近期，网络安全领域迎来了一场新的挑战。Memcached协议，这个原本用于提升数据库读取性能的开源内存缓存系统，近期被恶意攻击者所滥用，进行大规模分布式拒绝服务（DDoS）放大攻击。全球多家公司服务器受到波及，其中包括知名的网络安全公司Arbor Networks。
攻击频发
据监测数据显示，这类攻击不仅频发，而且威力惊人。就在不久前，GitHub遭遇了史上最强DDoS攻击，攻击流量峰值高达1.35Tbps。此次攻击中，攻击者使用了Memcached反射攻击的新手段，预示着未来可能会出现更大规模的DDoS攻击。CNCERT的监测数据也显示，在另一时间节点，Memcached反射攻击的峰值流量更是高达1.94Tbps，令人咋舌。
Memcached反射攻击之所以具有如此大的威胁，主要是因为其极高的放大倍数。通常，这类攻击的放大倍数接近5万倍，意味着攻击者只需要利用少量的带宽资源，就能发起大规模的DDoS攻击，对目标服务器造成严重的威胁。
Memcached反射攻击的原理
Memcached反射攻击的具体原理是利用Memcached缓存服务器的漏洞和设计缺陷来进行攻击。这种攻击利用了互联网上暴露的大量Memcached服务器，这些服务器通常作为分布式缓存系统使用，用于存储缓存数据以减轻WEB服务器的性能负担。
（下图为Memcached反射源来源分布情况）
攻击者通过向Memcached服务器发送伪造的UDP数据包，这些数据包的源IP地址被篡改为受害者的IP地址。当Memcached服务器接收到这些数据包后，它会尝试根据请求的内容返回相应的数据。然而，由于攻击者构造的数据包具有特定的格式和内容，Memcached服务器会返回比请求数据包大数倍的数据给受害者。
这种反射攻击的效果在于，攻击者利用Memcached服务器的放大效应，将少量的攻击流量转化为大量的回应流量，从而实现对受害者的拒绝服务攻击。由于Memcached服务器通常具有高带宽和高速处理能力，因此攻击者能够利用这种放大效应，以较小的成本发起大规模的DDoS攻击。
此外，由于Memcached协议本身支持UDP协议，并且UDP协议是无连接的，因此攻击者可以伪造IP地址而无需建立真实的连接。这使得攻击者能够轻松地伪造受害者的IP地址，将攻击流量反射到受害者处。
为了应对这种攻击，用户应该加强对Memcached服务器的安全防护措施。这包括限制Memcached服务器的访问权限，避免将其暴露在公网上；对Memcached服务器的通信进行加密和身份验证，防止攻击者伪造请求；以及及时修补Memcached服务器存在的漏洞和缺陷，减少被攻击的风险。同时，用户还应该加强对网络流量的监控和分析，及时发现并应对潜在的DDoS攻击威胁。
面对如此严峻的形势，群联小杜强烈建议广大用户加强对反射型UDP攻击的关注与风险感知能力。尽管目前尚未有大规模用户受到直接影响，但我们必须保持高度警惕，未雨绸缪，确保自己的服务器和业务安全。
怎么做好安全防护
为了有效应对这类攻击，用户可以采取以下措施：
首先，用户应该密切关注网络安全动态，了解最新的攻击手段和防御策略。只有掌握了足够的信息，才能及时应对潜在的威胁。
其次，对于易受攻击的行业，如门户、金融、游戏等，更应该加强防范措施。这些行业由于其业务特性和用户规模，往往成为攻击者的首选目标。因此，这些行业的用户应该采取更加严格的安全措施，确保自己的业务不受影响。
此外，政府等防护能力较弱的业务也需提高警惕。由于政府机构的特殊性，一旦受到攻击，可能会对社会稳定和国家安全造成严重影响。因此，政府机构应该加强与技术供应商的合作，共同构建强大的安全防护体系。
最后，用户还可以考虑接入专业的安全服务，以应对可能出现的大流量攻击。这些服务通常具有强大的防御能力和丰富的经验，能够帮助用户有效抵御各类攻击。
总之，面对Memcached协议被滥用的现状，我们必须保持高度警惕，加强安全防御措施。群联小杜呼吁广大用户，从现在开始，关注网络安全，共同构建一个安全、稳定的网络环境。
