续的监控全球DDoS攻击相关事件。长期以来，DDoS攻击的反射放大细分类型中，DNS、NTP、CharGen、SSDP是最经常被滥用的服务，过去一年中的排位依次是第1、2、3、4位。


近期我们注意到， 基于CLDAP的 反射放大攻击（以下称为CLDAP攻击）已经超过SSDP和CharGEN成为第三大反射型DDoS攻击。CLDAP攻击在过去365天和90天在反射放大类DDoS攻击中占据比例，对比如下图：





数据来源：DDoSMon。网站上Insight页面的内容可以覆盖本次blog中的大部分数据。


CLDAP攻击首次出现是在去年10月底，到现在恰好一年。本篇blog中，我们对CLDAP攻击上升情况做一个回顾：


 * 在过去的一年中，我们累积观察到304,146次CLDAP反射放大攻击，涉及215,229 个独立IP，或者说受害者。CLDAP早已经成为现实存在的DDoS攻击威胁。
 * 值得注意的是，最近两三个月以来，CLDAP攻击发展进入新的阶段。在我们的监测范围内，过去三个月内CLDAP攻击次数累积达到168k(11.2%)次，略超过CharGen （164k次，11%），大幅领先SSDP（70k，4.4%）。


我们OpenData中的DRDoS数据中包括了CLDAP在内的最近一月的TOP反射点IP，符合条件的安全研究人员可以免费通过 netlab@360.cn 申请数据下载权限。



阶段划分





上图是过去一年中每周CLDAP攻击的次数，反映了CLDAP攻击的活跃程度。


回顾过去一年中CLDAP攻击，我们可以比较清晰的将过去一年划分为三个阶段：


 * 初始阶段：2016年10月底开始出现到2017年4月初，周均攻击1000次左右
 * 第一次爬升阶段：2017年4月初到2017年8月底，周均攻击次数6000次左右
 * 第二次爬升阶段：2017年8月底至今，周均攻击15000次左右


我们认为，CLDAP攻击在经历了早期的起伏后，在最近两三个月已经进入一个相对稳定的发展阶段。


另一方面，我们在观察反射点的重用程度时，也注意到了类似的时间阶段划分。数据同样表明最近两三个月是一个稳定发展的阶段：






攻击向量组合


在所有CLDAP攻击中，单一的CLDAP攻击方式目前仍然是主流。如下表，单一CLDAP攻击向量占据超过84%的比例；剩下的是CLDAP与其他攻击向量混合的攻击，共计占据大约15%的比例。






持续时长分布


CLDAP攻击的持续时长变化比较大：最短的攻击小于1分钟，最长攻击我们曾经观察到持续超过3天。如下图所显示，1、2、3个标准差（68%, 95%, 99.7%）对应的攻击时长分别是30分钟、10小时和24小时。





上文提到的长达3天的攻击，发生在2017-09-24 15:00:00～2017-09-28 09:00:00之间。受害者IP地址(151...15)属于某CDN厂商。






目的端口分布


受害者目的端口的分布如下表所示:


 * 绝大部分CLDAP攻击的目的端口是随机化的，与一般情况一致。通常而言，反射型DDoS攻击中的目的端口是攻击者可以随意控制并篡改的，目的端口随机化是普遍现象。
 * 但是在80端口和 26383 端口上可以观察到有两个显著的波峰，特别是 26383 端口并不是一个常用端口。这也许是因为某个特定的CLDAP攻击工具或者攻击服务提供商被很多攻击者使用，从而在攻击中反复出现。




