全球范圍內(nèi)分布式拒絕服務(wù) （DDoS） 網(wǎng)絡(luò)攻擊急劇增加，這種數(shù)字攻擊可以通過大量的互聯(lián)網(wǎng)流量壓垮目標(biāo)服務(wù)器，從而使網(wǎng)站癱瘓。這種攻擊每年都會(huì)發(fā)生數(shù)百萬起，而且數(shù)量和規(guī)模都在不斷增加。大約三分之一的網(wǎng)站宕機(jī)是由于 DDoS 攻擊所致。計(jì)算機(jī)科學(xué)家兼波蘭國家網(wǎng)絡(luò)安全和人工智能研究所 （NASK） 研究總監(jiān) Micha? Karpowicz 說，“DDoS 網(wǎng)絡(luò)攻擊的目的是制造混亂，擾亂組織，當(dāng)然還有造成經(jīng)濟(jì)損失。這種攻擊非常常見，因?yàn)樗鼈兒苋菀咨??！痹诘湫?DDoS 攻擊中，罪犯會(huì)利用多臺(tái)感染了專門設(shè)計(jì)的惡意軟件的計(jì)算機(jī)和在線設(shè)備。

這些設(shè)備可能包括廚房電器、安全攝像頭和恒溫器等物聯(lián)網(wǎng) （IoT） 設(shè)備，而且數(shù)量在與日俱增。目前，物聯(lián)網(wǎng)涵蓋的設(shè)備超過 100 億臺(tái)，是一支龐大的可被利用的隊(duì)伍。DDoS 攻擊通常會(huì)采用以下兩種類型中的一種，或是兩種類型的組合。在容量耗盡攻擊中，受感染的設(shè)備會(huì)以極大的流量一次性涌入目標(biāo)網(wǎng)絡(luò)，致使其過載而無法為普通用戶提供服務(wù)。在應(yīng)用程序攻擊中，發(fā)出的請求會(huì)要求服務(wù)器執(zhí)行大量計(jì)算，這同樣會(huì)導(dǎo)致服務(wù)器過載。

Karpowicz 使用了一個(gè)大家熟悉的場景來描述這個(gè)問題。想象你正開車去銀行。沿途車輛稀少，一路暢通，直到你抵達(dá)最后一個(gè)十字路口。這時(shí)道路突然發(fā)生擁堵，你只能等待。這就是容量耗盡攻擊?，F(xiàn)在再想象一下，你終于到了銀行，正排隊(duì)等候柜臺(tái)員工為你辦理業(yè)務(wù)。你發(fā)現(xiàn)排在你前面的客戶出現(xiàn)了不同尋常的問題，需要銀行所有員工的幫助。同樣，你還是只能等待。這就是應(yīng)用程序攻擊。

惡意軟件可以隱藏請求的來源，使得攻擊難以抵擋。有些服務(wù)還會(huì)提供雇傭攻擊服務(wù)，使得攻擊更加容易使用。這些服務(wù)的發(fā)起方通常是心懷不滿的員工、激進(jìn)分子、市場競爭對手和國家。Karpowicz 指出，在疫情居家期間，NASK 在網(wǎng)課開始時(shí)檢測到來自學(xué)生網(wǎng)絡(luò)發(fā)起的攻擊，其目的是試圖讓在線測試無法進(jìn)行。但最近 Karpowicz 開發(fā)了數(shù)學(xué)方法來檢測這種惡意請求，以對其進(jìn)行阻止或重定向。他說，“當(dāng)你面臨一個(gè)來自現(xiàn)實(shí)的問題時(shí)，它會(huì)給你許多的靈感。”

動(dòng)態(tài)指紋

互聯(lián)網(wǎng)上的信息，包括來自網(wǎng)站的請求，均由數(shù)據(jù)包組成。每個(gè)數(shù)據(jù)包都有一個(gè)作為唯一標(biāo)識符的標(biāo)頭，描述了數(shù)據(jù)包的大小、來源和目的地。典型防御會(huì)查看這些標(biāo)頭，看它們是否在禁止列表中。然后，防御將壞數(shù)據(jù)包重定向到無害的目的地。問題是他們必須事先就擁有這個(gè)列表，并且攻擊者經(jīng)常會(huì)更改標(biāo)頭以逃避檢測。與此相反，Karpowicz 的解決方案采取的是實(shí)時(shí)檢測網(wǎng)絡(luò)流量模式。想象一下城市的十字路口有一系列交通攝像頭。如果你觀看隨機(jī)采集的一些視頻片段，你發(fā)現(xiàn)突然之間有大量的藍(lán)色敞篷車聚集在某個(gè)位置。很可疑。接下來，你可以密切觀察這些車輛，了解更多信息，并且可以讓其中更多的車輛靠邊停下。這種方法可以將網(wǎng)絡(luò)數(shù)據(jù)轉(zhuǎn)換為信號數(shù)據(jù)。于是任務(wù)就變成了分離不同的信號源。

