TMT观察网_独特视角观察TMT行业

引言

DDOS（DistributedDenial of Service）分布式拒絕服務攻擊，是最常用、最粗暴的網絡服務攻擊手段，其破壞性巨大。其主要特征是處于不同位置的多個攻擊者同時向一個或者數個目標發起攻擊，或者一個或多個攻擊者控制了位于不同位置的多臺機器并利用這些機器對目標同時實施攻擊，惡意造成網絡服務不能正常運轉從而不能向正常用戶提供所需要的服務或者使得服務質量降低。針對區塊鏈公鏈的節點分布式特征和區塊數據全網同步特征，本文設計了一種有效的區塊鏈防守攻擊型節點機制，在防范對區塊鏈節點做DDOS攻擊的同時，可對攻擊者發起懲罰性反擊，震懾并提高其做惡成本，維護合法DAPP開發者對區塊鏈的正常使用。

攻擊方式

區塊鏈公鏈作為一個開放的分布式數據庫，最容易被進行DDOS攻擊，攻擊的技術方式一般有如下三種：

(1) 攻擊者向公鏈主網節點或公開節點服務器端口，使用Socket發起TCP請求，在建立通信前基于TCP三次握手協議，首先要協商，正常情況下，客戶端發送一個SYN數據包表示要進行通信，服務器收到該SYN包后回應一個ACK確認包，客戶端再回應一個確認包后握手通信就完成了。攻擊者通過操縱多個主機向被攻擊的服務器發送SYN數據包，當服務器回復ACK確認包后，主機不再回應，這樣服務器就會保持這個半連接的并等待，這些很多的半連接會耗費極大的服務器I/O等資源，導致服務器不能正常工作。

(2) 攻擊者使用無連接的UDP協議或ICMP協議，在短時間內向區塊鏈節點發送大量無用的數據包，飽和節點服務器的帶寬、內存和CPU資源，導致服務器的擁塞和癱瘓。

(3) 攻擊者仿造正常DAPP應用，批量高頻地向區塊鏈發起偽交易，制造大量的垃圾交易數據，區塊鏈作為一個分布式數據庫對業務數據語義本身是沒有判斷標準和判斷能力的，這些數據會被正常打包進入區塊，造成區塊數據龐大，嚴重影響區塊節點數據的同步效率和交易響應時長。

防守反擊

針對不同的區塊鏈DDOS攻擊方式，防守和反攻的方式不盡相同：

(1) 利用對稱性判斷分析TCP攻擊，通過檢查TCP鏈接池狀態，統計是否有大量ACK包存在并判斷其活動狀態，對異常鏈接主動斷開并收回系統I/O資源。

(2) 根據業務UDP包大小的正常范圍，過濾異常包大小的流量，丟棄UDP碎片。

(3) 直接過濾ICMP報文，如禁止PING協議等。

(4) 對偽交易型攻擊，根據區塊鏈的特征其交易的發起都來自特定節點，主網官方節點通過大數據實時分析，監控異常節點及IP操作頻率如下面公式，實時進行閥值云控和自動配置，并根據所操作合約地址來跟蹤其變化的節點IP。防守的機制有限制節點可連接源IP的連接數、主動清除僵尸偽連接、對特定智能合約的訪問操作授權范圍進行限制等。反擊的機制有：

瞬間提高作惡用戶地址和對應合約地址的交易GAS消耗，做歸零處理

封閉其對應節點IP和用戶地址的交易請求，封閉正常區塊數據同步及用戶狀態請求

引入懲罰性區塊數據，讓該節點只能同步無效且數據量巨大的無用區塊數據，消耗該節點帶寬和存儲資源

總結

當前市場上眾多公鏈之間的競爭歸根結底將是生態的競爭，誰能如似傳統App Store一樣吸引更多優秀開發者和更多優質DAPP誰就將最后勝出，其前提是公鏈開發者和運營者，必須通過經濟和技術手段解決好區塊鏈的安全性和真正大規模可用性問題，在去中心化、安全、效率這三角之間做好務實的平衡。