{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"作者：Xu Yang，kenshin\n\n利用DDoSMon.net，我们实时并持续的监控全球DDoS攻击相关事件。长期以来，DDoS攻击的反射放大细分类型中，DNS、NTP、CharGen、SSDP是最经常被滥用的服务，过去一年中的排位依次是第1、2、3、4位。\n\n近期我们注意到， 基于CLDAP的 反射放大攻击（以下称为CLDAP攻击）已经超过SSDP和CharGEN成为第三大反射型DDoS攻击。CLDAP攻击在过去365天和90天在反射放大类DDoS攻击中占据比例，对比如下图：\n\n![](__GHOST_URL__/content/images/2017/11/CLDAP_share_comparation_365day_90day.png)\n\n\n数据来源：[DDoSMon](https://ddosmon.net)。网站上[Insight页面](https://ddosmon.net/insight)的内容可以覆盖本次blog中的大部分数据。\n\nCLDAP攻击首次出现是在去年10月底，到现在恰好一年。本篇blog中，我们对CLDAP攻击上升情况做一个回顾：\n\n* 在过去的一年中，我们累积观察到304,146次CLDAP反射放大攻击，涉及215,229 个独立IP，或者说受害者。CLDAP早已经成为现实存在的DDoS攻击威胁。\n* 值得注意的是，最近两三个月以来，CLDAP攻击发展进入新的阶段。在我们的监测范围内，过去三个月内CLDAP攻击次数累积达到168k(11.2%)次，略超过CharGen （164k次，11%），大幅领先SSDP（70k，4.4%）。\n\n\n我们[OpenData](http://data.netlab.360.com/)中的[DRDoS数据](http://data.netlab.360.com/drdos-reflector/)中包括了CLDAP在内的最近一月的TOP反射点IP，符合条件的安全研究人员可以免费通过 netlab@360.cn 申请数据下载权限。\n\n\n###阶段划分\n\n![](__GHOST_URL__/content/images/2017/11/cldap_trend_last_year-2.png)\n\n上图是过去一年中每周CLDAP攻击的次数，反映了CLDAP攻击的活跃程度。\n\n回顾过去一年中CLDAP攻击，我们可以比较清晰的将过去一年划分为三个阶段：\n\n* 初始阶段：2016年10月底开始出现到2017年4月初，周均攻击1000次左右\n* 第一次爬升阶段：2017年4月初到2017年8月底，周均攻击次数6000次左右\n* 第二次爬升阶段：2017年8月底至今，周均攻击15000次左右\n\n我们认为，CLDAP攻击在经历了早期的起伏后，在最近两三个月已经进入一个相对稳定的发展阶段。\n\n另一方面，我们在观察反射点的重用程度时，也注意到了类似的时间阶段划分。数据同样表明最近两三个月是一个稳定发展的阶段：\n\n![](__GHOST_URL__/content/images/2017/11/reflector_comparation_by_month.png)\n\n\n###攻击向量组合\n\n在所有CLDAP攻击中，单一的CLDAP攻击方式目前仍然是主流。如下表，单一CLDAP攻击向量占据超过84%的比例；剩下的是CLDAP与其他攻击向量混合的攻击，共计占据大约15%的比例。\n\n![](__GHOST_URL__/content/images/2017/11/attack_vector_distribution.png)\n\n\n###持续时长分布\n\nCLDAP攻击的持续时长变化比较大：最短的攻击小于1分钟，最长攻击我们曾经观察到持续超过3天。如下图所显示，1、2、3个标准差（68%, 95%, 99.7%）对应的攻击时长分别是30分钟、10小时和24小时。\n\n![](__GHOST_URL__/content/images/2017/11/attack_duration_distribution.png)\n\n上文提到的长达3天的攻击，发生在2017-09-24 15:00:00～2017-09-28 09:00:00之间。受害者IP地址(151.***.***.15)属于某CDN厂商。\n\n![](__GHOST_URL__/content/images/2017/11/a_3_days_CLDAP_attack.png)\n\n\n###目的端口分布\n受害者目的端口的分布如下表所示:\n\n* 绝大部分CLDAP攻击的目的端口是随机化的，与一般情况一致。通常而言，反射型DDoS攻击中的目的端口是攻击者可以随意控制并篡改的，目的端口随机化是普遍现象。\n* 但是在80端口和 26383 端口上可以观察到有两个显著的波峰，特别是 26383 端口并不是一个常用端口。这也许是因为某个特定的CLDAP攻击工具或者攻击服务提供商被很多攻击者使用，从而在攻击中反复出现。\n\n![](__GHOST_URL__/content/images/2017/11/dst_port_distribution.png)"}]],"sections":[[10,0]],"ghostVersion":"3.0"}