路由器被黑成跳板，你的伺服器為什麼遭殃

安全報告顯示殭屍網路變種不斷更替，主力正是弱口令路由器與攝像頭。本文解釋這類攻擊的原理，並給出裝置加固、網路隔離與上游清洗三層應對思路。

最近多家安全機構的報告都提到同一個現象：一批殭屍網路被執法部門打掉之後，新的變種很快補上，而這些殭屍網路的主力成員，正是大量弱口令的家庭路由器、攝像頭和錄影機。很多人不知道的是，這些被劫持的裝置最終打到的，可能就是你的伺服器。 原理並不複雜。攝像頭和路由器出廠密碼簡單、韌體常年不更新，攻擊者用掃描工具批次破解後植入木馬，平時潛伏，接到指令就同時向目標傳送海量報文或發起DNS放大請求。這類攻擊的特點是源頭極其分散，幾萬臺裝置每人貢獻一點流量，匯到目標端就是數G甚至更大的洪水，普通伺服器的頻寬瞬間被打滿，連線表也會被無意義的會話佔滿。 對中小網站來說，能做的分三層。第一層是管理好自己的裝置：辦公室和機房裡的路由器、攝像頭改掉預設密碼、關閉公網管理埠、及時升級韌體，別讓自己的裝置變成攻擊別人的跳板，這類事件被溯源後同樣有麻煩。第二層是網路隔離，監控、列印等IoT裝置不要和業務伺服器放在同一個網段，避免一臺被攻破後橫向波及。第三層才是防護，面對來源分散的洪流，單臺伺服器加防火牆規則基本無效，因為攻擊流量在到達伺服器之前就已經佔滿了鏈路，這類攻擊需要在運營商或機房側的上游做流量清洗，在靠近攻擊來源的位置把惡意流量過濾掉。 簡單說，IoT殭屍網路不會消失，只會換代。業務越是依賴線上，越要假設自己遲早會被掃到。如果你的伺服器承載著遊戲、電商這類對可用性敏感的業務，可以把加速IDC的1T高防清洗服務納入備選方案，平時無感、被打時頂上，比事後救火從容得多。