T1498.002: 反射放大

摘要

攻击者可能尝试通过向目标反射大量网络流量来造成拒绝服务 (DoS)。这类网络 DoS 利用承载并响应给定伪造源 IP 地址的第三方服务器中介。此第三方服务器通常称为反射器。攻击者通过向反射器发送带有受害者伪造地址的数据包来实现反射攻击。与直接网络洪泛类似，可能使用多个系统实施攻击，或可能使用僵尸网络。同样，可能使用一个或多个反射器将流量集中到目标上。(Citation: Cloudflare ReflectionDoS May 2017) 此网络 DoS 攻击还可能降低目标系统和网络的可用性和功能。 反射攻击通常利用响应大于请求的协议来放大其流量，通常称为反射放大攻击。攻击者可能能够使攻击流量的量增加至发送给放大器的请求的几个数量级以上。这种增加的程度将取决于许多变量，例如所涉及的协议、使用的技术，以及实际产生攻击流量放大的放大服务器。促成反射放大洪泛的两个突出协议是 DNS (Citation: Cloudflare DNSamplficationDoS) 和 NTP (Citation: Cloudflare NTPamplifciationDoS)，不过也记录了野外使用其他若干协议的情况。(Citation: Arbor AnnualDoSreport Jan 2018) 特别是，memcache 协议显示出是一种强大的协议，放大倍数高达请求数据包的 51,200 倍。(Citation: Cloudflare Memcrashed Feb 2018)