全球范圍內(nèi)分布式拒絕服務(wù) （DDoS） 網(wǎng)絡(luò)攻擊急劇增加，這種數(shù)字攻擊可以通過大量的互聯(lián)網(wǎng)流量壓垮目標(biāo)服務(wù)器，從而使網(wǎng)站癱瘓。這種攻擊每年都會發(fā)生數(shù)百萬起，而且數(shù)量和規(guī)模都在不斷增加。大約三分之一的網(wǎng)站宕機是由于 DDoS 攻擊所致。計算機科學(xué)家兼波蘭國家網(wǎng)絡(luò)安全和人工智能研究所 （NASK） 研究總監(jiān) Micha? Karpowicz 說，“DDoS 網(wǎng)絡(luò)攻擊的目的是制造混亂，擾亂組織，當(dāng)然還有造成經(jīng)濟損失。這種攻擊非常常見，因為它們很容易生成。”在典型 DDoS 攻擊中，罪犯會利用多臺感染了專門設(shè)計的惡意軟件的計算機和在線設(shè)備。

這些設(shè)備可能包括廚房電器、安全攝像頭和恒溫器等物聯(lián)網(wǎng) （IoT） 設(shè)備，而且數(shù)量在與日俱增。目前，物聯(lián)網(wǎng)涵蓋的設(shè)備超過 100 億臺，是一支龐大的可被利用的隊伍。DDoS 攻擊通常會采用以下兩種類型中的一種，或是兩種類型的組合。在容量耗盡攻擊中，受感染的設(shè)備會以極大的流量一次性涌入目標(biāo)網(wǎng)絡(luò)，致使其過載而無法為普通用戶提供服務(wù)。在應(yīng)用程序攻擊中，發(fā)出的請求會要求服務(wù)器執(zhí)行大量計算，這同樣會導(dǎo)致服務(wù)器過載。

Karpowicz 使用了一個大家熟悉的場景來描述這個問題。想象你正開車去銀行。沿途車輛稀少，一路暢通，直到你抵達最后一個十字路口。這時道路突然發(fā)生擁堵，你只能等待。這就是容量耗盡攻擊。現(xiàn)在再想象一下，你終于到了銀行，正排隊等候柜臺員工為你辦理業(yè)務(wù)。你發(fā)現(xiàn)排在你前面的客戶出現(xiàn)了不同尋常的問題，需要銀行所有員工的幫助。同樣，你還是只能等待。這就是應(yīng)用程序攻擊。

惡意軟件可以隱藏請求的來源，使得攻擊難以抵擋。有些服務(wù)還會提供雇傭攻擊服務(wù)，使得攻擊更加容易使用。這些服務(wù)的發(fā)起方通常是心懷不滿的員工、激進分子、市場競爭對手和國家。Karpowicz 指出，在疫情居家期間，NASK 在網(wǎng)課開始時檢測到來自學(xué)生網(wǎng)絡(luò)發(fā)起的攻擊，其目的是試圖讓在線測試無法進行。但最近 Karpowicz 開發(fā)了數(shù)學(xué)方法來檢測這種惡意請求，以對其進行阻止或重定向。他說，“當(dāng)你面臨一個來自現(xiàn)實的問題時，它會給你許多的靈感。”

動態(tài)指紋

互聯(lián)網(wǎng)上的信息，包括來自網(wǎng)站的請求，均由數(shù)據(jù)包組成。每個數(shù)據(jù)包都有一個作為唯一標(biāo)識符的標(biāo)頭，描述了數(shù)據(jù)包的大小、來源和目的地。典型防御會查看這些標(biāo)頭，看它們是否在禁止列表中。然后，防御將壞數(shù)據(jù)包重定向到無害的目的地。問題是他們必須事先就擁有這個列表，并且攻擊者經(jīng)常會更改標(biāo)頭以逃避檢測。與此相反，Karpowicz 的解決方案采取的是實時檢測網(wǎng)絡(luò)流量模式。想象一下城市的十字路口有一系列交通攝像頭。如果你觀看隨機采集的一些視頻片段，你發(fā)現(xiàn)突然之間有大量的藍色敞篷車聚集在某個位置。很可疑。接下來，你可以密切觀察這些車輛，了解更多信息，并且可以讓其中更多的車輛靠邊停下。這種方法可以將網(wǎng)絡(luò)數(shù)據(jù)轉(zhuǎn)換為信號數(shù)據(jù)。于是任務(wù)就變成了分離不同的信號源。

