T1499: 端点拒绝服务

摘要

攻击者可能执行端点拒绝服务 (DoS) 攻击，以降低或阻止服务对用户的可用性。端点 DoS 可以通过耗尽托管这些服务的系统资源，或利用系统造成持续崩溃状态来实施。示例服务包括网站、电子邮件服务、DNS 和基于 Web 的应用程序。已观察到攻击者为政治目的 (Citation: FireEye OpPoisonedHandover February 2016) 以及为支持其他恶意活动（包括分散注意力 (Citation: FSISAC FraudNetDoS September 2012)、黑客活动和勒索）(Citation: Symantec DDoS October 2014) 而进行 DoS 攻击。 端点 DoS 在不饱和用于提供对服务访问的网络的情况下拒绝对服务的可用性。攻击者可以针对托管在用于提供服务的系统上的应用栈的各个层。这些层包括操作系统 (OS)、服务器应用程序（如 Web 服务器、DNS 服务器、数据库），以及位于其上的（通常基于 Web 的）应用程序。攻击每一层都需要不同的技术，利用各组件独有的瓶颈。DoS 攻击可以由单个系统生成，也可以由分布在整个互联网上的多个系统生成，通常称为分布式 DoS (DDoS)。 为对端点资源实施 DoS 攻击，若干方面适用于多种方法，包括 IP 地址欺骗和僵尸网络。 攻击者可能使用攻击系统的原始 IP 地址，或伪造源 IP 地址，使攻击流量更难以追溯回攻击系统，或启用反射。这可能通过降低或消除网络防御设备上基于源地址的过滤的有效性，增加防御者抵御攻击的难度。 僵尸网络通常用于对网络和服务实施 DDoS 攻击。大型僵尸网络可以从分布在全球互联网上的系统生成大量流量。攻击者可能有资源构建和控制自己的僵尸网络基础设施，或租用现有僵尸网络的时间来实施攻击。在 DDoS 的一些最糟糕情况下，使用的系统数量如此之多，以至于每个系统只需发送少量流量就能产生足以耗尽目标资源的流量。在这种情况下，将 DDoS 流量与合法客户端区分开来变得极其困难。僵尸网络已被用于一些最引人注目的 DDoS 攻击，例如 2012 年针对美国主要银行的一系列事件。(Citation: USNYAG IranianBotnet March 2016) 在使用流量操纵的情况下，全球网络中可能存在一些点（例如高流量网关路由器），在这些点上可以更改数据包，使合法客户端执行将网络数据包大量导向目标的代码。此类能力此前曾用于 Web 审查目的，其中客户端 HTTP 流量被修改为包含对生成 DDoS 代码以淹没目标 Web 服务器的 JavaScript 的引用。(Citation: ArsTechnica Great Firewall of China) 有关试图饱和提供网络的攻击，请参阅[网络拒绝服务](https://attack.mitre.org/techniques/T1498)。