Karpowicz 認(rèn)為這跟“雞尾酒會(huì)問題”差不多。“雞尾酒會(huì)問題”說得是你參加了一個(gè)派對，周圍的人都在交談，你必須從中辨別出跟你交談的人所說的那些話。這里，他采用了線性代數(shù)。他用信號，也就是數(shù)據(jù)包標(biāo)頭，填充矩陣。在矩陣中，每一行代表一段時(shí)間內(nèi)特定類型（由數(shù)據(jù)包大小、來源或某個(gè)其他因素定義）的數(shù)據(jù)包。在車輛交通的類比中，你可能有表示藍(lán)色車輛、小型貨車和來自加州的車輛的行。在給定矩陣中填充單元格的值表示的是可能與攻擊識別相關(guān)的內(nèi)容。在一個(gè)矩陣中，每個(gè)單元格包含的可能是標(biāo)志數(shù)，而在另一個(gè)矩陣中，它可能表示每秒比特?cái)?shù)。接下來，Karpowicz 將破譯這些指標(biāo)中哪些屬性組合出現(xiàn)頻率特別高。不單單是藍(lán)色汽車或敞篷車，而是藍(lán)色敞篷車。

FLDX 系統(tǒng)中檢測到的容量耗盡攻擊。（圖片所有權(quán)：Michal Karpowicz）

一旦找到這些特征組合，他便將其轉(zhuǎn)換回網(wǎng)絡(luò)領(lǐng)域，形成防火墻規(guī)則。在車輛交通的類比中，如果他知道了是某個(gè)品牌和型號的藍(lán)色汽車造成的問題，他便會(huì)創(chuàng)建攝像頭濾鏡，立即找到這些車輛。他將這種基于線性代數(shù)的方法稱為元因式分解。一篇關(guān)于元因式分解的論文正在審查中。Karpowicz 在 MATLAB 中實(shí)現(xiàn)了這些計(jì)算。他說，“線性代數(shù)算法是科學(xué)界已知最快的算法，這使得這種方法非常高效?！?/p>

交通攔截

檢測惡意數(shù)據(jù)包只是問題的一部分；防御者還必須對其進(jìn)行控制。Karpowicz 說，他偶然得到了一個(gè)解決方案。大約十年前，他做過一個(gè)提高網(wǎng)絡(luò)設(shè)備能源效率的項(xiàng)目。該項(xiàng)目的目的之一是預(yù)測流量，并將數(shù)據(jù)包流重定向到能夠進(jìn)行處理的路由。在與從事網(wǎng)絡(luò)安全工作的一位同事討論該項(xiàng)目時(shí)，這位同事表示可以使用該項(xiàng)目對抗 DDoS 攻擊。Karpowicz 說，“我們一直在研究這個(gè)想法，經(jīng)過一點(diǎn)一滴的努力，一項(xiàng)新技術(shù)逐漸成形?！痹谌ツ辍禘uropean Journal of Control》上發(fā)表的一篇論文中，Karpowicz 描述了這項(xiàng)稱為自適應(yīng)調(diào)節(jié)的新技術(shù)。典型網(wǎng)絡(luò)流量控制系統(tǒng)不會(huì)收到對其性能的反饋。它們是通過阻止與攻擊有某種關(guān)系的所有流量來防御攻擊。這往往會(huì)矯枉過正，因?yàn)榭赡軙?huì)阻止合法的流量。Karpowicz 建議使用融入了反饋機(jī)制的流量控制器，這樣它們便會(huì)知道是否在重定向正確的數(shù)據(jù)包。他說，“網(wǎng)絡(luò)安全給我?guī)砹司薮蟮目茖W(xué)研究挑戰(zhàn)，尤其是在數(shù)學(xué)方面”。理論與實(shí)際相輔相成?！斑@就是讓我堅(jiān)持下去的動(dòng)力。我有種預(yù)感，這里面有點(diǎn)東西，而且有個(gè)需要解決方案的問題?！边@些檢測和控制系統(tǒng)共同構(gòu)成了 NASK 提供的 FLDX 服務(wù)的基礎(chǔ)，他們現(xiàn)在擁有這項(xiàng)服務(wù)的專利。它可以在 5 秒內(nèi)檢測到攻擊，并在 10 秒內(nèi)開始緩解攻擊。