Karpowicz 認為這跟“雞尾酒會問題”差不多。“雞尾酒會問題”說得是你參加了一個派對，周圍的人都在交談，你必須從中辨別出跟你交談的人所說的那些話。這里，他采用了線性代數(shù)。他用信號，也就是數(shù)據(jù)包標(biāo)頭，填充矩陣。在矩陣中，每一行代表一段時間內(nèi)特定類型（由數(shù)據(jù)包大小、來源或某個其他因素定義）的數(shù)據(jù)包。在車輛交通的類比中，你可能有表示藍色車輛、小型貨車和來自加州的車輛的行。在給定矩陣中填充單元格的值表示的是可能與攻擊識別相關(guān)的內(nèi)容。在一個矩陣中，每個單元格包含的可能是標(biāo)志數(shù)，而在另一個矩陣中，它可能表示每秒比特數(shù)。接下來，Karpowicz 將破譯這些指標(biāo)中哪些屬性組合出現(xiàn)頻率特別高。不單單是藍色汽車或敞篷車，而是藍色敞篷車。

FLDX 系統(tǒng)中檢測到的容量耗盡攻擊。（圖片所有權(quán)：Michal Karpowicz）

一旦找到這些特征組合，他便將其轉(zhuǎn)換回網(wǎng)絡(luò)領(lǐng)域，形成防火墻規(guī)則。在車輛交通的類比中，如果他知道了是某個品牌和型號的藍色汽車造成的問題，他便會創(chuàng)建攝像頭濾鏡，立即找到這些車輛。他將這種基于線性代數(shù)的方法稱為元因式分解。一篇關(guān)于元因式分解的論文正在審查中。Karpowicz 在 MATLAB 中實現(xiàn)了這些計算。他說，“線性代數(shù)算法是科學(xué)界已知最快的算法，這使得這種方法非常高效。”

交通攔截

檢測惡意數(shù)據(jù)包只是問題的一部分；防御者還必須對其進行控制。Karpowicz 說，他偶然得到了一個解決方案。大約十年前，他做過一個提高網(wǎng)絡(luò)設(shè)備能源效率的項目。該項目的目的之一是預(yù)測流量，并將數(shù)據(jù)包流重定向到能夠進行處理的路由。在與從事網(wǎng)絡(luò)安全工作的一位同事討論該項目時，這位同事表示可以使用該項目對抗 DDoS 攻擊。Karpowicz 說，“我們一直在研究這個想法，經(jīng)過一點一滴的努力，一項新技術(shù)逐漸成形。”在去年《European Journal of Control》上發(fā)表的一篇論文中，Karpowicz 描述了這項稱為自適應(yīng)調(diào)節(jié)的新技術(shù)。典型網(wǎng)絡(luò)流量控制系統(tǒng)不會收到對其性能的反饋。它們是通過阻止與攻擊有某種關(guān)系的所有流量來防御攻擊。這往往會矯枉過正，因為可能會阻止合法的流量。Karpowicz 建議使用融入了反饋機制的流量控制器，這樣它們便會知道是否在重定向正確的數(shù)據(jù)包。他說，“網(wǎng)絡(luò)安全給我?guī)砹司薮蟮目茖W(xué)研究挑戰(zhàn)，尤其是在數(shù)學(xué)方面”。理論與實際相輔相成。“這就是讓我堅持下去的動力。我有種預(yù)感，這里面有點東西，而且有個需要解決方案的問題。”這些檢測和控制系統(tǒng)共同構(gòu)成了 NASK 提供的 FLDX 服務(wù)的基礎(chǔ)，他們現(xiàn)在擁有這項服務(wù)的專利。它可以在 5 秒內(nèi)檢測到攻擊，并在 10 秒內(nèi)開始緩解攻擊。

