脆弱的基础架构使企业面临潜在的攻击

互联网的基础架构，如BGP、DNS、SSL等，其设计目的都是保障通信的正常进行，但此基础架构并非总是完全可信的。我们仍可以看到一些重大的问题需要解决。

Gartner的研究人员John Pescatore指出有四大主要的攻击可以利用互联网的基础架构：DoS和DDoS、证书授权损害和欺诈、 域名服务攻击、 4G LTE.Gartner的研究人员Orans指出，互联网从整体上说是稳定的。但是如果你从其组成部分的层次上来看，就会发现存在一些不稳定和不可靠的问题。

下面就是Gartner的研究人员所发现的四大主要的基础架构攻击，以及对付这些攻击的主要策略。

1、拒绝服务和分布式拒绝服务攻击(即DoS和DDoS)

根据Arbor Networks的消息，这两种攻击绝对不会绝迹，而且至少有一半的ISP每月遭受一到十次的这种攻击，而且用免费工具(如Low Orbit Ion Cannon(LOIC))这种广受攻击者欢迎的匿名DDoS武器，就可以更容易地发动攻击。Orans说，黑客主义是一个问题：如果某人不喜欢你的企业，他就可以对你发动攻击，且犯罪份子的攻击也是一个问题。

Neustar的副总裁和高级技术专家Rodney Joffe在Gartner会议期间展示了一段视频，展示了犯罪者的攻击往往用于掩饰更为阴险的目标攻击。犯罪者越来越擅长于隐藏其操作，他们隐藏得越好，安全人员就越难以过滤和防御这种攻击。

Joffe说，这种攻击的伪装性越来越好，企业应当部署BCP 38(网络入口过滤)，以应对源地址欺诈。在对付DDoS的过程中，这会带来显着的差异。

Gartner对遏止DDoS攻击的建议：首先，评估丧失企业的Web给企业带来的经济影响，并提供在遭受攻击后的事件响应计划。Orans说，企业的计划应当以业务的连续性和灾难恢复策略为重点。

其次，考虑减轻DDoS攻击的服务。最廉价的方法是一种“管道清洁”服务，其成本超过带宽服务价格的10%到15%.ISP可以检测并减轻DDoS攻击，因而犯罪者就无法完全占有你的信息通道，Oran说，这是一个富有成本效益的好方法。

Orans说，一种更净化型的版本是“净化型”服务，即你在遭受攻击时，你可以将通信发送给一个供应商。这些供应商可以充当一个中间人，并对通信进行“净化”,取出DDoS通信，仅将善意通信发送给你。这种服务的每个站点的收费标准为10000美元，当然，你也可以根据带宽来付费。另外一种服务是DDoS 设备，它位于DMZ中，并可以检测DDoS通信，进而改变其方向。

2、证书授权

数字证书遭到损害和攻击的事实迫使许多专家寻求一种验证网站或软件的新方法。Pescatore说，真正的问题是这个注册过程。数字证书只能如同其注册过程一样强健：密钥的交换并不自动等同于认证。

SSL的发明者Taher Elgamal在Gartner的峰会上展示了一段视频消息，他说，这纯粹是一个过程问题而不是一个技术问题。在过去的几年中，在证书授权遭到破坏后，就会出事，此时的用户仍拥有证书授权，但他们并没有占有其名字。此时，可信性已经无从谈起。

如何减轻证书授权的这种威胁?Gartner建议使用证书管理工具和强化的浏览器。Pescatore说，第一个问题是找到你在哪里使用证书，并知道自己是否有需要撤销的证书。在一个典型的公司中，有大量的SSL证书。证书管理工具可以帮助你找出这些证书。

另一个选择强化用于敏感操作(如网络银行或b2b的交易等)的浏览器。一定要教育雇员，让其知道SSL的局限性，SSL会话并不能保证网站自身的真实性。

如果证书授权遭到破坏怎么办?Pescatore说，准备一个事件响应计划。要想防御这些威胁，现在需要大量的DIY工作，直至业界的努力(例如，DANE,即可以验证用户或证书的DNS)得以部署完成。

Pescatore说，我认为我们所看到的事件仅仅是一个开始，部署某些减轻措施的时候已经到了。在你正在允许移动设备在公司使用的时候，就应当与移动设备的管理厂商进行协商，研究解决SSL弱点的解决方案。

3、域名服务

互联网名称服务器的漏洞(从高速缓存投毒威胁到针对DNS根服务器的分布式拒绝服务攻击)一直受到关注。虽然这些攻击相对较少，但企业需要采取措施确保其DNS服务器受到保护。Paul Mockapetris是Nominum的首席科学家和DNS的发明人，他说多数DNS攻击都是针对老版软件实施的。因而，更新DNS软件是第一道防线，用户应该检查其配置确保其不受损害。

DNSSEC能够对域进行数字签名，以确保其合法性，所以服务供应商应当部署此安全认证机制。Orans说DNSSEC可以进入企业。企业可以采用其中一些相同的DDoS减轻措施来保护自己的Web服务器。此外，Any_cast可以将DNS通信分发给名称服务器，可以将DNS请求转发给最近的节点或名称服务器。而Any_cast是一个可管理DNS服务的核心组件，它可以减轻DNS 遭受DDoS攻击的影响。Orans说，我们不太容易减轻高速缓存投毒或DNS欺骗的威胁，除非遭受了广受关注的高速缓存投毒攻击，否则，任何措施都几乎无济于事。

4、4G LTE

Pescatore说，无线网络的发展带来了更多的设备，也带来了数据、系统、网络等被暴露的更多机会。从3G无线技术到更快速的4G 的转换将会为更多漏洞打开大门。这种“混合环境”将会成为攻击目标。而用于无线网络的升级、更新只能达到和无线环境自身一样的安全性。僵尸网络的操纵者也会控制无线的僵尸系统。

Gartner的研究人员建议，未来三年，对于运行在无线设备上的任何敏感应用，都要使用虚拟私有网络(VPN)或应用层安全。