實(shí)時(shí)檢測 DDoS 攻擊的 FLDX 系統(tǒng)。（圖片所有權(quán)：Michal Karpowicz）

NASK 在波蘭各地部署了 FLDX，使用分布式虛擬機(jī)集群保護(hù)全國網(wǎng)絡(luò)。Karpowicz 說，“整個(gè)解決方案的獨(dú)特之處在于，它不僅是一個(gè)網(wǎng)絡(luò)安全系統(tǒng)，而且是一個(gè)研究平臺(tái)。它讓你可以在 MATLAB 中編寫自己的算法來檢測和抑制攻擊。它還可以讓你訪問我們在 MATLAB 中收集的數(shù)據(jù)，并且你可以利用這項(xiàng)技術(shù)的所有好處，基于我們提供的流量樣本使用數(shù)據(jù)處理、信號處理和機(jī)器學(xué)習(xí)人工智能 （AI）。”檢測和自適應(yīng)調(diào)節(jié)算法都使用機(jī)器學(xué)習(xí)，具體說是一種被稱為半監(jiān)督學(xué)習(xí)的方法。它不需要太多手工標(biāo)記的數(shù)據(jù)即可進(jìn)行訓(xùn)練。Karpowicz 說，“我們在學(xué)習(xí)算法中編碼了一些專業(yè)知識，然后讓它們自己完成工作。它們的工作是發(fā)現(xiàn)世界上正在發(fā)生的事情。他們能在大量的數(shù)據(jù)中發(fā)現(xiàn)統(tǒng)計(jì)規(guī)律，比如發(fā)現(xiàn)某一類型汽車的集群。他說，“這是機(jī)器學(xué)習(xí)的最佳使用場景。

在系統(tǒng)投入運(yùn)行之前，我們不需要先行收集大量數(shù)據(jù)集對系統(tǒng)進(jìn)行調(diào)節(jié)。在安裝好的那一刻系統(tǒng)就可開始工作?！睓z測器使用“投票”系統(tǒng)來識別異常數(shù)據(jù)流。它還通過求解方程組來優(yōu)化矩陣。即使網(wǎng)絡(luò)行為非線性（其中一些因素的影響不成比例），線性方程也可以捕獲到大部分的模式。研究人員和工程師可以使用 MATLAB 來訪問 NASK 的數(shù)據(jù)集，而且因?yàn)樵S多科技大學(xué)都已在使用該數(shù)據(jù)集，這使得“這種訪問非常方便”。NASK 的數(shù)據(jù)集可謂獨(dú)一無二，因?yàn)槠渲胁粌H包含了來自全國各地的流量數(shù)據(jù)，而且數(shù)據(jù)采樣率非常高。

FLDX 顯示不同的流量。（圖片所有權(quán)：Michal Karpowicz）

NASK 的研究著眼于流量動(dòng)態(tài)、目標(biāo)漏洞及攻擊的源、頻率和方法。他們使用 FLDX 來保護(hù)公共和商業(yè)客戶，包括學(xué)校和疫苗接種登記服務(wù)。贏得網(wǎng)絡(luò)安全部門同事的信任是一個(gè)“巨大的驚喜”。Karpowicz 說道，“在網(wǎng)絡(luò)安全工程部，科學(xué)家需要一定的時(shí)間才會(huì)贏得尊重。你得顯示出你理解他們在做什么，而且你也在做有用的事情?！钡珣{借 FLDX，“你可以直接進(jìn)入前線戰(zhàn)場。這就是 NASK 的特別之處。我們從實(shí)驗(yàn)室到技術(shù)和部署的路線極其簡短?！爆F(xiàn)在，Karpowicz 正在與其他機(jī)構(gòu)開展合作，包括麻省理工學(xué)院和悉尼科技大學(xué)。他說，“我希望 NASK 在網(wǎng)絡(luò)安全和人工智能方面享譽(yù)全球”。我們已看到了一個(gè)良好得開端。

編輯：黃飛