實時檢測 DDoS 攻擊的 FLDX 系統(tǒng)。（圖片所有權(quán)：Michal Karpowicz）

NASK 在波蘭各地部署了 FLDX，使用分布式虛擬機集群保護全國網(wǎng)絡(luò)。Karpowicz 說，“整個解決方案的獨特之處在于，它不僅是一個網(wǎng)絡(luò)安全系統(tǒng)，而且是一個研究平臺。它讓你可以在 MATLAB 中編寫自己的算法來檢測和抑制攻擊。它還可以讓你訪問我們在 MATLAB 中收集的數(shù)據(jù)，并且你可以利用這項技術(shù)的所有好處，基于我們提供的流量樣本使用數(shù)據(jù)處理、信號處理和機器學(xué)習(xí)人工智能 （AI）。”檢測和自適應(yīng)調(diào)節(jié)算法都使用機器學(xué)習(xí)，具體說是一種被稱為半監(jiān)督學(xué)習(xí)的方法。它不需要太多手工標(biāo)記的數(shù)據(jù)即可進行訓(xùn)練。Karpowicz 說，“我們在學(xué)習(xí)算法中編碼了一些專業(yè)知識，然后讓它們自己完成工作。它們的工作是發(fā)現(xiàn)世界上正在發(fā)生的事情。他們能在大量的數(shù)據(jù)中發(fā)現(xiàn)統(tǒng)計規(guī)律，比如發(fā)現(xiàn)某一類型汽車的集群。他說，“這是機器學(xué)習(xí)的最佳使用場景。

在系統(tǒng)投入運行之前，我們不需要先行收集大量數(shù)據(jù)集對系統(tǒng)進行調(diào)節(jié)。在安裝好的那一刻系統(tǒng)就可開始工作。”檢測器使用“投票”系統(tǒng)來識別異常數(shù)據(jù)流。它還通過求解方程組來優(yōu)化矩陣。即使網(wǎng)絡(luò)行為非線性（其中一些因素的影響不成比例），線性方程也可以捕獲到大部分的模式。研究人員和工程師可以使用 MATLAB 來訪問 NASK 的數(shù)據(jù)集，而且因為許多科技大學(xué)都已在使用該數(shù)據(jù)集，這使得“這種訪問非常方便”。NASK 的數(shù)據(jù)集可謂獨一無二，因為其中不僅包含了來自全國各地的流量數(shù)據(jù)，而且數(shù)據(jù)采樣率非常高。

FLDX 顯示不同的流量。（圖片所有權(quán)：Michal Karpowicz）

NASK 的研究著眼于流量動態(tài)、目標(biāo)漏洞及攻擊的源、頻率和方法。他們使用 FLDX 來保護公共和商業(yè)客戶，包括學(xué)校和疫苗接種登記服務(wù)。贏得網(wǎng)絡(luò)安全部門同事的信任是一個“巨大的驚喜”。Karpowicz 說道，“在網(wǎng)絡(luò)安全工程部，科學(xué)家需要一定的時間才會贏得尊重。你得顯示出你理解他們在做什么，而且你也在做有用的事情。”但憑借 FLDX，“你可以直接進入前線戰(zhàn)場。這就是 NASK 的特別之處。我們從實驗室到技術(shù)和部署的路線極其簡短。”現(xiàn)在，Karpowicz 正在與其他機構(gòu)開展合作，包括麻省理工學(xué)院和悉尼科技大學(xué)。他說，“我希望 NASK 在網(wǎng)絡(luò)安全和人工智能方面享譽全球”。我們已看到了一個良好得開端。

編輯：黃飛