九游老哥云
威胁情报专栏|ADDP反射攻击来袭？NTI已支持相关检测
2020-07-23
近年来，越来越多的可造成UDP反射攻击的协议进入人们的视线（如CoAP、Ubiquiti、WS-Discovery、OpenVPN、某DVR协议）。这些攻击方法都区别于各人所熟知的DNS、SSDP、NTP、Memcached等反射攻击类型，给DDoS攻击防护带来了一定的挑战。
2020年6月，以色列网络清静公司JSOF曝光了Treck TCP/IP协议栈的若干0-day误差，可能导致全球数亿台装备受到影响。在对已宣布的白皮书举行剖析后，九游老哥科技格物实验室发明，其中的一家受影响的厂商Digi生产的装备使用ADDP（Advanced Digi Discovery Protocol）举行装备发明。ADDP使用的组播地点为224.0.5.128，端口2362，但该协议在实现时，也支持单播，加之UDP协议能够伪造源IP，故保存被用作反射攻击的危害。
九游老哥科技威胁情报中心（NTI）对该攻击一连监控，已支持对ADDP反射攻击的相关检测及测绘数据检索，可提供最新ADDP袒露资产情报并一连更新。
在NTI上通过特定条件搜索，可获得测绘数据列表：
九游老哥科技格物实验室接纳九游老哥科技威胁情报中心（NTI）在2020年6月的一轮完整测绘数据对ADDP服务的袒露情形举行了剖析，要害发明如下：
1. 全球有5000多个IP开放了ADDP服务，保存被使用举行DDoS攻击的危害。这些装备涉及Digi的多款产品，如Connect WAN 3G、ConnectPort WAN VPN、ConnectPort X4、Connect ME4 9210等。
2. 开放ADDP服务的装备袒露数目最多的五个国家依次是美国、意大利、波兰、智利和西班牙，美国的占比抵达了43%。
3. ADDP探测报文的长度是14字节，响应报文长度大多是100多个字节，平均长度为126字节，由此可得平均带宽放大因子为9。
4. ADDP作为一种新的反射攻击类型，目今暂未引起攻击者的关注，但其潜在的危害主要有两个：一是可被用于DDoS攻击，二是可被用于发明Digi厂商的装备，后续被用于Ripple20相关的攻击。
防护建议：
1. 作为清静厂商：
1) 可以在扫描类产品中加入ADDP扫描能力，实时发明客户网络中保存的清静隐患。
2) 可以在防护类产品中加入关于ADDP的流量检测能力，实时发明客户网络中保存的清静威胁。也可以关联开放ADDP服务的IP的威胁情报，阻断掷中的源IP的毗连。
2. 作为装备开发商：
在对ADDP服务发明报文举行回应时，检查该报文的源IP是否是多播地点，若是不是多播地点的话，则不做回应。这样的话，ADDP服务被使用提倡反射攻击的难度将大大增添。
3. 作为运营商：
需遵照BCP38网络入口过滤。
4. 作为羁系部分：
1) 关于网络中的ADDP威胁举行监控，发明问题举行转达。
2) 推动装备中ADDP功效的清静评估，如装备不知足相关要求，榨取装备上市等。
5. 作为装备用户：
1) 如无需要，关闭装备的ADDP发明功效。
2) 只管将开放ADDP服务的装备安排在局域网中，这样可以增大装备被使用的难度。
3) 若是需要将开放ADDP服务的装备安排在公网上，则在装备之前安排路由器（使用NAT能力）或防护类清静装备（如防火墙），控制外部IP关于装备的会见。
6. 作为有DDoS防护需求的用户：
购置具备ADDP反射攻击防护能力的清静厂商的DDoS防护产品。如已购置，并且产品支持应用层特征的自界说，可以加入响应的特征规则。
《ADDP反射攻击剖析》报告详细内容点击阅读原文获取。
（跳转链接：https://mp.weixin.qq.com/s/X93cgSLNdVC8GREZfgu2cQ ）
